Cómo aislar VLANs en MikroTik para proteger servidores e IoT

Por qué separar dispositivos IoT y servidores en MikroTik?

Cuando colocamos cámaras de seguridad, bombillas inteligentes y servidores corporativos en la misma red local, abrimos una brecha de seguridad masiva. Los dispositivos de internet de las cosas (IoT) suelen tener actualizaciones de firmware escasas y vulnerabilidades fáciles de explotar por atacantes. Para blindar el entorno, necesitamos dividir esta infraestructura física en compartimentos aislados usando redes virtuales.

En la práctica, esto significa crear barreras lógicas para que un electrodoméstico conectado a internet nunca pueda ver o hablar directamente con la base de datos de la empresa. Antes de tocar el router, vale la pena recordar que el aislamiento también depende de una buena infraestructura física, como discutimos en nuestra guía sobre cómo configurar VLANs en switches para aislar IoT y servidores, asegurando que las etiquetas de red viajen intactas por los cables.

Creando interfaces virtuales y trunking en MikroTik

El primer paso práctico en el router MikroTik es crear VLANs (Virtual Local Area Networks), que actúan como divisores invisibles que transitan por el mismo puerto físico. Imagina una tubería de agua principal dividida internamente por conductos más pequeños para separar agua potable de agua de lluvia; el puerto del router hace exactamente esto con los datos.

Para configurar esto en RouterOS, debemos asociar las nuevas redes virtuales a la interfaz física principal que conecta el router con el switch central, generalmente ether1. A continuación se muestra el código ejecutable para crear la VLAN de IoT (ID 20) y la de servidores (ID 10) usando la interfaz de comandos:

/interface vlan add name=vlan10-servidores vlan-id=10 interface=ether1
/interface vlan add name=vlan20-iot vlan-id=20 interface=ether1

Asignando direcciones IP y configurando piscinas de red

Con las interfaces virtuales creadas, el siguiente paso es definir quién vive en cada casa, es decir, asignar las direcciones IP y máscaras de subred para cada VLAN. Cada rango de IP representará un vecindario diferente en nuestra ciudad digital, evitando que los residentes de un barrio accedan al patio del otro sin permiso expreso.

Para organizar esto limpiamente, creamos el pool de direcciones y vinculamos el servidor DHCP, que distribuye IPs automáticamente a los dispositivos que se conectan. Así es como se hace directamente en tu MikroTik mediante la terminal:

/ip address add address=192.168.10.1/24 interface=vlan10-servidores network=192.168.10.0
/ip address add address=192.168.20.1/24 interface=vlan20-iot network=192.168.20.0
/ip pool add name=pool-iot ranges=192.168.20.10-192.168.20.250
/ip dhcp-server add name=dhcp-iot interface=vlan20-iot address-pool=pool-iot disabled=no

Escribiendo reglas de firewall para bloquear tráfico cruzado

La magia de la seguridad ocurre en el firewall, que actúa como el portero en la entrada del club decidiendo quién entra y quién se queda fuera. Por defecto, MikroTik permite que todas las redes hablen entre sí justo después de crear las interfaces, lo que anula el aislamiento si no intervenimos rápidamente.

Necesitamos crear reglas en la tabla Filter Rules para prohibir que la VLAN de IoT envíe paquetes a la red de servidores. Para depurar posibles fallos de comunicación o monitorear paquetes descartados durante pruebas de seguridad, puedes usar técnicas similares a las tratadas en cómo monitorizar tráfico de red en puertos específicos con tcpdump. Aquí están los comandos para bloquear acceso no deseado: Para profundizar en estos conceptos arquitectónicos en producción, consulte también nuestro análisis técnico sobre Cómo probar cristal oscilador con osciloscopio en placa.

/ip firewall filter
add chain=forward action=drop src-address=192.168.20.0/24 dst-address=192.168.10.0/24 comment='Bloquea IoT accediendo Servidores'
add chain=forward action=accept connection-state=established,related comment='Permite respuestas establecidas'

Validando el aislamiento y asegurando la operación

Después de aplicar las reglas de firewall, el trabajo no termina en la línea de comandos; debes probar si la barrera realmente funciona en la práctica. Intenta ejecutar pings o escaneos de puertos desde un dispositivo en la red IoT hacia el servidor de producción para confirmar que el tráfico fue descartado.

Mantener un monitoreo activo y revisar periódicamente los registros del router garantiza que ninguna regla maliciosa sea vulnerada por futuras actualizaciones de firmware o cambios de topología. El aislamiento de VLAN ejecutado correctamente transforma una red vulnerable en un entorno corporativo resiliente y seguro.