Todos los routers del fabricante Keenetic incorporan el avanzado sistema operativo KeeneticOS, uno de los sistemas operativos para routers domésticos más avanzados que hemos probado hasta la fecha. Una de las principales características de este sistema, es que podemos crear redes adicionales tanto en Wi-Fi como cableadas, y segmentadas entre sí mediante VLANs, para posteriormente permitir o denegar el tráfico entre VLAN usando el firewall incorporado. Esta función es perfecta para tener redes de domótica, videovigilancia o de invitados, totalmente separada de la red principal. Si quieres saber cómo configurar estas redes adicionales, y todas las opciones que tenemos disponibles, a continuación, tenéis todos los detalles.
El sistema operativo KeeneticOS está incorporado en todos los routers de la marca, nosotros vamos a utilizar el Keenetic Titan KN-1812 que hemos analizado en RedesZone para la realización de esta completa guía de configuración, no obstante, esto es válido también para el resto de routers ya que tendremos a nuestra disposición las mismas opciones y menús para segmentar correctamente la red inalámbrica y cableada.
Lo primero que debemos hacer es acceder a la interfaz de configuración web del router, podemos hacerlo a través del dominio my.keenetic.net o bien usando la dirección IP de la puerta de enlace predeterminada, por defecto es https://192.168.1.1, no obstante, si la has cambiado, será la IP de la red LAN principal. Esta configuración también puede realizarse desde la aplicación móvil de Keenetic, que ofrece las mismas opciones que la interfaz web.
Una vez que entremos en el router, veremos el «Panel del sistema» donde podemos ver el estado general del router, con la conexión a Internet, pero nosotros debemos centrarnos en el menú de «Mis redes y Wi-Fi«, es aquí donde aparecerán las diferentes redes que hayamos creado. De forma predeterminada, tendremos una red principal o LAN con dos SSID (uno por cada banda de frecuencias).
También es muy importante que nos fijemos en los puertos de red que estamos usando actualmente, y los que vayamos a actualizar, porque cuando creamos redes adicionales con VLANs, podemos hacer que uno de estos puertos esté como VLAN sin etiqueta o con etiqueta. La diferencia entre ambas es:
- VLAN sin etiqueta o «Untagged»: la VLAN se envía sin etiqueta y en este puerto podemos conectar dispositivos finales (PC, impresoras, servidores NAS, cámara IP cableada etc.). En un mismo puerto, solamente podemos poner una VLAN sin etiqueta.
- VLAN con etiqueta o «Tagged»: la VLAN se envía con etiqueta, y el dispositivo que conectemos al puerto debe «entender» la VLAN etiquetada. Normalmente aquí tendremos que conectar un switch gestionable con soporte para VLANs, no obstante, hay servidores NAS que también permiten gestionar esto. En un mismo puerto, podemos múltiples VLAN con etiqueta sin problema.
- Sin miembro: en este puerto no habrá VLAN con etiqueta ni sin etiqueta, simplemente no se proporcionará esa VLAN a través del puerto.
Os recomendamos visitar nuestro completo tutorial sobre qué es una VLAN y cómo se utilizan, para que sepáis todo sobre esta tecnología para segmentar redes cableadas e inalámbricas.
Configuración de la red principal o LAN
De manera predeterminada, el router de Keenetic creará una red «Principal«, que llamaremos «LAN» a partir de ahora. Esta subred es la predeterminada y usa la subred 192.168.1.0/24 como suele ser habitual. En este menú es donde podemos configurar en detalle esta red LAN, y también crear más segmentos de red.
A nivel inalámbrico, podemos configurar con mucho detalle tanto la banda de 2.4GHz como de 5GHz, las principales opciones y ajustes que podemos realizar son:
- Nombre de red Wi-Fi: podemos definir el nombre de red o SSID que nosotros queramos, para identificar esta red inalámbrica entre todas las redes inalámbricas.
- Ocultar SSID: podemos activar o no la ocultación, no es recomendable ocultarla.
- Horario de funcionamiento: por defecto siempre estará encendida, si queremos programar su encendido y apagado debemos configurar primero un «calendario».
- Protección de red: elegiremos la seguridad Wi-Fi, es recomendable usar WPA3-SAE, pero si todos tus dispositivos no soportan este tipo de cifrado, entonces elige WPA2-PSK.
- Contraseña: pondremos la contraseña de acceso a la red Wi-Fi si hemos elegido WPA2-PSK o WPA3-SAE.
