TPTito Pinardo Gutiérrez
← Volver al rack
English
1U · ROUTERRB5009 · RouterOS 7 · 3 segmentos En producción

Posición 1 de 25 en el rack · En producción

Unidad 1U · Red de casa

El router MikroTik

Auditado el 06-09-2026

Un MikroTik RB5009 sustituye al router de la operadora: el de fibra queda como simple puente. Separa la casa en segmentos, decide qué puede hablar con qué, abre la VPN para entrar desde fuera y solo deja pasar de internet lo que tiene destino.

Por qué
El router de la operadora no deja separar redes, ver qué entra ni montar una VPN propia. Con el MikroTik cada regla es mía y está documentada.
Cómo está
Fibra → equipo de la operadora en modo puente → MikroTik con PPPoE. Tres segmentos: servidores, cable de casa y WiFi con la tele. WireGuard en el propio router.
Lo aprendido
Cada regla del cortafuegos tiene detrás una avería: un certificado falso en toda la casa, un bloqueo a mí mismo y un WiFi que no conectaba.
  • 3segmentos de red, cada uno con su DHCP
  • 3 etapasantes de bloquear a quien insiste por SSH
  • 1 reglade NAT mal acotada rompió HTTPS en toda la casa
  • 0servicios propios en el equipo de la operadora y en el AP

El router por dentro

Todo lo que entra o sale de casa pasa por aquí. Elige un recorrido para ver qué regla decide cada paso.

Recorridos Pulsa uno y sigue el paquete.

Fuera de casa MikroTik RB5009 · y lo que cuelga de él RouterOS 7 WAN y entrada Segmentos (VLANs) Lo que hay detrás Protección y automatismos Internet Fibra (puente) Cloudflare Móvil fuera PPPoE NAT entrante Cortafuegos WireGuard Servidores Cable casa WiFi · TV DHCP AP WiFi Traefik DNS Plex Lista de bloqueo Hairpin NAT Script de IP Gestión
Hermesde visita en la unidad

Pulsa una pieza o elige un recorrido. Si vienes de una habilidad, ya están encendidas las piezas donde la uso.

      Alguien abre esta web
      1. Internet — Un visitante pide la web desde cualquier parte del mundo.
      2. Cloudflare — Llega primero a Cloudflare, que la tiene en caché o la pide a casa.
      3. Equipo de fibra en modo puente — La petición entra por la fibra. El equipo de la operadora solo hace de puente.
      4. Conexión PPPoE — El MikroTik la recibe por la conexión PPPoE, con la IP pública de casa.
      5. Redirecciones (NAT) — Una regla de NAT la reenvía a Traefik. Solo para lo que entra por la WAN: esa condición me la enseñó una avería.
      6. Cortafuegos — El cortafuegos la deja pasar porque es una conexión con destino conocido.
      7. Segmento de servidores — Entra al segmento de servidores.
      8. Traefik — Traefik la recibe y la manda al contenedor de la web.
      Entro desde fuera con la VPN
      1. Mi móvil, fuera de casa — Estoy fuera de casa, con datos móviles.
      2. Internet — El móvil abre el túnel WireGuard hacia la IP pública de casa.
      3. Equipo de fibra en modo puente — Entra por la fibra.
      4. Conexión PPPoE — El MikroTik recibe el paquete cifrado.
      5. VPN WireGuard — WireGuard comprueba la clave del móvil y abre el túnel. Si la clave no cuadra, ni siquiera responde.
      6. Cortafuegos — El cortafuegos trata la VPN como el segmento de administración.
      7. Segmento de servidores — Desde ahí llego al servidor como si estuviera en casa.
      8. Gestión del router — Y a la gestión del router, que no acepta conexiones de ningún otro sitio.
      Un móvil se conecta al WiFi
      1. Punto de acceso WiFi — Un móvil se conecta al punto de acceso de casa.
      2. Segmento WiFi, TV y alarma — El AP lo mete en el segmento WiFi, que es el más aislado.
      3. DHCP por segmento — El DHCP del router le da una dirección de ese segmento y el DNS de casa.
      4. DNS de casa — Sus consultas DNS van al DNS de casa, que bloquea publicidad y rastreadores.
      5. Cortafuegos — El cortafuegos deja salir a internet.
      6. Conexión PPPoE — Sale por la conexión PPPoE con la IP pública.
      7. Equipo de fibra en modo puente — Y por la fibra.
      8. Internet — El móvil navega sin poder ver los servidores.
      Un dispositivo del WiFi intenta entrar
      1. Segmento WiFi, TV y alarma — La tele, en el segmento WiFi, pide la biblioteca de Plex.
      2. Cortafuegos — El cortafuegos tiene una excepción explícita para eso: adelante.
      3. Plex — Plex le sirve la película.
      4. Segmento WiFi, TV y alarma — Ahora un dispositivo del mismo segmento intenta entrar a otra cosa del servidor.
      5. Cortafuegos — El cortafuegos busca una excepción. No la hay.
      6. Segmento de servidores — El tráfico nunca llega al segmento de servidores.
      7. Cortafuegos — Se descarta en silencio, sin respuesta.
      8. Segmento WiFi, TV y alarma — El dispositivo solo ve lo que se le ha permitido ver.
      Alguien prueba contraseñas por SSH
      1. Internet — Un bot de internet intenta entrar por SSH, una y otra vez.
      2. Conexión PPPoE — Llega al router.
      3. Cortafuegos — El primer intento: el cortafuegos apunta su dirección en la primera lista, un minuto.
      4. Listas por etapas — Si vuelve dentro de ese minuto, pasa a la segunda lista.
      5. Cortafuegos — El tercer intento seguido…
      6. Listas por etapas — …lo deja en la lista de bloqueo durante un día.
      7. Cortafuegos — A partir de ahí, todo lo que mande se descarta sin mirarlo. Revisé el orden de las etapas en la auditoría: el primer paquete no debe saltar las tres de golpe.
      La operadora cambia la IP
      1. Conexión PPPoE — La conexión PPPoE se renegocia y llega una IP pública nueva.
      2. Script de IP dinámica — El script del router lo detecta en la lista de la WAN.
      3. Hairpin NAT — Actualiza las reglas de hairpin NAT que tenían la IP antigua escrita.
      4. Redirecciones (NAT) — Y las redirecciones vuelven a apuntar a la dirección correcta.
      5. Cloudflare — Fuera, el sincronizador del servidor actualiza Cloudflare para que los dominios sigan apuntando a casa.

