SERIE
MikroTik dual-stack, del ISP al cortafuegos
Tres configuraciones de RouterOS que juntas describen un router que funciona: IPv6 nativo entregado por el ISP, una VPN que lleva a casa ambas familias de direcciones y un cortafuegos que convierte el escaneo no solicitado en un bloqueo automático. Escritas contra hardware real en una línea de fibra española real, no en un laboratorio.
Por qué estas tres van juntas
IPv6 falla de una forma concreta y frustrante en las conexiones domésticas: todo parece configurado y nada acaba de funcionar. Llega un prefijo pero no se delega hacia dentro. Los clientes obtienen dirección pero no ruta por defecto. La VPN conecta y el túnel solo lleva v4. Cada uno de estos artículos arregla un eslabón de esa cadena, y la razón para leerlos como conjunto es que depurar cualquiera de ellos por separado suele terminar en descubrir que en realidad tienes un problema de otro.
El sustrato común es el propio RouterOS, que es un modelo de cortafuegos genuinamente distinto de la imagen mental de iptables que asumen la mayoría de las guías. Las listas de direcciones son objetos de primera clase que las reglas leen y escriben, la tabla RAW existe para descartar tráfico antes de que el seguimiento de conexiones gaste memoria en él, y las listas de interfaces permiten que una regla cubra un conjunto que cambia. Los tres artículos se apoyan en esas primitivas, así que el segundo y el tercero se vuelven bastante más fáciles cuando el primero ya las ha presentado.
Lo último que los une es que son dual-stack en sentido estricto, no configuraciones de IPv4 con IPv6 añadido al final. Cada regla de cortafuegos aparece en ambas familias, cada lista de direcciones tiene su homóloga en v6, y los puntos en los que las dos difieren de verdad —no hay NAT tras el que esconderse, un prefijo que puede cambiarte debajo, ICMPv6 que no debes filtrar a ciegas— se señalan donde importan y no en una nota al pie.
Léelas en este orden
El orden de abajo es el que coincide con cómo llega la gente de verdad: con una conexión que funciona y una VPN que quiere montar. Si partes de un router sin IPv6 ninguno, lee antes la segunda entrada: es la que pone un prefijo delegado real en el WAN, que la primera da por hecho.
Parte 1
WireGuard en MikroTik: Configuración Completa Dual-Stack IPv4/IPv6
La pieza a la que llega la mayoría, y la que enuncia las suposiciones de direccionamiento que el resto de la serie existe para satisfacer. WireGuard en RouterOS se pone a funcionar rápido para IPv4 y luego queda calladamente incompleto: el túnel levanta, el tráfico fluye, y todo destino IPv6 detrás es inalcanzable. El artículo configura ambas familias de punta a punta: direccionamiento de la interfaz, allowed-IPs en cada lado, las reglas de cortafuegos que dejan al túnel hablar con la LAN y el comportamiento de DNS que decide si el cliente usa de verdad el camino v6 que ahora tiene.
Parte 2
MikroTik PPPoE + DHCPv6-PD: Dual-Stack para DIGI España
Aquí es de donde salen las direcciones. En la fibra española de DIGI el WAN es PPPoE dentro de una VLAN etiquetada, e IPv6 llega como un prefijo delegado por DHCPv6 y no como una dirección suelta, lo que obliga al router a pedirlo, conservarlo y repartir subredes a partir de él, y todo eso tiene que sobrevivir a que el prefijo cambie. El artículo cubre el etiquetado VLAN, el cliente PPPoE, la delegación de prefijo, SLAAC en el lado LAN y las reglas de cortafuegos que un WAN dual-stack necesita antes de que sea seguro dejarlo funcionando.
Parte 3
Honeypot en MikroTik: Atrapa y Bloquea Escáneres de Puertos
Con el enlace levantado y el túnel funcionando, la última decisión es qué hacer con todo lo que lo escanea. El honeypot escucha en puertos que nada legítimo tocaría, y un intento de conexión se considera prueba suficiente: el origen cae en una lista de direcciones y la tabla RAW descarta su tráfico antes de que el seguimiento de conexiones le reserve nada. Léelo el último: es el único de los tres que presupone un router direccionado y en marcha, y el único cuyo efecto puedes ver acumularse en una lista durante los días siguientes.
Hacia dónde sigue esto
Por encima está el servidor web al que reenvía el router, que tiene su propia serie de decisiones sobre a quién admite y qué ejecuta. Por debajo no queda mucho: esto es el borde. Lo que queda es operativo: un prefijo que cambia tras una incidencia de línea y deja tus reglas de cortafuegos desalineadas con la realidad, un peer de VPN que deja de renegociar claves en silencio, una lista de direcciones que crece sin límite porque nada caduca sus entradas.
El artículo del honeypot es además el puente natural hacia las herramientas de listas de bloqueo que se usan en el resto del sitio. Las direcciones que recoge son la misma clase de tráfico que ve el tarpit del servidor web; tener los dos significa que al mismo escáner se le rechaza en dos capas, y la capa del router es la que no cuesta nada aplicar.
Qué no cubre esta serie
Aquí no hay ningún protocolo de enrutado: ni BGP, ni OSPF, ni conmutación entre varios WAN. Una línea residencial con una sola salida y un prefijo delegado es un alcance deliberadamente estrecho, y es el alcance en el que los detalles de dual-stack son lo bastante difíciles como para merecer que se escriban. Tampoco hay capítulo de CAPsMAN ni de wifi: la parte inalámbrica de un despliegue MikroTik es un tema aparte que casi no comparte razonamiento con esto.