La cafetería Grano abre la semana que viene y ya tiene su router: un hEX de MikroTik, recién sacado de la caja. Por un puerto le llega la fibra; por los demás, la caja registradora, la impresora de la cocina y el portátil del encargado. Antes de que entre el primer cliente, alguien tiene que ponerlo en marcha. Ese alguien eres tú.
MikroTik es una marca letona de routers (y switches, y antenas) que se ven en todas partes: oficinas, comercios, proveedores de internet de pueblo. Todos llevan el mismo sistema, RouterOS, así que lo que aprendas con este hEX sirve para un router de 30 euros y para uno de 3.000. En este track usas la versión 7.
Entrar: por la MAC, aunque no tenga IP
Un hEX nuevo (sin su configuración de fábrica) no tiene ninguna dirección IP. ¿Cómo se entra, entonces? Winbox sabe hablar con el router por su dirección MAC, la de la tarjeta de red, siempre que estés en la misma red física (con un cable al mismo switch o directamente al router).
En la ventana con la que se abre Winbox, la pestaña Neighbors enseña los routers que se oyen
por la red: su MAC, su IP (si tiene), su nombre, su versión y su modelo. Un clic en la MAC la pone
en Connect To; con Login admin y la Password vacía (así vienen de fábrica), Connect
y estás dentro.
Cuando el router ya tiene una IP en tu red, también se puede entrar escribiéndola en Connect To. Por MAC no hace falta: por eso es la forma de entrar a un router que aún no tiene nada, o al que le has quitado la IP sin querer.
El nombre: System ▸ Identity
Todos los MikroTik se llaman MikroTik al salir de la caja. Con tres en la misma red, nadie sabe en
cuál está. El nombre se cambia en System ▸ Identity, y sale en el título de Winbox y en el
prompt de la consola:
[admin@MikroTik] > /system identity set name=R-Grano
[admin@R-Grano] > /system identity print name: R-Grano
Ejercicio
Entrar por la MAC
El hEX de la cafetería Grano acaba de salir de la caja: no tiene ninguna IP. Tu portátil está en ether2. Entra con Winbox por su MAC y ponle nombre al router.
Encendiendo el router…
Los puertos: Interfaces
En Interfaces están los puertos del router: ether1 a ether5 (los cinco del hEX) y lo, el
loopback (una interfaz de mentira que el router usa para hablar consigo mismo). La primera columna
lleva unas letras, los flags:
- R (running): el puerto tiene enlace: hay un cable y al otro lado algo encendido.
- X (disabled): el puerto está desactivado. No funciona aunque tenga cable.
Para saber qué hay en cada puerto, los routers bien llevados tienen comentarios: se elige el
puerto y se pulsa el botón del comentario (la nota amarilla), o en la consola comment. El
comentario sale encima del puerto, con ;;; delante:
[admin@R-Grano] > /interface print Flags: X - DISABLED; R - RUNNING Columns: NAME, TYPE, ACTUAL-MTU, MAC-ADDRESS # NAME TYPE ACTUAL-MTU MAC-ADDRESS ;;; Fibra 0 R ether1 ether 1500 48:8F:5A:F9:C0:BE ;;; Caja 1 R ether2 ether 1500 48:8F:5A:F9:C0:BF 2 R ether3 ether 1500 48:8F:5A:F9:C0:C0 3 X ether4 ether 1500 48:8F:5A:F9:C0:C1 4 ether5 ether 1500 48:8F:5A:F9:C0:C2 5 R lo loopback 65536 00:00:00:00:00:00
Aquí ether4 está desactivado (X) y ether5 no tiene nada enchufado (ni R ni X). Cada puerto tiene su propia MAC: van seguidas.
Ejercicio
¿Qué cable es cada cosa?
En ether1 llega la fibra, en ether2 está la caja (y tu portátil) y en ether3, la impresora de la cocina. Ponle a cada puerto un comentario que lo diga.
Encendiendo el router…
La primera dirección: IP ▸ Addresses
Para que la caja (192.168.88.10) hable con el router, el router necesita una IP en la misma red y
en el puerto donde está la caja. Se pone en IP ▸ Addresses ▸ +: la dirección con su máscara
(192.168.88.1/24) y la interfaz (ether2). La red (192.168.88.0) la calcula el router solo.
