Proyecto ax³ (2/3) — Preparar el ax³ sin tocar la red

Proyecto ax³ (2/3) — Preparar el ax³ sin tocar la red
Serie completa: Índice · Parte 1 · Parte 2 · Parte 3

Introducción

En la Parte 1 vimos el objetivo, la comparativa entre el hAP ac² y el hAP ax³ y la arquitectura final del proyecto. En esta segunda parte entramos en materia: cómo preparar el hAP ax³ completamente aislado de la red de producción, sobre una red temporal 192.168.50.0/24, sin tocar en ningún momento el hAP ac² ni el MitraStar.

La idea es sencilla: durante toda esta fase, el ax³ no tiene salida a Internet y no conoce la red 192.168.88.0/24. Es un laboratorio cerrado, con un único portátil conectado por cable, donde se construye el router desde cero.

Fase 0 — Estado de seguridad

Antes de tocar nada del ax³, hay que garantizar que la red de producción queda intacta. Esto implica tres reglas que no se negocian.

• No tocar la red actual 192.168.88.0/24.
• El hAP ac² sigue funcionando exactamente como hasta ahora.
• El hAP ax³ se prepara aislado: no se conecta al hAP ac² ni al MitraStar.

hAP ac² ─── RED ACTUAL 192.168.88.0/24 ─── TODO NORMAL

hAP ax³ ─── portátil ─── SIN WAN

Precaución crítica: no conectar el ax³ al hAP ac² ni al MitraStar durante toda esta fase. Si ambos routers tienen la misma red (192.168.88.0/24) en el mismo segmento, se producirán conflictos de DHCP y de puerta de enlace difíciles de diagnosticar.

Ventana de trabajo: esta fase se puede hacer en cualquier momento, sin prisa y sin afectar a nadie. No hay ventana de mantenimiento porque nada de la red real se toca.

Fase 1 — Primer contacto con el hAP ax³

Sacamos el ax³ de la caja, lo conectamos a un portátil por cable y comprobamos su estado de fábrica. Nada más. Sin configuración, sin cambios.

Conexión física

1. Conectar la alimentación.
2. Conectar un cable Ethernet del portátil a un puerto LAN del ax³ (no al puerto WAN/Internet).
3. No conectar nada al puerto WAN del ax³.
4. Encender el equipo y esperar a que arranque.

Primer acceso

Comprobar la IP que ha recibido el portátil:

# Windows
ipconfig

# FreeBSD / Linux
ifconfig
route -n get default

Entrar por WinBox o WebFig:

WebFig:  http://192.168.88.1
WinBox:  Neighbors → seleccionar el ax³ → Connect

Acceso por MAC: si el ax³ no responde por IP, WinBox permite conectarse por dirección MAC desde la pestaña Neighbors, siempre que el portátil esté en el mismo segmento L2. Es la vía recomendada cuando se cambia la IP LAN y no queremos perder la sesión.

Revisión inicial

• Versión de RouterOS.
• Firmware del RouterBOARD.
• Interfaces detectadas.
• Configuración de fábrica (bridge, DHCP, Wi-Fi por defecto).
• Conectividad local (ping al gateway).
• Primer backup.

Hacer el primer backup desde WinBox:

Files → Backup → nombre: ax3-inicial.backup

Y descargarlo al portátil antes de continuar:

Files → seleccionar el .backup → Download

Fase 2 — RouterOS y firmware

En este proyecto, RouterOS ya estaba actualizado a 7.21.5, pero el firmware del RouterBOARD seguía en 7.20.8. Hay que igualarlos: RouterOS y firmware deben coincidir para evitar comportamientos extraños.

Actualizar RouterOS (si hiciera falta)

System → Packages → Check For Updates → Download & Install
System → Reboot

Actualizar firmware del RouterBOARD

System → RouterBOARD → Upgrade → Confirmar
System → Reboot

Tras el reinicio, volver a System → RouterBOARD y comprobar:

Current Firmware:  7.21.5
Upgrade Firmware:  7.21.5

No saltes este paso. Un desajuste entre RouterOS y firmware es una fuente silenciosa de bugs. Si ambos no coinciden, no continúes con la Fase 3.

Segundo backup

Después de actualizar, hacer un nuevo backup y descargarlo:

Files → Backup → nombre: ax3-post-upgrade.backup

Fase 3 — Red de laboratorio aislada

El ax³ sale de fábrica con 192.168.88.1/24, exactamente la misma red que la red de producción. Para evitar cualquier confusión, lo movemos temporalmente a 192.168.50.0/24.

LAN laboratorio:  192.168.50.0/24
hAP ax³:          192.168.50.1
PC:               192.168.50.254

Truco clave: antes de cambiar la IP, conectar WinBox por MAC. Así, aunque se pierda la conectividad IP al cambiar la dirección, la sesión no se cae.

MAC del ax³ en este equipo:

D0:EA:11:DF:9B:80

Cambiar la IP LAN del ax³

1. WinBox → IP → Addresses.
2. Buscar 192.168.88.1/24.
3. Editar.
4. Cambiar a 192.168.50.1/24.
5. Mantener la interfaz exactamente igual (probablemente bridge).
6. Apply → OK.

WinBox puede perder momentáneamente la conexión IP. No cerrar la ventana.

