MikroTik: ¿qué tipo de router es y por qué resulta conveniente para las pequeñas empresas?

Para una pequeña oficina normalmente se compra un router doméstico TP-Link, ASUS o Keenetic. Mientras en la empresa haya cinco personas y un canal de internet, eso es suficiente. Cuando aparecen un segundo proveedor, empleados remotos, Wi-Fi de invitados, telefonía IP y una sucursal, las capacidades de un dispositivo doméstico se quedan cortas. Entonces se considera comprar routers MikroTik: cuestan poco más que los domésticos y, por funciones, son comparables a equipos corporativos.

Qué es MikroTik y RouterOS

MikroTik es una empresa letona que fabrica routers, switches y equipos inalámbricos. El hardware se comercializa bajo la marca RouterBOARD, pero lo principal en los productos MikroTik es el sistema operativo RouterOS. Está construido sobre el kernel de Linux y es idéntico en todos los modelos: desde el hAP de sobremesa hasta el CCR montado en rack. Aprendiendo RouterOS en un dispositivo, podrás configurar cualquier otro.

La rama actual es RouterOS 7. A 16 de septiembre de 2026 la última versión estable es 7.24.4, la versión a largo plazo (long-term) es 7.23.7. La rama 6.x sólo recibe correcciones; los nuevos dispositivos se lanzan con RouterOS 7.

Qué puede hacer RouterOS:

• enrutamiento — estático y dinámico (OSPF, BGP, RIP), múltiples tablas de enrutamiento (VRF);
• cortafuegos — filtrado, NAT, listas de direcciones (address list), limitación del número de conexiones;
• gestión de tráfico (QoS) — colas, prioridad para telefonía y videollamadas, limitación de velocidad por usuario;
• VPN — WireGuard, IPsec/IKEv2, OpenVPN, L2TP, SSTP, EoIP, VXLAN;
• respaldo de canales — conmutación al segundo proveedor y balanceo de carga;
• Wi-Fi — punto de acceso, bridge, gestión centralizada de puntos (CAPsMAN);
• HotSpot — acceso de invitados con página de autenticación;
• contenedores — ejecución de pequeños servicios directamente en el router;
• scripts y planificador — automatización de tareas rutinarias.

Se puede administrar el router de tres formas: con el programa WinBox (para Windows, macOS y Linux), la interfaz web WebFig y la línea de comandos vía SSH. Las tres muestran las mismas opciones.

Licencias de RouterOS

La licencia de RouterOS está ligada al dispositivo y ya está incluida en su precio. El nivel de licencia determina limitaciones, no el conjunto de funciones:

Para una pequeña oficina basta el nivel 4: 200 conexiones VPN simultáneas — un margen para años.

Se licencia por separado CHR (Cloud Hosted Router) — RouterOS para máquina virtual. La versión gratuita está limitada a 1 Mbit/s por interfaz; las licencias permanentes P1, P10 y P-Unlimited eliminan la limitación hasta 1 Gbit/s, 10 Gbit/s y totalmente, respectivamente. CHR es conveniente para instalar en un VPS como punto central para VPN entre oficinas.

Familias de equipos

• hAP — routers de sobremesa con Wi-Fi integrado para pequeñas oficinas o el hogar; los modelos hAP ax² y hAP ax³ soportan Wi-Fi 6.
• RB (por ejemplo, RB5009) — routers de sobremesa y para rack potentes sin Wi-Fi, a los que se conectan puntos de acceso separados.
• CCR — routers montables en rack para cargas altas y operadores.
• CRS — switches gestionables; funcionan con RouterOS o con una versión simplificada SwitchOS.
• cAP, wAP — puntos de acceso para techo y exterior.

Por qué MikroTik es conveniente para pequeñas empresas

Una sola caja en lugar de varias. Un router MikroTik desempeña a la vez el papel de cortafuegos, servidor VPN, servidor DHCP y DNS, punto de acceso y controlador de la red de invitados. Para una oficina de 10–30 personas a menudo basta un hAP o un RB5009 y un par de puntos de acceso.

Funciones corporativas al precio de un router doméstico. Canal de respaldo, VPN entre oficinas, red separada para invitados y cámaras (VLAN), prioridad para telefonía — en routers domésticos esto o bien no existe o está implementado parcialmente.

Trabajo remoto. WireGuard en RouterOS 7 se configura con unas pocas líneas, funciona rápido y está soportado en Windows, macOS, Android e iOS:

/interface/wireguard add listen-port=13231 name=wg-office
/interface/wireguard/peers add interface=wg-office \
    public-key="<clave pública del empleado>" allowed-address=10.10.10.2/32

Gestión del tráfico. Para telefonía IP y videollamadas se puede asignar prioridad, y a la red de invitados se le puede limitar la velocidad para que no interfiera con el trabajo.

