Proxies para dispositivos IoT: cómo configurar cámaras inteligentes y robots aspiradores a través del router

Las cámaras inteligentes, los robots aspiradores, los termostatos y otros dispositivos IoT están constantemente conectados a Internet, y no siempre a donde tú esperas. Configurar un proxy a nivel de enrutador permite controlar todo el tráfico saliente de los dispositivos inteligentes, ocultar la IP real de la red y eludir las restricciones regionales sin necesidad de instalar ningún software en el propio dispositivo. En este artículo, analizaremos por qué es necesario, qué proxies son adecuados y cómo configurarlo paso a paso.

¿Por qué los dispositivos IoT necesitan un proxy?

La mayoría de los usuarios ni siquiera se plantean a dónde "llaman a casa" sus dispositivos inteligentes. Sin embargo, los robots aspiradores chinos como Roborock, Dreame, Xiaomi envían regularmente mapas de las habitaciones y datos de rutas a los servidores del fabricante. Las cámaras IP Hikvision, Dahua, Reolink se conectan a servicios en la nube para visualización remota. Los enchufes inteligentes, bombillas y termostatos se sincronizan con servidores extranjeros.

Un servidor proxy configurado a nivel de enrutador resuelve varias tareas a la vez:

• Oculta la IP real de tu red — el fabricante del dispositivo ve la IP del proxy, no tu dirección doméstica.
• Elude bloqueos geográficos — algunas funciones de los dispositivos inteligentes solo están disponibles en ciertos países. Un proxy con la geolocalización adecuada abre el acceso a todas las funcionalidades.
• Controla el tráfico saliente — puedes ver con qué servidores se conecta cada dispositivo.
• Protege contra la vigilancia — especialmente relevante para cámaras y dispositivos con micrófonos.
• Permite probar el comportamiento de los dispositivos — útil para quienes monitorean casas inteligentes o venden equipos IoT.

Un escenario separado es el uso empresarial. Si gestionas una red de varias oficinas o almacenes con equipos IoT (cámaras de vigilancia, sensores, cerraduras inteligentes), un proxy a través del enrutador permite gestionar de manera centralizada las direcciones IP de toda la infraestructura. Esto es conveniente tanto desde el punto de vista de la seguridad como de la administración.

¿Qué tipo de proxy elegir para dispositivos inteligentes?

No todos los tipos de proxy son igualmente adecuados para IoT. Analicemos las opciones y su aplicabilidad a los dispositivos inteligentes:

Para la mayoría de las tareas con dispositivos domésticos inteligentes, la opción óptima son los proxies residenciales. Tienen direcciones IP reales de usuarios domésticos, lo que significa un riesgo mínimo de bloqueo por parte de los servicios en la nube del fabricante. Cuando tu cámara inteligente se conecta a Internet a través de una IP residencial, para el servidor del fabricante parece un usuario doméstico normal.

Si la tarea es eludir un bloqueo regional estricto (por ejemplo, desbloquear funciones de un dispositivo inteligente que solo están disponibles en EE. UU. o Europa), vale la pena considerar proxies móviles — tienen IP de operadores móviles y prácticamente nunca son incluidos en listas negras.

Para tareas de monitoreo, pruebas de infraestructura IoT o trabajar con dispositivos que no tienen verificaciones estrictas, son adecuados los proxies de centros de datos — ofrecen alta velocidad y estabilidad a un costo menor.

Cómo configurar un proxy a través del enrutador: instrucciones paso a paso

Configurar un proxy en el enrutador es la única forma de abarcar todos los dispositivos IoT en la red sin necesidad de configurar cada uno de ellos por separado. Vamos a ver varios escenarios populares.

Opción 1: Enrutadores con firmware OpenWRT / DD-WRT

Esta es la opción más flexible. Los firmwares OpenWRT y DD-WRT permiten la instalación de paquetes adicionales, incluidos los clientes proxy. Si tu enrutador es compatible con uno de estos firmwares (ASUS, TP-Link, Netgear y muchos otros), obtienes control total sobre el tráfico.