- Permitir WPS, PIN WPS y funcionamiento MLO: es recomendable desactivar el WPS siempre, y el funcionamiento multienlace podemos habilitarlo si los clientes lo permiten.
- Estándar Wi-Fi: es recomendable dejarlo por defecto, pero si quieres mayor optimización, elige solamente los últimos estándares, y no uses 802.11bg.
- Canal: podemos dejarlo en automático, o bien elegir un canal fijo.
- Comportamiento del canal automático: escaneará el mejor canal disponible en el espacio.
- Ancho de canal: podemos definir el ancho de canal máximo, cuanto mayor ancho de canal más rendimiento, pero más interferencias con otras redes inalámbricas.
- Potencia: podemos configurar la potencia máxima de la señal, por defecto es 100% y debemos dejarlo así.
- Opciones avanzadas: algunas opciones avanzadas del Wi-Fi podemos habilitarlas, como el DL y UL OFDMA, es importante leer bien qué son estas tecnologías, para saber cómo podrían afectar.
En la banda de los 5GHz tenemos similares opciones de configuración, la principal diferencia radica en los estándares soportados y en el ancho de canal máximo que es de hasta 160MHz.
Otras opciones que tenemos disponibles son las relacionadas con el roaming Wi-Fi entre nodos si usamos una red Mesh, podemos habilitar el estándar 802.11r o Fast-Roaming, y también los estándares 802.11k/v y el funcionamiento del band-steering.
En la sección de «Ajustes de puertos y VLAN» es donde vamos a poder definir desde qué puertos Ethernet podemos conectarnos a esta LAN. Por defecto el acceso a la LAN es desde todos los puertos, excepto el puerto que se usa como WAN de Internet que no permite configuración, y está puesto en azul y con el icono de Internet. En el caso de la LAN, no vamos a tener ningún VLAN ID porque es el VLAN ID 1 que es la nativa.
Lo que sí podemos editar es la zona de «Ajustes IP«, aquí nos permite realizar las siguientes configuraciones:
- Retransmisión de DNS multidifusión: podemos activar el mDNS en todos los segmentos de red.
- Activar IPv4: definimos la dirección IP de la puerta de enlace predeterminada. También tenemos la correspondiente configuración del servidor DHCP del router y sus ajustes.
- Usar NAT: por defecto debe estar habilitado, para poder salir a Internet correctamente desde los clientes conectados.
- Activar IPv6: podemos configurar este protocolo de red, no es obligatorio.
Keenetic nos permite configurar una política de conexión predeterminada para esta subred, por ejemplo, para salir por una VPN que hayamos configurado. En circunstancias normales debemos elegir la política por defecto. Para crear otras políticas debemos irnos a «Prioridades de conexión» y crear ahí la política general. Otras opciones son las de activar el Proxy IGMP, y también el PPPoE Pass-through.
Ahora que ya habéis visto todas las opciones que tenemos disponibles en la red Wi-Fi y cableada de la red principal o LAN, vamos a crear una segunda red y os indicaremos lo que tenéis que configurar.
Crear un nuevo segmento de red (VLAN)
En RedesZone vamos a realizar el siguiente esquema de red a modo de ejemplo:
En el menú de «Mis redes y Wi-Fi«, pinchamos en el botón de «+» de la zona superior. Lo primero que debemos hacer es darle un nombre al segmento de red, en nuestro caso, vamos a crear una red específica para la domótica, por lo que la hemos llamado «IoT«. En la configuración de esta red vamos a realizar las siguientes configuraciones:
- Habilitaremos solamente la banda de 2.4GHz, con su correspondiente seguridad WPA2-PSK para que todos los dispositivos de domótica sean compatibles.
- La subred principal será 192.168.2.0/24 con su correspondiente servidor DHCP.
- El VLAN ID será el 2, no obstante, esto es un identificador, y podría ser cualquiera menos uno que ya esté «cogido».
- Configuraremos un puerto Ethernet para colocar el dispositivo conectado en esta VLAN en concreto.
Un ajuste muy recomendable por seguridad es el «Aislamiento de clientes» en ciertas circunstancias, esto permite que, un cliente inalámbrico, no pueda conectarse con otros clientes inalámbricos ni cableados. Si toda la domótica está basada en la nube, podemos habilitarlo sin problemas. Si vas a instalar un sistema como Home Assistant en la VLAN de domótica, sí tendremos que tener acceso local a él. Además, para evitar problemas con multicast y mDNS, es recomendable ubicar el sistema de Home Assistant en la misma VLAN de domótica.
