Cómo configurar VLANs en MikroTik paso a paso (RouterOS 7)

Separar la red en VLANs es una de las primeras cosas que se configuran en cualquier red profesional: aísla a los invitados de los equipos de la oficina, ordena el tráfico de cámaras o teléfonos IP y reduce el alcance de un incidente de seguridad. En esta guía vas a configurar VLANs en un router MikroTik con RouterOS 7 usando el método recomendado por el fabricante: bridge VLAN filtering.

Al terminar tendrás dos redes separadas (oficina e invitados), cada una con su propio rango de direcciones, servidor DHCP y una regla de firewall que impide que se vean entre sí.

Qué vamos a construir

Los puertos de acceso (ether2 y ether3) entregan una sola VLAN sin etiquetar, para conectar directamente una PC o una impresora. El puerto trunk (ether5) transporta las dos VLAN etiquetadas (802.1Q) hacia otro equipo que también entiende VLANs, como un switch administrable o un access point con varios SSID.

Antes de empezar

• Conéctate al router por un puerto que no vayas a tocar (en este ejemplo, ether1 o la consola) o activa el Safe Mode de Winbox o del terminal (Ctrl+X). Si pierdes el acceso, RouterOS revierte los cambios automáticamente.
• Haz un respaldo: /system backup save name=antes-de-vlans.
• Comprueba que los puertos que vas a usar no pertenezcan ya a otro bridge.

Paso 1: crear el bridge sin activar el filtrado

Todo el trabajo de VLAN se hace dentro de un único bridge. Lo creamos con vlan-filtering=no y solo lo activaremos al final, cuando todo esté configurado:

/interface bridge
add name=bridge1 vlan-filtering=no

Paso 2: añadir los puertos al bridge

El parámetro pvid indica a qué VLAN pertenece el tráfico sin etiqueta que entra por cada puerto de acceso. El puerto trunk se queda con el valor por defecto:

/interface bridge port
add bridge=bridge1 interface=ether2 pvid=10 frame-types=admit-only-untagged-and-priority-tagged
add bridge=bridge1 interface=ether3 pvid=20 frame-types=admit-only-untagged-and-priority-tagged
add bridge=bridge1 interface=ether5 frame-types=admit-only-vlan-tagged

Los frame-types no son obligatorios, pero endurecen la configuración: los puertos de acceso descartan tramas etiquetadas (evita que alguien salte de VLAN desde una PC) y el trunk solo acepta tramas etiquetadas.

Paso 3: definir la tabla de VLANs del bridge

Aquí se indica, para cada VLAN, qué puertos la llevan etiquetada y cuáles sin etiquetar. Fíjate en que el propio bridge1 va como tagged: es lo que permite que el router (la CPU) participe en esas VLANs para hacer de gateway y servidor DHCP.

/interface bridge vlan
add bridge=bridge1 vlan-ids=10 tagged=bridge1,ether5 untagged=ether2
add bridge=bridge1 vlan-ids=20 tagged=bridge1,ether5 untagged=ether3

Paso 4: crear las interfaces VLAN del router

Ahora el router necesita una interfaz lógica por VLAN para poder asignarles una dirección IP:

/interface vlan
add interface=bridge1 name=vlan10-oficina vlan-id=10
add interface=bridge1 name=vlan20-invitados vlan-id=20

/ip address
add address=192.168.10.1/24 interface=vlan10-oficina
add address=192.168.20.1/24 interface=vlan20-invitados

Paso 5: un servidor DHCP por VLAN

/ip pool
add name=pool-oficina ranges=192.168.10.100-192.168.10.200
add name=pool-invitados ranges=192.168.20.100-192.168.20.200

/ip dhcp-server
add name=dhcp-oficina interface=vlan10-oficina address-pool=pool-oficina
add name=dhcp-invitados interface=vlan20-invitados address-pool=pool-invitados

/ip dhcp-server network
add address=192.168.10.0/24 gateway=192.168.10.1 dns-server=192.168.10.1
add address=192.168.20.0/24 gateway=192.168.20.1 dns-server=192.168.20.1

Si el router resuelve DNS para los clientes, recuerda tener /ip dns set allow-remote-requests=yes y proteger el puerto 53 en el firewall de entrada para que no quede abierto hacia Internet.

