Cómo aislar tráfico IoT creando una VLAN en MikroTik

Por qué los dispositivos inteligentes representan un riesgo invisible

Bombillas inteligentes, asistentes de voz, cámaras de seguridad y cerraduras conectadas facilitan nuestro día a día, pero introducen una vulnerabilidad silenciosa en hogares y oficinas. En la práctica, gran parte de estos equipos ejecuta sistemas operativos antiguos, recibe pocas actualizaciones de seguridad del fabricante y se comunica constantemente con servidores externos en la nube. Si un atacante compromete una única bombilla Wi-Fi barata, obtiene un puente de acceso directo al resto de la red local, pudiendo explorar ordenadores, servidores multimedia y documentos personales.

Para blindar la infraestructura contra este tipo de brecha, la mejor estrategia de ingeniería es la segmentación de red. En lugar de dejar todos los dispositivos mezclados en el mismo espacio digital, creamos barreras virtuales que separan los ordenadores de trabajo y servidores de aquello que llamamos Internet de las Cosas (IoT). Así, incluso si un aparato inteligente es hackeado, el daño queda contenido dentro de una burbuja aislada, sin ruta de escape hacia el resto de tu infraestructura.

Qué es una VLAN y cómo protege tu red

Una VLAN, sigla en inglés para Virtual Local Area Network o red de área local virtual, funciona como una cerca invisible dentro de los cables de red y del router. En la práctica, toma un único router físico y lo divide en varios routers más pequeños e independientes mediante etiquetas numéricas llamadas tags. Cada paquete de datos recibe un sello digital que indica a qué red pertenece, impidiendo que los ordenadores de la red principal intercambien paquetes directamente con bombillas o asistentes virtuales.

Para comprender mejor el funcionamiento físico y lógico de esta separación, recuerda que la seguridad de la red comienza en la capa de acceso, conceptos que profundizamos al configurar VLAN en el puerto del switch y aislar la red de forma integrada. Con MikroTik, podemos centralizar esta inteligencia, permitiendo que la misma caja gestione el tráfico familiar, de cámaras y de invitados sin mezclar datos sensibles con el tráfico de electrodomésticos conectados.

Planificando el rango IP y la interfaz virtual en MikroTik

El primer paso práctico para aislar los dispositivos inteligentes es definir un rango de direcciones IP totalmente nuevo y exclusivo para ellos. Si tu red principal usa la dirección predeterminada 192.168.88.0/24, podemos determinar que la nueva red IoT utilice 10.0.20.0/24, por ejemplo. A continuación, creamos la interfaz virtual VLAN en MikroTik y la vinculamos al bridge principal donde opera el switch integrado, asegurando que el router sepa exactamente cómo manejar los paquetes etiquetados.

Para ejecutar esta etapa inicial de configuración lógica a través de la interfaz de comandos de tu router MikroTik, utiliza los siguientes comandos:

/interface vlan add name=vlan-iot vlan-id=20 interface=bridge1
/ip address add address=10.0.20.1/24 interface=vlan-iot comment='Gateway IoT'

Estos comandos crean una nueva identidad virtual llamada vlan-iot con la etiqueta número 20, asociándola al bridge principal del router y estableciendo la dirección IP 10.0.20.1 como el portal de comunicación predeterminado para todos los dispositivos inteligentes que se conecten a esta red segmentada.

Configurando el servidor DHCP para los aparatos inteligentes

Con la interfaz virtual creada y la dirección IP del router definida, el siguiente paso esencial es configurar un servidor DHCP (Dynamic Host Configuration Protocol), que es el servicio responsable de distribuir automáticamente direcciones IP, máscaras de red y servidores DNS a los aparatos en cuanto se conectan al Wi-Fi o al cable de la nueva red.

Para poner en marcha el servidor DHCP en la VLAN recién creada, ejecuta los siguientes comandos en la terminal de tu MikroTik:

/ip pool add name=pool-iot ranges=10.0.20.10-10.0.20.250
/ip dhcp-server add name=dhcp-iot interface=vlan-iot address-pool=pool-iot disabled=no
/ip dhcp-server network add address=10.0.20.0/24 gateway=10.0.20.1 dns-server=1.1.1.1,8.8.8.8

De esta forma, cualquier bombilla, enchufe inteligente o asistente de voz que se conecte al SSID aislado recibirá una dirección IP dentro del rango reservado y navegará usando servidores DNS confiables de internet, sin depender de los servidores locales de tu red corporativa o residencial principal.

Creando reglas estrictas de firewall para bloquear accesos cruzados

La creación de la VLAN aísla la capa de enlace, pero por defecto los routers suelen permitir el tráfico entre diferentes subredes a través del enrutamiento IP nativo. En la práctica, esto significa que, si no hacemos nada, un ordenador en la red principal aún podrá hablar con la cámara IoT y viceversa. Para garantizar la seguridad real, necesitamos crear reglas explícitas en el firewall de MikroTik que bloqueen la comunicación no deseada, permitiendo solo lo estrictamente necesario.

Para proteger tu red contra accesos indebidos originados o dirigidos a la VLAN IoT, aplica las siguientes reglas en tu router:

/ip firewall filter add chain=forward action=drop src-address=10.0.20.0/24 dst-address=192.168.88.0/24 comment='Bloquea IoT accediendo a red principal'
/ip firewall filter add chain=forward action=accept connection-state=established,related comment='Permite retorno de conexiones iniciadas'
/ip firewall filter add chain=forward action=accept src-address=10.0.20.0/24 out-interface-list=WAN comment='Permite IoT acceder a internet'

Con esta configuración, la primera regla corta cualquier intento de los dispositivos inteligentes por alcanzar la red principal, la segunda regla mantiene la estabilidad permitiendo que las respuestas de conexiones legítimas regresen, y la tercera regla asegura que las bombillas y cámaras sigan funcionando en internet para actualizaciones y comandos remotos. Para complementar esta implementación en entornos de producción, consulte también nuestros análisis técnicos sobre Cómo probar el botón de encendido del portátil en el banco y ¿Base de datos lenta? Cómo buscar queries con pg_stat_statements.

Consideraciones finales sobre seguridad en redes segmentadas

Aislar el tráfico de dispositivos IoT utilizando una VLAN en MikroTik transforma por completo el nivel de seguridad de tu infraestructura, protegiendo ordenadores y datos confidenciales contra fallos en hardware de terceros. La implementación requiere planificación al elegir los rangos IP y atención rigurosa al construir las reglas de firewall para garantizar que la comodidad de los aparatos inteligentes no comprometa la integridad de tu red corporativa o doméstica.

Mantener una postura activa de monitoreo y segmentación reduce drásticamente la superficie de ataque contra intrusiones externas e infecciones de malware. Al aplicar estos conceptos de aislamiento y control de tráfico, aseguras un entorno tecnológico mucho más resiliente, estable y preparado para absorber el crecimiento continuo de nuevos dispositivos conectados en el día a día.