El filtrado de contenido en MikroTik permite controlar el acceso a sitios web, dominios y categorías, bloquear amenazas como malware y phishing, limitar contenidos no deseados y aplicar políticas diferentes a redes, VLAN o grupos de usuarios. Puede implementarse mediante reglas de firewall, listas dinámicas de direcciones, Web Proxy, filtrado DNS o servicios de protección DNS integrados con RouterOS.
La elección del método depende del objetivo: las reglas de firewall son adecuadas para bloquear destinos concretos, el filtrado DNS permite aplicar políticas por categorías, Web Proxy ofrece control sobre solicitudes HTTP y el filtrado TLS ayuda a identificar dominios HTTPS sin inspeccionar el contenido cifrado. Para obtener una protección más amplia, conviene combinar estos mecanismos con segmentación de red, registros, supervisión, copias de seguridad y reglas de seguridad correctamente ordenadas.
Qué es el filtrado de contenido DNS
Imagina internet como una inmensa biblioteca con millones de libros (sitios web). Cuando buscas un libro específico, utilizas un catálogo (el DNS) para encontrar la ubicación exacta del libro en los estantes. Un filtro de contenido en el DNS es como un bibliotecario que decide qué libros puedes llevar prestados.
Revisa los títulos de los libros que solicitas y, si están en la lista de prohibidos, evita que los encuentres. El Sistema de Nombres de Dominio (DNS) se encarga de traducir las direcciones amigables de los sitios web (como a direcciones numéricas (IPs) que las computadoras entienden.
Un filtro de contenido en el DNS intercepta estas solicitudes y las compara con una lista de sitios bloqueados. Si el sitio está en la lista, el filtro devuelve un mensaje de error, impidiéndote acceder al contenido.
Por qué se utilizan los filtros de contenido
- Seguridad: Protegen las redes contra sitios maliciosos que pueden contener virus, malware o phishing.
- Control parental: Permiten a los padres restringir el acceso a contenidos inapropiados para niños.
- Cumplimiento legal: Ayudan a las empresas a cumplir con leyes y regulaciones que exigen el bloqueo de ciertos tipos de contenido.
- Productividad: Aumentan la productividad en entornos corporativos al evitar que los empleados accedan a sitios no relacionados con el trabajo.
El servicio de filtrado de contenido del firewall no solo consolida la seguridad informática, sino que también actúa como catalizador para aumentar la productividad dentro de las organizaciones. Al implementar este servicio, las organizaciones se benefician de una protección superior contra amenazas externas, al tiempo que garantizan que los recursos de la red se utilicen de manera óptima y de acuerdo con las políticas corporativas.
La seguridad de la red se mejora considerablemente gracias al servicio de filtrado de contenido del firewall, que bloquea de forma proactiva el acceso a sitios web peligrosos y limita la posibilidad de que el malware o los virus infecten la red a través de descargas involuntarias. Esta herramienta resulta invaluable en la lucha contra el phishing, al interceptar y neutralizar los intentos de fraude a través de correos electrónicos o sitios web fraudulentos.
Más allá de la seguridad, el filtrado de contenido desempeña un papel crucial en el aumento de la productividad empresarial. Al limitar el acceso a sitios web no relacionados con el trabajo, el servicio minimiza las distracciones de los empleados y optimiza el uso del ancho de banda, reservándolo para tareas cruciales.
Principales tipos de contenido bloqueado
- Pornografía: Sitios con contenido para adultos.
- Violencia: Sitios que promueven o muestran violencia.
- Discurso de odio: Sitios que incitan al odio o la discriminación.
- Drogas: Sitios relacionados con el tráfico de drogas.
- Juegos de azar: Sitios de casinos y apuestas en línea.
- Redes sociales: En algunos casos, las redes sociales pueden ser bloqueadas en entornos corporativos.
Tipos de filtros de contenido
Los filtros de contenido se utilizan de diferentes maneras y para bloquear el acceso a diferentes tipos de material. Los tipos comunes de filtros de contenido incluyen:
Filtros de Internet
Los filtros de Internet son la forma más común de filtro de contenido, bloqueando el acceso a páginas de Internet específicas o sitios web completos. Estos se administran a través de firewalls que proporcionan acceso a Internet o a través de filtros basados en navegador, que se implementan a través de extensiones de navegador.
Filtros del motor de búsqueda
Un filtro de contenido del motor de búsqueda permite a los usuarios activar configuraciones que filtran elementos inapropiados de los resultados de la búsqueda. Los usuarios también pueden usarlos para bloquear elLocalizador uniforme de recursos (URL) de un sitio web que saben que contiene contenido adulto, explícito o inapropiado.
Algunos motores de búsqueda también proporcionan versiones de filtro orientadas a niños que solo permiten el acceso a contenido y sitios web aptos para niños.
Filtrado de contenido basado en DNS
Esta forma de filtrado de contenido se produce en la capa DNS para bloquear dominios que no se ajustan a las políticas definidas por las reglas corporativas de una organización. La configuración del control parental también se puede implementar a través del filtrado de contenido basado en DNS.