Paso 1. Accede a la interfaz web del enrutador. Normalmente, la dirección es 192.168.1.1 o 192.168.0.1.

Paso 2. Ve a la sección System → Software (en OpenWRT) o Administration → Commands (en DD-WRT).

Paso 3. Instala el paquete redsocks — es una utilidad para el proxy transparente del tráfico a través de SOCKS5 o HTTP proxy.

opkg update
opkg install redsocks

Paso 4. Edita el archivo de configuración /etc/redsocks.conf. Especifica los datos de tu servidor proxy:

base {
  log_debug = off;
  log_info = on;
  daemon = on;
  redirector = iptables;
}

redsocks {
  local_ip = 0.0.0.0;
  local_port = 12345;
  ip = TU_IP_PROXY;
  port = TU_PUERTO;
  type = socks5;
  login = "TU_LOGIN";
  password = "TU_CONTRASEÑA";
}

Paso 5. Configura iptables para redirigir el tráfico a través de redsocks. Puedes redirigir todo el tráfico o solo de ciertas direcciones IP (por ejemplo, solo desde la IP de tu cámara):

# Redirigir tráfico de un dispositivo específico (IP de la cámara: 192.168.1.50)
iptables -t nat -A PREROUTING -s 192.168.1.50 -p tcp -j REDIRECT --to-ports 12345

# O redirigir todo el tráfico de la red (excepto el propio enrutador)
iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 12345
iptables -t nat -A PREROUTING -p tcp --dport 443 -j REDIRECT --to-ports 12345

Paso 6. Inicia redsocks y agrégalo al inicio automático:

/etc/init.d/redsocks start
/etc/init.d/redsocks enable

Opción 2: Enrutadores ASUS con firmware Merlin

El firmware Asuswrt-Merlin (para enrutadores ASUS de la serie RT) admite scripts y permite configurar un proxy a través del administrador integrado. El principio es el mismo: instalación de redsocks o una herramienta similar a través del administrador de paquetes Entware, que se integra en Merlin.

Pasos a seguir: conecta una unidad USB al enrutador → instala Entware a través de la sección Administration → Scripts → instala redsocks a través de opkg → configura el archivo de configuración de manera similar al ejemplo anterior.

Opción 3: Raspberry Pi como puerta de enlace proxy

Si tu enrutador no admite firmwares personalizados, puedes usar una Raspberry Pi como puerta de enlace intermedia. La Raspberry Pi se conecta entre el enrutador y los dispositivos, redirigiendo el tráfico a través del proxy. Esta es una solución más flexible que no requiere cambiar el firmware del enrutador.

En la Raspberry Pi se instala la misma combinación: redsocks + iptables. Los dispositivos IoT se conectan a la red a través de la Raspberry Pi, que automáticamente proxy su tráfico.

Cámaras inteligentes: características de configuración y riesgos

Las cámaras IP son uno de los dispositivos IoT más "habladores". Mantienen constantemente una conexión con servidores en la nube para acceso remoto, envían notificaciones de movimiento y sincronizan grabaciones. Modelos populares incluyen Hikvision, Dahua, Reolink, Xiaomi Mi Camera, Ezviz, TP-Link Tapo.

Los principales escenarios de uso de proxies para cámaras inteligentes son:

• Ocultar la IP real del objeto de vigilancia — importante para objetos corporativos y particulares que no desean revelar su ubicación.
• Acceso a funciones bloqueadas en la región — algunos servicios en la nube de cámaras solo funcionan en ciertos países.
• Monitoreo de varios objetos a través de un único proxy — conveniente para empresas de seguridad que gestionan cámaras en diferentes ubicaciones.
• Protección contra ataques DDoS a cámaras IP — la IP real está oculta detrás del proxy.

