# IP dinámica de oficina: DNS dinámico (No-IP) con el firewall CSF

## El problema: acceder al servidor desde una IP que cambia

Cuando gestionas tu servidor desde una oficina o un domicilio, tu conexión a Internet casi nunca tiene una IP fija: el proveedor (Movistar, Vodafone, Orange…) te asigna una **IP dinámica** que cambia sin previo aviso, a veces al reiniciar el router.

La solución habitual es un **DNS dinámico**: un nombre de dominio (por ejemplo `mioficina.ddns.net`) que apunta siempre a tu IP actual, aunque esta cambie. Servicios como No-IP ofrecen estos nombres, en muchos casos de forma gratuita con la extensión `.ddns.net`.

## Cómo funciona con el firewall del servidor (CSF)

En el servidor, el firewall CSF mantiene una lista de nombres de host autorizados (el fichero `csf.dyndns`). Cada pocos minutos resuelve cada nombre, obtiene la IP a la que apunta y abre el acceso a esa IP de forma automática, sin que el administrador tenga que tocar nada.

El flujo completo es este:

- Tú creas el host dinámico en No-IP (por ejemplo `mioficina.ddns.net`) y lo actualizas con tu IP actual.
- El servidor lee esa lista de nombres, resuelve el DNS y autoriza tu IP entrante.
- Si tu IP cambia, en el siguiente ciclo de re-resolución (minutos) el acceso se sigue con la nueva IP.

## Las dos trampas que provocan casi todos los avisos de «no entro»

### 1. El host gratuito de No-IP expira si no se confirma

Este es el fallo más frecuente y el más silencioso. **Las cuentas gratuitas de No-IP exigen confirmar cada host dinámico cada 30 días.** Si no se confirma a tiempo (un correo de No-IP que llega y se olvida), el host se libera y **se elimina**.

Consecuencia: el nombre desaparece, el servidor deja de poder resolverlo, la autorización cae y al día siguiente no entras. No hay ningún error en el servidor que lo anuncie: simplemente el nombre ya no existe.

¿La solución? Dos caminos:

- **Confirmar el host cada 30 días** en el panel de No-IP (o re-crearlo si ya expiró, y avisar a soporte).
- **Contratar la suscripción de pago de No-IP**: elimina la confirmación manual y el riesgo desaparece.

Sobre esto último, una opinión sincera desde aquí: un DNS dinámico para acceso de administración **no es un capricho, es una pieza necesaria de tu operativa**. Si de él depende que puedas entrar a trabajar, la suscripción cuesta menos que una sola avería con el acceso cortado. La versión gratuita funciona, pero convierte un correo olvidado en un parón: es el precio de lo gratis, no un defecto del servicio.

### 2. Cambiar la IP no deshace un baneo anterior

Segunda trampa clásica: tu IP vieja quedó **baneada** por el firewall (por ejemplo, por intentos de acceso fallidos acumulados desde ella). Más tarde actualizas el host dinámico con la IP nueva de la oficina… y sigues sin entrar.

¿Por qué? Porque **entrar en la lista de permitidos por DNS dinámico no quita el baneo de la IP anterior**: son dos mecanismos independientes. El baneo se retira expresamente (desbaneo por parte de soporte), no caduca al actualizar el DNS.

## Checklist: «no entro al servidor», ¿qué miro?

1. **Comprueba que tu host dinámico sigue activo** en el panel de No-IP. Si figura como inactivo o eliminado, confírmalo o re-crea el host y avisa a soporte.
2. **Comprueba a qué IP resuelve**, y compárala con tu IP pública actual (búscala en Google como «mi IP» o entra en `https://ifconfig.me`):

```bash
dig +short mioficina.ddns.net
# o desde Windows:
nslookup mioficina.ddns.net
```

3. **Si la IP cambió**, actualízala en No-IP (tipo A) y espera unos minutos a que el servidor re-resuelva.
4. **Si aun así no entras**, es probable que tu IP (la vieja o la actual) esté baneada: avisa a soporte indicando tu IP actual para el desbaneo.
5. Recuerda: los bloqueos de seguridad del servidor (fail2ban de accesos, firewall) no son capricho. Si te baneas a ti mismo con intentos fallidos, el desbaneo es rápido, pero conviene actualizar la contraseña guardada en tu gestor de conexiones antes de reintentar.

## Resumen

- El DNS dinámico gratuito **funciona**, pero exige confirmar el host cada 30 días: si se olvida, el host se elimina y el acceso cae sin aviso.
- La suscripción de pago de No-IP elimina ese mantenimiento por el precio de un café al mes: si el acceso a tu servidor es necesario, págalo.
- Actualizar la IP en No-IP **no deshace baneos** previos: eso lo retira soporte.
- Ante un «no entro»: host activo → DNS correcto → IP actualizada → desbaneo si procede, en ese orden.