Filtros de correo electrónico
El filtrado de contenido basado en correo electrónico identifica la información en el cuerpo, el encabezado, el asunto y los archivos adjuntos de los mensajes de correo electrónico. Esto permite a los usuarios bloquear correos electrónicos maliciosos o aceptar, clasificar y rechazar correo entrante.
Filtros web
El filtrado de contenido web evita que los usuarios accedan o vean URL específicas al bloquear su navegador para que no cargue ciertos sitios. Los filtros web también pueden bloquear el contenido en función de la calidad de un sitio web utilizando listas que categorizan el contenido.
Filtrado de contenido proxy
Un filtro proxy actúa como intermediario entre el dispositivo de un usuario y el servidor. Se puede utilizar como puerta de enlace entre los usuarios de la red y la Internet pública, lo que permite a los administradores filtrar, personalizar y restringir el acceso a sitios web específicos.
Esto se utiliza comúnmente en las escuelas para proporcionar diferentes niveles de acceso para maestros y alumnos. Los gobiernos también han utilizado el filtrado de contenido proxy para evitar que los ciudadanos accedan a sitios web que consideran no patrióticos o contra su ideología.
Arquitectura de RouterOS relacionada con el filtrado
El núcleo de estos dispositivos reside en RouterOS, un sistema operativo dedicado que ofrece herramientas avanzadas de enrutamiento estático, dinámico, conmutación de Capa 2 (VLANs) y políticas de seguridad perimetral.
El sistema operativo RouterOS está basado en el kernel de Linux, lo que le confiere una estabilidad excepcional en la gestión de memoria y el control de procesos de red. Cada línea de hardware requiere un análisis de uso de CPU específico, ya que la ejecución de reglas de firewall complejas o túneles cifrados sin aceleración de hardware puede saturar rápidamente los procesadores del router.
El motor de Firewall Filtering de MikroTik se basa en un sistema de procesamiento de paquetes dividido en cadenas (chains) como input, forward y output. Cada paquete que pasa por el router es evaluado en tiempo real según un conjunto jerárquico de reglas definidas por el administrador.
Este sistema permite realizar filtrado por IP, puerto, protocolo, estado de conexión y múltiples parámetros adicionales, asegurando un alto nivel de control sobre el tráfico entrante, saliente y en tránsito.
Preparación antes de configurar el filtrado
Configurar un router MikroTik en un entorno de servidores virtuales requiere enfocarse en el rendimiento, la seguridad y la estabilidad. Antes de crear filtros, es necesario conocer la topología, identificar las interfaces y definir qué redes estarán sujetas a cada política.
Planeación de la red
- Asignación de subredes: Divide la red en subredes según los tipos de tráfico (administrativo, público, backups) para evitar colisiones y facilitar la gestión.
- Direcciones IP: Utiliza direcciones IP privadas y NAT para equipos internos, reservando direcciones públicas solo para servicios que lo requieran.
- VLANs: Implementa VLANs para segmentar el tráfico y evitar congestión innecesaria.
En redes medianas y grandes, mezclar todo el tráfico en un solo dominio de difusión (broadcast domain) degrada el rendimiento de la red y expone datos críticos de administración a usuarios generales. La segmentación lógica de redes mediante VLANs bajo el estándar IEEE 802.1Q es fundamental en la configuración de MikroTik.
Este esquema asegura que los paquetes de datos fluyan con etiquetas separadas, impidiendo que una computadora de la red de invitados (VLAN 30) intercepte paquetes de la red de administración (VLAN 10).
Seguridad del router
- Firewall: Configura reglas para permitir solo el tráfico necesario y bloquea el resto por defecto.
- Protección contra ataques DDoS: Usa el firewall de MikroTik para detectar y mitigar flujos anómalos.
- Acceso remoto seguro: Habilita el acceso a través de VPN y desactiva el acceso directo desde IPs públicas.
- Actualizaciones: Mantén siempre actualizado el firmware del router para corregir vulnerabilidades.
Aunque esto resulta sumamente cómodo en etapas de desarrollo, la exposición continua de estos protocolos de descubrimiento representa un riesgo de seguridad de reconocimiento de red (reconnaissance).
La desactivación selectiva en puertos de cara a redes externas (WAN) bloquea la capacidad de atacantes para obtener información sobre el modelo de hardware y la versión exacta de RouterOS instalada en su perímetro.
Acceso y copia de seguridad
El acceso inicial a un dispositivo MikroTik recién sacado de su empaque se realiza por medio del software cliente WinBox. Esta utilidad propietaria se comunica con el router mediante el puerto TCP 8291, o bien directamente en Capa 2 utilizando el protocolo MAC Telnet.
Para descubrir equipos activos en la red local sin conocer su direccionamiento, RouterOS utiliza el protocolo MNDP (MikroTik Neighbor Discovery Protocol), además de soportar de forma nativa CDP (Cisco Discovery Protocol).
