Qué es CGNAT

Le preguntamos a Gemini, la inteçligencia artificial de Google, qué es CGNAT

Explicanos detalladamente qué es CGNAT

CGNAT ( Carrier-Grade NAT, o NAT444 ) es una técnica de red empleada por los proveedores de servicios de Internet ( ISP ) para compartir una única dirección IP pública IPv4 entre cientos de usuarios simultáneos. Su objetivo principal es mitigar el agotamiento global de direcciones IPv4 sin obligar a una migración inmediata a IPv6.

CGNAT (Carrier-Grade Network Address Translation o NAT a nivel de operador), definido en la RFC 6598, es una técnica de enrutamiento y traducción de direcciones que permite a los Proveedores de Servicios de Internet (ISP) compartir un único grupo reducido de direcciones IPv4 públicas entre miles de clientes simultáneamente.

Nació como una medida de contención ante el agotamiento del espacio de direcciones IPv4, retrasando la necesidad de una migración forzada a IPv6.  

Cómo funciona la arquitectura CGNAT ( Doble NAT )

En una conexión tradicional, tu router doméstico recibe una IP pública única directamente de Internet. Con CGNAT se añade una segunda capa de traducción (Doble NAT) gestionada en la infraestructura central del ISP:

[Dispositivo LAN] ──(192.168.1.50)──> [Router / CPE] ──(100.64.12.34)──> [Gateway CGNAT 

     

      (Red Local)                                               (Red Privada ISP)                          (IP Pública Compartida)

del ISP] ──(203.0.113.8)──> [Internet]

     
NAT Local ( CPE ): Tu dispositivo (PC, móvil) envía tráfico desde una IP privada interna (192.168.1.X). El router doméstico traduce ese paquete a la IP asignada en su interfaz WAN.

Espacio del ISP : En lugar de ser una IP pública, la WAN del router recibe una dirección dentro del rango reservado para CGNAT.

NAT del Operador ( CGNAT Gateway ): Los enrutadores de alta capacidad del ISP toman las peticiones de cientos de routers distintos, las traducen nuevamente asignando un puerto dinámico específico y las envían a Internet bajo una misma IP pública compartida (203.0.113.8).

El Rango Reservado: 100.64.0.0/10

Para evitar colisiones con las redes privadas habituales de hogares o empresas (definidas en la RFC 1918 como 192.168.0.0/16, 10.0.0.0/8 o 172.16.0.0/12), la IANA asignó un bloque de direcciones exclusivo para CGNAT:

Rango: 100.64.0.0 hasta 100.127.255.255

Prefijo: /10 (aproximadamente 4.19 millones de direcciones disponibles para la red interna de los operadores).

Si la interfaz WAN de tu router tiene una IP que empieza por 100.64.X.X a 100.127.X.X, estás inequívocamente detrás de un CGNAT.

Cómo Funciona: NAT Tradicional vs. CGNAT

En una conexión tradicional, el proveedor te asigna una dirección IP pública única para tu módem o router. En CGNAT se añade un nivel intermedio de traducción administrado por el operador.

[Dispositivo Local] ---> [Router Casero (NAT1)] ---> [Servidor CGNAT del ISP (NAT2)] ---> [Internet]

     (192.168.1.50)                (100.64.X.X)                                 (200.X.X.X)

Característica	NAT Tradicional (NAT44)	CGNAT (NAT444)
Capas de traducción	1 (En tu router)	2 (En tu router + en el ISP)
IP Pública	Exclusiva para tu hogar	Compartida con múltiples clientes
IP en la WAN del Router	IP Pública global	IP Privada del ISP (Rango 100.64.0.0/10)
Apertura de Puertos	Totalmente bajo tu control	Imposible desde el router casero
Hosteo de Servidores	Sencillo (VPN, Web, Plex)	Requiere túneles externos

NAT Tradicional vs. CGNAT

Característica	NAT Tradicional (1:N)	CGNAT (Carrier-Grade NAT)
Capas de traducción	1 (solo en el router del cliente)	2 (Doble NAT: router del cliente + ISP)
IP en la WAN del router	IP pública enrutable única	IP privada/compartida (100.64.0.0/10)
Apertura de puertos (Port Forwarding)	Soportado y configurable por el usuario	Imposible directamente desde el router
Hosting local (Web, SSH, VPN Server)	Directo mediante DNS Dinámico (DDNS)	Requiere túneles inversos o relays externos
Tipo de NAT en consolas (Gaming)	NAT Tipo 1 (Abierta) / NAT Tipo 2 (Moderada)	NAT Tipo 3 (Estricta)

Principales Problemas que Causa el CGNAT

NAT Estricta en Juegos: Produce "NAT Tipo 3" o "Estricta" en consolas (PlayStation, Xbox, Switch), impidiendo emparejamientos P2P (peer-to-peer) o uso del chat de voz.

Imposibilidad de Abrir Puertos ( Port Forwarding ): No se pueden mapear puertos salientes hacia la IP pública porque no se controla el router central del ISP.

Afectación en Cámaras IP y Domótica: Impide el acceso directo desde el exterior mediante DDNS (DNS Dinámico) a NVRs, servidores caseros o domótica.

Bloqueos por Reputación de IP : Si otro usuario que comparte tu misma IP pública realiza spam o ataques, la IP entra en listas negras, afectando a todos los demás con CAPTCHAs constantes o baneos en servicios web.

Problemas e Impacto Técnico de CGNAT

Bloqueo de servicios autohospedados: El reenvío de puertos (Port Forwarding) o DMZ en tu router solo funciona hasta la WAN local. Las peticiones entrantes directas desde Internet mueren en el cortafuegos del CGNAT del ISP porque este no sabe a qué cliente redirigir el puerto solicitado.

Problemas en videojuegos online: Provoca NAT Estricta (Tipo 3) en consolas y PC. Esto impide la conexión directa P2P (Peer-to-Peer), dificultando el chat de voz, la búsqueda de partidas o actuar como anfitrión de servidores de juegos.

Túneles VPN entrantes rotos: No puedes levantar un servidor WireGuard, OpenVPN o IPsec en tu red local accesible mediante DDNS estándar.

Baneos por IP y Captchas recurrentes: Si otro usuario que comparte tu misma IP pública comete abusos (spam, ataques DDoS o scraping), sitios web o plataformas como Cloudflare pueden bloquear la IP, afectando a todos los clientes agrupados bajo esa dirección.

Cómo Saber si Estás Detrás de CGNAT

Entra a la consola de administración de tu router y revisa la dirección IP asignada a la interfaz WAN.

Abre en tu navegador un sitio de verificación como ifconfig.me o cualesmiip.com.