Para cámaras que utilizan el protocolo RTSP (la mayoría de Hikvision y Dahua), el proxy a nivel de enrutador funciona correctamente — RTSP se transmite a través de TCP. Para cámaras P2P (Xiaomi, Ezviz, TP-Link Tapo) la situación es más complicada: utilizan protocolos propietarios, algunos de los cuales funcionan a través de UDP.

Consejo práctico: si necesitas ocultar la IP para el tráfico de control de la cámara (configuraciones, notificaciones, sincronización en la nube), el proxy a través del enrutador cumplirá con la tarea. Si necesitas proxy todo el flujo de video, considera usar una VPN como complemento al proxy.

Robots aspiradores y otros gadgets inteligentes

Los robots aspiradores son un caso especial entre los dispositivos IoT. Modelos como Roborock de la serie S, Dreame de la serie L, Xiaomi Mi Robot, Ecovacs Deebot, utilizan activamente la nube para almacenar mapas de habitaciones, actualizar firmware y sincronizar configuraciones. Todos estos datos se envían a los servidores del fabricante, generalmente en China.

Un proxy a través del enrutador permite:

• Ocultar la IP real y la ubicación del fabricante
• Desbloquear funciones no disponibles en tu región (por ejemplo, algunos comandos de voz o integraciones)
• Monitorear con qué servidores se conecta el dispositivo
• Bloquear conexiones no deseadas (a través de una combinación de proxy y firewall)

La lógica es similar para otros dispositivos inteligentes:

HTTP vs SOCKS5: ¿qué elegir para IoT?

Al configurar un proxy para dispositivos IoT a través del enrutador, te encontrarás con la elección del protocolo. Esto es lo que necesitas saber:

Proxy HTTP/HTTPS

Funciona solo con tráfico web (puertos 80 y 443). Adecuado para dispositivos que se comunican con la nube exclusivamente a través de solicitudes HTTP. La ventaja es la simplicidad de configuración y la posibilidad de analizar el tráfico a nivel de proxy. La desventaja es que no admite puertos y protocolos no estándar que utilizan algunos dispositivos IoT.

Proxy SOCKS5

Funciona a un nivel más bajo y admite cualquier conexión TCP en cualquier puerto. Esto hace que SOCKS5 sea la opción preferida para dispositivos IoT, ya que a menudo utilizan puertos no estándar y sus propios protocolos sobre TCP. Redsocks, que mencionamos anteriormente, funciona precisamente con SOCKS5.

Seguridad y control del tráfico de la red inteligente

Configurar un proxy es solo una parte del trabajo para asegurar la red IoT. Para una protección completa, se recomienda un enfoque integral.

Segmentación de la red

Separa los dispositivos IoT en una subred (VLAN) distinta. Esta es una práctica estándar de seguridad: si uno de los dispositivos se ve comprometido, el atacante no podrá acceder a la red principal con computadoras y teléfonos inteligentes. La mayoría de los enrutadores modernos (ASUS, TP-Link, Mikrotik) admiten VLAN a través de la interfaz web.

Monitoreo de conexiones salientes

Después de configurar el proxy, utiliza herramientas de monitoreo para analizar el tráfico de los dispositivos IoT. En OpenWRT, hay un paquete tcpdump para capturar paquetes y ntopng para monitoreo visual. Esto te permitirá ver con qué servidores se conectan tus dispositivos y, si es necesario, bloquear conexiones no deseadas.

Listas blancas y negras de IP

Usando iptables en combinación con el proxy, puedes crear una lista blanca de direcciones IP permitidas para cada dispositivo. Por ejemplo, tu cámara Reolink debe conectarse solo a los servidores de Reolink; todo lo demás se bloquea. Esta es una protección efectiva contra conexiones inesperadas y posibles vulnerabilidades del firmware.

Autenticación en el proxy

Utiliza proxies con nombre de usuario y contraseña — esto previene el uso no autorizado del servidor proxy por otros dispositivos o personas que puedan acceder a tu red. Todos los proveedores de proxy serios admiten autenticación por nombre de usuario/contraseña o por dirección IP.