Antes de realizar cualquier cambio, cree una copia de seguridad:
Archivos → Copia de seguridad
o a través de la terminal con el comando:
/system backup save name=backup-before-proxy
Esto le salvará de perder el acceso al router en caso de un error en las reglas del firewall.
Configuración básica del firewall
El firewall opera a nivel de direcciones IP y puertos; no "entiende" el contenido de las solicitudes. Sin embargo, permite establecer la base de seguridad sobre la que se aplicarán las reglas de filtrado.
Accede al router MikroTik. Conéctate al router usando Winbox, WebFig o desde tu red local con acceso IP.
Entra a la sección de Firewall. Dirígete al menú IP - Firewall. Allí encontrarás las herramientas para gestionar las reglas de filtrado.
Crea reglas de seguridad:
- Permitan el tráfico que necesitas (como navegación, acceso local, DNS, etc.).
- Bloqueen lo innecesario o potencialmente peligroso (accesos externos no autorizados, puertos abiertos sin uso).
- Regulen el tráfico según dirección (entrada, salida o tránsito por el router).
MikroTik evalúa las reglas en orden, de arriba hacia abajo. Coloca primero las reglas más específicas y al final las más generales.
Observa si las reglas están contando tráfico. Esto te ayudará a saber si están activas y funcionando correctamente.
Filtrado del tráfico por interfaces y VLAN
Nos dirigimos al apartado de IP > Firewall > Filter Rules > + (agregar) > General.
Colocamos lo siguiente en la ventana de General:
- Chain: Forward (tráfico interno que pasa por el Router)
- In. Interface: Indicamos la interfaz que es la que denegamos el acceso a dichas páginas (VLAN, LAN, Puertos, etc).
Nota: podemos dejarlo en blanco, pero eso indicara al router que todas las interfaces tomaran esta regla.
Bloqueo de sitios web mediante Address List
En este método de filtrado, básicamente creamos una lista dinámica de direcciones (Address-list), que se alimenta en cada acceso a la URL filtrada, almacenando las direcciones IP correspondientes.
Con las direcciones en la tabla, creamos una regla de “drop” y definimos la red o interfaz a la que se aplicará el filtro, luego la apuntamos a nuestra “Address list”.
Crear una lista de direcciones
Nos dirigimos al apartado de IP > Firewall > Address Lists > + (agregar).
Procedemos a configurar nuestro filtrado de contenido, nos dirigimos a este apartado para poder crear un grupo de filtrado, colocando con un solo nombre todas las paginas que no queremos que accedan nuestros usuarios en la red, ejemplo: Redes Sociales (Facebook, Instagram, YouTube, etc.).
- Name: Introducimos el nombre que llevara este grupo como etiqueta para ubicarla fácilmente.
- Address: Colocamos la página que vamos a filtrar (ejemplo: Facebook.com)
Al momento de dar aplicar y OK podemos observar que se agrega la página donde también nos arrogara su dirección IP del servidor de Facebook, como se muestra a continuación.
Realizamos el mismo procedimiento para agregar YouTube. Podemos apreciar que nos arroja su dirección IP del servidor de YouTube, como se muestra a continuación.
Crear la regla de bloqueo
Nos dirigimos al apartado de IP > Firewall > Filter Rules > + (agregar) > Advanced, aquí configuraremos el grupo de filtrado que creamos con anterioridad y lo colocamos en la parte de Dst. Address List, como se muestra a continuación.
Nos dirigimos en el apartado de IP> Firewall > Filter Rules > + (agregar) > Action que está dentro de la misma de Firewall Rule, aquí podemos configurar la acción que tomara nuestra regla de firewall, la cual en este caso colocaremos como DROP, que significa que bloqueara todo el trafico de datos, como se muestra a continuación.
Todos os pacotes que trafegam pelo roteador com o protocolo TCP, saindo pela rede 192.168.20.0/24 com destino aos endereços da Address-list “social networks”, serán “dropados”.
Por lo tanto, vale la pena recordar que necesitará una regla de drop para cada Address-list.
Bloqueo dinámico mediante TLS Host
En este artículo, le mostraremos cómo hacer lo bloqueo de sitios web y contenidos de Internet utilizando la función “TLS Host” (Transport Layer Security) en los dispositivos Mikrotik.
¿Quiere mantener su red segura y protegida de contenidos online no deseados? MikroTik ofrece soluciones para controlar el acceso a Internet. En esta guía, exploraremos paso a paso cómo bloquear sitios web y contenidos utilizando las potentes funcionalidades de MikroTik.
En este método de filtrado, básicamente creamos una lista dinámica de direcciones (Address-list), que se alimenta en cada acceso a la URL filtrada, almacenando las direcciones IP correspondientes.
Regla para añadir dominios a una Address List
Vamos a IP / firewall / filter y pulsamos sobre + y aplicamos la siguiente configuración:
- Chain: Forward
- Protocolo: TCP
En el apartado “Advanced” en “TLS Host” incluye la tag del dominio o URL a filtrar entre los asteriscos *facebook*.
