Ver tus cámaras IP desde fuera de casa sin abrir puertos

No abras un puerto del router para una cámara. Es lo primero que recomiendan muchas guías y es justo lo que hace que otros terminen mirando tus cámaras: vienen con contraseñas de fábrica, casi nunca reciben actualizaciones, y hay buscadores hechos para encontrar cámaras expuestas. Hay tres formas más seguras de verlas desde fuera, y para la mayoría de la gente la mejor es gratis.

Por qué una cámara es lo peor que puedes exponer

Todo lo que tiene una dirección pública recibe escaneos. En nuestro propio sitio registramos 6,985 intentos hostiles en 141,348 visitas, más o menos una de cada veinte, y es un sitio sin nada interesante. Con una cámara pasa lo mismo, pero peor: la contraseña suele ser la de fábrica, el software es viejo, y si alguien entra, está viendo el interior de tu casa sin que te enteres. Usar un puerto raro no ayuda: los escáneres revisan todos los puertos.

Opción 1: una red privada en el celular (gratis)

Si las únicas personas que necesitan ver las cámaras son tú y tu familia, esta es la respuesta, y no cuesta nada. Instala Tailscale en un equipo que esté siempre encendido en la misma red que las cámaras (una Raspberry Pi, un NAS o el propio grabador si permite instalar programas) y en tu celular. El celular entra a una red privada que incluye la red de las cámaras, y la app o la página de la cámara funciona igual que en casa. Funciona con CGNAT, porque todo se conecta hacia afuera. Nada queda expuesto a internet. Nosotros no vendemos esto.

Opción 2: la nube del fabricante

Muchas cámaras traen una app que funciona desde cualquier lugar sin configurar nada: la cámara se conecta a los servidores del fabricante y tu app pasa por ellos. Es cómodo y también funciona con CGNAT. A cambio, tu video pasa por el fabricante, tu cuenta pasa a ser lo que hay que proteger, y la función dura lo que el fabricante quiera mantenerla. Si la usas, ponle a esa cuenta una contraseña única y verificación en dos pasos.

Opción 3: tu propia dirección pública, cuando un programa la exige

Algunos grabadores (NVR), centrales de monitoreo o instaladores necesitan conectarse directo a una dirección. Para eso sirve una dirección pública propia, y es lo que vendemos, así que tómalo en cuenta. Con TunnelNet IP (US$10 al mes), un programa en una computadora de la red de las cámaras mantiene una conexión con nuestra red, y nosotros llevamos una dirección IPv4 pública hasta ella. Funciona con CGNAT y sin tocar el router. La computadora puede ser Linux, Windows o una Mac con Apple Silicon. Todo queda cerrado, excepto SSH, hasta que tú abras un puerto.

No pongas la cámara en esa dirección. Pon una computadora que tú mantengas al día (una Raspberry Pi, un servidor pequeño, o el grabador si corre un sistema operativo de verdad) y deja que sea lo único accesible. Las cámaras se quedan en la red privada.

¿Estás detrás de CGNAT?

Si tu proveedor usa CGNAT, tu router no tiene una dirección pública, así que abrir puertos no funciona sin importar la cámara. Las opciones 1, 2 y 3 sí funcionan, porque todas se conectan hacia afuera. Para comprobarlo, compara la dirección que te muestra una página como api.ipify.org con la dirección WAN de tu router. Si son distintas y la del router está entre 100.64.0.0 y 100.127.255.255, estás detrás de CGNAT. Lo explicamos paso a paso en la guía de CGNAT.

Si algo tuyo queda accesible, protégelo

• Cambia todas las contraseñas de fábrica, en la cámara y en el grabador.
• Desactiva UPnP en el router: deja que un aparato abra puertos sin preguntarte.
• Pon las cámaras en una red aparte (de invitados o VLAN), sin acceso al resto de tu casa.
• Actualiza el software. Si el fabricante ya no lo actualiza, no confíes en ese aparato.

Antes de elegir TunnelNet

• Nuestros puntos de conexión están en Chicago y Newark (Estados Unidos); desde lejos el video puede tardar un poco más.
• Sin protección contra ataques de saturación (DDoS). El puerto 25 está bloqueado.
• La dirección es tuya y está ligada a tu cuenta; lee la política de uso aceptable (en inglés).
• El sitio, la documentación y los términos están en inglés.

¿Cuál elegir?

Solo tú y tu familia: Tailscale, gratis y lo más seguro. Quieres la app sin configurar nada: la nube del fabricante, con contraseña única y verificación en dos pasos. Un programa o un instalador necesita conectarse directo: TunnelNet IP, US$10 al mes, en una computadora que tú mantengas, nunca en la cámara. Planes y precios (en inglés).