Seguridad e IT
Cómo conseguir que TI apruebe tu software AV: guía práctica
Qué comprueba realmente una revisión de seguridad de TI sobre software AV y cómo prepararte para que tu herramienta se apruebe a la primera.
Por qué los cortafuegos corporativos bloquean las herramientas de presentación (y cómo superarlos)
¿Tu control remoto para presentaciones no conecta en la oficina? Por qué los cortafuegos corporativos bloquean las herramientas de presentación y cómo las buenas logran atravesarlos.
Llevas años usando la misma app de control remoto para presentaciones sin ningún problema. Luego presentas en la oficina de un cliente, o tu propia empresa implanta una nueva política de cortafuegos, y de repente nada conecta. El indicador de carga gira, la diapositiva no avanza y el equipo de TI ya se ha ido a casa. Los cortafuegos corporativos bloquean las herramientas de presentación más a menudo de lo que la mayoría cree, y el motivo casi nunca es un fallo de tu app.
La buena noticia es que se trata de un problema resuelto, no de un misterio. Una vez que entiendes qué bloquean realmente las redes corporativas y por qué, puedes solucionarlo en minutos o elegir una herramienta que nunca choque contra ese muro.
Puntos clave
- Dos fallos explican casi todos los casos: una app que ignora el proxy del sistema y el bloqueo total de UDP.
- La solución es de arquitectura: seguir el proxy del sistema, probar una ruta alternativa y recurrir a los puertos HTTPS estándar sobre TLS.
- Una herramienta bien diseñada no necesita excepciones en el cortafuegos ni abrir puertos de entrada, ya que solo establece conexiones salientes.
Por qué las oficinas blindan tanto sus redes
Los equipos de TI corporativos no intentan arruinar tu ponencia. Las redes de oficina están diseñadas para impedir que el malware se comunique con el exterior, evitar que los datos salgan por canales no supervisados y mantener un registro de auditoría de qué se conecta y adónde. Eso suele implicar:
- Bloquear puertos salientes arbitrarios y permitir solo el tráfico web estándar.
- Exigir que todo el tráfico saliente pase por un servidor proxy.
- Bloquear por completo el tráfico UDP, ya que es más difícil de inspeccionar que TCP.
- Rechazar cualquier solicitud de conexión entrante desde fuera de la red.
Todas ellas son prácticas de seguridad razonables. El problema es que gran parte del software de presentación y de control remoto se creó pensando en una red doméstica abierta, no en una red de oficina blindada.
Si una herramienta funciona bien en el wifi de casa pero falla en cada recinto y oficina, el problema es la herramienta, no tu red. Pregunta al proveedor cómo se comporta detrás de un proxy antes de comprarla.
Qué es lo que falla realmente
| Restricción de red | Qué bloquea | Por qué importa al presentar |
|---|---|---|
| Configuración automática de proxy (PAC) | Apps que ignoran la configuración de proxy del sistema | La app no puede acceder a internet en absoluto, aunque el navegador sí pueda |
| UDP bloqueado | Conexiones multimedia directas entre pares | Las pantallas compartidas y las señales de cámara no logran conectarse |
| Puertos no estándar bloqueados | Todo lo que esté fuera de 80/443 | Los servidores de señalización o multimedia quedan inaccesibles |
| Sin conexiones entrantes | Cualquier herramienta que espere una conexión entrante | Cada vez es menos habitual en herramientas modernas, pero aún afecta a algunos puentes de hardware |
El fallo más común, con diferencia, son los dos primeros: una app que no respeta el proxy del sistema, sumada al bloqueo total de UDP. Juntos producen el síntoma clásico: una pantalla de inicio de sesión que muestra «bad gateway» o un control remoto que se conecta pero nunca llega a avanzar una diapositiva.
Cómo lo consiguen igualmente las herramientas bien diseñadas
La solución es de arquitectura y consta de tres partes que funcionan en conjunto:
Seguir automáticamente el proxy del sistema
Si el equipo ya tiene un proxy configurado, ya sea manualmente o mediante un archivo PAC, la app debe usarlo en lugar de intentar acceder a internet directamente.
Probar una ruta alternativa cuando la principal está bloqueada
Una única dirección fija en el código es un único punto de fallo; una app resiliente cambia discretamente a una ruta de respaldo.
Recurrir a los puertos web estándar sobre TLS
Si UDP está bloqueado, el tráfico multimedia y de control debe poder retransmitirse íntegramente por el mismo puerto HTTPS que ya usa un navegador, mediante un relé TURN. Es más lento que una conexión directa entre pares, pero funciona, y el cambio debe ser automático e invisible para el presentador.
Esto es exactamente lo que hace la app de escritorio de Cliqer: sigue automáticamente el proxy de tu sistema, cambia a una ruta de respaldo si la dirección principal está bloqueada y puede retransmitir íntegramente por los puertos HTTPS estándar en redes que solo permiten tráfico web. Sin cambios en el cortafuegos ni solicitudes de excepción por parte de TI. Explicamos el lado técnico de esa ruta de retransmisión en ¿es seguro WebRTC? y la red subyacente en la documentación de Seguridad y redes.