Diagnóstico:

Si la IP WAN de tu router empieza por el rango 100.64.x.x a 100.127.x.x (reservado por la RFC 6598 para CGNAT) o por un rango privado (10.x.x.x, 172.16.x.x), estás bajo CGNAT.

Si la IP WAN de tu router no coincide con la IP mostrada en la web, estás bajo CGNAT.

Cómo comprobar si tu conexión usa CGNAT

Método 1: Comparar la IP de la WAN con la IP Pública

Entra a la interfaz de administración de tu router y anota la dirección asignada a la interfaz WAN / Internet IPv4.

Consulta tu IP pública real desde la terminal o el navegador:

Bash

curl -s https://ifconfig.me

Diagnóstico: Si la IP de la WAN del router es diferente a la IP mostrada por ifconfig.me (o si la WAN empieza por 100.64.x.x), tu conexión está en CGNAT.

Método 2: Ejecutar una traza de ruta ( Traceroute )

Ejecuta un traceroute hacia un servidor DNS público:

Bash

traceroute -n 1.1.1.1

# O en Windows: 

tracert -d 1.1.1.1

Si observas dos saltos seguidos con direcciones privadas o no enrutables antes de alcanzar la red pública del ISP, estás navegando bajo doble NAT / CGNAT.

Soluciones y Alternativas para el Usuario

Solicitar la salida de CGNAT al ISP : Muchos operadores permiten salir de CGNAT y obtener una IP pública dinámica tradicional de forma gratuita o contratando un servicio de IP fija/estática.

Uso de IPv6 : Si el ISP entrega conectividad IPv6 nativa (mediante prefijos /64 o /56), cada dispositivo de tu red recibe una dirección IPv6 global enrutable, eliminando por completo la necesidad de NAT.

Túneles Inversos y Redes Mesh : Herramientas como Cloudflare Tunnels, Tailscale (usando DERP relays), ZeroTier o un proxy inverso alojado en un VPS barato permiten acceder a servidores locales sorteando el CGNAT sin abrir puertos.

Soluciones para Salir o Evadir CGNAT

Solicitar Salida al ISP: Llama a tu proveedor y solicita que te asignen una IP pública dinámica fuera de CGNAT (algunos lo hacen gratis, otros cobran un costo adicional).

Usar IPv6 : Si tu ISP soporta IPv6, cada dispositivo recibe una IP pública global enrutable directamente sin necesidad de NAT.

Redes Overlay y Túneles ( P2P / Mesh ): Herramientas como Cloudflare Tunnels, Tailscale, ZeroTier o ngrok permiten exponer servicios o acceder a tu red local sin requerir abrir puertos ni IP pública.

¿Quieres aprender a exponer un servidor casero detrás de CGNAT usando Cloudflare Tunnels o Tailscale?

Cómo resolver problemas de SendMail en linux

 Le preguntamos a Gemini, la inteligencia artificial de Google, cómo resolver problemas de SendMail en linux

Explicanos detalladamente cómo resolver problemas de SendMail en linux

La resolución de problemas en Sendmail exige diagnosticar tres áreas críticas: la resolución de nombres (FQDN y DNS), la correcta compilación de las macros en /etc/mail/ y la inspección de la cola de procesamiento.

1. Centro de Diagnóstico: Logs y Herramientas CLI

Antes de modificar la configuración, utiliza los comandos de diagnóstico nativos para determinar en qué etapa se interrumpe la entrega.

Archivos de registro de eventos

Debian / Ubuntu: /var/log/mail.log

RHEL / Rocky Linux / AlmaLinux: /var/log/maillog

Monitoreo en tiempo real (systemd):

Bash

sudo journalctl -u sendmail -f -n 100

Comandos de inspección de la cola y enrutamiento

Bash

# Ver los correos atascados en la cola de salida

mailq

# O bien:

sudo sendmail -bp

# Forzar el envío inmediato de la cola mostrando la traza completa (Verbose)

sudo sendmail -q -v

# Probar la resolución y enrutamiento de una dirección sin enviar correo

sendmail -bv usuario@dominio-destino.com

# Entrar en modo de prueba de reglas de enrutamiento de Sendmail

sendmail -bt

2. Errores Comunes y Soluciones Paso a Paso

Error 1: Arranque extremadamente lento de Sendmail (Delay de 30 a 60 segundos)

Síntoma: El comando systemctl restart sendmail o el arranque del sistema se congela durante casi un minuto antes de responder.

Causa: Sendmail intenta realizar una búsqueda DNS inversa sobre la IP local o resolver el Fully Qualified Domain Name (FQDN) antes de levantar el demonio y la consulta falla por timeout.

Solución: Edita /etc/hosts y vincula explícitamente el FQDN a las direcciones de bucle local (127.0.0.1 y ::1):

Plaintext

127.0.0.1           localhost mail.tudominio.com mail

::1                      localhost mail.tudominio.com mail

Confirma que el comando hostname -f devuelva mail.tudominio.com de forma instantánea.

Error 2: "550 5.7.1 Relaying denied"

Síntoma: Un cliente de correo externo o una aplicación web no puede enviar correos a dominios externos a través del servidor.

Causa: La IP de origen no está autorizada como Relay en la base de datos de acceso de Sendmail.

Solución:

Edita el archivo de control de acceso:

Bash

sudo nano /etc/mail/access

Agrega la IP o subred permitida:

Plaintext

Connect:192.168.1.50          RELAY

Connect:10.0.0                     RELAY

Recompila la base de datos hash: (Modificar el archivo plano no surte efecto hasta compilar la base de datos .db):

Bash

sudo makemap hash /etc/mail/access < /etc/mail/access

sudo systemctl restart sendmail

Error 3: Los cambios en sendmail.mc no surten efecto

Síntoma: Editas /etc/mail/sendmail.mc (por ejemplo, para cambiar la IP de escucha o activar TLS), pero el comportamiento del servicio no cambia tras reiniciar.

Causa: Sendmail no lee directamente el archivo .mc. Lee el binario compilado /etc/mail/sendmail.cf.

Solución: Debes compilar la plantilla de macros m4 antes de reiniciar el servicio:

Bash

cd /etc/mail

sudo make -C /etc/mail

# Si 'make' falla, compila directamente con m4:

sudo m4 /etc/mail/sendmail.mc > /etc/mail/sendmail.cf

sudo systemctl restart sendmail

Error 4: Correos retenidos indefinidamente ("Deferred: Connection timed out")

Síntoma: En mailq aparecen múltiples correos con el estado Deferred y los logs muestran stat=Deferred: Connection timed out with mx.dominio.com.

Causa:

Tu proveedor de nube o ISP bloquea el puerto de salida 25/TCP.

Falta el registro PTR (DNS inverso) en tu IP pública y el receptor rechaza la conexión.

