Producto
SIM con IP fija pública: acceso remoto seguro a routers, cámaras y PLCs
IP pública dedicada por SIM, con port forwarding gestionado y allowlist por origen. Accede al router, la cámara IP, el PLC o el gateway Linux desde tu plataforma — sin VPN del lado del dispositivo, sin CGNAT, sin tener que abrir el firewall del cliente final. Reglas configurables por API REST y audit log de accesos.
Características principales
IP pública dedicada por SIM
Una IPv4 pública asignada de forma permanente a tu SIM. No cambia entre sesiones ni cuando el dispositivo reengancha a otro operador.
Port forwarding gestionado
Define qué puertos del dispositivo expones, con qué puertos externos, y desde qué IPs origen pueden conectarse.
Allowlist por origen
Sólo IPs que tú declares pueden conectarse. El resto se descarta sin notificación, sin escaneo posible.
API REST para automatización
Crea, modifica y borra reglas desde tu propia plataforma. Ideal para multi-tenant o despliegue masivo.
Audit log de accesos
Cada intento de conexión queda registrado: timestamp, IP origen, puerto, resultado (permitido o bloqueado).
Compatible con cualquier router industrial
No requiere cliente VPN ni configuración especial en el dispositivo. Funciona con Teltonika, Robustel, MikroTik, Cradlepoint y la mayoría de modelos comerciales.
Especificaciones técnicas
Casos de uso
- Acceso remoto a routers industriales (Teltonika, Robustel, MikroTik, Cradlepoint)
- Gestión remota de cámaras IP y NVR (Hikvision, Dahua, Axis)
- Lectura Modbus TCP de PLCs en plantas fotovoltaicas
- Mantenimiento SSH de gateways Linux (Raspberry Pi, IOT2050)
- Monitorización SNMP de equipos de red distribuidos
- Backup de WAN con acceso remoto al router de respaldo
- Integración SCADA con OPC UA sobre IP pública
- Gestión multi-tenant: cada cliente tiene su SIM, su IP, sus reglas
Modelo de routing
IP pública directa vs. IP pública enrutada vs. IP privada por VPN
No todas las SIM con "IP fija" resuelven el mismo problema. Esta es la diferencia técnica:
| Característica | IP pública directa | IP pública enrutada | IP privada vía VPN |
|---|---|---|---|
| Cómo funciona | La SIM recibe una IP pública routable directamente. Cualquiera con la IP puede llegar al dispositivo si éste expone puertos. | La SIM tiene IP privada en la red del operador. Una pasarela monitorizada hace port forwarding desde una IP pública dedicada hacia el dispositivo, con allowlist de IP origen. | La SIM tiene IP privada en una APN privada. El dispositivo establece (o recibe) una conexión VPN — IPsec, WireGuard u OpenVPN — hacia tu infraestructura. |
| ¿Quién accede al dispositivo? | Cualquiera que conozca la IP. Defensa: firewall en el dispositivo. | Sólo IPs incluidas en la allowlist de la pasarela. | Sólo equipos dentro de la VPN. |
| Latencia añadida | Ninguna (acceso directo). | Mínima (un salto adicional por la pasarela, normalmente <5 ms en territorio europeo). | Variable (5-30 ms según ubicación del concentrador VPN y solapamiento con la ruta del operador). |
| Configuración del dispositivo | El módem expone los puertos. APN específica de IP fija. | El módem no necesita configuración especial — se beneficia automáticamente del port forwarding de la pasarela. | El módem o un gateway aguas arriba debe correr cliente VPN. Más mantenimiento, más superficie de bug. |
| Auditabilidad de accesos | Solo lo que registre el firewall del dispositivo (a menudo nada). | Audit log centralizado en la pasarela: quién accedió, cuándo, a qué puerto. | Logs en el concentrador VPN; depende de la implementación. |
| Caso de uso típico | Equipos en redes hostiles donde no quieres tránsito intermedio (raro fuera de defensa/finanzas). | Acceso remoto a router industrial, cámara IP, PLC, NVR, gateway Linux, switch gestionado. | Cuando ya existe una VPN corporativa y el dispositivo debe formar parte de la red interna. |
| Riesgo si está mal configurado | Alto — toda Internet puede escanear el dispositivo. | Bajo — la allowlist es la barrera; si está bien configurada, sólo tus IPs llegan. | Bajo en la red, pero alto si la VPN se compromete (acceso a toda la red interna). |
| Disponibilidad en iot.cards | Sí (SIM IP pública directa). | Sí (SIM con IP pública enrutada — recomendada para la mayoría de casos). | Sí (a través de APN privada — ver /productos/apn-privado). |
Casos de uso por protocolo
La IP pública enrutada es transparente para el protocolo del dispositivo. Ejemplos por uso real:
| Protocolo | Dispositivos típicos |
|---|---|
| HTTP / HTTPS (puertos 80, 443) | Interfaz web de routers Teltonika RUTX/RUT, MikroTik (Webfig), Cradlepoint, Robustel; paneles de cámaras IP. |
| RTSP (puerto 554) y ONVIF | Cámaras IP Hikvision, Dahua, Axis. Acceso remoto a streams desde plataforma de videovigilancia. |
| Modbus TCP (puerto 502) | PLCs Siemens S7, Schneider M340, Allen-Bradley Micro800. Lectura de variables industriales remotas. |
| SSH (puerto 22) | Gateways Linux (Raspberry Pi, IOT2050, BeagleBone), routers MikroTik vía CLI. |
| SNMP (puerto 161) | Switches y routers gestionados, monitorización vía Zabbix/PRTG/LibreNMS. |
| OPC UA (puerto 4840) | Sistemas SCADA, integración con plataformas industriales modernas. |
Modelo de seguridad
La pasarela monitorizada de iot.cards aplica una allowlist por SIM o por grupo de SIMs. Sólo las IPs públicas o rangos CIDR que tú declares pueden iniciar conexiones hacia el dispositivo. Todo intento de acceso queda registrado.
- •Allowlist por IP origen, configurable por SIM o por grupo.
- •Reglas a nivel de puerto: puedes permitir HTTP pero no SSH, por ejemplo.
- •Audit log persistente: timestamp, IP origen, puerto destino, resultado (permitido / bloqueado).
- •Rotación de IPs sin cambiar la SIM si una IP pública queda comprometida.
API REST: gestiona reglas dinámicamente
Todas las reglas de port forwarding y allowlist son administrables por API REST. Útil cuando das de alta un nuevo dispositivo desde tu propia plataforma, o cuando un técnico de campo necesita acceso temporal a una IP nueva.
Ejemplo: abrir HTTPS al dispositivo desde dos rangos CIDR
POST /api/v1/sim/{iccid}/port-forwarding
{
"external_port": 8443,
"internal_port": 443,
"protocol": "tcp",
"allowlist": ["203.0.113.10/32", "198.51.100.0/24"]
}¿Listo para empezar?
Empieza con un kit de prueba o cuéntanos tu proyecto.