Seguridad en la Capa 3 del router y la ONT: riesgos, señales y protección

La Capa 3 (Red) es el corazón del tráfico IP. En una red doméstica, el router es el dispositivo más importante de toda la Capa 3, y la ONT es el puente entre tu red y la red del operador.

En esta capa se gestionan direcciones IP, rutas, NAT, DHCP, ICMP, TTL, subredes, firewall, enrutamiento interno y externo.

Si la Capa 3 del router/ONT es atacada, toda la red doméstica queda comprometida, incluso si las capas inferiores están bien.

1. Riesgos reales en la Capa 3 del router y la ONT

La Capa 3 del router y la ONT es el punto donde se gestionan direcciones IP, rutas, NAT, DHCP, ICMP y la entrega de la IP pública. Aunque la mayoría de los ataques domésticos ocurren en la Capa 2, la Capa 3 es igual de crítica porque controla cómo circula el tráfico, cómo se asignan las direcciones y cómo se comunica la red con Internet. Cualquier manipulación en esta capa permite redirigir tráfico, secuestrar sesiones, provocar pérdida de servicio o incluso comprometer el router desde la LAN o desde la WAN.

1.1 Suplantación de IP (IP Spoofing)

Un atacante en la LAN puede enviar paquetes con una IP falsa, saltarse reglas del firewall, confundir al router o provocar conflictos de IP. Esto permite pérdida de conectividad, ataques MITM y evasión de seguridad. La suplantación de IP es uno de los ataques más peligrosos en la Capa 3 porque afecta directamente a la lógica de enrutamiento.

1.2 Ataques al servidor DHCP del router

El router suele ser el servidor DHCP de la red doméstica. Un atacante puede levantar un servidor DHCP falso, entregar una puerta de enlace incorrecta, asignar DNS maliciosos o dejar sin IP a los dispositivos. Esto permite secuestro de tráfico, pérdida de servicio y ataques MITM sin necesidad de explotar vulnerabilidades del router.

1.3 Manipulación de rutas (Routing Manipulation)

Aunque en una vivienda no se usan protocolos de enrutamiento dinámico, sí existen rutas estáticas, rutas internas y la ruta por defecto. Un atacante puede cambiar la puerta de enlace, redirigir tráfico hacia sí mismo o bloquear el acceso a Internet. Manipular rutas permite controlar cómo circula el tráfico dentro de la red.

1.4 Ataques ICMP

ICMP es fundamental para ping, traceroute y MTU discovery. Un atacante puede saturar la red con ICMP, manipular el MTU o provocar fragmentación excesiva. Esto genera lentitud, pérdida de paquetes y denegación de servicio. ICMP es crítico para el funcionamiento de la Capa 3 y su manipulación afecta a toda la red.

1.5 Ataques a NAT

El NAT del router traduce IP privadas a públicas. Un atacante puede abrir puertos mediante UPnP, manipular sesiones NAT o provocar fugas de tráfico. Esto permite exponer servicios internos, redirigir conexiones o comprometer dispositivos desde la WAN.

1.6 Ataques desde la WAN (si el router está expuesto)

Si el router tiene puertos abiertos, UPnP activado o una DMZ mal configurada, un atacante externo puede escanear puertos, explotar servicios o comprometer el router. La exposición del router a Internet es uno de los riesgos más graves en la Capa 3.

1.7 Ataques a la ONT

La ONT no enruta, pero entrega la IP pública, gestiona las VLAN del operador y transporta paquetes IP. Un atacante podría provocar reinicios, manipular la entrega de IP o forzar cambios de sesión PPPoE o DHCP. La ONT es el primer punto donde la red doméstica recibe tráfico IP y cualquier manipulación afecta a toda la vivienda.

2. Señales de que estás sufriendo un ataque o fallo en Capa 3

Los ataques y fallos en la Capa 3 del router y la ONT suelen manifestarse como pérdida de conectividad, cambios inesperados en la IP pública, rutas alteradas, DNS manipulados o dispositivos que dejan de obtener dirección IP. Como esta capa gestiona el direccionamiento, el enrutamiento, el NAT, el DHCP y el ICMP, cualquier manipulación afecta directamente a la forma en que la red se comunica con Internet y con los dispositivos internos. Tanto el router como la ONT y los propios dispositivos muestran señales claras cuando la Capa 3 está comprometida.

2.1 Señales en el router

El router es el primer elemento en reflejar un ataque o fallo en la Capa 3. Los cambios de IP pública sin reiniciar indican manipulación de la sesión PPPoE o DHCP, o ataques desde la WAN. Los dispositivos sin IP o con IP errónea revelan ataques de DHCP spoofing o fallos en el servidor DHCP del router. Los DNS cambiados sin permiso muestran secuestro de tráfico o manipulación de rutas. Las rutas extrañas en la tabla de enrutamiento indican redirección maliciosa o errores internos. Los puertos abiertos que no recuerdas haber configurado revelan abuso de UPnP o exposición involuntaria a Internet.