      1. Internet

        Cualquiera, desde cualquier sitio.

      2. Equipo de fibra en modo puente

        El equipo de la operadora solo convierte la fibra en Ethernet. Sin WiFi, sin DHCP, sin UPnP ni WPS: ningún servicio propio.

      3. Cloudflare

        Delante de las webs públicas: oculta la IP de casa y filtra ataques antes de que lleguen.

      4. Mi móvil, fuera de casa

        Con datos móviles y la VPN, entro a la red como si estuviera en casa.

      5. Conexión PPPoE

        El router se autentica con la operadora y recibe la IP pública, que cambia de vez en cuando.

        • MikroTik

      6. Redirecciones (NAT)

        Solo se reenvía lo que tiene destino: la web va a Traefik y poco más. Cada regla está acotada a lo que entra por la WAN.

        • MikroTik

      7. Cortafuegos

        Decide qué puede hablar con qué. Entre segmentos, por defecto, no: solo las excepciones documentadas.

        • MikroTik
        • Linux / SSH hardening

      8. VPN WireGuard

        Vive en el propio router: la saqué de un contenedor para no depender del servidor para entrar a arreglar el servidor.

        • WireGuard
        • MikroTik

      9. Segmento de servidores

        El servidor y mi PC de administración. Pueden iniciar conexiones hacia el resto; el resto no puede iniciarlas hacia aquí.

        • VLANs

      10. Segmento de cable

        Los equipos de casa conectados por cable. No pueden entrar al segmento de servidores.

        • VLANs

      11. Segmento WiFi, TV y alarma

        Móviles, la tele y la alarma. El más aislado: no ve ni servidores ni cable, salvo el DNS y Plex.

        • VLANs

      12. DHCP por segmento

        Cada segmento recibe direcciones de su propio rango, y todos apuntan al DNS de casa.

        • MikroTik

      13. Punto de acceso WiFi

        El antiguo router de la operadora, reconvertido: solo emite WiFi en el segmento que le toca. Sin DHCP, UPnP ni WPS.

        • VLANs

      14. Traefik

        La única puerta de las webs públicas. Tiene su propia unidad en el rack.