Paso 6: activar el filtrado de VLANs

Con todo listo, activa el filtrado. A partir de este momento el bridge aplica la tabla de VLANs:

/interface bridge set bridge1 vlan-filtering=yes

Si estabas en Safe Mode y sigues teniendo acceso, sal de él para confirmar los cambios.

Paso 7: aislar la red de invitados

Por defecto el router enruta entre todas sus redes, así que un invitado podría llegar a los equipos de la oficina. Una regla en la cadena forward lo impide:

/ip firewall filter
add chain=forward in-interface=vlan20-invitados out-interface=vlan10-oficina action=drop comment="Invitados no acceden a la oficina"

Colócala por encima de cualquier regla que acepte tráfico en forward; en MikroTik las reglas se evalúan en orden. Para la salida a Internet necesitas además tu regla de NAT (masquerade) en la interfaz WAN, igual que con una red sin VLANs.

Cómo comprobar que funciona

• /interface bridge vlan print muestra, por VLAN, qué puertos van etiquetados y cuáles no. Las entradas marcadas como dinámicas (D) las añade RouterOS a partir del pvid.
• /ip dhcp-server lease print confirma que cada equipo recibe una dirección del rango correcto.
• Desde una PC en ether3, un ping 192.168.10.1 o a un equipo de la oficina debe fallar, mientras que la navegación a Internet funciona.

Errores frecuentes

• Olvidar el bridge en tagged: los clientes no reciben DHCP ni llegan al gateway, porque el tráfico de esa VLAN nunca alcanza a la CPU del router.
• Activar vlan-filtering al principio: si el puerto por el que administras el equipo no está bien definido, pierdes el acceso. Por eso se activa al final y con Safe Mode.
• Crear interfaces VLAN sobre el puerto físico (por ejemplo, sobre ether5) en lugar de sobre el bridge cuando ese puerto ya es miembro del bridge: el tráfico no llega como esperas.
• El switch del otro extremo no tiene las VLAN configuradas como trunk con los mismos IDs: el router está bien, pero los clientes conectados al switch no reciben dirección.

Preguntas frecuentes

¿Esta configuración sirve para RouterOS 6?

El bridge VLAN filtering existe desde RouterOS 6.41, así que los comandos son prácticamente los mismos. En equipos con chip de switch antiguo (por ejemplo, algunos RB750 o hEX de primera generación) puede ser preferible configurar las VLANs en el menú /interface ethernet switch para aprovechar la conmutación por hardware; revisa la documentación de tu modelo.

¿Afecta al rendimiento?

En los modelos cuyo chip de switch soporta VLAN filtering por hardware (por ejemplo, la serie CRS3xx), el tráfico entre puertos de la misma VLAN se conmuta sin pasar por la CPU. En otros equipos el filtrado se hace por software; para una oficina pequeña suele ser suficiente, pero conviene vigilar la carga de CPU.

¿Puedo tener una red de gestión separada?

Sí, y es recomendable: crea una VLAN de administración (por ejemplo, la 99), dale una IP al router en ella y limita el acceso a Winbox, SSH y la web solo desde esa red con /ip service o con reglas en la cadena input.

Sigue aprendiendo

Las VLANs son solo una parte de lo que necesitas dominar para administrar redes MikroTik con soltura: enrutamiento estático y dinámico, firewall, NAT, wireless, túneles VPN y QoS. Todo eso, con laboratorios prácticos y siguiendo el temario de la certificación, está en nuestro curso de MikroTik MTCNA de cero a experto. Si vienes de otro fabricante y quieres reforzar las bases de redes, el curso de Cisco CCNA desde cero explica VLANs, trunks y enrutamiento entre VLANs desde la teoría.