2.2 Señales en la ONT

La ONT también muestra síntomas claros. Los reinicios sin motivo indican manipulación del enlace óptico o intentos de forzar renegociación. La pérdida de sesión PPPoE o DHCP revela ataques a la entrega de IP pública. Los cambios repetidos de IP pública muestran inestabilidad en la sesión o interferencias en la comunicación con el operador. Las caídas de enlace WAN indican problemas en la capa física o ataques dirigidos a la ONT.

2.3 Señales en los dispositivos

Los dispositivos conectados a la red también reflejan ataques en la Capa 3. La ausencia de Internet pese a tener conexión local indica problemas de rutas, DNS maliciosos o puerta de enlace incorrecta. Las páginas que redirigen a sitios extraños revelan secuestro de DNS o MITM. La latencia muy alta muestra saturación de ICMP o manipulación del MTU. El streaming que se corta indica pérdida de paquetes o rutas inestables. La VPN que no conecta revela manipulación de NAT, bloqueo de puertos o rutas incorrectas.

2.4 Señales avanzadas

Las señales avanzadas permiten confirmar el ataque. El tráfico ICMP anómalo revela saturación, manipulación del MTU o intentos de DoS. Las solicitudes DHCP repetidas indican conflictos, servidores DHCP falsos o pérdida de sesión. El TTL alterado muestra manipulación de rutas o presencia de un intermediario. La fragmentación excesiva revela problemas de MTU o ataques ICMP dirigidos. Las rutas duplicadas o inconsistentes indican manipulación del enrutamiento o errores graves en la Capa 3.

3. Cómo proteger la Capa 3 del router y la ONT

Proteger la Capa 3 del router y la ONT es esencial porque aquí se decide cómo se asignan las direcciones IP, cómo se enruta el tráfico, cómo se gestiona el NAT y cómo se comunica la red doméstica con Internet. La mayoría de los ataques que afectan a la conectividad, al rendimiento o a la integridad del tráfico ocurren en esta capa, y muchos de ellos pueden evitarse con medidas relativamente sencillas. La protección debe centrarse en cerrar puertas de entrada, reforzar el control de direcciones, limitar la exposición a Internet y monitorizar cualquier cambio inesperado.

3.1 Desactiva UPnP

UPnP es la mayor puerta trasera de la Capa 3 en redes domésticas. Permite que dispositivos y aplicaciones abran puertos sin intervención del usuario, lo que puede exponer servicios internos a Internet. Desactivarlo elimina una de las vías más comunes de ataque desde la WAN.

3.2 Usa DNS seguros

Configurar DNS del operador o DNS de confianza como Cloudflare, Google o Quad9 evita que un atacante entregue DNS maliciosos mediante un servidor DHCP falso. Los DNS seguros protegen contra secuestro de tráfico, redirecciones fraudulentas y manipulación de sesiones.

3.3 Aísla la red en subredes o VLAN

Dividir la red en VLAN específicas para IoT, invitados y usuarios evita que un dispositivo comprometido pueda afectar al resto. El aislamiento lógico es una de las defensas más eficaces en la Capa 3, porque limita el alcance de cualquier ataque.

3.4 Desactiva DMZ

La DMZ expone un dispositivo entero a Internet. En redes domésticas no es necesaria y representa un riesgo enorme. Desactivarla evita que un atacante pueda acceder directamente a un equipo interno.

3.5 Revisa puertos abiertos

Es fundamental revisar periódicamente los puertos abiertos y eliminar los que no se utilicen. Evitar port forwarding innecesario reduce la superficie de ataque y evita que servicios internos queden expuestos a la WAN.

3.6 Protege DHCP

Si el router lo permite, activar DHCP Snooping, IP/MAC Binding y reservas DHCP evita ataques de DHCP spoofing y garantiza que los dispositivos reciban direcciones correctas. Estas funciones bloquean servidores DHCP falsos y protegen la asignación de IP.

3.7 Filtra ICMP

ICMP no debe bloquearse por completo, porque es necesario para MTU discovery y para el funcionamiento básico de la red. Sin embargo, es recomendable limitar ICMP desde la WAN y permitir ICMP interno. Esto evita ataques de saturación y manipulación del MTU sin romper la conectividad.

3.8 Actualiza el firmware del router y la ONT

Muchos fallos de Capa 3 se corrigen con actualizaciones de firmware. Mejoras en NAT, firewall, DHCP y routing se implementan con frecuencia, y mantener el router y la ONT actualizados reduce la exposición a vulnerabilidades conocidas.