      15. DNS de casa

        Resuelve los nombres internos y bloquea publicidad. Es la excepción que todos los segmentos pueden alcanzar.

        • Technitium DNS

      16. Plex

        La otra excepción: la tele, desde el WiFi, puede ver la biblioteca.

      17. Listas por etapas

        Quien abre conexiones nuevas una y otra vez pasa a una primera lista, luego a una segunda y al final a la de bloqueo durante un día. Un intento suelto no castiga a nadie.

        • MikroTik
        • Linux / SSH hardening

      18. Hairpin NAT

        Para que, desde dentro de casa, la IP pública lleve al servicio interno igual que desde fuera.

        • MikroTik

      19. Script de IP dinámica

        Cuando la operadora cambia la IP pública, un script del router actualiza solo las reglas que dependen de ella.

        • MikroTik

      20. Gestión del router

        La administración solo se acepta desde el segmento de servidores y la VPN, con TLS 1.2 y criptografía fuerte en SSH.

        • MikroTik
        • Linux / SSH hardening

      Lo que uso de mi árbol

      Pulsa una habilidad: se encienden en el mapa las piezas donde la uso y te cuento para qué.

      MikroTik
      RouterOS 7: PPPoE, NAT, cortafuegos con listas por etapas, DHCP por segmento, scripts que reaccionan al cambio de IP y gestión restringida.
      VLANs
      Tres segmentos con una matriz de acceso explícita: servidores, cable de casa y WiFi con la tele, el más aislado.
      WireGuard
      La VPN para entrar desde fuera, en el propio router, con acceso equivalente al segmento de administración.
      Technitium DNS
      El DNS de casa es la excepción que todos los segmentos alcanzan; el DHCP de cada uno lo anuncia.
      Linux / SSH hardening
      Bloqueo por etapas contra fuerza bruta, gestión solo desde dentro o la VPN, TLS 1.2, criptografía fuerte en SSH y servicios sobrantes apagados.

      Bitácora de incidencias

      Averías reales. Lee el síntoma, elige la causa que creas y mira cómo se arregló.

      1. #1

        Certificados falsos en toda la casa

        Junio de 2026 · NAT

        Desde casa, webs como Spotify daban error de certificado «autofirmado» y Firefox no dejaba ni añadir una excepción. Desde fuera iban bien.

        ¿Qué crees que pasaba?

        Ver la solución
        Causa
        La regla que reenvía el 443 a Traefik no decía «solo lo que entra por la WAN». Interceptaba también tráfico de dentro, Traefik respondía con su certificado interno y las webs con HSTS no perdonan.
        Solución
        Añadir a la regla la condición de interfaz WAN y vaciar las conexiones abiertas para que se rehicieran con la regla nueva.
        Lección
        Toda regla de redirección lleva su interfaz de entrada. Una regla demasiado amplia funciona… hasta que rompe algo lejos de donde está.

      2. #2

        Me bloqueé a mí mismo

        14-08-2026 · cortafuegos

        Minutos después de añadir protección contra fuerza bruta al servidor de Minecraft, yo mismo no podía entrar a jugar.

        ¿Qué crees que pasaba?

        Ver la solución
        Causa
        El patrón por etapas que funciona con SSH no vale para un juego: el cliente abre varias conexiones nuevas al arrancar, así que pasaba las tres etapas en segundos y acababa en la lista de bloqueo un día entero.
        Solución
        Quitar mi dirección de la lista y retirar la regla para ese servicio. La protección por etapas se queda donde tiene sentido: el acceso de administración.
        Lección
        Una regla de seguridad se prueba con el tráfico legítimo, no solo con el ataque. Lo que sirve para un protocolo no sirve para otro.

      3. #3

        Un portátil que no conectaba al WiFi

        30-09-2026 · WiFi

        Un portátil nuevo no se conectaba al WiFi de casa, y la VPN fallaba desde la propia WiFi. El resto de dispositivos iban bien.

        ¿Qué crees que pasaba?

        Ver la solución
        Causa
        El punto de acceso estaba conectado al puerto del segmento de servidores, con una dirección que no le correspondía. Además, el equipo de la operadora tenía su propio WiFi encendido y competía con el de casa.
        Solución
        Recablear el AP a su puerto, comprobar en la tabla de VLANs del router que estaba en su segmento y apagar en el equipo de la operadora y en el AP el WiFi sobrante, el DHCP, UPnP y WPS.
        Lección
        Comprobar en vivo, no en la documentación: la IP real del AP no era la del plan. Y apagar todo lo que un equipo no necesita: UPnP abre puertos sin pedir permiso y WPS se puede romper a fuerza bruta.

