Cómo configurar VLANs en Mikrotik y aislar tu red

Por qué necesitas segmentar tu red con VLANs

Imagina que tu casa u oficina tiene computadoras de trabajo, cámaras de seguridad, impresoras y teléfonos de invitados conectados al mismo router Wi-Fi. En la práctica, esto significa que cualquier dispositivo comprometido puede acceder directamente al disco duro de tu computadora principal. Para resolver este problema de seguridad sin comprar cables y routers separados para cada dispositivo, usamos una tecnología llamada VLAN, que funciona como paredes virtuales dentro de la misma red física.

En términos sencillos, una VLAN (Virtual Local Area Network) toma un solo cable o switch y lo divide en varios caminos aislados mediante etiquetas numéricas en los paquetes de datos. Ningún dispositivo en una VLAN puede comunicarse directamente con otra VLAN sin pasar por una regla de enrutamiento o firewall. Para comprender más sobre la importancia de esta separación, puedes consultar la guía sobre cómo configurar VLANs en switches gestionables con seguridad, que detalla los principios de blindaje de puertos.

Dentro del ecosistema de Mikrotik, el sistema operativo llamado RouterOS gestiona estas divisiones con gran flexibilidad, aunque exige atención a los detalles de configuración. Cada entorno gana su propia identidad, permitiendo que la domótica, la red de invitados y el servidor de archivos permanezcan en mundos completamente separados. Es una estrategia indispensable tanto para pequeñas empresas que manejan datos confidenciales como para entusiastas que desean proteger su red doméstica contra intrusiones.

Entendiendo los conceptos de Access, Trunk y VLAN ID

Antes de abrir la pantalla de configuración de tu equipo Mikrotik, debemos aclarar tres términos fundamentales que aparecen todo el tiempo en la administración de redes. El primero es el VLAN ID, que es simplemente un número de identificación del 1 al 4094 marcado en cada paquete de datos para indicar a qué grupo pertenece. Si un paquete no tiene etiqueta, generalmente cae en la VLAN nativa o predeterminada del puerto.

El segundo concepto esencial es el puerto de acceso, conocido técnicamente como puerto Access. Se utiliza para conectar dispositivos estándar que no entienden de VLANs, como una impresora antigua, una smart TV o una computadora de escritorio. Cuando el paquete sale del puerto Access hacia la computadora, la etiqueta VLAN se elimina; cuando entra, la etiqueta se añade automáticamente por el switch o router.

El tercer término es el puerto troncal, o Trunk, responsable de transportar varias VLANs diferentes al mismo tiempo a través de un único cable de red. Es lo que usamos para conectar el router principal de Mikrotik a un switch inteligente o a un punto de acceso Wi-Fi corporativo. Para profundizar en el aislamiento de infraestructuras, vale la pena leer el artículo sobre cómo aislar redes locales con VLANs en switches y proteger datos.

Guía paso a paso para crear VLANs en Mikrotik RouterOS

Vamos ahora a ponernos manos a la obra configurando RouterOS a través de la interfaz gráfica WinBox o la línea de comandos. El proceso requiere atención para no perder el acceso al equipo durante los cambios de puertos físicos. Asegúrate de realizar los ajustes usando un puerto que no se modificará de inmediato o mediante una conexión de rescate.

El primer paso consiste en definir la interfaz física principal, generalmente llamada bridge, donde se anclarán todas las redes virtuales. Abre la terminal de tu Mikrotik o sigue la secuencia de menús para crear las interfaces virtuales asociadas al número de VLAN deseado, como se muestra en el ejemplo a continuación para crear la VLAN 20 destinada a invitados.

/interface vlan add name=vlan20-invitados vlan-id=20 interface=bridge1

Con la interfaz virtual creada, el segundo paso es asignar una dirección IP única para esta nueva red, que funcionará como portal de entrada y salida, conocido técnicamente como gateway. El siguiente comando establece la dirección IP 192.168.20.1 para nuestra nueva VLAN de invitados.

/ip address add address=192.168.20.1/24 interface=vlan20-invitados network=192.168.20.0

El tercer y último paso esencial para que los dispositivos obtengan acceso automático a internet es configurar el servicio de distribución de direcciones IP, llamado DHCP Server. Creamos un pool de IPs y vinculamos el servicio a la interfaz de la VLAN recién creada, permitiendo que cualquier visitante reciba una dirección válida tan pronto como se conecte al Wi-Fi dedicado.

/ip pool add name=pool-invitados ranges=192.168.20.10-192.168.20.250
/ip dhcp-server add name=dhcp-invitados interface=vlan20-invitados address-pool=pool-invitados disabled=no
/ip dhcp-server network add address=192.168.20.0/24 gateway=192.168.20.1

Configurando reglas de firewall para aislar el tráfico

Crear las VLANs y las direcciones IP separa los grupos lógicamente, pero por defecto el router Mikrotik permite que diferentes redes hablen entre sí para facilitar la comunicación inicial. Para garantizar un aislamiento real y evitar que la red de invitados acceda a las computadoras de la oficina, debemos crear reglas de bloqueo en el firewall de RouterOS.

Las reglas de filtrado deben insertarse en la tabla de reenvío (forward) del firewall, instruyendo al router a descartar cualquier paquete que intente ir desde el rango IP de invitados hasta el rango IP de la red corporativa principal. Es fundamental colocar estas reglas de bloqueo antes de las reglas que permiten el tráfico general, asegurando el orden correcto de lectura por parte del sistema.

Además de bloquear el acceso entre redes internas, recuerda habilitar el acceso exclusivo a internet para la VLAN restringida, permitiendo navegar por la web sin tocar los servidores locales. Para escenarios industriales o entornos que exigen protecciones adicionales para maquinaria y controladores lógicos programables, consulta las pautas en cómo aislar VLANs industriales y proteger PLCs contra ataques.

Consideraciones finales sobre mantenimiento y seguridad de redes

Implementar VLANs en equipos Mikrotik transforma por completo el nivel de madurez y seguridad de una red corporativa o residencial. Al dividir los entornos, reduces drásticamente la superficie de ataque y evitas que una falla en un dispositivo IoT o en una computadora de visitas comprometa toda la infraestructura de la organización.

Mantener la documentación de los VLAN IDs y rangos de IP actualizada es un hábito que ahorra horas de dolores de cabeza en futuros diagnósticos de fallas. Revisa periódicamente tus reglas de firewall y mantén RouterOS siempre actualizado con los parches de seguridad más recientes proporcionados por el fabricante, asegurando estabilidad y protección continua.