Solución:

Verifica si el puerto 25 saliente está abierto:

Bash

nc -zv mx1.hotmail.com 25

Si el puerto 25 está bloqueado por el ISP, configura un Smart Host (servidor SMTP Relay intermedio) en /etc/mail/sendmail.mc:

Plaintext

define(`SMART_HOST', `smtp.tuproveedor.com')dnl

Recompila con make -C /etc/mail y reinicia Sendmail.

Error 5: Fallos de autenticación SMTP / SASL

Síntoma: Los clientes reciben 535 5.7.0 Authentication failed al intentar enviar correos con usuario y contraseña.

Causa: El demonio saslauthd está detenido o desconfigurado.

Solución:

Comprueba el estado del servicio SASL:

Bash

sudo systemctl status saslauthd

Asegúrate de que Sendmail tenga permisos para leer el socket de SASL (normalmente localizado en /var/run/saslauthd).

Inicia y habilita el demonio:

Bash

sudo systemctl restart saslauthd

sudo systemctl enable saslauthd

Matriz de Referencia Rápida de Archivos

Archivo	Función
/etc/mail/sendmail.mc	Plantilla de configuración principal en lenguaje m4 (editable).
/etc/mail/sendmail.cf	Archivo ejecutable final procesado por Sendmail (no editar manualmente).
/etc/mail/access	Tabla de permisos para Relay, rechazos y reglas de bloqueo por IP/dominio.
/etc/mail/local-host-names	Lista de dominios que el servidor debe aceptar como entregas locales.
/etc/aliases	Tabla de redirección de cuentas de correo locales (requiere ejecutar newaliases tras editar).

¿Quieres migrar la configuración de Sendmail a Postfix manteniendo las mismas reglas de Relay?

Cómo instalar y configurar SendMail en linux

 Le preguntamos a Gemini, la inteligencia artificial de Google, cómo instalar y configurar SendMail en linux

Explicanos detalladamente cómo instalar y configurar SendMail en linux Sendmail es el Agente de Transferencia de Correo (MTA) tradicional en sistemas Unix/Linux. A diferencia de Postfix, Sendmail utiliza el lenguaje de macros m4 para procesar su configuración principal, compilando el archivo legible /etc/mail/sendmail.mc en el archivo ejecutable /etc/mail/sendmail.cf.

Requisitos Previos

Hostname FQDN configurado: Sendmail fallará al arrancar o se congelará si el comando hostname -f no devuelve un FQDN válido (ej. mail.tudominio.com).

IP estática y resolución local: Tu archivo /etc/hosts debe asociar la IP pública/local al nombre FQDN.

1.1. Instalar paquetes y dependencias:

Compatibilidad del sistema y herramientas m4.

Instalamos el motor de Sendmail junto con las utilidades de procesamiento de macros m4 y el generador de mapas de base de datos.

En Ubuntu / Debian:

Bash

sudo apt update

sudo apt install sendmail sendmail-cf m4 mailutils -y

En RHEL / Rocky Linux / AlmaLinux:

Bash

sudo dnf install sendmail sendmail-cf m4 mailx -y

2.2. Preparar la identidad del servidor (/etc/hosts):

Resolución FQDN obligatoria.

Edita el archivo de hosts para garantizar que el sistema resuelva correctamente el FQDN antes de arrancar el demonio:

Bash

sudo nano /etc/hosts

Asegúrate de tener una entrada explícita vinculando tu IP al FQDN:

Plaintext

127.0.0.1 localhost

192.168.1.100 mail.tudominio.com mail

Verifica la resolución:

Bash

hostname -f

# Debe responder: mail.tudominio.com

3.3. Configurar la interfaz de escucha y enmascaramiento:

Editar sendmail.mc para permitir tráfico externo.

Por defecto, Sendmail solo escucha en la interfaz de bucle de retorno (127.0.0.1). Para que acepte conexiones de la red local o de Internet, debemos modificar /etc/mail/sendmail.mc.

Abre el archivo de plantilla:

Bash

sudo nano /etc/mail/sendmail.mc

Permitir escuchar en todas las interfaces:

Busca la línea DAEMON_OPTIONS y coméntala colocando dnl # al principio, o cambia la IP a 0.0.0.0:

Plaintext

dnl # DAEMON_OPTIONS(`Port=smtp,Addr=127.0.0.1, Name=MTA')dnl

DAEMON_OPTIONS(`Port=smtp, Name=MTA')dnl

Configurar el dominio saliente (Masquerading):

Para que los correos salientes aparezcan enviados desde @tudominio.com en lugar de @mail.tudominio.com:

Plaintext

MASQUERADE_AS(`tudominio.com')dnl

FEATURE(`masquerade_envelope')dnl

FEATURE(`masquerade_entire_domain')dnl

4.4. Compilar la configuración y generar el archivo binario:

Compilación m4 a sendmail.cf.

Nunca debes editar /etc/mail/sendmail.cf directamente. En su lugar, compila las macros editas en el paso anterior usando m4 o la utilidad make propia de Sendmail.

Bash

cd /etc/mail

sudo make -C /etc/mail

(Si el comando make no está disponible, puedes compilar manualmente mediante m4):

Bash

sudo m4 /etc/mail/sendmail.mc > /etc/mail/sendmail.cf

5.5. Configurar permisos de retransmisión (/etc/mail/access):

Prevención de Open Relay mediante la tabla access.

Para permitir que ciertos servidores web o subredes de tu red envíen correos a través de Sendmail sin que el servidor sea un "Open Relay" para spammers:

Edita la tabla de acceso:

Bash

sudo nano /etc/mail/access

Agrega las IPs o rangos autorizados:

Plaintext

Connect:localhost RELAY

Connect:127.0.0.1 RELAY

Connect:192.168.1 RELAY

Genera la base de datos indexada (access.db) usando makemap:

Bash

sudo makemap hash /etc/mail/access < /etc/mail/access

6.6. Reiniciar Sendmail y probar el flujo SMTP:

Arranque del servicio y prueba de envío.

Aplica los cambios reiniciando los servicios y habilita su inicio automático con el sistema:

Bash

sudo systemctl restart sendmail

sudo systemctl enable sendmail

Ejecuta una prueba de envío desde la consola:

Bash

echo "Prueba de envío mediante Sendmail" | mail -s "Test Sendmail" tu_correo@gmail.com

Verificación de Logs y Diagnóstico

Para rastrear transacciones o investigar errores de entrega en Sendmail, inspecciona el registro en tiempo real:

Bash

# En Debian/Ubuntu:

sudo tail -f /var/log/mail.log

# En RHEL/CentOS/Rocky Linux:

sudo tail -f /var/log/maillog

Tabla de Comandos Utilitarios de Sendmail

Comando	Función
mailq (o sendmail -bp)	Muestra la lista de correos atascados en la cola de salida.
sendmail -q -v	Fuerza el procesamiento inmediato y de forma detallada (verbose) de la cola.
sendmail -bv usuario@dominio.com	Verifica el enrutamiento de una dirección sin enviar un correo real.
makemap hash archivo < archivo	Compila archivos de texto plano en bases de datos .db legibles por Sendmail.