      4. #4

        Mis webs no cargan los sábados

        10-10-2026 · fuera de mi red

        Un sábado por la tarde mis webs no cargaban desde fuera de casa. Con la VPN, sí. El servidor respondía perfectamente.

        ¿Qué crees que pasaba?

        Ver la solución
        Causa
        En día de partido, las operadoras españolas bloquean IPs de Cloudflare para cortar retransmisiones piratas. Mis webs comparten esas IPs. No era un fallo mío.
        Solución
        Comprobar el origen saltándose Cloudflare y mirar un servicio público que registra los bloqueos. Valoré quitar Cloudflare durante el partido o montar un proxy fuera; decidí no hacer nada: el bloqueo se levanta solo.
        Lección
        Antes de tocar nada, separar «mi sistema falla» de «algo entre el visitante y yo falla». Verificar el origen directamente lo aclara en un minuto.

      Contado entero en un artículo:

      Cómo se construyó

      1. Junio de 2026

        Fuera el router de la operadora

        • MikroTik RB5009 como router, con PPPoE propio; el equipo de la operadora, en puente.
        • WireGuard migrado de un contenedor al propio router: la VPN ya no depende del servidor.
        • Primera avería y primera lección: el NAT del HTTPS, acotado a la WAN.

      2. Agosto de 2026

        Segmentos y matriz de acceso

        • Plan inicial de seis VLANs simplificado a tres segmentos que de verdad hacían falta.
        • Matriz de qué puede iniciar conexiones hacia qué, confirmada en vivo contra el router.
        • Excepciones explícitas: el DNS para todos y Plex para la tele.

      3. Septiembre de 2026

        Auditoría y endurecimiento

        • Orden de las etapas de bloqueo revisado, TLS 1.2 en la gestión y criptografía fuerte en SSH.
        • Aviso de seguridad de RouterOS de septiembre: actualización a la versión corregida de la misma rama.
        • AP y equipo de fibra limpios: sin WiFi sobrante, DHCP, UPnP ni WPS.

      4. 18-10-2026

        Una DMZ para lo que da a internet

        • La puerta pública y el servidor de juegos, lo único que recibe conexiones de internet, pasan a su propio segmento.
        • Desde ahí solo llegan al DNS, a la monitorización y, la puerta, a los servicios que publica. A la red de casa, nada.
        • Cambiado en caliente, sin cortar, y después pasado al código.

      Decisiones (y por qué)

      • Dónde vive la VPN

        En el router, no en el servidor

        Si la VPN depende del servidor, cuando el servidor falla no puedo entrar a arreglarlo. En el router está disponible mientras haya internet.

      • Cuántos segmentos

        Tres, no seis

        El plan original tenía seis VLANs. Cada una es una matriz de reglas que mantener; tres cubren lo que importa: servidores aparte, la casa aparte y lo inalámbrico, lo más aislado.

      • Qué se abre a internet

        Solo lo que tiene destino, y acotado a la WAN

        Cada puerto abierto es superficie. La web entra por Traefik y Cloudflare; los paneles internos no se publican: se llega a ellos por la VPN.

      • Lo que recibe conexiones de internet

        En su propio segmento

        Si alguien consiguiera entrar por la puerta pública o por un servidor de juegos, lo siguiente sería moverse por la red. Aislados en una DMZ, solo ven lo que necesitan para funcionar.

      Lo que aprendí

      • Las reglas de red fallan lejos de donde están: una regla de NAT rompía HTTPS en el navegador.
      • Probar las reglas de seguridad con el tráfico legítimo, no solo con el ataque.
      • Comprobar el estado real del equipo antes de fiarse de la documentación.

      Lo siguiente

      • Probar el hairpin de la VPN desde la propia WiFi, que sigue sin funcionar.
      • Llevar la configuración del router a código y revisarla con diff, como el resto de la infraestructura.

      ¿Hablamos?

      Puedo contar cualquiera de estas decisiones en detalle en una entrevista.

      Descargar CV Contactar ← Volver al rack

      Reconstrucción a partir de mi documentación de red: sin direcciones, puertos, claves ni nombres de equipos.