Serie completa: Índice · Parte 1 · Parte 2 · Parte 3 · Parte 4
Referencia de comandos: Cheatsheet RouterOS — Proyecto ax³
Introducción
Este es el primero de una serie de tres artículos en los que documento la sustitución del router principal de casa —un MikroTik hAP ac²— por un MikroTik hAP ax³, aprovechando la ocasión para reorganizar por completo la red: separar servicios, eliminar el doble NAT, integrar VPN por WireGuard con ProtonVPN y dejar el DNS en manos de Pi-Hole y Unbound.
La serie está pensada como una guía reproducible, no como un simple “cambio de router”. El hilo conductor es sencillo: nada se toca hasta que lo nuevo está probado. El hAP ac² permanece funcionando exactamente igual durante todo el proceso y solo se desconecta cuando el ax³ ya está listo para entrar en producción.
Objetivo
- Sustituir el MikroTik hAP ac² por un hAP ax³.
- Mantener el hAP ac² funcionando exactamente como ahora durante todo el proceso.
- Preparar y probar el hAP ax³ aislado, inicialmente en
192.168.50.0/24. - Al final del proyecto:
- o2/MitraStar en monopuesto.
- El hAP ax³ establece PPPoE y recibe la IP pública.
- LAN final:
192.168.88.0/24. - Sin doble NAT.
- Redistribuir los servicios clave:
- Router, NAT, firewall, DHCP y policy routing en el hAP ax³.
- WireGuard + ProtonVPN en el hAP ax³.
- DNS con Pi-Hole en Raspberry Pi y Unbound en FreeBSD.
- NFSv4, Kerberos, ZFS y Samba en
tormenta.
192.168.50.0/24).
Solo se produce el corte cuando todo está probado y hay un plan de reversión ensayado.
Comparativa hAP ac² vs hAP ax³
Antes de justificar la migración, conviene ver qué cambia realmente entre los dos equipos. La diferencia no es solo Wi-Fi 6: hay un salto generacional claro en CPU, RAM, almacenamiento y en la licencia de RouterOS.
| Característica | MikroTik hAP ac² | MikroTik hAP ax³ |
|---|---|---|
| Estándar Wi-Fi | Wi-Fi 5 (802.11a/b/g/n/ac) | Wi-Fi 6 (802.11a/b/g/n/ac/ax) |
| Velocidad inalámbrica | AC1200 (300 + 867 Mbps) | AX1800 (574 + 1200 Mbps) |
| Antenas | Internas (2.5 dBi) | Externas alta ganancia (3.3 / 5.5 dBi) |
| CPU | IPQ-4018, 4 núcleos 716 MHz, 32-bit | IPQ-6010, 4 núcleos hasta 1.8 GHz, 64-bit |
| RAM | 128 MB | 1 GB |
| Almacenamiento | 16 MB Flash | 128 MB NAND |
| Ethernet | 5 × Gigabit | 4 × Gigabit + 1 × 2.5 Gigabit |
| USB | 1 × USB 2.0 tipo A | 1 × USB 3.0 tipo A |
| PoE-out | No | Sí, en Ether1, Passive PoE |
| Licencia RouterOS | Nivel 4 | Nivel 6 (completa) |
| Diseño | Compacto vertical / horizontal | Sobremesa con antenas externas |
Los puntos decisivos para este proyecto son tres: la CPU de 64 bits (necesaria para WireGuard y policy routing sin ahogos), la RAM de 1 GB (imprescindible si se manejan muchas reglas y listas) y la licencia RouterOS Nivel 6, que desbloquea funciones avanzadas que el ac² no tiene.
Arquitectura
Situación actual
Hoy todo depende del hAP ac², que hace de router, firewall, DHCP y punto de acceso.
Detrás, en la misma red 192.168.88.0/24, conviven los equipos de casa:
tormenta (FreeBSD 14.5, con Unbound, NFSv4, Kerberos, ZFS y Samba),
solaris (también FreeBSD 14.5) y la Raspberry Pi con Pi-Hole.