¿Quieres configurar autenticación SASL y cifrado TLS/SSL en Sendmail?

Cómo solucionar problemas del servidor VPN en X-WRT

 Le preguntamos a Gemini, la inteligencia artificial de Google, cómo solucionar problemas del servidor VPN en X-WRT 

Explicanos detalladamente cómo solucionar problemas del servidor VPN en X-WRT

Al estar basado en la pila de OpenWrt, X-WRT administra la red y los servicios mediante el sistema unificado de configuración uci, el motor de cortafuegos (firewall4 con nftables o firewall3 con iptables) y la interfaz web LuCI.

Los fallos en un servidor VPN sobre X-WRT (ya sea WireGuard, OpenVPN o L2TP/IPsec) se concentran habitualmente en 4 capas: Acceso WAN / CGNAT, Reglas de Cortafuegos / NAT, Enrutamiento / Solapamiento de Subredes y Ajustes de MTU/MSS.

A continuación se detalla la metodología sistemática para diagnosticar y resolver estas fallas.

1.1. Inspeccionar los registros del sistema (Logs):

Uso de logread y estado del demonio en la consola.

Accede a la CLI del router por SSH o mediante la terminal integrada en LuCI para capturar los eventos en tiempo real mientras el cliente intenta conectar:

Bash

# Ver eventos específicos de WireGuard

logread -f | grep -i wireguard

# Ver eventos específicos de OpenVPN

logread -f | grep -i openvpn

# Ver estado global de las interfaces de red

ubus call network.interface dump

Si no ves ningún log entrante: El tráfico no está llegando a la interfaz WAN del router (falla de puerto, IP incorrecta o CGNAT).

Si ves conexiones rechazadas: Hay un fallo de llaves/certificados o el firewall está descartando los paquetes (drop).

2.2. Verificar la IP Pública y estado de CGNAT:

Descarte de IP privada de WAN o proveedores con CGNAT.

Si tu proveedor de internet (ISP) te asigna una dirección bajo CGNAT (rango 100.64.0.0/10) o tu router X-WRT está detrás de un módem/ONT en modo Router, las peticiones externas nunca tocarán tu puerto VPN.

Compara la IP asignada a la interfaz WAN con tu IP pública real:Bash# IP asignada a la WAN en el router

uci show network.wan.ipaddr

# IP pública real vista desde internet

curl -s https://ifconfig.me

Solución: Si las IPs no coinciden, debes poner el módem de tu ISP en modo Bridge (Puente) o realizar un Port Forwarding del puerto de la VPN (ej. UDP 51820 para WireGuard o UDP 1194 para OpenVPN) desde el módem hacia la IP WAN del X-WRT.

3.3. Auditar las zonas del Cortafuegos (Firewall / UCI):

Configurar reglas de entrada y reenvío de zonas.

Un error común en X-WRT es crear la interfaz VPN pero no asociarla a una Zona de Firewall ni habilitar el reenvío hacia la zona lan.

Edita la configuración desde la consola (/etc/config/firewall) o mediante LuCI en Red > Cortafuegos:

Permitir tráfico entrante al puerto VPN en WAN:

Plaintext

config rule

       option name 'Allow-VPN-Input'

       option src 'wan'

       option proto 'udp'

       option dest_port '51820' # Ajustar al puerto de tu VPN

       option target 'ACCEPT'

Permitir el reenvío de tráfico entre la zona VPN y la zona LAN (Forwarding):

Plaintext

config forwarding

      option src 'vpn'

      option dest 'lan'



config forwarding

      option src 'lan'

      option dest 'vpn'

Habilitar Masquerading (NAT) en la zona VPN:

En la definición de la zona vpn, asegúrate de incluir option masquerade '1' para que los clientes VPN puedan salir a Internet a través de la conexión del router.

Aplica los cambios en el firewall:

Bash

/etc/init.d/firewall restart

4.4. Comprobar solapamiento de subredes (Subnet Conflicts):

Prevenir colisiones de direccionamiento IP.

Si la subred de la LAN de tu X-WRT es 192.168.1.0/24 y el cliente que se conecta a la VPN está en una red remota que también usa 192.168.1.0/24 (ej. un hotel o casa del cliente), el enrutamiento fallará. El cliente no sabrá si enviar el paquete a su red local o al túnel.

Solución: Cambia el rango LAN local de X-WRT a un segmento menos común (ej. 10.20.30.0/24 o 172.26.0.0/24).

Verifica que la subred propia de la VPN (ej. 10.8.0.0/24) sea completamente independiente de la LAN y WAN.

5.5. Ajustar el MTU y activar MSS Clamping:

Evitar la congelación de tráfico por tamaño de paquete.

Si el cliente establece la conexión VPN exitosamente, pero las páginas web se quedan cargando infinitamente o las transferencias SSH se congelan, el problema es la fragmentación de paquetes (MTU excesivo).

Ajustar el MTU en la interfaz VPN:

En WireGuard o OpenVPN, reduce el MTU a 1420 o 1360 (para compensar el encabezado del túnel).

Bash

# En /etc/config/network para la interfaz wg0

uci set network.wg0.mtu='1420'

uci commit network

/etc/init.d/network restart

Activar MSS Clamping en el Firewall:

Asegúrate de que el ajuste de MSS esté activo en la zona WAN/VPN dentro de /etc/config/firewall:

Plaintext

config zone

       option name 'wan'

        ...

       option mtu_fix '1'

Tabla de Comandos Rápidos de Diagnóstico en X-WRT

Tarea	Comando CLI en X-WRT
Ver estado de WireGuard	wg show
Ver clientes conectados (OpenVPN)	cat /var/log/openvpn-status.log
Verificar tabla de rutas activas	ip route show
Comprobar reglas de NAT activas	nft list ruleset | grep -i masquerade (o iptables -t nat -L -n -v)
Escuchar tráfico en el puerto VPN	tcpdump -n -i eth0 udp port 51820

Matriz de Resolución de Errores Comunes

1. WireGuard: "Handshake did not complete"

Causa: La llave pública del cliente/servidor no coincide, el puerto está bloqueado en el firewall WAN, o el endpoint asignado en el cliente apunta a una IP/DNS desactualizado.

Fix: Ejecuta wg show en X-WRT. Si el latest handshake no se actualiza o está en blanco, revisa la coincidencia exacta de las Public Keys y Preshared Keys, y confirma con tcpdump si llegan paquetes al puerto UDP configurado.