Escalabilidad. Cuando la empresa crece se cambia el router por uno más potente y se traslada la configuración: la lógica de la configuración es la misma en todos los modelos.

Para quién es MikroTik y para quién no

MikroTik conviene si:

• en la oficina hay más de un canal de internet o se necesita respaldo;
• los empleados se conectan a la red de la oficina desde casa;
• hay sucursales que deben unirse en una sola red;
• se necesita segmentar la red: empleados, invitados, cámaras, teléfonos;
• hay un especialista, interno o externo, que mantenga la red.

MikroTik no es la mejor elección si nadie en la empresa puede ocuparse de ello. RouterOS requiere comprensión de principios de redes, y un error en las reglas del cortafuegos puede dejar el router expuesto a ataques desde internet. Si se necesita una red gestionada principalmente por una interfaz visual, conviene mirar sistemas con gestión centralizada, por ejemplo UniFi.

Configuración mínima segura

Un router MikroTik nuevo llega con la configuración de fábrica: cortafuegos básico, NAT, servidor DHCP para la red local. En los modelos nuevos la contraseña del administrador es única y está impresa en una etiqueta; en los antiguos la cuenta admin no tiene contraseña. Inmediatamente después de conectar conviene ejecutar varios pasos recomendados por MikroTik.

1. Actualizar RouterOS y el bootloader.

/system package update check-for-updates
/system package update install

Tras el reinicio actualiza el bootloader: /system routerboard upgrade y otro reinicio más.

2. Crear tu propio administrador y desactivar el estándar.

/user add name=netadmin password="<contraseña larga>" group=full
/user disable admin

3. Desactivar servicios innecesarios y limitar el acceso a la administración. Telnet, FTP e interfaz web por HTTP normalmente no son necesarios en la oficina, y WinBox y SSH deben estar accesibles solo desde la red local:

/ip service disable telnet,ftp,www,api,api-ssl
/ip service set winbox address=192.168.88.0/24
/ip service set ssh address=192.168.88.0/24

4. Cerrar el acceso por MAC y la detección de vecinos por parte del proveedor. En la configuración de fábrica hay listas de interfaces LAN y WAN; deja estas funciones solo para LAN:

/tool mac-server set allowed-interface-list=LAN
/tool mac-server mac-winbox set allowed-interface-list=LAN
/ip neighbor discovery-settings set discover-interface-list=LAN
/tool bandwidth-server set enabled=no
/ip dns set allow-remote-requests=no

No ejecute el último comando si el router ofrece DNS a los clientes de la red local: en ese caso permita las peticiones, pero asegúrese de que el puerto 53 esté cerrado por el lado WAN mediante reglas del cortafuegos.

5. Guardar la configuración. La copia de seguridad tiene dos tipos:

/system backup save name=office-2026-09 password="<contraseña para el archivo>"
/export file=office-2026-09

La copia binaria (.backup) restaura el router por completo, pero solo en el mismo dispositivo. La exportación en texto (.rsc) es legible por humanos y sirve para trasladar configuraciones a otro modelo; en RouterOS 7 las contraseñas no se incluyen por defecto. Descarga ambos archivos desde el router y guárdalos por separado.

Para administración remota no abras WinBox a internet: conéctate al router a través de VPN.

Errores típicos

• Administración abierta desde internet. WinBox, la interfaz web o SSH accesibles desde el lado del proveedor — esta es la principal causa de compromisos de routers MikroTik. El acceso a la administración debe ser solo desde la red local o vía VPN.
• El router no se ha actualizado en años. Se descubren y corrigen vulnerabilidades en RouterOS regularmente, y las versiones antiguas son blanco fácil.
• Se eliminaron las reglas del cortafuegos de fábrica. Las reglas por defecto se borran en la primera configuración y no siempre se crean nuevas. Si empiezas con una configuración limpia, lo primero es configurar la cadena input.
• DNS o proxy abierto. El router responde a peticiones DNS o funciona como proxy para todo internet y se usa en ataques de terceros.
• No hay copia de seguridad. Tras una avería o una actualización fallida, la configuración toca reconstruirla de memoria.

Suministros a Rusia

Desde febrero de 2022 MikroTik suspendió el suministro de equipos y la venta de licencias en Rusia y Bielorrusia; las licencias expedidas anteriormente siguen vigentes. No hay soporte oficial del fabricante en Rusia, por lo que antes de comprar consulta con el vendedor las condiciones de garantía y reemplazo.

Qué leer a continuación

• Guía completa para configurar MikroTik para oficina y hogar
• Servidor OpenVPN en MikroTik RouterOS
• Reverse proxy nativo en RouterOS 7.22+
• Priorización de tráfico en MikroTik
• Port knocking en MikroTik

Si necesitas configurar MikroTik para las tareas de la oficina — canal de respaldo, VPN para empleados, red de invitados — mira el servicio de configuración MikroTik.