A continuación, en la sección “Action” configure lo siguiente:
- Action: “add dst to address list”
- Address list: “socialnetworks”
Comando a través de New Terminal Mikrotik:
/ip firewall filter add action=add-dst-to-address-list address-list=social-networks chain=forward comment=facebook protocol=tcp tls-host=*facebook*
En el nombre de la lista, simplemente incluya el nombre del contenido o URL que desea bloquear, o también puede definir una categoría.
Como puedes ver en el ejemplo anterior, hemos marcado facebook en el filtro TLS. Esta regla debería insertar todas las direcciones IP de facebook filtradas en la “Address-list” “social-networks”.
A continuación, debemos repetir la misma regla para cada contenido o sitio web (Instagram, Tiktok, WhatsApp), cambiando únicamente el marcado en el Host TLS.
Regla DROP para la lista dinámica
Ahora vamos a hacer el bloqueo propiamente dicho, y para ello necesitamos crear una regla DROP.
Vamos al menú IP: / firewall / filter-rules y pulsamos sobre + para añadir una nueva regla:
- Chain: forward
- Src. Address: (red a la que vamos a aplicar el filtro)
- Protocol: tcp
En la sección ” Advanced ” en ” Dst. Address List” seleccione la lista de direcciones creada en el paso anterior.
En “Action”: seleccionar la opción “drop”.
Por lo tanto, vale la pena recordar que necesitará una regla de drop para cada Address-list.
Configuración del filtrado DNS con MKController
En este artículo, demostraremos cómo configurar el bloqueo de contenido en dispositivos MikroTik utilizando MKController.
Prerrequisito: Tener un Mikrotik configurado en la plataforma MKController.
Para saber cómo configurarlo, consulta nuestro tutorial: “Mikrotiks en MKController”.
Crear un filtro de contenido
Dirígete al menú “Filtro de contenido”. Selecciona el botón “Crear filtro de contenido”. Ingresa un nombre de identificación para la configuración. Haz clic en el botón Continuar.
Selecciona el nivel de filtro deseado:
- Alto: Protección recomendada con 15 categorías preseleccionadas.
- Medio: Protección contra elementos esenciales, con 9 categorías seleccionadas.
- Bajo: Protección con solo 2 elementos seleccionados.
- Ninguno: No habrá ningún bloqueo.
- Personalizado: Podrás seleccionar qué categorías estarán protegidas en la red.
Haz clic en Continuar. Antes de continuar, puedes verificar las categorías disponibles para bloquear en la parte inferior de la pantalla.
Vincular el dispositivo MikroTik
Selecciona la opción “Dispositivos”. Haz clic en el botón “Vincular esta configuración”. Se te mostrarán las direcciones IP primarias y secundarias de DNS que se utilizarán para el filtro de contenido.
Haz clic en “Continuar”. Una vez que aparezca el mensaje de éxito, haz clic en “Aceptar”.
Configurar la pantalla de bloqueo
Selecciona la opción “Pantalla de bloqueo”. Habilita “Imagen de encabezado”. Haz clic en el símbolo de un lápiz para elegir una imagen guardada en tu dispositivo.
Habilita la opción “Texto”. Escribe un texto que se mostrará en la pantalla del dispositivo después de que se haya bloqueado el contenido. A la derecha de la pantalla, podrás ver una vista previa de la imagen y el texto que se mostrará después de que se realice el bloqueo.
Opciones de configuración
En el menú de Configuraciónes, podrás realizar las siguientes acciones:
- Prueba de categoría: Ingresa la URL de un sitio web y al hacer clic en “Buscar”, se mostrará a qué categoría pertenece ese sitio.
- Sitios permitidos: Agrega uno o más sitios web que podrás acceder, sin importar el filtro de bloqueo.
- Sitios denegados: Agrega uno o más sitios web que serán bloqueados.
En la parte inferior de la pantalla, podrás cambiar el nivel del filtro por categoría o personalizarlo a tu gusto.
Reportes del filtro DNS
Accede al menú Panel para ver reportes detallados sobre el uso de internet en tu red, incluyendo qué sitios fueron bloqueados por el filtro de contenido.
Integración de protección DNS en la nube
Protección DNS de última generación, totalmente basada en la nube y en la inteligencia artificial, fácil de activar.
Puedes activar la protección de FlashStart® Cloud en cualquier tipo de Router y Firewall para proteger dispositivos de escritorio, móviles y dispositivos IoT en redes locales.
FlashStart es más que un simple filtro de malware, es una defensa robusta contra las amenazas de malware en constante evolución. Opera en 156 países de todo el mundo, brindando protección confiable y granular a todos sus Partners y clientes.
Su objetivo es proteger las redes de los ciberataques y del contenido malicioso. Con su módulo de proxy DNS, ofrece una protección sin precedentes, bloqueando eficazmente el malware y el contenido no deseado.
El producto FlashStart es una solución completa de seguridad de red. Además, trabaja estrechamente con partners como MikroTik para ofrecer soluciones integradas optimizadas para sus plataformas.