2. Conecta a la VPN pero NO hay acceso a la LAN local ni a Internet

Causa: Falta de la regla de Masquerade en la interfaz VPN/WAN o falta de reenvío (Forwarding) entre zonas.

Fix: Habilita el enrutamiento de IP en el kernel: sysctl -w net.ipv4.ip_forward=1. Asegúrate de que los clientes VPN reciban un servidor DNS accesible (ej. la IP del propio router X-WRT 192.168.X.1 o DNS públicos como 1.1.1.1).

3. El DNS se filtra o no resuelve nombres de la red local

Causa: dnsmasq en X-WRT está rechazando peticiones que provienen de interfaces fuera de la zona LAN habitual.

Fix: En LuCI (Red > DHCP y DNS > General), o en /etc/config/dhcp, asegúrate de desactivar la opción Rechazar consultas no locales (Locally served domains) o añade la interfaz VPN a la lista de escucha de dnsmasq.

¿Quieres optimizar la configuración de WireGuard mediante scripts UCI en X-WRT?

Cómo resolver problemas de QMail en linux

Le preguntamos a Gemini, la iunteligencia artificial de Google,  cómo resolver problemas de QMail en linux

Explicanos detalladamente cómo resolver problemas de QMail en linux

Resolver problemas en QMail requiere un enfoque diferente al de otros agentes de correo como Postfix o Sendmail. Debido a su arquitectura modular, QMail no utiliza un único archivo de log ni un solo proceso demonio; en su lugar, depende de múltiples binarios independientes, del gestor de servicios daemontools y de registros en formato de tiempo TAI64N.

A continuación se detallan las herramientas, procedimientos de diagnóstico y soluciones a las fallas más comunes en QMail.

1. Inspección de Logs y Estado de Servicios ( daemontools )

Si el sistema utiliza la pila estándar de QMail con daemontools, los servicios se gestionan mediante svstat y svc, y los logs son procesados por multilog.

Verificar el estado de los servicios

Comprueba si los procesos principales están activos y no se están reiniciando en bucle (un PID que cambia constantemente indica que el servicio colapsa al arrancar):

Bash

sudo svstat /service/qmail-send /service/qmail-smtpd

Salida esperada: ... status: up (pid 1234) 300 seconds

Leer los logs formateados (convertir TAI64N)

Los logs almacenados por multilog en /var/log/qmail/ o /var/log/qmail/smtpd/ utilizan marcas de tiempo TAI64N (ej. @4000000062f...). Usa tai64nlocal para convertirlas a hora legible:

Bash

# Ver eventos de la cola de entrega

sudo cat /var/log/qmail/current | tai64nlocal | tail -n 50

# Ver transacciones de recepción SMTP entrante

sudo cat /var/log/qmail/smtpd/current | tai64nlocal | tail -n 50

2. Inspección y Limpieza de la Cola de Correo

QMail no incluye de forma nativa un comando para borrar mensajes individuales de la cola sin romper la estructura de directorios de /var/qmail/queue.

Revisar el estado de la cola

Bash

# Ver recuento total de mensajes en cola

sudo /var/qmail/bin/qmail-qstat

# Ver los remites, destinatarios y tiempo en cola de cada mensaje

sudo /var/qmail/bin/qmail-qread

Administrar la cola con qmHandle

Para manipular mensajes en la cola de forma segura (borrar spam o mensajes atascados), la herramienta estándar recomendada en administración de QMail es qmHandle:

Bash

# Ver mensajes en cola detallados

qmHandle -l

# Borrar un mensaje específico por su ID

qmHandle -d12345

# Borrar TODOS los mensajes atascados en la cola de salida

qmHandle -D

3. Diagnóstico de Errores Frecuentes y Soluciones

Sintoma / Mensaje de Error	Causa Raíz	Solución
553 sorry, that domain isn't in my list of allowed rcpthosts (#5.7.1)	El dominio de destino no está autorizado para retransmisión (Relay) ni es local.	Añade el dominio a /var/qmail/control/rcpthosts. Si el cliente envía correo remoto, verifica que la IP esté permitida en la regla de tcpserver (archivo tcp.smtp).
qq trouble creating files (#4.3.0) o qq crash	Fallo crítico al escribir en /var/qmail/queue/. Puede ser falta de espacio en disco, agotamiento de inodos o permisos corruptos.	Verifica espacio e inodos con df -h y df -i. Si el disco está bien, aplica corrección de permisos en el árbol de colas (ver Sección 4).
unable to read controls	El binario de QMail no puede leer los archivos dentro de /var/qmail/control/.	Ajusta la propiedad de los archivos en /var/qmail/control/ a root:qmail o permisos de lectura global (chmod 644 /var/qmail/control/*).
alert: cannot start: unable to open read/queue	qmail-send no puede arrancar porque no tiene acceso al directorio /var/qmail/queue/lock.	Corrige la propiedad del directorio lock a los usuarios qmailq/qmails.

4. Resolución de Errores de Dominio y Enrutamiento Local

Cuando un correo no llega a las cajas locales o rebota inesperadamente, el problema casi siempre está en la interacción entre tres archivos del directorio /var/qmail/control/:

me: Debe contener el FQDN exacto del servidor (ej. mail.tudominio.com).

locals: Dominios que QMail procesará como usuarios locales del sistema.

• Si un dominio está en locals, QMail buscará al usuario en /etc/passwd o en los archivos .qmail del usuario.

rcpthosts: Dominios para los cuales el servidor aceptará recibir correo desde internet.

Regla de oro: Todo dominio listado en locals DEBE estar obligatoriamente en rcpthosts. Si está en rcpthosts pero NO en locals, QMail intentará buscar un servidor MX externo para entregarlo (útil si usas QMail como un gateway/relay SMTP).

Reiniciar el servicio tras modificar la configuración

Cada vez que edites un archivo dentro de /var/qmail/control/, debes notificar a qmail-send mediante daemontools o la señal HUP:

Bash

# Con daemontools:

sudo svc -h /service/qmail-send

# O enviando señal HUP directamente al proceso:

sudo kill -HUP $(pgrep qmail-send)

5. Reparación de Permisos y Propietarios en la Cola (queue-fix)

El sistema de archivos de /var/qmail/queue es extremadamente estricto. Si los permisos de un solo subdirectorio cambian (por un apagón repentino del servidor o una migración manual), QMail dejará de procesar envíos inmediatamente.

Para reparar la estructura de la cola de forma automática se utiliza la utilidad queue-fix:

Bash

# 1. Detener los servicios de QMail para evitar corrupción

sudo svc -d /service/qmail-send /service/qmail-smtpd

# 2. Ejecutar la reparación de permisos e inodos de la cola

sudo queue-fix /var/qmail/queue

# 3. Iniciar nuevamente los servicios

sudo svc -u /service/qmail-send /service/qmail-smtpd

¿Quieres ver cómo configurar la retransmisión de correo (relay) basada en IP mediante tcpserver en QMail?

