Keenetic: Parte 1 — Router con KeeneticOS modular

Qué es Keenetic

Keenetic — una línea de routers, puntos de acceso y repetidores Wi-Fi con su propio sistema operativo KeeneticOS. Lo principal en estos dispositivos no son las características del hardware, sino el sistema: se compone de componentes individuales, y el mismo firmware cubre tareas desde el Wi-Fi doméstico hasta la conmutación de canales de internet y VPN entre oficinas. A septiembre de 2026, en el canal principal de actualizaciones está KeeneticOS 5.1.

Desde 2025 en Rusia los routers de esta plataforma se fabrican bajo la marca Netcraze (OOO “Netcraze”, anteriormente OOO “Kinetic”), modelos NC-xxxx; el firmware es el mismo — NDMS, por lo que todo lo descrito se aplica también a ellos.

KeeneticOS modular

El conjunto de componentes instalados define qué sabe hacer el router. No se instala lo innecesario —esto ahorra memoria y reduce el número de servicios en ejecución. La única limitación es la capacidad de memoria del modelo concreto.

Cómo funciona en la práctica:

• Los componentes se eligen en la interfaz web en la página de ajustes generales del sistema («Parámetros de componentes»). Para cambiar el conjunto, el router debe estar conectado a internet.
• Cualquier cambio en el conjunto recompila el sistema. Incluso al añadir un solo componente, KeeneticOS se actualiza a la última versión del canal seleccionado —esto hay que tenerlo en cuenta antes de hacer cambios durante la jornada laboral.
• Hay cuatro canales de actualización. El canal principal es el recomendado para todos: las grandes versiones salen aproximadamente cada dos meses, las intermedias cada dos o tres semanas. El canal previo se actualiza dos veces al mes y es adecuado para quienes quieren recibir funciones nuevas antes.
• OPKG y Entware — para lo que no está entre los componentes. El gestor de paquetes instala programas desde el repositorio Entware en un dispositivo USB, y desde KeeneticOS 3.7 en algunos modelos —también en la memoria integrada del router.

Qué hace Keenetic sin añadir nada

Varios proveedores simultáneamente. El router mantiene varias conexiones (Multi-WAN) y las usa por prioridad. La función Ping Check verifica la accesibilidad de internet consultando un nodo especificado y, ante la caída del canal principal, cambia el tráfico al de respaldo. Para módems USB esa misma función reinicia el módem si se queda colgado.

Políticas de conexión. Es el enrutamiento por reglas: se pueden crear hasta 16 políticas y asignar a cada una dispositivos o segmentos de red separados. Por ejemplo, el televisor va por VPN y el resto de dispositivos —directamente por el proveedor. Más en la tercera parte de la serie.

Agregación de canales. Desde KeeneticOS 3.9 existe el modo Multipath: las conexiones incluidas en una política transmiten tráfico simultáneamente. Esto acelera descargas multihilo, pero puede romper sitios que no aceptan una sesión desde direcciones distintas, incluidos los bancos en línea.

Wi-Fi en malla. Varios dispositivos Keenetic se unen en un sistema Wi-Fi con un único controlador —el router principal. Los repetidores se conectan por cable (modo punto de acceso) o por aire (modo repetidor), y los clientes cambian entre ellos con soporte de roaming 802.11k/r/v. La conexión inalámbrica de repetidores está disponible en modelos dual-band con KeeneticOS 3.1; los modelos de la serie Buddy funcionan solo como repetidores.

VPN. El router puede ser servidor y cliente: PPTP, SSTP, OpenConnect, L2TP/IPsec, WireGuard, IPsec, IKEv2 y OpenVPN, y para conectar redes entre routers —túneles GRE, IPIP y EoIP. Los servidores se tratan en la segunda parte de la serie, los clientes en la tercera.

Acceso remoto por nombre. El servicio KeenDNS proporciona al router un nombre de dominio con certificado y abre el acceso a la interfaz web y a los dispositivos de la red doméstica. Si el router no tiene dirección pública, parte de las funciones funciona a través de la nube de Keenetic.

USB y servicios. Almacenamiento en red con acceso por SMB, FTP, SFTP y WebDAV, cliente BitTorrent, servidor de impresión, módem móvil como canal principal o de respaldo.

Seguridad DNS. Cifrado de consultas mediante DNS-over-TLS y DNS-over-HTTPS, filtrado de contenido mediante NextDNS, SafeDNS, AdGuard DNS o Cloudflare.

VPN de malla en Keenetic

Entre los componentes estándar hay un cliente ZeroTier: el router se conecta a una red ZeroTier y abre el acceso a ella a toda la red local. Se configura desde la línea de comandos:

(config)> interface ZeroTier0
(config-if)> zerotier network-id 0123456789abcdef
(config-if)> zerotier accept-addresses
(config-if)> zerotier accept-routes
(config-if)> up
(config-if)> system configuration save

En KeeneticOS 5.1 actualizaron la implementación de ZeroTier: apareció soporte para servidores de gestión propios. Otros clientes de malla, por ejemplo Tailscale o NetBird, no están en la lista oficial de componentes. Sobre las propias redes en malla —en la serie «Mesh VPN», empezando por la primera parte.

Keenetic, MikroTik u OpenWrt

• Keenetic — cuando se necesita un router que se configura mediante una interfaz web clara, pero que hace más de lo habitual: varios proveedores, políticas, servidores VPN, Mesh.
• MikroTik — cuando se requiere ajuste fino de cada subsistema y esquemas corporativos típicos; la curva de aprendizaje es más alta. Sobre él —un artículo aparte, sobre la interacción entre ambas plataformas —análisis de problemas típicos.
• OpenWrt — cuando importa la libertad total y la disposición a encargarse uno mismo de la estabilidad de la compilación.

Errores típicos

• Instalar todos los componentes sin criterio. La memoria es limitada, y cada cambio de conjunto implica recompilación y actualización del sistema.
• Mantener un router de producción en el canal de desarrolladores. Para oficina —solo el canal principal.
• Activar Multipath para todos los dispositivos. El modo sirve para descargas, pero no para sitios que atan la sesión a una dirección.
• Olvidar el DNS en las políticas. En la política solo entran los servidores DNS de las conexiones incluidas en ella. Si por VPN va todo el tráfico del dispositivo, pero el DNS sigue siendo del proveedor, parte de las consultas saldrá fuera del túnel.