[admin@R-Grano] > /ip address add address=192.168.88.1/24 interface=ether2
[admin@R-Grano] > /ip address print Columns: ADDRESS, NETWORK, INTERFACE, VRF # ADDRESS NETWORK INTERFACE VRF 0 192.168.88.1/24 192.168.88.0 ether2 main
¿Funciona? Con un ping: en Winbox, Tools ▸ Ping; en la consola, /ping (con count=, que
si no sigue hasta que lo pares). Si contesta, sale el tiempo de cada respuesta; si no, timeout:
[admin@R-Grano] > /ping 192.168.88.10 count=3 SEQ HOST SIZE TTL TIME STATUS 0 192.168.88.10 56 64 316us 1 192.168.88.10 56 64 353us 2 192.168.88.10 56 64 390us sent=3 received=3 packet-loss=0% min-rtt=316us avg-rtt=353us max-rtt=390us
Ejercicio
La primera dirección
La caja (192.168.88.10) no llega al router: el router no tiene IP en la LAN. Dale 192.168.88.1/24 en ether2 y comprueba con un ping que la caja contesta.
Encendiendo el router…
Un puerto desactivado
Un puerto con X no deja pasar nada, aunque tenga cable y su IP esté bien puesta. Pasa más de lo
que parece: alguien lo desactivó “un momento” para probar algo y se le olvidó. En Interfaces, se
elige y se pulsa ✓ (enable); en la consola, /interface enable ether3. En cuanto vuelve, sale
la R.
Ejercicio
Un puerto apagado
La impresora de la cocina (192.168.89.20, en ether3) no imprime nada. El router ya tiene su dirección en ese puerto… pero algo no está bien. Arréglalo y compruébalo con un ping.
Encendiendo el router…
Usuarios y grupos: System ▸ Users
Cada persona que entra en el router debería tener su usuario. Lo que puede hacer lo decide su grupo:
- full: todo (es el de admin).
- write: cambiar la configuración, pero no los usuarios ni las políticas.
- read: mirar. Puede entrar en Winbox, ver las listas y hacer un ping, pero no cambiar nada.
Se crean en System ▸ Users ▸ + (nombre, grupo y contraseña), o en la consola:
[admin@R-Grano] > /user add name=marta group=read password=Cafe-2026
Con un usuario de solo lectura, Winbox enseña todo… y al intentar cambiar algo contesta
not enough permissions. Es lo que quieres para quien solo necesita mirar.
Ejercicio
Un usuario para mirar
Marta, la encargada, quiere ver cómo está el router sin poder cambiar nada. Entra como admin, créale un usuario de solo lectura y comprueba que, con él, Winbox no deja tocar.
Encendiendo el router…
La copia: backup y export
Antes de tocar algo importante, una copia. RouterOS tiene dos, y no son lo mismo:
- Backup (Files ▸ Backup, o
/system backup save): un archivo.backupcon toda la configuración, contraseñas incluidas. Es binario: sirve para devolver ese mismo router a como estaba. - Export (
/exporten la consola): la configuración en texto, como las órdenes que la crean. Se lee, se compara y se puede pegar en otro router.
[admin@R-Grano] > /export # 2026-10-05 08:30:05 by RouterOS 7.24.5 # software id = 7MZK-QW4D # # model = RB750Gr3 # serial number = HE10820F3A1 /interface ethernet set [ find default-name=ether1 ] comment=Fibra set [ find default-name=ether2 ] comment=Caja /ip address add address=192.168.88.1/24 interface=ether2 network=192.168.88.0 /system identity set name=R-Grano
Fíjate: el export solo enseña lo que cambiaste respecto a como vino de fábrica.
Ejercicio
La copia y la consola
Antes de seguir tocando, una copia: guarda un backup llamado antes-de-tocar. Y mira la configuración en texto: en la consola, export.
Encendiendo el router…
Moverse por la consola
La consola está organizada en menús, como Winbox: /ip address es lo mismo que IP ▸ Addresses.
Se puede escribir la orden entera desde la raíz (/ip address print) o entrar en el menú y
escribir solo la orden; el prompt dice dónde estás:
[admin@R-Grano] > /ip address
[admin@R-Grano] /ip/address> print Columns: ADDRESS, NETWORK, INTERFACE, VRF # ADDRESS NETWORK INTERFACE VRF 0 192.168.88.1/24 192.168.88.0 ether2 main
.. sube un menú y / vuelve a la raíz. Tres trucos que ahorran mucho:
- Tab completa lo que escribes (
/ip addr→/ip address/) y, si hay varias opciones, las enseña. - F1 enseña lo que se puede escribir en ese punto. (En RouterOS 7,
?ya no es la ayuda: es una letra más.) - Se puede abreviar todo lo que no deje dudas:
/ip addr pres/ip address print.
Y si te equivocas, RouterOS lo dice a su manera: bad command name (no existe esa orden),
invalid value for argument (el valor está mal escrito) o no such item (ese número no está).
La consola a fondo, con sus scripts, es el tema 6, el último antes de la sala final; hasta entonces,
Winbox manda.