Skip to main content

IP dinámica de oficina: DNS dinámico (No-IP) con el firewall CSF

El problema: acceder al servidor desde una IP que cambia

Cuando gestionas tu servidor desde una oficina o un domicilio, tu conexión a Internet casi nunca tiene una IP fija: el proveedor (Movistar, Vodafone, Orange…) te asigna una IP dinámica que cambia sin previo aviso, a veces al reiniciar el router.

La solución habitual es un DNS dinámico: un nombre de dominio (por ejemplo mioficina.ddns.net) que apunta siempre a tu IP actual, aunque esta cambie. Servicios como No-IP ofrecen estos nombres, en muchos casos de forma gratuita con la extensión .ddns.net.

Cómo funciona con el firewall del servidor (CSF)

En el servidor, el firewall CSF mantiene una lista de nombres de host autorizados (el fichero csf.dyndns). Cada pocos minutos resuelve cada nombre, obtiene la IP a la que apunta y abre el acceso a esa IP de forma automática, sin que el administrador tenga que tocar nada.

El flujo completo es este:

  • Tú creas el host dinámico en No-IP (por ejemplo mioficina.ddns.net) y lo actualizas con tu IP actual.
  • El servidor lee esa lista de nombres, resuelve el DNS y autoriza tu IP entrante.
  • Si tu IP cambia, en el siguiente ciclo de re-resolución (minutos) el acceso se sigue con la nueva IP.

Las dos trampas que provocan casi todos los avisos de «no entro»

1. El host gratuito de No-IP expira si no se confirma

Este es el fallo más frecuente y el más silencioso. Las cuentas gratuitas de No-IP exigen confirmar cada host dinámico cada 30 días. Si no se confirma a tiempo (un correo de No-IP que llega y se olvida), el host se libera y se elimina.

Consecuencia: el nombre desaparece, el servidor deja de poder resolverlo, la autorización cae y al día siguiente no entras. No hay ningún error en el servidor que lo anuncie: simplemente el nombre ya no existe.

¿La solución? Dos caminos:

  • Confirmar el host cada 30 días en el panel de No-IP (o re-crearlo si ya expiró, y avisar a soporte).
  • Contratar la suscripción de pago de No-IP: elimina la confirmación manual y el riesgo desaparece.

Sobre esto último, una opinión sincera desde aquí: un DNS dinámico para acceso de administración no es un capricho, es una pieza necesaria de tu operativa. Si de él depende que puedas entrar a trabajar, la suscripción cuesta menos que una sola avería con el acceso cortado. La versión gratuita funciona, pero convierte un correo olvidado en un parón: es el precio de lo gratis, no un defecto del servicio.

2. Cambiar la IP no deshace un baneo anterior

Segunda trampa clásica: tu IP vieja quedó baneada por el firewall (por ejemplo, por intentos de acceso fallidos acumulados desde ella). Más tarde actualizas el host dinámico con la IP nueva de la oficina… y sigues sin entrar.

¿Por qué? Porque entrar en la lista de permitidos por DNS dinámico no quita el baneo de la IP anterior: son dos mecanismos independientes. El baneo se retira expresamente (desbaneo por parte de soporte), no caduca al actualizar el DNS.

Checklist: «no entro al servidor», ¿qué miro?

  1. Comprueba que tu host dinámico sigue activo en el panel de No-IP. Si figura como inactivo o eliminado, confírmalo o re-crea el host y avisa a soporte.
  2. Comprueba a qué IP resuelve, y compárala con tu IP pública actual (búscala en Google como «mi IP» o entra en https://ifconfig.me):
dig +short mioficina.ddns.net
# o desde Windows:
nslookup mioficina.ddns.net
  1. Si la IP cambió, actualízala en No-IP (tipo A) y espera unos minutos a que el servidor re-resuelva.
  2. Si aun así no entras, es probable que tu IP (la vieja o la actual) esté baneada: avisa a soporte indicando tu IP actual para el desbaneo.
  3. Recuerda: los bloqueos de seguridad del servidor (fail2ban de accesos, firewall) no son capricho. Si te baneas a ti mismo con intentos fallidos, el desbaneo es rápido, pero conviene actualizar la contraseña guardada en tu gestor de conexiones antes de reintentar.

Resumen

  • El DNS dinámico gratuito funciona, pero exige confirmar el host cada 30 días: si se olvida, el host se elimina y el acceso cae sin aviso.
  • La suscripción de pago de No-IP elimina ese mantenimiento por el precio de un café al mes: si el acceso a tu servidor es necesario, págalo.
  • Actualizar la IP en No-IP no deshace baneos previos: eso lo retira soporte.
  • Ante un «no entro»: host activo → DNS correcto → IP actualizada → desbaneo si procede, en ese orden.
Back to top