3.9 Usa firewall avanzado

Activar bloqueo de tráfico entrante, bloqueo de puertos no utilizados e inspección de paquetes refuerza la seguridad de la Capa 3. Un firewall bien configurado evita accesos no autorizados y bloquea intentos de explotación desde la WAN.

3.10 Monitoriza

La monitorización es esencial para detectar ataques en la Capa 3. Revisar la IP pública permite identificar cambios inesperados. Revisar rutas detecta manipulaciones o inconsistencias. Revisar DNS revela secuestro de tráfico. Revisar puertos abiertos permite detectar exposiciones involuntarias. La monitorización continua es la base de una red estable y segura.

4. ¿Por qué la Capa 3 del router/ONT es tan vulnerable?

La Capa 3 del router y la ONT es especialmente vulnerable porque en ella se decide cómo se asignan las direcciones IP, qué rutas utiliza la red, qué tráfico entra y sale hacia Internet, qué puertos permanecen abiertos y qué servidores DNS resuelven los nombres de dominio. Es la capa donde se define la lógica de comunicación de toda la red doméstica, y cualquier manipulación en este nivel afecta directamente a todos los dispositivos, desde el PC hasta los IoT, pasando por smartphones, Smart TV y NAS.

El router gestiona el servidor DHCP, que asigna IP, puerta de enlace y DNS. Si un atacante manipula este proceso, puede secuestrar tráfico, redirigir conexiones o dejar sin servicio a los dispositivos. También controla el NAT, que traduce direcciones privadas a públicas; si se manipula, se pueden abrir puertos, exponer servicios internos o redirigir sesiones hacia un atacante. Las rutas determinan cómo circula el tráfico dentro de la red y hacia Internet; si se alteran, se puede bloquear el acceso, redirigir tráfico o provocar pérdida de conectividad. El DNS es crítico: si se modifica, cualquier página puede redirigir a un sitio malicioso.

La ONT añade otra capa de vulnerabilidad. Aunque no enruta, entrega la IP pública, gestiona las VLAN del operador y mantiene la sesión PPPoE o DHCP. Si un atacante manipula la ONT, puede provocar reinicios, cambios de IP pública, pérdida de sesión o inestabilidad en la conexión WAN. La ONT es el primer punto donde la red doméstica recibe tráfico IP, y cualquier fallo aquí afecta a toda la vivienda.

En conjunto, la Capa 3 es el centro de control de la red doméstica. Aquí se decide quién tiene acceso, cómo se enruta el tráfico, qué servicios están expuestos y cómo se comunica la red con Internet. Por eso es una de las capas más sensibles y una de las más atacadas.

En resumen, la Capa 3 del router y la ONT es vulnerable porque controla direcciones IP, rutas, tráfico entrante y saliente, puertos abiertos, DNS y la conexión con Internet. Si controlas la Capa 3 del router, controlas toda la red.

Conclusión

La Capa 3 del router y la ONT es crítica y vulnerable porque en ella se gestionan las direcciones IP, las rutas internas y externas, el NAT, el servidor DHCP, el tráfico ICMP, el firewall y la estructura de subredes que define cómo se comunica la red doméstica con Internet. Es la capa donde se decide qué IP recibe cada dispositivo, qué camino sigue cada paquete, qué puertos permanecen abiertos, qué DNS resuelven los nombres y cómo se establece la sesión WAN. Por eso los ataques más comunes —DHCP spoofing, IP spoofing, manipulación de rutas, ICMP flooding, abuso de puertos abiertos o UPnP malicioso— ocurren exclusivamente aquí, donde la manipulación del direccionamiento y del enrutamiento permite secuestrar tráfico, bloquear servicios, redirigir conexiones o incluso comprometer el router desde la LAN o desde la WAN.

La buena noticia es que la mayoría de estos riesgos pueden mitigarse con medidas sólidas y relativamente sencillas. Un firewall bien configurado bloquea tráfico entrante no autorizado y evita exposiciones involuntarias. Usar DNS seguros protege contra secuestro de tráfico y redirecciones maliciosas. Proteger DHCP con reservas, IP/MAC Binding o DHCP Snooping evita servidores falsos y garantiza asignaciones correctas. Desactivar UPnP elimina la principal puerta trasera de la Capa 3 en redes domésticas. Aislar la red en VLAN separadas para usuarios, IoT y invitados reduce el alcance de cualquier ataque. Y monitorizar la IP pública, las rutas, los DNS y los puertos abiertos permite detectar anomalías antes de que afecten a la conectividad o a la seguridad.

Con estas prácticas, la Capa 3 del router y la ONT puede alcanzar un nivel de seguridad muy cercano al de un entorno profesional, manteniendo la estabilidad del enlace, la integridad del tráfico y la protección de todos los dispositivos de la red doméstica.