MikroTik RouterOS en instituciones: buenas prácticas de seguridad y configuración

Por PGVIRTUALCONSULTING · 3 min de lectura

MikroTik RouterOS es muy potente y flexible, y precisamente por eso es fácil dejarlo mal configurado. Estas son las prácticas que más recomendamos aplicar en la red de una institución pública o una empresa.

1. Asegura el acceso al equipo

• Crea un usuario administrador propio con una contraseña larga, y deshabilita o cambia el usuario que viene por defecto
• Desactiva los servicios que no uses, por ejemplo Telnet, FTP o el servicio API sin cifrar
• Permite la administración por Winbox, SSH o web solo desde la red interna de administración, nunca desde internet abierto
• Mantén RouterOS actualizado: las versiones nuevas corrigen fallas de seguridad

2. Construye el firewall con una lógica clara

Las reglas del firewall se evalúan en orden, así que el orden importa. Una estructura sana es:

• Permitir el tráfico de conexiones ya establecidas y relacionadas
• Descartar el tráfico inválido
• Permitir hacia el propio router solo lo necesario, como la administración desde la red interna
• Descartar el resto del tráfico entrante desde internet
• Comentar cada regla para que cualquier técnico entienda por qué existe

3. Separa la red con VLAN

Una red plana mezcla servidores, computadores, impresoras, cámaras y visitas. Con VLAN y reglas entre ellas puedes:

• Aislar el wifi de invitados del resto de la red
• Proteger los servidores de los equipos de los usuarios
• Limitar qué áreas pueden verse entre sí

4. Evita depender de un solo enlace

Si tienes dos proveedores de internet, RouterOS permite balancear el tráfico o dejar uno como respaldo, de modo que si uno cae el otro toma el servicio automáticamente. Comprueba el cambio desconectando un enlace en una ventana planificada; no lo des por hecho.

5. Conecta sedes y personal remoto de forma segura

• Usa VPN cifradas para unir sedes, con IPsec o WireGuard según la versión del equipo y el caso
• Da acceso remoto al personal solo a los recursos que necesita
• No expongas servicios internos directamente a internet

6. Respalda la configuración y documenta

• Exporta la configuración y guarda también una copia binaria fuera del equipo cada vez que haya un cambio importante
• Anota la versión de RouterOS, el esquema de direcciones y las VLAN
• Ten un equipo de repuesto o un plan claro de reemplazo

7. Monitorea la red

Activa el registro de eventos y alguna forma de monitoreo, por ejemplo SNMP o alertas de enlace caído, para enterarte de un problema antes de que lo reporten los usuarios.

Errores frecuentes

• Dejar la administración abierta a internet
• Reglas de firewall sin orden ni comentarios
• Una sola red para todo
• No tener copia de la configuración

Si quieres revisar cómo está configurada hoy la red de tu institución, podemos hacerlo con una auditoría remota sin costo.