Configurar el portátil

En Windows 10, configurar manualmente:

IP:             192.168.50.254
Máscara:        255.255.255.0
Puerta enlace:  (vacía)
DNS:            (vacío)

Reconectar WinBox por MAC y comprobar que el router sigue accesible.

Corregir el DHCP heredado de fábrica

El ax³ trae de fábrica una red DHCP en 192.168.88.0/24 que ya no tiene sentido. Hay que moverla a la nueva red del laboratorio.

IP → DHCP Server → Networks:

Address:  192.168.50.0/24
Gateway:  192.168.50.1
DNS:      192.168.50.1

IP → Pool, editar default-dhcp:

192.168.50.10-192.168.50.254

Comprobar en IP → DHCP Server → DHCP que el servidor DHCP está asociado al bridge y activo.

Estado al terminar la Fase 3: el ax³ vive en 192.168.50.0/24, el portátil tiene IP fija 192.168.50.254, y WinBox se conecta por MAC. Todavía no hay Internet, no hay firewall, no hay Wi-Fi configurado.

Fase 4 — Configuración base del hAP ax³

Con el laboratorio en marcha, ya se puede construir el router pieza a pieza. Todo esto se hace sin WAN, sin Internet, sin conexión al MitraStar. Es preparación pura.

Elementos a configurar

• Contraseña del router (usuario admin o usuario nuevo).
• Bridge LAN y asignación de puertos.
• Servidor DHCP en 192.168.50.0/24.
• Wi-Fi 6 (SSID, contraseña, canales, bandas 2.4 / 5 GHz).
• Firewall básico (input, forward, NAT).
• Estructura de interfaces: ether1 como WAN, resto en bridge LAN.
• Listas de direcciones LAN y WAN para reglas de firewall.
• Reglas de seguridad iniciales.
• Backups periódicos.

Estructura recomendada de interfaces

ether1          → WAN  (sin bridge)
ether2..ether5  → LAN  (dentro del bridge)
wlan1 / wlan2   → LAN  (dentro del bridge)

No configurar todavía:

• PPPoE en ether1.
• VLAN 6 (el MitraStar en monopuesto entrega PPPoE sin etiquetar).
• WireGuard / ProtonVPN.
• Policy routing.
• DNS definitivo (Pi-Hole / Unbound).

Todo eso es Parte 3.

Firewall básico

Reglas mínimas que deben quedar activas antes de la Parte 3:

input:
  - accept established,related
  - accept ICMP desde LAN
  - accept WinBox desde LAN
  - drop all from WAN
  - drop all invalid

forward:
  - accept established,related
  - accept LAN → WAN
  - drop all invalid

nat:
  - masquerade out-interface=ether1

Antes de tocar el firewall, activar Safe Mode:

/system safe-mode

Si se pierde la sesión por una regla mal puesta, RouterOS revierte los cambios automáticamente al reiniciar.

Backup tras la configuración base

Files → Backup → nombre: ax3-base-192.168.50.backup

Descargarlo al portátil. Guardarlo junto al resto de backups de la serie.

Reversión: el ax³ se queda inaccesible

Durante la Parte 2, la red de producción no corre ningún riesgo: el ax³ está aislado. El único escenario de reversión posible es perder el acceso al ax³ mientras se configura.

Buena noticia: RouterOS es muy difícil de dejar inaccesible si se siguen dos reglas: WinBox por MAC siempre disponible, y Safe Mode activado antes de tocar firewall o interfaces.

Si se pierde la sesión

1. Conectar el portátil a un puerto LAN del ax³.
2. WinBox → pestaña Neighbors.
3. Conectar por MAC (D0:EA:11:DF:9B:80).
4. Si la sesión se perdió por un cambio en firewall, RouterOS habrá revertido automáticamente al reiniciar (Safe Mode).
5. Si no aparece por MAC, mantener pulsado el botón Reset durante el arranque para volver a configuración de fábrica y restaurar el último backup.

Restaurar un backup:

Files → seleccionar el .backup → Restore → Reboot

Y volver a aplicar la IP 192.168.50.1/24 si hiciera falta.

Qué viene en la Parte 3

Con el ax³ actualizado, en 192.168.50.1/24, con DHCP funcionando, Wi-Fi 6 configurado, firewall básico y backups en orden, la Parte 3 entra en el terreno delicado.

• Fase 5 — Internet O2 y monopuesto: PPPoE, datos de conexión y notas del MitraStar GPT-2541GNAC.
• Fase 6 — WireGuard con ProtonVPN, policy routing, kill switch y DNS con Pi-Hole + Unbound.
• Fase 7 — Corte final: apagar el ac², migrar a 192.168.88.0/24 y pruebas de producción.
• Bloque de reversión completo con los 5 casos, checklist y filosofía del proyecto.

Idea clave: al terminar la Parte 2, el ax³ está listo para entrar en producción, pero todavía no ha visto Internet. El único riesgo real empieza en la Parte 3, y es ahí donde el plan de reversión deja de ser teoría.

Serie: este artículo es la Parte 2 de Proyecto ax³. Viene de la Parte 1 — Qué cambia y por qué y continúa en la Parte 3 — Monopuesto, VPN y corte final.

Volver al índice de la serie

FreeBSD es genial!.