Cómo poner a TI de tu parte antes del día del evento
Incluso una herramienta que sortea los cortafuegos automáticamente se beneficia de avisar con antelación a TI, sobre todo en un recinto que no controlas. Dos cosas agilizan el proceso:
- Pide los requisitos de conexión saliente por escrito, no un «debería funcionar sin más» de palabra. Un proveedor debe poder enumerar exactamente qué hosts y puertos necesita en salida, aunque nunca requiera que se le conceda una excepción.
- Consigue la aprobación antes del evento, no durante. Si tu organización tiene un proceso formal de aprobación de software nuevo, nuestra guía para conseguir que TI apruebe tu software audiovisual repasa lo que suele abarcar esa revisión.
Si tu equipo está evaluando herramientas a gran escala en lugar de solucionar un problema de conexión puntual, aplica también la lista de comprobación de seguridad para software de presentación, ya que el comportamiento de red es solo una parte de la revisión. Los equipos que estandarizan todo el stack tecnológico de un recinto, y no solo un control remoto, quizá quieran consultar también nuestro análisis más amplio del stack tecnológico para eventos híbridos.
Cómo solucionarlo ahora mismo, en pleno evento
Si tienes delante una conexión que no funciona cinco minutos antes de presentar:
- Comprueba si el wifi de invitados del recinto está separado de la red corporativa principal. Las redes de invitados suelen ser menos restrictivas.
- Prueba a compartir la conexión del móvil como solución provisional para ese día. Así evitas por completo la red de la oficina.
- Si la app tiene una opción de respaldo «relay» o «TURN», confirma que está activada y no desactivada para una prueba de velocidad.
- Reinicia la app después de cambiar de red. Algunas herramientas guardan en caché un estado de conexión fallida.
Para una solución a más largo plazo, plantéaselo a TI con los requisitos de conexión saliente anteriores, para que el próximo evento no repita las prisas y el próximo presentador no se quede actualizando un indicador de carga dos minutos antes de subir al escenario.
Servidores TURN explicados
Cómo un relé TURN hace pasar el tráfico multimedia cuando una red bloquea UDP por completo.
Documentación de Seguridad y redes
Todos los requisitos de conexión saliente para entregar a tu contacto de TI.
Preguntas frecuentes
Las redes domésticas casi siempre son abiertas, sin proxy ni restricciones de UDP. Las redes de oficina suelen imponer ambas cosas, y ahí es justo donde falla una herramienta que no gestiona proxies ni recurre a TCP.
No. Cliqer solo establece conexiones salientes y recurre automáticamente a los puertos HTTPS estándar en redes restrictivas, por lo que no se necesita redirección de puertos de entrada ni ninguna excepción especial en el cortafuegos.
Un problema de proxy impide que la app acceda a internet en absoluto, y suele manifestarse como un error de conexión o de gateway al iniciar sesión. Un problema de UDP permite iniciar sesión, pero impide las conexiones multimedia directas, y suele manifestarse como una pantalla compartida o una cámara que nunca llega a conectarse mientras todo lo demás funciona.
Añade una pequeña latencia en comparación con una conexión directa, pero es un respaldo fiable, no una pérdida de calidad, y el cambio se produce automáticamente sin que el presentador tenga que hacer nada.
Empieza ya
Si los problemas con cortafuegos ya te han jugado una mala pasada, prueba Cliqer gratis en la próxima red que te preocupe, sea corporativa o no. Para equipos que estandarizan entre recintos y oficinas, consulta el plan Enterprise para un despliegue y soporte centralizados.
corporate networksfirewallsITpresentation clicker
Monitores de confianza explicados: qué ve el ponente y por qué
Qué muestra un monitor de confianza al ponente, por qué importa y cómo montar uno con una pantalla que te sobre y una cuenta atrás.
Cómo hicimos que compartir pantalla fuera cuatro veces más rápido
La historia de ingeniería detrás de la reducción de la latencia al compartir pantalla en Cliqer, de más de dos segundos a aproximadamente medio segundo.
Dirige tu próximo show con Cliqer
Cualquier presentación, cualquier teléfono, en cualquier lugar. La app de escritorio aloja la sala, los presentadores solo abren un enlace.
Sigue leyendo
Más seguridad e it para tu próximo show
Seguridad e IT
Presentar contenido confidencial: protección de datos en las reuniones del consejo
Mantén la confidencialidad de las presentaciones del consejo: qué no debe salir nunca de tu dispositivo y cómo comprobar adónde envía los datos una herramienta.
Seguridad e IT
Llaves de acceso explicadas: inicio de sesión sin contraseña para equipos con mucho trabajo
Las llaves de acceso explicadas de forma sencilla: cómo funciona el inicio de sesión sin contraseña, por qué resiste el phishing y cómo activarlo para tu equipo.
Recibe la próxima guía antes de tu próximo show
Guías prácticas para presentadores, equipos de AV y equipos de eventos, más las versiones de Cliqer que importan. Sin spam, te das de baja con un clic.