INTERNET │ Router o2 (MitraStar GPT-2541GNAC) │ hAP ac² │ 192.168.88.0/24 │ ├── tormenta 192.168.88.160 FreeBSD 14.5 (Unbound, NFSv4, Kerberos, ZFS, Samba) ├── solaris 192.168.88.51 FreeBSD 14.5 ├── raspberry 192.168.88.244 Raspberry Pi 3B + Pi-Hole └── demás dispositivos
Situación final deseada
El MitraStar pasa a modo monopuesto: delega la conexión de Internet al router neutro mediante PPPoE y se queda únicamente gestionando la VoIP del teléfono fijo. El hAP ax³ pasa a ser el router real de la casa, con IP pública, firewall, NAT, WireGuard, ProtonVPN y policy routing. El DNS se delega en Pi-Hole y Unbound.
o2 / Internet
│
Fibra óptica
│
┌─────────────────────────┐
│ MitraStar GPT-2541GNAC │
│ MONOPUESTO │
│ SIN NAT │
│ Teléfono ─── VoIP │
└────────────┬────────────┘
│ Ethernet / PPPoE
▼
┌─────────────────────────┐
│ hAP ax³ │
│ PPPoE + NAT + Firewall │
│ WireGuard + ProtonVPN │
│ Policy routing │
└────────────┬────────────┘
│
192.168.88.0/24
│
├── tormenta 192.168.88.160 FreeBSD 14.5 (Unbound, NFSv4, Kerberos, ZFS, Samba)
├── solaris 192.168.88.51 FreeBSD 14.5
├── raspberry 192.168.88.244 Raspberry Pi 3B + Pi-Hole
└── demás dispositivos
Distribución de servicios
El reparto de responsabilidades es deliberado: el router se queda con lo que debe ser
siempre del router (red, firewall, NAT, VPN), la Raspberry Pi se encarga del filtrado
DNS con Pi-Hole, y tormenta se queda con lo que se beneficia de un sistema
operativo completo (DNS recursivo con Unbound, almacenamiento, autenticación).
| Servicio | hAP ax³ | tormenta |
|---|---|---|
| Router / NAT | ✅ | |
| Firewall | ✅ | |
| DHCP | ✅ | |
| Unbound | ❌ | ✅ |
| WireGuard | ✅ | |
| ProtonVPN | ✅ | |
| Policy routing | ✅ | |
| NFSv4 | ✅ | |
| Kerberos | ✅ | |
| ZFS | ✅ | |
| Samba | ✅ |
Servicios adicionales que no viven en el hAP ax³ ni en tormenta:
| Servicio | Host | IP | Sistema |
|---|---|---|---|
| Pi-Hole | raspberry.casa.lan |
192.168.88.244 |
Raspberry Pi 3B |
Inventario de la red:
tormenta.casa.lan→192.168.88.160— FreeBSD 14.5. Unbound, NFSv4, Kerberos, ZFS, Samba.solaris.casa.lan→192.168.88.51— FreeBSD 14.5. Cliente de la red.raspberry.casa.lan→192.168.88.244— Raspberry Pi 3B con Pi-Hole.
raspberry.casa.lan), y Pi-Hole reenvía a Unbound
(tormenta.casa.lan), que resuelve de forma recursiva. Así se combina el
filtrado de Pi-Hole con la resolución recursiva de Unbound, sin depender de DNS externos.
Qué viene en la Parte 2
Con el objetivo y la arquitectura ya claros, la Parte 2 entra en materia: cómo preparar
el hAP ax³ completamente aislado de la red actual, en
192.168.50.0/24, sin tocar nada del hAP ac² ni del MitraStar.
- Primer contacto con el ax³: comprobaciones, RouterOS y firmware.
- Red de laboratorio aislada en
192.168.50.0/24. - Acceso por MAC con WinBox para no perder la sesión.
- Configuración base: bridge, DHCP, Wi-Fi 6, firewall y NAT.
Filosofía de la serie: el objetivo no es solo migrar, sino poder volver atrás en menos de 10 minutos si algo falla. Esa garantía es lo que convierte un cambio de router en un proyecto controlado.
Serie: este artículo es la Parte 1 de Proyecto ax³. Continúa en la Parte 2 — Preparar el ax³ sin tocar la red.FreeBSD es genial!.
Volver al índice de la serie · Cheatsheet RouterOS