Problemas comunes y cómo resolverlos

Al configurar un proxy para dispositivos IoT a través del enrutador, puedes encontrarte con una serie de problemas típicos. Aquí están los más comunes y sus soluciones:

Problema 1: El dispositivo no se conecta a la nube después de configurar el proxy

Causa: El dispositivo utiliza pinning de certificado — verificación del certificado SSL que impide el funcionamiento a través de un proxy transparente con sustitución de certificados.

Solución: Utiliza proxy transparente sin inspección SSL (redsocks en modo socks5 sin interceptar TLS). El dispositivo funcionará a través del proxy, pero el contenido del tráfico permanecerá cifrado — esto es normal para tareas de ocultación de IP.

Problema 2: Alta latencia al trabajar a través del proxy

Causa: El servidor proxy está geográficamente lejos de los servidores del fabricante del dispositivo.

Solución: Elige un proxy con geolocalización cercana a los servidores del fabricante. Por ejemplo, para dispositivos chinos (Xiaomi, Roborock) utiliza proxies en Hong Kong o Singapur. Para dispositivos estadounidenses (Amazon, Google) — proxies en EE. UU.

Problema 3: El proxy funciona, pero el tráfico UDP no se proxy

Causa: Redsocks y la mayoría de los proxies SOCKS5/HTTP solo funcionan con TCP.

Solución: Para dispositivos que utilizan UDP (algunas cámaras, altavoces inteligentes), agrega un túnel VPN al proxy (WireGuard o OpenVPN en el enrutador). La VPN asegura el proxy del tráfico UDP, y utiliza el proxy SOCKS5 para TCP.

Problema 4: Después de reiniciar el enrutador, las reglas de iptables se restablecen

Causa: Las reglas de iptables no se guardan automáticamente en la mayoría de los sistemas.

Solución: Guarda las reglas usando iptables-save y agrega su recuperación en un script de inicio automático. En OpenWRT, utiliza el archivo /etc/firewall.user para reglas permanentes.

# Guardar reglas de iptables (sistemas basados en Debian/Ubuntu)
iptables-save > /etc/iptables/rules.v4

# Restaurar al iniciar
iptables-restore < /etc/iptables/rules.v4

Problema 5: El servidor proxy rechaza conexiones del enrutador

Causa: El proxy está configurado para autenticación por IP, y la IP del enrutador no está en la lista blanca.

Solución: Agrega la IP del enrutador a la lista blanca del proveedor de proxy o utiliza autenticación por nombre de usuario/contraseña en la configuración de redsocks (parámetros login y password en la configuración).

Conclusión y recomendaciones

Configurar un proxy para dispositivos IoT a través del enrutador no es una tarea complicada para quienes están dispuestos a dedicar una hora a la configuración, pero el resultado vale la pena. Obtienes control total sobre qué datos y a dónde envían tus dispositivos inteligentes, ocultas la IP real de la red y, si es necesario, eludes las restricciones regionales.

Resumamos los puntos clave:

• No se pueden configurar dispositivos IoT directamente — el proxy se configura en el enrutador
• La herramienta redsocks + iptables es la solución estándar para OpenWRT/DD-WRT/Merlin
• SOCKS5 es preferible a HTTP para IoT debido a su soporte para puertos no estándar
• Para tráfico UDP (algunas cámaras) se necesita una VPN además del proxy
• Segmenta los dispositivos IoT en un VLAN separado para mayor seguridad
• Elige un proxy con geolocalización cercana a los servidores del fabricante del dispositivo

Si tu tarea es ocultar la IP real de los dispositivos inteligentes y asegurar la máxima confianza por parte de los servicios en la nube del fabricante, te recomendamos considerar proxies residenciales — utilizan IP reales de usuarios domésticos y prácticamente no generan sospechas en los servidores de los fabricantes de dispositivos IoT.