Cómo configurar failover en Mikrotik con rutas recursivas

Por qué el failover tradicional falla en la práctica

Cuando configuramos dos conexiones de internet en un enrutador, el escenario ideal es que la red cambie automáticamente al enlace de respaldo si el principal se cae. Sin embargo, el método básico de monitorear solo el enrutador del proveedor suele fallar porque la línea telefónica o el cable de fibra hasta la central puede romperse mientras la luz del módem sigue verde. En la práctica, esto significa que tu enrutador cree que tiene internet solo porque está hablando con la cajita del proveedor, dejando toda la red local sin conexión. Para resolver este problema de inteligencia, necesitamos mirar más allá del primer salto y probar la conectividad real con internet.

El concepto de rutas recursivas en RouterOS

Las rutas recursivas funcionan como un detective que investiga si el destino final realmente responde, en lugar de confiar solo en el primer intermediario. En el sistema operativo de Mikrotik, RouterOS, le decimos al enrutador que para alcanzar una dirección IP pública en internet — como el DNS de Google 8.8.8.8 —, debe usar obligatoriamente la puerta de enlace (gateway) del proveedor principal. Si esa dirección remota deja de responder a las pruebas de ping, el enrutador entiende que el camino perdió validez y desactiva esa ruta automáticamente. Antes de aplicar reglas avanzadas de enrutamiento, vale la pena asegurar que tu infraestructura básica esté limpia, conceptos que también cubrimos al aprender cómo diagnosticar pérdida de paquetes y latencia con mtr para entender la salud real de tus enlaces.

Paso a paso para configurar el enlace principal con ping recursivo

Para ponernos manos a la obra, vamos a configurar el enlace principal de internet forzando la verificación recursiva a través de una dirección IP confiable en internet. Supongamos que tu enlace principal está en la interfaz ether1 y usa la puerta de enlace 192.168.1.1, mientras que el enlace de respaldo está en ether2 con la puerta de enlace 192.168.2.1. El primer paso es crear una ruta estática hacia una IP de prueba, como 8.8.8.8, apuntando al gateway principal, y luego crear la ruta por defecto usando esa misma IP de prueba como alcance de verificación. Para aislar problemas de direccionamiento y asegurar que tu red interna no mezcle tráfico indebido durante pruebas de banco, mantener la organización lógica es fundamental, un cuidado similar a cómo configurar VLAN en el puerto del switch y aislar la red para evitar fugas de paquetes.

Abre la terminal de tu Mikrotik o accede a WinBox y ejecuta los comandos a continuación para estructurar la ruta recursiva del enlace principal. Asegúrate de reemplazar las direcciones de gateway por las IPs reales proporcionadas por tus proveedores de internet:

/ip route add dst-address=8.8.8.8 gateway=192.168.1.1 scope=10
/ip route add dst-address=0.0.0.0/0 gateway=8.8.8.8 check-gateway=ping distance=1

Configurando el enlace de respaldo y la prioridad de retorno

Ahora necesitamos configurar la segunda ruta para el enlace de respaldo, el cual asumirá el tráfico en caso de que el enlace principal deje de responder a las pruebas de ping en la dirección 8.8.8.8. Como asignamos distance igual a 1 para la ruta principal, el enlace de respaldo debe recibir un valor de distance mayor, como 2, lo que lo convierte en una opción secundaria en la tabla de enrutamiento. En la práctica, esto significa que el enrutador siempre preferirá el camino más corto y rápido, recurriendo al respaldo solo cuando el principal falle por completo. Además, cuando la conexión principal se restablezca y vuelva a responder a los pings, el enrutador recupera la ruta primaria de forma automática y transparente para los usuarios de la red local.

Ingresa el comando a continuación para configurar el enlace secundario con una distancia mayor, garantizando que funcione estrictamente como redundancia:

/ip route add dst-address=0.0.0.0/0 gateway=192.168.2.1 distance=2

Probando y validando la alta disponibilidad

Después de aplicar las configuraciones, la prueba definitiva consiste en simular una caída real desconectando físicamente el cable de red del enlace principal del puerto ether1 del Mikrotik. Tan pronto se retira el cable, el enrutador envía paquetes de prueba al IP 8.8.8.8 a través de ese gateway, pero al no recibir respuesta, el parámetro check-gateway=ping marca la ruta como inalcanzable. En pocos segundos, la tabla de enrutamiento se actualiza y el tráfico pasa a ser enrutado por la puerta de enlace secundaria configurada en ether2. Esta transición ocurre sin intervención humana, asegurando que los sistemas críticos y usuarios sigan navegando sin percibir la interrupción en el origen. Para profundizar en estos conceptos arquitectónicos en producción, consulte también nuestro análisis técnico sobre Cómo probar un diodo Schottky en la placa con el multímetro.

Consideraciones finales sobre redundancia en enrutadores

Implementar rutas recursivas en Mikrotik transforma una infraestructura residencial o corporativa común en un entorno altamente resiliente contra fallas del operador. Aunque existen protocolos más complejos de balanceo de carga y múltiples pasarelas, el failover recursivo resuelve la gran mayoría de los escenarios de inactividad con bajo consumo de procesamiento del enrutador. Mantener un monitoreo activo y probar periódicamente la integridad física de los cables y conectores garantiza que tu red permanezca blindada contra sorpresas indeseadas en el día a día.