BGP y OSPF en Keenetic: enrutamiento dinámico sin hardware corporativo

Cuando el enrutamiento estático no es suficiente

En la mayoría de redes domésticas y de pequeñas oficinas las rutas son sencillas: todo el tráfico sale por un único proveedor, y las raras excepciones se configuran con rutas estáticas. Pero cuando hay varios routers, aparecen canales de reserva y túneles entre sedes, las rutas escritas a mano empiezan a estorbar: hay que cambiarlas con cada modificación de la red y no se reconstrullen solas ante la caída de un canal.

Los protocolos de enrutamiento dinámico resuelven esto automáticamente: los routers intercambian información sobre las redes y reconfiguran las rutas por sí mismos cuando hay cambios.

BGP y OSPF: ¿en qué se diferencian?

BGP (Border Gateway Protocol) — protocolo de enrutamiento entre sistemas autónomos, sobre el que se sostiene la conectividad de Internet. En redes pequeñas se usa para el intercambio de rutas entre sedes a través de túneles VPN y para conectarse a dos proveedores con espacio de direcciones propio. BGP funciona sobre TCP (puerto 179), los vecinos se configuran explícitamente y las decisiones de enrutamiento se toman por políticas, no por la “velocidad” del enlace.

OSPF (Open Shortest Path First) — protocolo dentro de una misma red. Los routers descubren los vecinos, construyen un mapa común de la red y eligen la ruta más corta según el coste de las interfaces. Ante la caída de un enlace las rutas se reconfiguran sin intervención del administrador, por eso OSPF es útil para varios routers en una oficina o en sedes conectadas.

Cómo funciona en Keenetic

En la lista oficial de componentes de KeeneticOS 5.x no figuran los protocolos BGP ni OSPF. El enrutamiento dinámico en Keenetic se instala vía OPKG/Entware — un entorno que permite instalar paquetes de Linux en un dispositivo USB del router o, en modelos con KeeneticOS 3.7 y posteriores, en la memoria interna. El archivo del instalador de Entware se elige según la arquitectura del procesador del router: mipsel, mips o aarch64.

Cómo obtener BGP y OSPF en Keenetic: cuatro caminos

1. BIRD desde Entware — paquetes precompilados

En el repositorio de Entware para todas las arquitecturas de Keenetic hay BIRD 2 y BIRD 3 (a septiembre de 2026 — bird2 versión 2.18). Es un demonio de enrutamiento moderno con soporte para BGP y OSPF, que se instala con un solo comando:

opkg update
opkg install bird2 bird2c

El paquete coloca la configuración en /opt/etc/bird.conf y el script de arranque en /opt/etc/init.d/S70bird, y birdc es la consola para ver el estado. La configuración mínima para un vecino eBGP en un túnel se ve así:

router id 10.255.0.2;

protocol device { }

protocol direct {
    ipv4;
    interface "br0";          # segmento LAN: verifique el nombre con el comando ip -4 addr
}

protocol kernel {
    ipv4 {
        export where source = RTS_BGP;   # al kernel — solo rutas provenientes de BGP
    };
}

filter lan_out {
    if net ~ [ 192.168.10.0/24 ] then accept;
    reject;
}

filter from_upstream {
    if net ~ [ 10.0.0.0/8{8,24}, 172.16.0.0/12{12,24} ] then accept;
    reject;
}

protocol bgp upstream {
    local 10.255.0.2 as 65010;
    neighbor 10.255.0.1 as 65001;
    ipv4 {
        import filter from_upstream;
        export filter lan_out;
    };
}

Para la mayoría de tareas en Keenetic esta es la mejor opción: paquete precompilado, demonio ligero y sintaxis de filtros flexible. El inconveniente: la sintaxis de BIRD no se parece a la de Cisco, habrá que acostumbrarse.

2. Quagga desde Entware — paquetes precompilados, pero obsoletos

En el mismo repositorio está Quagga 1.2.4 con demonios separados zebra, bgpd, ospfd y la consola vtysh, cuya sintaxis se parece a la de Cisco y FRR:

opkg install quagga-zebra quagga-bgpd quagga-vtysh

La configuración está en /opt/etc/quagga/ (zebra.conf, bgpd.conf), el arranque en /opt/etc/init.d/S50quagga: el script inicia los demonios para los que exista un archivo de configuración. El proyecto Quagga ya no se desarrolla — los últimos cambios en su repositorio datan de febrero de 2018 — por eso para nuevas instalaciones es una opción de reserva.