Proceso general de integración
El primer paso implica la configuración; una vez completada la configuración inicial, es momento de integrar el proxy DNS de FlashStart con MikroTik.
Este paso es esencial para garantizar una protección eficaz contra el malware y el contenido malicioso. Después de la integración, es importante probar cuidadosamente el sistema para asegurarse de que todo funcione como se espera.
Esto nos permite realizar las optimizaciones necesarias para maximizar la eficacia de la protección.
Políticas personalizadas
En esta tercera y última píldora del webinar concluimos completando la demostración técnica entre FlashStart y MikroTik y la explicación detallada sobre la intuitiva interfaz de gestión de políticas.
Los administradores de red pueden así personalizar las reglas de seguridad según necesidades específicas. Esto garantiza que la solución pueda implementarse de manera eficiente en una amplia gama de dispositivos MikroTik.
Web Proxy de MikroTik
MikroTik RouterOS es un sistema operativo completo para equipos de red que incluye un servidor proxy HTTP/HTTPS integrado. Se llama Web Proxy y está disponible desde las licencias básicas.
En esencia, es un nodo intermedio entre los usuarios de su red y el internet: todo el tráfico pasa a través de él, y usted obtiene un control total sobre lo que sucede en la red.
Un firewall opera a nivel de direcciones IP y puertos; no "entiende" el contenido de las solicitudes. Un proxy opera a nivel de aplicaciones: ve URLs específicas, dominios, tipos de contenido. Esto proporciona un nivel de control fundamentalmente diferente.
Funciones del Web Proxy
- Almacenar en caché contenido web - reduce la carga en el ancho de banda de internet hasta un 30-40% en oficinas con navegación activa.
- Bloquear el acceso a sitios específicos, dominios, patrones de URL.
- Restringir el acceso por direcciones IP de usuarios o subredes.
- Registrar todas las solicitudes HTTP - quién, a dónde y cuándo accedió.
- Operar en modo transparente - los usuarios no notan su presencia.
- Redirigir el tráfico a un servidor proxy externo (parent proxy).
Es importante entender la limitación: el Web Proxy integrado en MikroTik solo funciona con tráfico HTTP en modo nativo. El tráfico HTTPS solo puede ser interceptado en modo transparente con ciertas limitaciones, o a través de la configuración de un proxy padre.
Para una inspección completa de HTTPS se necesitan soluciones adicionales; sobre esto hablaremos en la sección sobre proxies externos.
Activar Web Proxy
Abra Winbox y conéctese al router. En el menú de la izquierda, seleccione IP → Web Proxy. En la ventana que se abre, marque la casilla Enabled.
Establezca el puerto - por defecto 8080, puede dejarlo o cambiarlo. En el campo Max Cache Size, indique el tamaño de la caché, por ejemplo, 100 MB, o seleccione unlimited si el espacio lo permite.
Haga clic en Apply, luego en OK.
A través de la terminal:
/ip proxy set enabled=yes port=8080 max-cache-size=100000KiB
Después de activar, verifique que el proxy se haya iniciado. En la terminal, ejecute:
/ip proxy print
En la salida debería aparecer enabled: yes. Si ve enabled: no, significa que algo salió mal, repita los pasos.
En este punto, el proxy está activado, pero aún no intercepta el tráfico automáticamente. Los usuarios deben configurarlo manualmente en la configuración del navegador (IP del router, puerto 8080).
Proxy transparente
Un proxy transparente es un modo en el que todo el tráfico HTTP de la red local se redirige automáticamente a través del servidor proxy. Los usuarios no necesitan configurar nada en sus navegadores.
Desde la perspectiva del empleado, todo funciona como de costumbre, pero en realidad cada solicitud pasa a través del proxy. Esto se implementa a través de una regla NAT en el firewall de MikroTik.
La regla intercepta todo el tráfico TCP saliente en el puerto 80 (HTTP) y lo redirige al puerto del proxy (8080).
Vaya a IP → Firewall → NAT. Haga clic en el botón + (agregar regla). En la pestaña General, establezca:
- Chain: dstnat
- Protocol: tcp
- Dst. Port: 80
- In. Interface: su interfaz LAN, por ejemplo ether2 o bridge-local
En la pestaña Action, establezca:
- Action: redirect
- To Ports: 8080
A través de la terminal:
/ip firewall nat add chain=dstnat protocol=tcp dst-port=80 in-interface=ether2 action=redirect to-ports=8080
Reemplace ether2 por el nombre de su interfaz LAN. Si tiene varias interfaces LAN unidas en un bridge, indique el nombre de la interfaz bridge.
MikroTik aplica las reglas NAT en orden de arriba hacia abajo. Asegúrese de que la regla para el proxy transparente esté antes de la regla de masquerade, si existe.
Después de agregar la regla, verifique su funcionamiento: abra cualquier sitio HTTP desde una computadora en la red local. Si el proxy funciona correctamente, la página se abrirá y aparecerá un registro en los logs del proxy (IP → Web Proxy → Access).