En «Ajustes de puertos y VLAN» es muy importante configurar adecuadamente los puertos. En nuestro caso, el puerto número 4 lo configuraremos como «Perteneciente a este segmento«, que es la VLAN sin etiqueta o «Untagged». De esta forma, si conectamos un equipo como un mini PC con Home Assistant, estará en la VLAN 2 para gestionar toda la domótica de forma local. Si pinchamos en «Mostrar otros segmentos» podemos ver el resto de VLANs y cómo están configurados los puertos.
Hay una regla fundamental que debemos cumplir: solamente podemos poner una VLAN como «untagged» o sin etiqueta en un puerto.
Otras opciones que tenemos disponibles en este nuevo segmento de red, son las de poder acceder a los servicios del propio router o no, habilitar el mDNS, y también la subred que tendremos en esta VLAN que hemos creado. En este caso, tendremos la dirección IP 192.168.2.1 para esta VLAN 2, y el servidor DHCP activado y la NAT también. Aunque no es una «regla», siempre es recomendable planificar las VLAN ID junto con las subredes, para tenerlo todo claro, por ejemplo:
- Si tenemos el VLAN ID 2, lo lógico es usar una subred 192.168.2.1. Si creamos una red adicional que sea VLAN ID 3, lo lógico es usar una subred 192.168.3.1.
- Si tenemos una VLAN ID 10, es bastante habitual usar la dirección 192.168.10.1.
| VLAN ID | Nombre Sugerido | Subred Recomendada | Caso de Uso Típico | ¿Aislamiento de Clientes? |
|---|---|---|---|---|
| 1 | Red Principal (LAN) | 192.168.1.0/24 | Equipos de confianza: ordenadores, impresoras autorizadas | No (red de confianza) |
| 2 | Dispositivos IoT | 192.168.2.0/24 | Domótica, cámaras inteligentes, enchufes WiFi | Sí (recomendado) |
| 3 | Red de Invitados | 192.168.3.0/24 | Acceso temporal para visitantes | Sí (obligatorio) |
Esto permite saber fácilmente en qué VLAN estamos en función de la subred obtenida vía DHCP. Como indicamos, no es obligatorio ni una regla, pero es para tener una cierta planificación de las diferentes redes y no equivocarnos luego.
En este mismo menú también podemos configurar las reglas de manejo del tráfico de Internet, podemos hacer que toda esta subred acceda a Internet mediante un túnel VPN previo, o aplicar otras políticas avanzadas. Por defecto, lo tendremos en «Política por defecto«, pero la podemos cambiar en cualquier momento, ya sea aquí o directamente en «Prioridades de conexión«. Además, tenemos opciones adicionales como limitar la velocidad de los clientes conectados, habilitar el proxy IGMP y el PPPoE Pass-through.
Como podéis ver, crear un nuevo segmento de red, ya sea para domótica, cámaras, invitados, es realmente sencillo. Por supuesto, si creas una red de «Invitados» es necesario que actives el aislamiento de los clientes por motivos de seguridad. Ahora vamos a ver cómo crear reglas en el firewall para permitir o denegar el tráfico entre VLANs.
Configuración de las reglas en el firewall
Keenetic nos permite configurar reglas en el firewall en cada interfaz física y lógica del equipo, de esta forma, vamos a poder crear reglas para «permitir» o «denegar» el tráfico. De manera predeterminada no tenemos ninguna regla creada, pero sí tenemos un «denegar todo» implícito. Esto significa que, si intentamos hacer comunicación desde un equipo de la LAN hasta un dispositivo de la red de IoT, no funcionará la comunicación, porque el firewall está denegando esas comunicaciones.
En el siguiente ejemplo, hemos puesto un mini PC con Home Assistant en la VLAN de IoT para gestionar toda la domótica. Desde la red principal o LAN queremos acceder a ese Home Assistant, así que tenemos que crear ciertas reglas para permitir este tráfico entre VLANs.
- PC: está en la red LAN
- Home Assistant: está en la red de IoT, y tiene la IP 192.168.2.100 asignada por el DHCP estático.