Cómo instalar y configurar QMail en linux

 le preguntamos a Gemini, la inteligencia artificial de Google cómo instalar y configurar QMail en linux

Explicanos detalladamente cómo instalar y configurar QMail en linux

QMail es un Agente de Transferencia de Correo (MTA) reconocido por su arquitectura modular con separación de privilegios, diseñada por Daniel J. Bernstein para garantizar máxima seguridad y evitar los agujeros de seguridad históricos de Sendmail.

A diferencia de Postfix o Sendmail (que corren como un proceso monolítico o con pocos demonios), QMail divide el procesamiento de correos en múltiples binarios pequeños e independientes (qmail-send, qmail-smtpd, qmail-inject, qmail-rspawn, qmail-lspawn) corriendo bajo usuarios de sistema específicos sin privilegios de root.

A continuación se detalla el proceso completo de compilación, creación de usuarios, configuración del directorio de control /var/qmail y puesta en marcha en Linux.

Requisitos Previos

Un servidor Linux con herramientas de compilación (build-essential, gcc, make).

Un nombre de dominio FQDN bien resuelto (ej. mail.tudominio.com).

Acceso como usuario root.

1.1. Crear grupos y usuarios de sistema obligatorios:

Creación de cuentas aisladas por seguridad.

QMail no funcionará si no existen sus usuarios y grupos de sistema dedicados. Cada binario se ejecuta bajo la identidad de un usuario distinto para limitar el impacto si un componente es comprometido.Ejecuta los siguientes comandos para crear los grupos y usuarios con sus UID/GID correspondientes:

Bash

# Crear los grupos de sistema

sudo groupadd nofiles

sudo groupadd qmail

# Crear los usuarios asociados al grupo nofiles

sudo useradd -g nofiles -d /var/qmail/alias -s /nonexistent alias

sudo useradd -g nofiles -d /var/qmail -s /nonexistent qmaild

sudo useradd -g nofiles -d /var/qmail -s /nonexistent qmaill

sudo useradd -g nofiles -d /var/qmail -s /nonexistent qmailp

# Crear los usuarios asociados al grupo qmail

sudo useradd -g qmail -d /var/qmail -s /nonexistent qmailq

sudo useradd -g qmail -d /var/qmail -s /nonexistent qmailr

sudo useradd -g qmail -d /var/qmail -s /nonexistent qmails

2.2. Descargar y parchear el código fuente (netqmail):

Requerido para compatibilidad con compiladores de 64 bits.

El código fuente original de QMail (v1.03) fue escrito en los años 90. En distribuciones Linux modernas de 64 bits (gcc moderno y glibc), la compilación directa fallará si no se aplican parches de compatibilidad (usualmente provistos por el paquete consolidado netqmail).

Bash

cd /usr/local/src

# Descargar el paquete consolidado netqmail

sudo wget https://qmail.org/netqmail-1.06.tar.gz

sudo tar -xzvf netqmail-1.06.tar.gz

cd netqmail-1.06

(En sistemas modernos de 64 bits con gcc estricto, es posible que necesites corregir el tipo de retorno en error.h agregando #include antes de compilar).

3.3. Compilar e instalar binarios:

Despliegue de la estructura en /var/qmail.

Ejecuta la compilación y la instalación de la estructura del sistema en /var/qmail:

Bash

sudo make setup check

Si el comando finaliza sin errores, el compilador habrá generado el árbol completo de directorios en /var/qmail con los permisos exactos asignados a cada usuario de sistema (qmailq, qmailr, etc.).

4.4. Configurar los archivos de dominio en /var/qmail/control:

Archivos críticos dentro de /var/qmail/control.

Toda la lógica de QMail reside en archivos de texto dentro de /var/qmail/control/. Puedes generar la configuración base automáticamente usando el hostname del sistema, o crear los archivos manualmente:

Bash

# Para intentar auto-configurar basándose en el FQDN del sistema:

sudo ./config-fast mail.tudominio.com

Esto poblará los siguientes archivos esenciales dentro de /var/qmail/control/:

Archivo	Función	Ejemplo de contenido
me	Nombre completo del servidor (FQDN).	mail.tudominio.com
defaultdomain	Dominio por defecto para direcciones locales incompletas.	tudominio.com
plusdomain	Dominio adjunto a nombres con signo más.	tudominio.com
locals	Dominios para los que QMail entregará localmente los correos.	localhost tudominio.com mail.tudominio.com
rcpthosts	Dominios que QMail aceptará recibir (evita ser Open Relay).	localhost tudominio.com

5. Configurar el formato Maildir y alias del sistema

Reemplaza el formato mbox tradicional

QMail es el creador del formato Maildir (un archivo individual por correo), que es mucho más seguro y eficiente que el archivo monolítico mbox.

Definir Maildir como el método de entrega por defecto:

Bash

sudo echo './Maildir/' > /var/qmail/control/defaultdelivery

Crear Maildir en la plantilla de usuarios (/etc/skel):

Bash

sudo maildirmake /etc/skel/Maildir

Crear los alias de correo obligatorios para el sistema:

QMail exige definir quién recibirá los correos dirigidos a root, postmaster y mailer-daemon.

Bash

cd /var/qmail/alias

sudo touch .qmail-postmaster .qmail-mailer-daemon .qmail-root

# Reenvía todos los avisos de root a un usuario real (ejemplo: admin)

sudo echo "&admin" > .qmail-root

sudo echo "&admin" > .qmail-postmaster

sudo chmod 644 .qmail-*

6

6. Iniciar los servicios de QMail

Supervisión con daemontools o scripts de inicio

QMail tradicionalmente utiliza daemontools y tcpserver (ucspi-tcp) para la gestión de procesos y el daemon SMTP en el puerto 25.

Para una prueba rápida directa del motor de colas, puedes invocar el script de arranque base:

Bash

# Iniciar la cola de procesamiento de correo de QMail con formato Maildir

sudo /var/qmail/rc

Para exponer el servicio SMTP en el puerto 25 escuchando peticiones entrantes, se invoca tcpserver asignado a qmail-smtpd:

Bash

sudo tcpserver -v -c 100 -u $(id -u qmaild) -g $(id -g nofiles) 0 25 \

/var/qmail/bin/qmail-smtpd 2>&1 | logger -t qmail-smtpd &

Verificación del Funcionamiento

1. Inyectar un correo de prueba vía terminal

Puedes probar el pipeline local de QMail enviando un correo mediante qmail-inject:

Bash

/var/qmail/bin/qmail-inject usuario@tudominio.com << EOF

Subject: Prueba de QMail

From: admin@tudominio.com

Mensaje de prueba enviado a traves de la infraestructura de QMail.