Reglas de acceso del Web Proxy
El Web Proxy en MikroTik permite crear reglas flexibles: bloquear dominios específicos, patrones de URL, o por el contrario, permitir solo ciertos recursos.
Las reglas de acceso se configuran en IP → Web Proxy → Access. Cada regla tiene condiciones (qué verificar) y acción (qué hacer: allow o deny).
Bloqueo de un dominio específico:
/ip proxy access add dst-host=vk.com action=deny comment="Bloquear VK"
add dst-host=*.vk.com action=deny comment="Bloquear subdominios de VK"
Bloqueo por máscara de URL:
/ip proxy access add dst-host=*.youtube.com action=deny comment="Bloquear YouTube"
add dst-host=youtube.com action=deny comment="Bloquear YouTube principal"
Permitir acceso solo a una subred específica:
/ip proxy access add src-address=192.168.1.10/32 dst-host=github.com action=allow
add dst-host=github.com action=deny
Bloqueo por extensión de archivos:
/ip proxy access add path=*.exe action=deny comment="Bloquear descargas de EXE"
add path=*.torrent action=deny comment="Bloquear archivos Torrent"
add path=*.zip action=deny comment="Bloquear descargas de ZIP"
Preste atención al orden de las reglas: MikroTik las verifica de arriba hacia abajo y se detiene en la primera coincidencia.
Las reglas allow para IP específicas deben estar por encima de las reglas deny para los mismos dominios.
Limitaciones del filtrado HTTPS
Las reglas del Web Proxy solo funcionan con tráfico HTTP. Para bloquear sitios HTTPS, que ahora son la mayoría, utilice adicionalmente reglas en IP → Firewall → Protocolo de Capa 7 o bloquee por direcciones IP a través del firewall normal.
La filtración completa de HTTPS requiere una solución separada, como un proxy externo con inspección SSL.
Caché y optimización del ancho de banda
La caché es una de las principales razones por las que se activa el proxy en MikroTik en pequeñas oficinas y centros educativos. El principio es simple: si 20 empleados abren la misma página de noticias, sin caché, el router la descarga 20 veces.
Con caché, solo una vez, y los otros 19 obtienen los datos de la memoria local del router instantáneamente.
| Parámetro | Descripción | Recomendación |
|---|---|---|
| max-cache-size | Tamaño máximo de la caché | 50-500 MB dependiendo de la memoria |
| max-cache-object-size | Tamaño máximo de un objeto en caché | 2048-4096 KB |
| cache-path | Ruta para almacenar la caché | Unidad USB si está disponible |
| max-fresh-time | Tiempo de almacenamiento de un objeto en caché | 3 días (259200 seg) |
Configuración a través de la terminal:
/ip proxy set max-cache-size=102400KiB
max-cache-object-size=4096KiB
max-fresh-time=3d
Para verificar la efectividad de la caché, utilice el comando:
/ip proxy monitor
Preste atención a los indicadores hits y misses. Un buen indicador es cuando los hits representan el 20-40% del total de solicitudes.
Si los hits están cerca de cero, puede ser que la mayoría del tráfico sea HTTPS, que no se almacena en caché, o que la caché sea demasiado pequeña.
Un matiz importante: los sitios modernos utilizan cada vez más encabezados Cache-Control: no-store o no-cache, que prohíben el almacenamiento en caché.
Por lo tanto, en la práctica, la efectividad de la caché en 2024 es menor que hace 5-10 años. Sin embargo, para recursos estáticos (imágenes, archivos CSS, JS) la caché sigue funcionando bien.
Configuración DNS local y DNS sobre HTTPS
La resolución de nombres es el componente de red que más impacta en la velocidad percibida de navegación en internet. Normalmente, las empresas configuran servidores de resolución pública desprotegidos que envían todas las solicitudes en texto plano por el puerto UDP 53.
Esto expone los hábitos de navegación del personal y abre la puerta a ataques de redirección maliciosa (DNS Spoofing).
Una configuración avanzada de MikroTik implementa DNS sobre HTTPS (DoH), encriptando todas las solicitudes DNS de la red local mediante conexiones seguras HTTPS (puerto TCP 443) hacia servidores de alta reputación como Cloudflare o Google.
Importar los certificados necesarios para verificar las conexiones seguras HTTPS:
/tool fetch url=" /certificate import file-name=cacert.pem name=ca-certificates
Configurar el resolvedor DoH utilizando el servicio seguro de Cloudflare:
/ip dns set use-doh-server=" verify-doh-cert=yes
Configurar direcciones IP estáticas de respaldo en caso de fallo de DoH:
/ip dns set servers=1.1.1.1,8.8.8.8 allow-remote-requests=yes
Al activar allow-remote-requests=yes, el router almacena en memoria caché local las peticiones repetitivas, disminuyendo el tiempo de carga de las páginas corporativas habituales.
Filtrado DNS y control de consultas
El filtrado DNS bloquea dominios que no se ajustan a las políticas definidas por las reglas corporativas de una organización. Para que este mecanismo sea efectivo, los clientes deben utilizar el resolvedor DNS previsto por la red y no servidores externos configurados manualmente.
