Riesgos y medidas de protección

Comprende a quién das acceso, dónde empieza y termina el cifrado y qué debes revisar antes de compartir una conexión o cambiar la configuración de red.

Exposición de red y autenticación

Riesgos de escuchar en 0.0.0.0

0.0.0.0 escucha en todas las interfaces IPv4, no solo en la red Wi-Fi actual. No publica el puerto en Internet por sí solo: su accesibilidad depende del reenvío de puertos, el cortafuegos y las rutas. Sin autenticación, un servicio accesible puede convertirse en un proxy abierto: terceros pueden consumir ancho de banda, acceder a recursos disponibles mediante el Mac o las rutas proxy y generar abusos asociados a su IP pública. Prefiera una dirección privada específica. Si necesita 0.0.0.0, active la autenticación y limite las direcciones de origen con un cortafuegos. No exponga directamente el puerto HTTP/SOCKS sin cifrar a una red no confiable. La autenticación por sí sola no cifra la conexión.

Riesgos sin autenticación

Sin autenticación, cualquier cliente admitido por los controles de acceso del puerto puede usar el proxy sin credenciales. Una dirección privada o la misma Wi-Fi no garantizan confianza; tampoco se pueden atribuir las solicitudes de forma fiable a usuarios individuales. Terceros pueden consumir ancho de banda o acceder a recursos alcanzables, y los abusos pueden asociarse a su IP pública. Active la autenticación salvo que una red aislada limite estrictamente el acceso a dispositivos de confianza.

Reenvíos y puertos SOCKS

Un reenvío local expone el servicio de destino a través de tu Mac. Uno remoto expone, mediante el servidor SSH, un servicio accesible desde el Mac. La escucha remota de bucle local pertenece al servidor, no al Mac; otros usuarios autorizados del servidor pueden acceder. Una exposición más amplia depende también de su política SSH y cortafuegos. Mantén la autenticación propia de bases de datos, escritorios remotos y servicios web.

La escucha SSH SOCKS normal es independiente del uso compartido de red autenticado. Sus credenciales no la protegen automáticamente. Prefiere 127.0.0.1 y revisa escucha, permisos y cortafuegos antes de ampliar el acceso. :: es una dirección comodín IPv6 y no limita el acceso a redes privadas. Consulta los reenvíos locales y remotos.

Cifrado e identidad del servidor SSH

SSH cifra el túnel entre el Mac y el servidor SSH, pero no automáticamente los tramos cliente–escucha o servidor–destino. Usa HTTPS de extremo a extremo o el cifrado del protocolo de destino cuando sea necesario. El servidor SSH y el destino siguen requiriendo confianza. Un túnel no vuelve seguro un servicio no fiable ni garantiza anonimato.

Verifica la primera huella de clave de host por un canal fiable. Investiga los cambios antes de restablecer la confianza; no desactives la comprobación estricta para evitar una alerta. Contraseña, clave privada y OTP te autentican; la clave de host autentica al servidor. Consulta confianza SSH.

Cobertura de enrutamiento y DNS

Revisa el orden, la regla predeterminada y el DNS de la regla coincidente. DIRECT elige explícitamente la ruta directa. Configura alternativas sin suponer que un fallo de PROXY pasa automáticamente a DIRECT. La resolución y la conexión de la app pueden seguir rutas distintas. DNS por proxy no convierte el DNS de origen TCP/53 normal en DoH.

Un proxy HTTP manual, SSH SOCKS o el enrutamiento transparente no es un VPN universal ni un interruptor de bloqueo garantizado. Las apps pueden ignorar el proxy, usar DNS propio, reutilizar conexiones o enviar tráfico no compatible. HTTP CONNECT no proporciona reenvío UDP general. Comprueba app, protocolo y ruta IPv4/IPv6. Consulta reglas, DNS y límites SOCKS.