EOF

2. Inspeccionar la cola de mensajes

QMail incluye el binario qmail-qstat para revisar la salud de la cola de correo saliente y entrante:

Bash

sudo /var/qmail/bin/qmail-qstat

# Ejemplo de salida:

# messages in queue: 0

# messages in queue but not yet preprocessed: 0

Archivos y Directorios Clave

Plaintext

/var/qmail/
├── alias/ # Aliases del sistema (.qmail-root, .qmail-postmaster)
├── bin/ # Ejecutables principales (qmail-inject, qmail-send, qmail-smtpd)
├── control/ # Configuración de dominios y políticas (rcpthosts, me, locals)
└── queue/ # Directorio de la cola de correo (privilegios estrictos de qmailq)

¿Quieres integrar QMail con daemontools para gestionar el servicio como un demonio moderno de systemd?


¿Quieres integrar QMail con daemontools para gestionar el servicio como un demonio moderno de systemd?

Cómo resolver problemas de RoundCube en linux

 Le preguntamos a Gemini, la inteligencia artificial de Google, cómo resolver problemas de RoundCube  en linux

Explicanos detalladamente cómo resolver problemas de RoundCube  en linux

Para resolver problemas en Roundcube, el primer paso es entender que Roundcube es una aplicación cliente: casi todos sus errores no se originan en el propio software, sino en fallos de comunicación con la base de datos, bloqueos de certificados/puertos con IMAP (Dovecot) y SMTP (Postfix), permisos de sistema de archivos o límites de PHP.

1. El Centro de Diagnóstico (Logs y Modo Depuración)

Antes de cambiar configuraciones a ciegas, activa el rastreo de eventos para ver exactamente qué falla en la capa web o de red.

Archivos de Registro Principales

Error log de Roundcube: /var/www/roundcube/logs/errors.log (Muestra errores de aplicación, base de datos y fallos de autenticación).

Error log del servidor web: /var/log/nginx/error.log o /var/log/apache2/error.log (Útil para investigar páginas en blanco o errores HTTP 500).

Log del servicio de correo: /var/log/mail.log o journalctl -u dovecot -u postfix (Muestra cómo reaccionan Dovecot y Postfix cuando Roundcube intenta conectar).

Activar la Depuración Profunda de IMAP y SMTP

Si los mensajes de error en la pantalla son genéricos, puedes obligar a Roundcube a registrar cada comando SMTP/IMAP enviado en texto plano.

Edita /var/www/roundcube/config/config.inc.php:

PHP

// Habilita el nivel de log detallado

$config['debug_level'] = 1;



// Muestra el tráfico completo de entrada y salida IMAP

$config['imap_debug'] = true;



// Muestra el tráfico completo de entrada y salida SMTP

$config['smtp_debug'] = true;

Esto generará los archivos /var/www/roundcube/logs/imap.log y /var/www/roundcube/logs/smtp.log con la traza exacta del fallo. (Asegúrate de desactivarlo en producción una vez resuelto el problema, ya que puede llenar el disco rápidamente).

2. Diagnóstico y Solución por Categoría de Error

Error 1: "Connection to storage server failed" (Error de IMAP)

Causa: Roundcube no puede conectar con Dovecot (el servidor que lee los buzones).

Paso 1: Verificar que Dovecot esté escuchando.

Bash

sudo systemctl status dovecot

sudo ss -tlpn | grep -E '143|993'

Paso 2: Certificados SSL/TLS autofirmados o no coincidentes.

Si configuraste IMAP con cifrado SSL/TLS (tls://127.0.0.1 o ssl://localhost), PHP rechazará la conexión si el certificado SSL de Dovecot no es válido o es autofirmado.

Solución: Agrega la exención de verificación de certificados en config.inc.php:

PHP

$config['imap_conn_options'] = array(

        'ssl' => array(

             'verify_peer' => false,

             'verify_peer_name' => false,

            'allow_self_signed' => true,

      ),

);

Error 2: "SMTP Error (-1): Connection failed" / "Authentication failed"

Causa: El usuario puede leer correos pero no puede enviarlos.

Paso 1: Mismos credenciales para envío.

Asegúrate de que Roundcube use el usuario y contraseña de la sesión activa para identificarse ante Postfix:

PHP

// Usar las credenciales del usuario autenticado (%u y %p)

$config['smtp_user'] = '%u';

$config['smtp_pass'] = '%p';

Paso 2: Ignorar errores de certificado SSL en SMTP.

Al igual que con IMAP, si Postfix usa un certificado autofirmado en el puerto 587 o 465, añade:

PHP

$config['smtp_conn_options'] = array(

        'ssl' => array(

        'verify_peer' => false,

        'verify_peer_name' => false,

        'allow_self_signed' => true,

     ),

);

Error 3: "DATABASE ERROR: CONNECTION FAILED"

Causa: La cadena DSN en config.inc.php es incorrecta, MariaDB está caído o faltan permisos de usuario SQL.

Paso 1: Probar la conexión desde la línea de comandos.

Extrae las credenciales del archivo de configuración e intenta ingresar manualmente:

Bash

mysql -u roundcube -p'TuContraseña' -h localhost roundcubemail

Paso 2: Socket UNIX vs IP TCP.

En Linux, si la cadena DSN usa localhost, PHP intentará usar el socket de Unix (/var/run/mysqld/mysqld.sock). Si MariaDB está escuchando solo en TCP, cambiar localhost por 127.0.0.1 resuelve el problema:

PHP

// Cambiar 'localhost' por '127.0.0.1' fuerza conexión TCP

$config['db_dsn'] = 'mysql://roundcube:TuContraseña@127.0.0.1/roundcubemail';

Error 4: Pantalla en Blanco (HTTP 500 / White Screen of Death)

Causa: Casi siempre se debe a módulos de PHP faltantes o permisos de archivos incorrectos.

Paso 1: Verificar extensiones PHP requeridas.

Si falta php-xml o php-mbstring, Roundcube colapsa sin mostrar texto.

Bash

# Comprobar si los módulos requeridos están activos

php -m | grep -E 'xml|mbstring|intl|pdo_mysql'

Si alguno no aparece, instálalo (ejemplo en Ubuntu/Debian):

Bash

sudo apt install php-mbstring php-xml php-intl php-mysql -y

sudo systemctl restart php8.1-fpm # Ajusta a tu versión de PHP

Paso 2: Corregir permisos de carpetas temp/ y logs/.

Si el usuario del servidor web (www-data o nginx) no puede escribir en los directorios de trabajo, la página no cargará.

Bash

sudo chown -R www-data:www-data /var/www/roundcube

sudo chmod -R 775 /var/www/roundcube/temp /var/www/roundcube/logs

Error 5: "File too large" (Fallo al adjuntar archivos)

Causa: La restricción está en las directivas de PHP, no en Roundcube.