El filtrado de contenido basado en DNS puede combinarse con control parental, bloqueo de malware, protección contra phishing y políticas diferenciadas para redes administrativas, públicas, educativas o de invitados.
La segmentación mediante VLANs facilita la aplicación de políticas diferentes sin crear reglas independientes para cada dispositivo. También permite aislar los equipos de invitados de las redes de administración y datos.
Monitoreo, logs y verificación
El sistema de logs en MikroTik proporciona visibilidad profunda sobre el comportamiento de la red, ataques detectados, accesos no autorizados, cambios de configuración y eventos del sistema.
Los logs pueden ser visualizados localmente, almacenados en archivos o enviados a servidores remotos vía Syslog, lo cual es esencial para entornos corporativos que requieren auditoría y cumplimiento normativo.
Además, se pueden definir topics específicos para los eventos a registrar, lo que permite reducir el ruido y enfocarse en información crítica como bloqueos del firewall, intentos de acceso remoto, o eventos relacionados con VPNs y túneles IPSec.
Esta técnica es clave para la detección temprana de comportamientos sospechosos, como accesos no autorizados, intentos de escaneo de puertos o actividad anómala dentro de tu red.
Comprobaciones recomendadas
- Verifica que las reglas incrementen sus contadores.
- Comprueba que los dominios bloqueados no puedan resolverse mediante los DNS alternativos.
- Prueba el acceso desde cada VLAN o interfaz a la que se aplica la política.
- Revisa los registros del firewall, del proxy y del sistema.
- Confirma que los sitios permitidos sigan funcionando después de aplicar el bloqueo.
- Realiza pruebas de velocidad y latencia en la red para identificar cuellos de botella.
Mejores prácticas de rendimiento y estabilidad
QoS y priorización
Configura colas simples o jerárquicas para priorizar el tráfico crítico, por ejemplo, gestión de servidores o consultas a bases de datos.
El servicio de filtrado de contenido del firewall optimiza el uso del ancho de banda, reservándolo para tareas cruciales.
Balanceo y redundancia WAN
Si tienes múltiples enlaces WAN, configura PCC (Per Connection Classifier) o ECMP para distribuir el tráfico.
Para empresas donde una caída de internet detiene las operaciones comerciales, depender de un solo proveedor de servicios (ISP) es inviable. La implementación de un sistema de doble WAN en modo contingencia (Failover) garantiza la continuidad del negocio.
El error común en la configuración tradicional de MikroTik consiste en activar la opción “Check Gateway” apuntando directamente a la IP del módem del ISP. Si la fibra óptica exterior se rompe, pero el módem del proveedor permanece encendido, el router creerá erróneamente que la conexión sigue activa.
Para resolver esto, utilizamos Enrutamiento Recursivo, un método avanzado que fuerza al router a verificar la conectividad real haciendo ping continuo a servidores externos confiables de la red, como los resolvedores DNS de Google o Cloudflare, a través de canales específicos.
En este escenario, si el ISP principal pierde conectividad real hacia el servidor de Google, la ruta con menor métrica se desactivará de inmediato en la tabla de enrutamiento.
El tráfico de toda la empresa conmutará de forma transparente y automatizada hacia la ruta secundaria con prioridad menor.
FastTrack y filtrado
Al activar FastTrack, se omiten varias reglas del firewall para conexiones establecidas. Sin embargo, el PCC (Per Connection Classifier) necesita enlaces simétricos y rutas bien definidas.
Si bien ambos enlaces son de 1 Gbps, si las métricas de ruta no están configuradas correctamente, puedes tener un reparto desigual de tráfico, causando cuellos de botella o fallos de conexión.
Asegúrate de que los mismos tipos de conexiones (TCP/UDP) no se repartan aleatoriamente entre ambos enlaces.
En casos avanzados, podrías mezclar PCC + Failover con reglas que clasifiquen tráfico por puertos o direcciones, pero eso requiere ajustes finos.
Hardware y carga de CPU
El diseño de una red informática corporativa exige dispositivos robustos, flexibles y capaces de procesar altos volúmenes de tráfico sin degradar el rendimiento del hardware local.
La ejecución de reglas de firewall complejas o túneles cifrados sin aceleración de hardware puede saturar rápidamente los procesadores del router.
El método moderno y óptimo en RouterOS para manejar VLANs es utilizar la función de filtrado de VLAN sobre una única interfaz Bridge (Bridge VLAN Filtering), lo que permite que el procesamiento de conmutación se delegue directamente al chip de switch físico del router (Hardware Offloading).
Seguridad adicional del router
Neighbor Discovery
Una vez establecida la configuración de MikroTik inicial, restrinja el protocolo de descubrimiento únicamente a interfaces de administración interna seguras.
/ip neighbor discovery-settings set discover-interface-list=LAN
La desactivación selectiva en puertos de cara a redes externas (WAN) bloquea la capacidad de atacantes para obtener información sobre el modelo de hardware y la versión exacta de RouterOS instalada en su perímetro.