Si queremos permitir el tráfico desde cualquier equipo de la LAN (o bien dispositivos específicos), debemos crear una regla en el firewall en la pestaña de LAN. El sentido del tráfico es fundamental, debemos crearlo siempre en el «origen» del tráfico. En este caso, tendremos que pinchar en «Crear norma» y rellenar la siguiente información:
- Activar norma: marcado
- Nombre: Acceso a Home Assistant.
- Acción: Autorizar
- Fuente IP: Todo (toda la red de la LAN podrá acceder).
- IP de destino: Dirección IP
- Dirección IP: 192.168.2.100
- Número del puerto de la fuente: Todo.
- Protocolo: TCP
- Número del puerto de destino: Es igual a
- 8123 (es el puerto HTTP predeterminado de Home Assistant).
- Mover a: finalizar (posición actual)
- Horario laboral: Siempre activado.
Pinchamos en «Guardar» y ya tendremos la regla creada.
En estos momentos, ya tendremos la regla creada y funcionando, solamente podemos acceder desde la LAN hasta el Home Assistant de la red de IoT. El resto del tráfico como el «ping» está deshabilitado.
Si queremos permitir el «ping» desde la LAN hasta el sistema de domótica, tendremos que crear una nueva regla permitiendo el protocolo ICMP, y poniendo como destino la misma dirección IP.
Las dos reglas quedarían de la siguiente forma:
Un aspecto muy importante, es que en la pestaña de «IoT» no tenemos que crear ninguna regla. KeeneticOS utiliza un firewall stateful (con estado), lo que significa que recuerda las conexiones activas. Por este motivo, cuando creamos una regla en la LAN para permitir tráfico hacia IoT, el firewall reconoce automáticamente el tráfico de respuesta (desde IoT hasta LAN) y lo permite sin necesidad de crear una regla inversa. Debido a esto, no necesitas duplicar reglas en ambas direcciones.
Si hacemos una prueba rápida habilitando o deshabilitando la regla de ICMP, podemos ver que al principio sí tenemos comunicación, y luego la comunicación está denegada. Todo ello es en tiempo real, no tenemos que pinchar en «Guardar» ni reiniciar el router.
Como podéis ver, gracias al «Firewall» vamos a poder permitir o denegar el tráfico de red entre diferentes subredes, perfecto para segmentar adecuadamente la red y que podamos acceder a los recursos que queramos.
Problemas comunes y cómo solucionarlos
Es posible que te encuentres con algunos problemas a la hora de realizar la configuración anterior, a continuación, podéis ver los principales problemas y cómo solucionarlos:
- Los dispositivos IoT no obtienen IP en la nueva VLAN: es necesario que compruebes que el servidor DHCP está activado correctamente. Reinicia el router y vuelve a probar.
- No puedo acceder a Home Assistant desde la LAN: comprueba la regla de firewall está en la pestaña correcta (LAN, no IoT) y que la IP destino es correcta. Es recomendable que Home Assistant tenga una dirección IP privada estática o fija, para que no cambie por el DHCP.
- El puerto Ethernet designado no funciona tras configurar VLAN: asegúrate de que la VLAN está definida como «untagged» o «Perteneciente al segmento».
- Los dispositivos no pueden resolver DNS: verificar configuración de DNS en «Ajustes IP» del segmento creado o nueva red.
Conclusiones
Keenetic nos va a permitir una gran configurabilidad a la hora de crear VLANs, ya que podemos crearlas tanto en la red inalámbrica con un SSID en concreto, como también en la red cableada con los puertos Ethernet como VLAN «Untagged» que nosotros queramos. Además, tenemos un firewall para permitir o denegar el tráfico entre las VLANs, por defecto la comunicación entre las VLAN que creemos está denegada, solamente está permitido el acceso a Internet y nada más. Las mejores prácticas para crear VLANs y reglas en el firewall son las siguientes:
- Principio de mínimo privilegio: cada dispositivo solo accede a lo que necesita, y todo lo demás se deniega de forma predeterminada.
- Listas blancas: permitir explícitamente conexiones necesarias, y el resto se bloquean.
- Documentar reglas: es recomendable documentar qué dispositivos necesitan comunicarse entre segmentos
Es muy importante planificar bien las subredes a crear, para luego tenerlo todo muy bien ordenado, y que todo funcione adecuadamente. KeeneticOS dispone de todas las herramientas y opciones para hacerlo de forma eficiente, y montar una red segmentada tanto en entornos domésticos como también profesionales. Además, los segmentos de red que configuremos, podremos aplicarles diferentes políticas de routing, como sacar su tráfico de Internet mediante una VPN.