Para permitir adjuntos de hasta 25 MB, edita tu archivo php.ini (habitualmente en /etc/php/8.x/fpm/php.ini o /etc/php/8.x/apache2/php.ini):

Ini, TOML

upload_max_filesize = 25M

post_max_size = 30M

memory_limit = 256M

Reinicia el proceso de PHP y el servidor web para aplicar cambios:

Bash

sudo systemctl restart php8.1-fpm nginx

¿Quieres configurar el plugin de autenticación de dos factores (2FA) en Roundcube?

Cómo instalar y configurar RoundCube en linux

 Le preguntamos a Gemini, la inteligencia artificial de Google, cómo instalar y configurar RoundCube en linux

Explicanos detalladamente cómo instalar y configurar RoundCube en linux

Roundcube es el cliente de correo Webmail de código abierto más popular, ligero y moderno. A diferencia de suites complejas como Open-Xchange, Roundcube no administra cuentas ni almacena correos por sí mismo: actúa como una interfaz web ligera que habla directamente con tu servidor IMAP (Dovecot) para leer/organizar mensajes y con SMTP (Postfix) para enviarlos.

Para este despliegue, asumiremos un entorno Linux estándar (Ubuntu/Debian o RHEL/Rocky Linux) con Nginx/Apache, PHP (8.x) y MariaDB.

Requisitos Previos de PHP

Roundcube requiere varias extensiones de PHP instaladas para procesar caracteres, adjuntos, base de datos y cifrado:

Bash

# En Ubuntu / Debian

sudo apt update

sudo apt install php-fpm php-mysql php-xml php-mbstring php-intl php-zip php-gd php-curl php-imagick -y

# En RHEL / Rocky Linux / AlmaLinux

sudo dnf install php php-fpm php-mysqlnd php-xml php-mbstring php-intl php-zip php-gd php-json -y

1.1. Configurar MariaDB / MySQL:

Crear la base de datos y usuario dedicado.

Roundcube almacena allí la libreta de direcciones, identidades, preferencias de usuario y sesiones (no los correos electrónicos).

Accede a MariaDB como root:

Bash

sudo mariadb -u root -p

Ejecuta los siguientes comandos SQL:

SQLCREATE DATABASE roundcubemail CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci;

CREATE USER 'roundcube'@'localhost' IDENTIFIED BY 'TuClaveSegura123!';

GRANT ALL PRIVILEGES ON roundcubemail.* TO 'roundcube'@'localhost';

FLUSH PRIVILEGES;

EXIT;

2.2. Descargar e instalar Roundcube:

Descarga del paquete oficial Complete.

Descargamos la edición Complete (incluye dependencias de Composer precompiladas) desde el repositorio oficial.

Bash

cd /tmp

# Descargar la versión LTS actual

wget https://github.com/roundcube/roundcubemail/releases/download/1.6.10/roundcubemail-1.6.10-complete.tar.gz

# Extraer y mover a la ruta web estándar

tar -xzvf roundcubemail-*-complete.tar.gz

sudo mv roundcubemail-* /var/www/roundcube

3.3. Importar esquema SQL y permisos:

Asignación de permisos al servidor web.

Cargamos las tablas iniciales en MariaDB y ajustamos la propiedad del directorio al usuario del servidor web (www-data en Debian/Ubuntu, nginx o apache en RHEL).

Importar esquema de base de datos:

Bash

sudo mariadb -u roundcube -pTuClaveSegura123! roundcubemail < /var/www/roundcube/SQL/mysql.initial.sql

Ajustar permisos de archivos:

Bash

# En Debian/Ubuntu:

sudo chown -R www-data:www-data /var/www/roundcube

# En RHEL/Rocky (usando apache/nginx):

# sudo chown -R nginx:nginx /var/www/roundcube

sudo chmod -R 755 /var/www/roundcube

sudo chmod -R 777 /var/www/roundcube/temp /var/www/roundcube/logs

4.4. Configurar el archivo principal (config.inc.php):

Conexión IMAP, SMTP y llaves de cifrado.

Crea el archivo de configuración copiando la plantilla predeterminada:

Bash

sudo cp /var/www/roundcube/config/config.inc.php.sample /var/www/roundcube/config/config.inc.php

sudo nano /var/www/roundcube/config/config.inc.php

Edita o establece las siguientes variables esenciales:

PHP

5.5. Configurar el Servidor Web:

VirtualHost para Nginx o Apache.

Ejemplo para Nginx con PHP-FPM:

Crea el archivo /etc/nginx/sites-available/roundcube:

Nginx

server {

       listen 80;

       server_name webmail.tudominio.com;

       root /var/www/roundcube;

       index index.php index.html;



       # Ocultar archivos sensibles

        location ~ ^/(config|temp|logs|build|SQL|bin)/ {

                deny all;

        }



        location ~ \.php$ {

                include snippets/fastcgi-php.conf;

                fastcgi_pass unix:/var/run/php/php8.1-fpm.sock; # Ajusta a tu versión de PHP

         }



          location ~ /\. {

                 deny all;

          }

}

Activa el sitio y recarga Nginx:

Bash

sudo ln -s /etc/nginx/sites-available/roundcube /etc/nginx/sites-enabled/

sudo nginx -t

sudo systemctl reload nginx

6.6. Eliminar el instalador por seguridad:

Bloqueo de seguridad.

Si usaste el asistente web en navegador

([http://webmail.tudominio.com/installer]

(http://webmail.tudominio.com/installer)), o para evitar ataques de reinstalación, borra inmediatamente el directorio installer:

Bash

sudo rm -rf /var/www/roundcube/installer

Verificación y Solución de Errores Comunes

Error / Síntoma	Causa Frecuente	Solución
"DATABASE ERROR: CONNECTION FAILED"	Credenciales erróneas o MariaDB no escucha en socket local.	Verifica config['db_dsn'] en config.inc.php y prueba conectarte manualmente con mysql -u roundcube -p.
"Connection to storage server failed"	Roundcube no puede conectar a Dovecot (IMAP).	Verifica si Dovecot está corriendo (systemctl status dovecot) y escuchando en el puerto 143/993 (ss -tlpn | grep 143).
"SMTP Error (-1): Connection failed"	Postfix está bloqueado o rechaza la IP local.	Asegúrate de que 127.0.0.1 esté en mynetworks en /etc/postfix/main.cf o que el puerto 25/587 responda.
Archivos adjuntos fallan al subir	Límite de carga de PHP muy bajo.	Eleva upload_max_filesize y post_max_size en /etc/php/8.x/fpm/php.ini (ej. 25M).

¿Quieres integrar el plugin de cambio de contraseña ('password') para que los usuarios puedan cambiar su clave de Linux/Postfix desde Roundcube?