Actualizaciones y limpieza
Cuando un administrador hereda una infraestructura de red o necesita reutilizar un router MikroTik, realizar una limpieza de configuración es el primer paso obligatorio.
El reinicio interno (System Reset) se ejecuta directamente desde la interfaz del sistema o mediante comandos. Borra la base de datos de configuración pero conserva los archivos internos del sistema operativo y las claves de licencia.
/system reset-configuration no-default=yes skip-backup=yes
Netinstall es una herramienta de software que corre sobre sistemas operativos Windows. Permite formatear completamente la memoria flash del router e instalar una copia fresca de RouterOS directamente a través de una conexión de cable Ethernet.
El uso de Netinstall es indispensable en casos de corrupción de firmware, bloqueos del gestor de arranque (RouterBOOT) o cuando se desea garantizar la eliminación absoluta de configuraciones anteriores o posibles scripts maliciosos persistentes.
¿Son infalibles los filtros de contenido?
A medida que las amenazas en línea se multiplican, los filtros de contenido proporcionan a las organizaciones y a las personas por igual una primera línea de defensa crucial. Sin embargo, un enrutador de filtrado de contenido no siempre es infalible y puede cometer errores.
Para empezar, es casi imposible que los filtros de contenido bloqueen todo el contenido no deseado, considerando que la web pública contiene más de 4.5 mil millones de sitios web.
Además, a menudo pueden bloquear recursos y contenido importantes que los usuarios necesitan para trabajar de manera efectiva. Los filtros de contenido que aplican configuraciones de reglas más estrictas pueden terminar bloqueando sitios inocuos o legítimos o aquellos que pueden parecer políticos.
Dados estos problemas, a menudo es mejor buscar un filtro de contenido integral que permita actualizaciones periódicas y cambios cuando sea necesario.
Buenas prácticas para evitar falsos positivos
- Comienza con un nivel de protección adecuado y ajusta las categorías según el entorno.
- Utiliza listas de sitios permitidos para excepciones justificadas.
- Prueba las reglas desde cada segmento de red.
- Coloca las reglas de excepción antes de las reglas generales de bloqueo.
- Revisa periódicamente los registros y las categorías.
- Documenta el propósito de cada Address List y cada regla.
- Evita aplicar un bloqueo global cuando solo sea necesario restringir una VLAN o subred.
- Actualiza regularmente las bases de datos de categorías y dominios maliciosos.
Filtrado en entornos de servidores virtuales
Configurar un router MikroTik en un entorno de servidores virtuales requiere enfocarse en el rendimiento, la seguridad y la estabilidad.
Divide la red en subredes según los tipos de tráfico (administrativo, público, backups) para evitar colisiones y facilitar la gestión.
Utiliza direcciones IP privadas y NAT para equipos internos, reservando direcciones públicas solo para servicios que lo requieran.
Configura colas simples o jerárquicas para priorizar el tráfico crítico, por ejemplo, gestión de servidores o consultas a bases de datos.
Usa Web Proxy para almacenar en caché contenido estático y reducir la carga en la red.
Activa SNMP para integrar MikroTik con herramientas como Zabbix o The Dude.
Configura los registros del sistema y alertas para detectar anomalías rápidamente.
Configura backups automáticos de la configuración del router.
Implementa una ruta de respaldo para evitar interrupciones en caso de fallo de la conexión principal.
Integración con otras soluciones
Además, le presentaremos WiFire Hotspot - una solución capaz de bloquear sitios web no deseados y establecer límites de ancho de banda de una manera intuitiva y eficaz, ofreciendo una administración simplificada y garantizando una experiencia en línea segura y eficiente.
El Hotspot WiFire fue desarrollado para facilitar la gestión de redes Wi-Fi, proporcionar datos estratégicos sobre clientes y visitantes, e implementar acciones de relación con estrategias de WiFi Marketing.
Todo esto con la garantía de seguridad y practicidad para su negocio.
El servicio de filtrado de contenido del firewall facilita el cumplimiento de las normativas y leyes relacionadas con la seguridad de los datos y la privacidad en línea.
Material técnico de apoyo
- Marco Boschini - Presentación de diapositivas “Añade filtrado DNS a tu router Mikrotik” - Parte de demostración técnica.
- Francesco Collini - Presentación de diapositivas “Añade filtrado DNS a tu router Mikrotik” - Parte de demostración de FlashStart y su integración con FlashStart.
La combinación de reglas de firewall, Address Lists, filtrado TLS, DNS seguro, Web Proxy, segmentación mediante VLANs, registros y supervisión permite construir una política de acceso flexible y verificable en RouterOS.
tags: #filtrado #de #contenido #mikrotik
Publicaciones populares:
- Artículo recomendado: Filtro de licuadora FS-9100033456
- Cómo usar la mascarilla desechable antipolvo FFP1 y sus características
- Residuos y propiedades de Agua de Bejís
- La absorción de agua en el intestino: cómo se filtra lo que llega a las heces
- Cuándo conviene un ablandador de agua para casa