Riesgos del modo puerta de enlace

El modo puerta de enlace es experimental y no admite autenticación por usuario y contraseña ni multiusuario. La autenticación del modo proxy no protege este tráfico; el filtrado IP no verifica identidades. Úselo solo en una LAN aislada de confianza y limite las IP de origen. Modificar el reenvío IP y las reglas de filtrado requiere autorización de administrador y puede interrumpir la red. No cifra el enlace con el Mac; IPv6 puede eludir las reglas. En redes con varias puertas de enlace, rutas de ida y vuelta diferentes pueden causar tiempos de espera, desconexiones o fallos de reenvío. El reposo del Mac, el cierre de la app o los cambios de dirección interrumpen el servicio. Restaure después la puerta de enlace y el DNS originales de los clientes. Este aviso describe riesgos, no un procedimiento de configuración verificado.

Administración Enterprise y certificados

Los ajustes Enterprise solo están disponibles en la edición Enterprise. El acceso Web/API puede exponer configuración y acciones permitidas; consola y archivos son especialmente sensibles. Inicializa al administrador localmente, limita acceso de red y roles y concede solo los controles necesarios. El bloqueo de la app no sustituye la autenticación de API, administrador o proxy.

Usa HTTPS verificado en rutas no fiables. El cliente debe confiar en una CA privada y el certificado debe incluir el nombre usado. Importa solo identidades fiables y protege sus claves privadas. TLS del proxy HTTPS solo protege su escucha, sin cifrar el puerto HTTP/SOCKS separado ni añadir UDP. Restablecer el token API es independiente de las sesiones web del administrador. Consulta Enterprise y TLS.

Credenciales, copias y conexiones compartidas

Las URL de proxy y los comandos shell copiados pueden incluir contraseñas expuestas por sincronización del portapapeles, historial o registros. Oculta credenciales, tokens, direcciones y datos personales antes de compartir diagnósticos. Protege las claves SSH y usa credenciales independientes con permisos mínimos.

Una copia de configuración puede contener credenciales en su contenido cifrado con contraseña. Guarda copia y contraseña de forma segura y separada. No incluye archivos de claves privadas, identidades TLS/claves privadas de CA, cuentas de administrador/tokens API, actividad Enterprise ni datos de desbloqueo de la app; prepara su recuperación por separado. Los QR omiten credenciales pero revelan configuración. Quien tenga QR y contraseña puede importar. La caducidad no revoca copias ya importadas. Consulta cobertura de copias y QR.

Automatización y conexiones desatendidas

Revisa scripts locales/remotos y acciones posteriores antes de activarlos: usan los permisos de la cuenta Mac o SSH correspondiente. Inspecciona destinos, escuchas, reglas y scripts de perfiles importados. Los grupos de inicio y reintentos automáticos pueden reabrir varias conexiones sin otro clic. Bloquear la app no desconecta túneles activos. Revisa miembros y ajustes de inicio/reintento antes de dejar el Mac desatendido. Consulta automatización.

Disponibilidad, privacidad y responsabilidad

Reposo, cambios de red, límites de origen y demasiadas conexiones pueden interrumpir servicios o agotar recursos. SSH en verde no demuestra disponibilidad del destino. Las estadísticas e historiales son indicadores, no pruebas de seguridad ni registros completos de facturación. Comparte solo redes y servicios autorizados. Los proveedores mantienen sus propias reglas y los abusos pueden asociarse a la IP de salida. Consulta solución de problemas.

Antes de hacer accesible un servicio

• Identifica quién alcanza cada escucha, incluidas redes enrutadas y usuarios del servidor remoto.
• Activa autenticación y cifrado adecuados; verifica identidades SSH/TLS.
• Revisa fuentes, orden, regla predeterminada y DNS; prueba primero un cliente autorizado.
• Revisa inicio, reintentos, grupos y scripts; prepara ajustes originales y recuperación separada de claves/certificados.
• Vigila recursos y conexiones y detén el uso compartido cuando deje de ser necesario.

Si sospechas un uso no autorizado

1. Detén el uso compartido, escucha o conexión afectados; también el servicio de gestión si ese acceso está afectado.
2. Limita la exposición del cortafuegos/router y revoca cuentas, credenciales o tokens afectados. Restablecer un token no cierra la sesión del navegador.
3. Conserva registros necesarios en privado y revisa accesos al servidor/destino, reglas, grupos y acciones de inicio.
4. Restaura puerta de enlace/DNS originales de los clientes modificados; reactiva solo lo necesario y verifica con un cliente fiable.