Cómo ver una cámara IP desde fuera de casa sin exponerla innecesariamente

Las cuatro formas más habituales

1. VPN hacia tu propia red

Una VPN permite que el móvil u ordenador remoto entre de forma autenticada en tu red antes de acceder a la cámara o al NVR. Si tu router, firewall o servidor ofrece una VPN mantenida y actualizada, suele ser una arquitectura más controlable que publicar directamente la interfaz web o RTSP de cada cámara.

2. Servicio remoto del fabricante

Muchas cámaras y NVR crean una conexión saliente con el servicio del fabricante y la aplicación utiliza esa infraestructura para el acceso remoto. Es sencillo y puede funcionar incluso detrás de CG-NAT, pero introduces dependencia del proveedor, de su política de actualizaciones y de la seguridad de tu cuenta.

3. Publicación directa de puertos

El router redirige un puerto público hacia la cámara o el grabador. Puede funcionar, pero aumenta la superficie expuesta. Evita tratarlo como opción por defecto y no publiques servicios que no necesites. UPnP puede abrir puertos automáticamente, por lo que conviene revisar si realmente debe estar habilitado.

4. Acceso a través del NVR

Cuando varias cámaras graban en un NVR, el acceso remoto puede concentrarse en el grabador. Esto reduce el número de dispositivos que necesitan ser alcanzables desde fuera y simplifica permisos, grabación y mantenimiento.

Antes de tocar el router: comprueba si tienes CG-NAT

Si la dirección WAN del router no coincide con la IP pública que ve Internet, o tu operador utiliza rangos privados o compartidos, puede existir CG-NAT. En ese escenario una redirección de puertos puede no recibir tráfico entrante aunque esté bien configurada.

DDNS no resuelve CG-NAT. DDNS únicamente asocia un nombre a una IP pública cambiante. Si no existe una ruta entrante hasta tu conexión, necesitas otra arquitectura: VPN con conectividad saliente, túnel gestionado o servicio remoto del fabricante.

Orden recomendado de configuración

1. Confirma que cámara y NVR funcionan correctamente dentro de la red local.
2. Asigna direcciones estables mediante reserva DHCP o el método documentado por el fabricante.
3. Actualiza firmware de cámara, NVR y router.
4. Cambia credenciales por defecto y utiliza contraseñas únicas.
5. Decide si el acceso remoto será por VPN, servicio del fabricante o NVR.
6. Prueba desde datos móviles para asegurarte de que realmente estás entrando desde fuera de la LAN.
7. Revisa registros, sesiones activas y servicios expuestos después de la prueba.

Qué evitar

• Publicar a Internet la administración de la cámara solo porque “así funciona”.
• Dejar credenciales predeterminadas o reutilizadas.
• Exponer Telnet, HTTP sin cifrar u otros servicios heredados si el equipo permite desactivarlos.
• Confiar en DDNS como si fuera una medida de seguridad.
• Dar acceso remoto a todas las cámaras cuando bastaría con el NVR.

Por qué importa la seguridad del firmware

Las cámaras son ordenadores conectados. INCIBE-CERT ha documentado vulnerabilidades de cámaras IP relacionadas con credenciales embebidas, servicios expuestos y firmware vulnerable. Mantener el equipo actualizado y limitar su exposición reduce el riesgo, especialmente en dispositivos que permanecen encendidos las 24 horas.

Ejemplo de alerta de INCIBE-CERT sobre credenciales embebidas en una cámara IP ↗

Si todavía no funciona

Antes de abrir más puertos, sigue el diagnóstico de cámara IP que no conecta. Si estás diseñando una instalación nueva, vuelve al hub de cámaras IP para revisar PoE, NVR, ONVIF y almacenamiento.

Preguntas frecuentes