Proyecto ax³ — Índice de la serie

Proyecto ax³

Modelo: C53UiG+5HPaxD2HPaxD

Durante los próximos cuatro artículos documento la sustitución del router principal de casa —un MikroTik hAP ac²— por un MikroTik hAP ax³, aprovechando la ocasión para reorganizar por completo la red: eliminar el doble NAT, montar WireGuard con ProtonVPN, montar policy routing por dispositivo y dejar el DNS en manos de Pi-Hole y Unbound.

La serie está pensada como una guía reproducible. El hilo conductor es sencillo: nada se toca hasta que lo nuevo está probado. El hAP ac² sigue funcionando exactamente igual durante todo el proceso y solo se apaga cuando el ax³ ya está listo para entrar en producción.

Serie completa:

• Parte 1 — Qué cambia y por qué.
  Objetivo, comparativa hAP ac² vs hAP ax³, arquitectura final y distribución de servicios.
  Leer Parte 1 →
• Parte 2 — Preparar el ax³ sin tocar la red.
  RouterOS y firmware, red de laboratorio aislada 192.168.50.0/24, configuración base, firewall y backups.
  Leer Parte 2 →
• Parte 3 — Monopuesto, VPN y corte final.
  PPPoE de O2, MitraStar en monopuesto, WireGuard + ProtonVPN, policy routing, kill switch, DNS con Pi-Hole y Unbound, migración final y plan de reversión.
  Leer Parte 3 →
• Parte 4 — Doble túnel WireGuard: España y Marsella.
  Segundo túnel simultáneo, Address Lists para enrutamiento por dispositivo, reglas Mangle genéricas, ajuste de MSS y diagnóstico de problemas.
  Leer Parte 4 →

Arquitectura final

O2 / Internet
   │
Fibra óptica
   │
┌──────────────────────────────────┐
│ MitraStar GPT-2541GNAC           │
│ MONOPUESTO                       │
│ SIN NAT                          │
│ Teléfono ─── VoIP                │
└────────────┬─────────────────────┘
             │ Ethernet / PPPoE
             ▼
┌──────────────────────────────────┐
│ hAP ax³                          │
│ PPPoE + NAT + Firewall           │
│ WireGuard + ProtonVPN            │
│ Policy routing                   │
└────────────┬─────────────────────┘
             │
       192.168.88.0/24
             │
   ├── tormenta      192.168.88.160   FreeBSD 14.5 (Unbound, NFSv4, Kerberos, ZFS, Samba)
   ├── solaris       192.168.88.51    FreeBSD 14.5
   ├── raspberry     192.168.88.244   Raspberry Pi 3B + Pi-Hole
   └── demás dispositivos

Puntos clave del proyecto

• Sin doble NAT: el MitraStar pasa a monopuesto y el ax³ recibe la IP pública por PPPoE.
• Sin cortes: el hAP ac² sigue en producción hasta el corte final.
• DNS propio: clientes → Pi-Hole (raspberry.casa.lan) → Unbound (tormenta.casa.lan).
• VPN por dispositivo: policy routing con mark-connection + mark-routing y kill switch por blackhole.
• Reversión ensayada: vuelta al hAP ac² en menos de 10 minutos si algo falla.

Filosofía de la serie: el objetivo no es solo migrar, sino poder volver atrás si algo falla. Esa garantía es lo que convierte un cambio de router en un proyecto controlado y no en una tarde de emergencia.

Empezar a leer

• 👉 Proyecto ax³ (1/3) — Qué cambia y por qué
• 👉 Proyecto ax³ (2/3) — Preparar el ax³ sin tocar la red
• 👉 Proyecto ax³ (3/3) — Monopuesto, VPN y corte final
• 👉 Proyecto ax³ (4/4) — Doble túnel WireGuard: España y Marsella

Material complementario: Cheatsheet RouterOS — Proyecto ax³
Todos los comandos usados en la serie, agrupados por tema y listos para copiar.

FreeBSD es genial!.