3. FRR — solo compilación propia

No hay paquetes precompilados de FRR en el repositorio de Entware para ninguna arquitectura, y el comando opkg install frr no funcionará. Existe una receta de compilación de FRR 10.4.1 en las fuentes de Entware, pero se trasladó desde OpenWrt sin adaptar las rutas: /etc/frr y /usr/sbin, y el script de arranque en formato OpenWrt. En Keenetic todo lo externo vive en /opt, por lo que antes de compilar hay que adaptar la receta. Cómo hacerlo y qué tener en cuenta está en el artículo práctico BGP en Keenetic: cómo configurar el enrutamiento dinámico mediante Entware y FRR.

4. FRR en una máquina separada junto al router

La vía más fiable: ejecutar FRR en un pequeño servidor Linux, máquina virtual o mini-PC en la misma red, y dejar en el Keenetic la conexión a Internet, el NAT y una ruta estática hacia ese nodo. FRR ahí se instala desde los paquetes de la distribución, se actualiza normalmente y no depende de la memoria USB del router.

Consideraciones generales

• Rutas en el kernel. Un demonio externo escribe las rutas directamente en la tabla del kernel de Linux, y KeeneticOS gestiona el enrutamiento por su cuenta y no las conoce: no se ven en la interfaz web. La documentación de Keenetic no describe esta combinación, así que tras cada cambio compruebe ip route para asegurarse de que las rutas están presentes y el tráfico las sigue.
• Contraseña BGP (TCP MD5). La autenticación de la sesión por contraseña requiere soporte de TCP MD5 en el kernel del router. Si está presente en el kernel de su modelo no se puede saber de antemano — pruébelo en un banco de pruebas; dentro de un túnel protegido se puede prescindir de la contraseña.

Dónde tiene sentido

• Conexión de varias sedes mediante VPN. Las oficinas están unidas por túneles WireGuard o GRE, y BGP u OSPF comunican a los vecinos las nuevas subredes. Agrega una red en una oficina y las demás la conocerán sin rutas manuales.
• Varios routers dentro de la red. OSPF seleccionará automáticamente una ruta alternativa si uno de los enlaces entre routers desaparece.
• Banco de pruebas. Aprender BGP y OSPF junto con VyOS, MikroTik o equipos Cisco en un router económico.

Dónde es más sencillo prescindir de ellos

Para dos proveedores sin direcciones propias ni número de sistema autónomo BGP no es necesario. Keenetic puede mantener varias conexiones con prioridades y función Ping Check: ante la caída del canal principal el router cambia automáticamente al secundario. Cómo funciona la redundancia de salida a Internet y cuándo realmente se necesita BGP está en el artículo Redundancia de canales de comunicación: Parte 4 — Acceso a Internet: BGP, failover de DNS y CDN.

Si en la red se espera un enrutamiento serio, es más fiable trasladarlo a un servidor Linux separado o a una máquina virtual con FRR (camino 4), y dejar en el router la conexión a Internet y el NAT.

Limitaciones y seguridad

• Rendimiento. El demonio de enrutamiento corre en la CPU del router. Para intercambiar una decena de rutas internas es suficiente; para la tabla completa de Internet — no.
• No abra el TCP 179 a Internet. Las sesiones BGP se establecen dentro de túneles o en la red local, y el puerto en la interfaz externa debe cerrarse con un cortafuegos.
• Filtre las rutas. Acepte del vecino solo las redes esperadas y entregue solo las suyas — de lo contrario un error en una sede se propagará a todas.
• Guarde la configuración por separado. Las configuraciones de los paquetes Entware viven fuera de la configuración principal del router y no se restauran junto con ella.

Resumen

Keenetic no sustituye a un router corporativo, pero para una pequeña red distribuida o un laboratorio el enrutamiento dinámico mediante Entware es suficiente. Lo importante es entender que es un entorno adicional sobre el sistema del router: hay que configurarlo, actualizarlo y guardarlo por separado.