Cómo usar VLANs en una red WiFi con Synology SRM 1.3.1 y un router Mikrotik como core de red

Aísla tu red LAN con VLAN´s

Una de las novedades más interesantes que trajo la versión 1.3.1 de SRM (el sistema operativo de routers Synology) fue la posibilidad de crear SSID con VLANs asociadas. Esto es especialmente útil si, por ejemplo, quieres aislar una red WiFi para invitados, dispositivos IoT o cualquier segmento que no deba mezclarse con tu red principal.

¿Qué es una VLAN? (Y por qué deberías preocuparte)

Imagina que tienes una oficina muy grande con un montón de departamentos: contabilidad, recursos humanos, IT, ventas… Todos conectados a la misma red. Es como si todos hablaran por el mismo grupo de WhatsApp. Caos asegurado.

Aquí es donde entra en juego la VLAN (Virtual Local Area Network). Lo que hace es dividir esa red física en varias redes lógicas, aunque todos estén conectados al mismo switch o router. Es como tener varios grupos de WhatsApp separados, uno para cada departamento, aunque todos estén usando el mismo móvil.

Así puedes tener, por ejemplo:

• Una red solo para invitados con acceso a internet, pero sin tocar los archivos de la empresa.
• Una red para cámaras de seguridad o equipos IoT (Climatización, Sensores...).
• Otra para los ordenadores del equipo técnico.

Todo organizado con un poco de configuración adicional, seguro y sin pisarse unos a otros.

En este escenario, vamos a ver cómo configurar una red WiFi con VLAN 10, que se propaga desde un router Synology en modo Access Point, dentro de una red mesh de otros Synology, pero cuyo DHCP y core de red lo gestiona un router Mikrotik.

Escenario

• Mikrotik Router (core de red y servidor DHCP): Si queréis saber como monitorizarlo, podéis verlo en la siguiente guía.
• Synology Router (SRM 1.3.1) funcionando en modo Access Point (Usaremos un RT2600AC)
• Red Mesh WiFi Synology
• Red principal (LAN): 192.168.1.0/24
• Red VLAN 10 (WiFi invitados): 192.168.10.0/24
• Queremos que la VLAN 10 tenga su propio DHCP, no tenga acceso a la red principal, y funcione solo como acceso a Internet.

 

Configura Mikrotik para VLAN 10

A continuación, os mostramos como podemos configurar todos los dispositivos involucrados en nuestro escenario, para poder disponer de una red aislada, funcional y segura. Empezamos con el router Mikrotik:

1. En tu Mikrotik (asumiendo RouterOS):

   - Crea una interfaz que llamaremos "VLAN" (sustituye "ether2" por la interfaz física que conecta con el Synology):

   /interface vlanadd name=vlan10 interface=ether2 vlan-id=10

    

2. Asignar una IP al nuevo segmento:

   /ip addressadd address=192.168.10.1/24 interface=vlan10

    

3. Crea un pool de direcciones y un DHCP server para esta VLAN:

   /ip pooladd name=dhcp_pool_vlan10 ranges=192.168.10.10-192.168.10.100
    /ip dhcp-server
    add name=dhcp_vlan10 interface=vlan10 address-pool=dhcp_pool_vlan10 disabled=no
    /ip dhcp-server network
    add address=192.168.10.0/24 gateway=192.168.10.1 dns-server=1.1.1.1

 

Configurar VLAN en Switch

Si disponéis un Switch entre vuestro Router Mikrotik y el punto de acceso Synology, tendréis que configurar el puerto donde está conectado cada equipo:

1. El puerto hacia Mikrotik y el puerto hacia el Synology estén como trunk (tagged) con VLAN 10 permitida.
2. La VLAN 10 esté habilitada y pasando sin filtrado.

 

 

 

 

Configuración SRM de Synology

En SRM generaremos un nuevo SSID para esta VLAN 10:

1. Nos vamos a "Centro de Redes" -> "Red Local" y pulsamos "Crear":

   

2. Le damos un nombre y como VID 10. Pulsamos "Siguiente":

   

3. Le damos un nombre al SSID que verán los usuarios en nuestra Wifi y una contraseña:

   

4. Pulsamos "Aplicar":

Configurar regla de Firewall en Mikrotik

Si usáis el Firewall de vuestro Mikrotik, no está de más crear una regla que filtre todo acceso a la LAN por parte de esta red, así nos aseguramos que nadie pueda entrar:

/ip firewall filter
 add chain=forward src-address=192.168.10.0/24 dst-address=192.168.1.0/24 action=drop

Esto bloquea completamente el tráfico desde la VLAN 10 hacia la red principal. Si quieres bloquear también el acceso a otros segmentos (como VLAN de gestión o IoT), añade más reglas similares.

VLAN´s para todos los públicos

Montar una red con VLANs puede sonar a algo reservado para grandes empresas o expertos en redes, pero como has visto, con herramientas como Synology SRM y un poco de paciencia, es perfectamente viable también en entornos domésticos avanzados o pequeñas oficinas.

Gracias a la combinación del router Mikrotik como núcleo de red y los equipos Synology como puntos de acceso WiFi en modo MESH, conseguimos un entorno ordenado, eficiente y seguro, donde cada grupo de dispositivos tiene su propio espacio y no interfiere con los demás. Esto no solo mejora el rendimiento general de la red, sino que añade una capa muy útil de control y seguridad.

Al final, se trata de tener una red que trabaje para ti, no al revés. Y con VLANs bien configuradas, eso es precisamente lo que logras.

Fin del Artículo. ¡Cuéntanos algo en los Comentarios!