Backup, restauración y Netinstall en MikroTik: guía para ISP

Cuando un CCR de core deja de responder a las 3 de la madrugada, la pregunta no es "¿qué pasó?" sino "¿en cuánto tiempo vuelvo a producción?". La respuesta depende casi por completo de una disciplina que muchos equipos posponen: tener un backup MikroTik reciente, probado y recuperable, más un procedimiento claro para restaurarlo o reinstalar el equipo desde cero. En redes de ISP y empresas donde cada minuto de indisponibilidad se traduce en tickets, SLA vencidos y usuarios sin servicio, la estrategia de respaldo no es un extra: es parte del diseño. En este artículo revisamos las tres herramientas que RouterOS te da para esto —backup binario, export en texto y Netinstall— y cuándo usar cada una.

Backup binario vs. export en texto: no son lo mismo

El error más común es tratar el backup binario y el export como intercambiables. No lo son, y confundirlos te puede dejar sin forma de recuperar un equipo. RouterOS ofrece dos mecanismos con propósitos distintos.

El backup binario (/system/backup/save) es un clon completo de la configuración en formato binario. Incluye contraseñas de usuarios, certificados instalados y prácticamente todo el estado del sistema. Es el respaldo que quieres para restaurar el mismo equipo rápidamente. Su contraparte: es específico del modelo y de la versión de RouterOS, no es legible ni editable, y no puedes migrar selectivamente partes de la configuración.

El export (/export) genera un archivo de texto .rsc con la configuración en forma de comandos legibles. Es portable entre equipos, editable, ideal para versionar en Git y perfecto para clonar solo una parte —por ejemplo, todo el firewall— de un router a otro. Su límite es importante y hay que tenerlo presente: el export no incluye las contraseñas de usuarios del sistema, ni los certificados instalados, ni las llaves SSH, ni las bases de datos de Dude o User-Manager. Esas piezas se exportan y reinstalan aparte.

Criterio	Backup binario (.backup)	Export (.rsc)
Formato	Binario (no editable)	Texto plano legible
Comando	/system/backup/save	/export
Incluye contraseñas y certificados	Sí	No
Portable entre modelos/versiones	No (mismo modelo y versión)	Sí (con precaución de versión)
Migración selectiva por menú	No	Sí (parámetro path)
Uso ideal	Recuperar el mismo equipo rápido	Clonar, versionar, documentar, migrar

La conclusión práctica: en un equipo de producción quieres ambos. El binario para restaurar rápido; el export para reconstruir, auditar y migrar cuando el hardware cambia o la versión salta.

Cómo generar un backup MikroTik correctamente

Un backup MikroTik sin contraseña es un riesgo de seguridad: el archivo contiene información sensible como claves y configuraciones completas. Desde RouterOS v6.43, si no entregas contraseña el backup queda sin cifrar. Por eso, siempre define una contraseña y usa el cifrado por defecto aes-sha256 (evita rc4, que solo existe por compatibilidad y no se considera seguro).

# Backup binario cifrado (recuperación rápida del mismo equipo)
/system/backup/save name=core-rb1 password=TuClaveFuerte encryption=aes-sha256

# Export completo en texto (portable, versionable, auditable)
/export file=core-rb1-config

# Export de una sola sección, p. ej. solo firewall
/ip/firewall/export file=fw-core

# Export excluyendo un submenú específico
/export path=/ip/firewall,!/ip/firewall/nat file=fw-sin-nat

# Ver los archivos generados en el equipo
/file/print

Los archivos quedan bajo el menú /file y se descargan por FTP, SFTP o Winbox. Un detalle que suele olvidarse: si tienes Dude o User-Manager instalados, el backup del sistema no incluye esas configuraciones. Debes respaldarlas con sus propias herramientas de export. Lo mismo aplica a los certificados: si tu red depende de VPN con IPsec o de RADIUS con certificados, exporta e importa esos certificados por separado o tu restauración quedará a medias.

El backup que no se prueba no existe

Guardar el archivo y sentirse tranquilo es una trampa clásica. Un respaldo solo cuenta si lo puedes restaurar. La forma de saberlo es probar la restauración en un equipo de laboratorio del mismo modelo y versión, o al menos validar el .rsc con un dry-run antes de confiar en él. Automatizar la generación periódica y su envío fuera del equipo —por correo o a un repositorio— convierte esto de una tarea manual olvidable a un proceso confiable; si quieres llevarlo más lejos, la automatización de RouterOS con scripting y scheduler permite programar backups diarios, ponerles fecha en el nombre y despacharlos a un destino externo sin intervención humana.

Restaurar la configuración: load, import y sus diferencias

Restaurar tiene dos caminos, en espejo con los dos tipos de respaldo.

Para el backup binario, se usa load. El equipo pide confirmación y se reinicia aplicando la configuración restaurada:

# Restaurar un backup binario (reinicia el equipo)
/system/backup/load name=core-rb1 password=TuClaveFuerte

# Al migrar una config de RouterOS v6 a v7
/system/backup/load name=core-rb1 password=TuClaveFuerte \
    force-v6-to-v7-configuration-upgrade=yes

Para el export .rsc, se usa import. Aquí RouterOS te da herramientas para trabajar con cuidado, que en un equipo remoto marcan la diferencia entre una ventana de mantención limpia y una salida a terreno:

# Importar validando cada línea (útil para depurar errores de sintaxis)
/import file-name=core-rb1-config.rsc verbose=yes

# Simular la importación sin aplicar cambios (solo en modo verbose)
/import file-name=core-rb1-config.rsc verbose=yes dry-run=yes

El dry-run es tu red de seguridad: simula la importación completa sin tocar la configuración, de modo que detectas errores de sintaxis antes de que rompan algo. Si vas a reemplazar una configuración existente en vez de sumarle comandos, primero limpia el equipo con /system/reset-configuration no-defaults=yes y reinicia, y recién ahí importa el .rsc sobre una base vacía.

Dos advertencias que evitan dolores de cabeza. Primero, importa con la misma versión de RouterOS con la que hiciste el export: algunos comandos cambian entre versiones y un import a ciegas puede fallar a mitad de camino. Segundo, existe la auto-importación: un archivo llamado *.auto.rsc subido por FTP/SFTP se ejecuta solo al llegar, y genera un .auto.log con el resultado. Es potente para aprovisionamiento masivo, pero justamente por eso conviene entender bien su comportamiento antes de usarlo en producción.

Netinstall: cuando el equipo ya no arranca

Hay un escenario donde ni el load ni el import te sirven: el equipo no bootea, RouterOS está corrupto o quedó en un estado irrecuperable. Ahí entra Netinstall, la utilidad de MikroTik para instalar y reinstalar RouterOS desde cero. Sirve para recuperar equipos inaccesibles, hacer instalaciones limpias o reinstalar cuando el sistema está dañado o mal configurado.

Netinstall existe en tres formas: Windows (interfaz gráfica), Linux (netinstall-cli, por línea de comandos) y, desde RouterOS 7.24beta1, como paquete Netinstall disponible para casi todas las arquitecturas MikroTik (excepto SMIPS). Dos hechos clave que debes internalizar antes de ejecutarlo:

• Netinstall reformatea el disco del sistema: borra toda la configuración y todos los archivos de usuario. No es una restauración, es un borrón y cuenta nueva. Por eso el respaldo previo es innegociable.
• No elimina la licencia ni resetea RouterBOOT: la key de RouterOS se conserva y los ajustes de RouterBOOT (por ejemplo, la frecuencia de CPU) permanecen intactos.

El flujo real de una recuperación con Netinstall

El procedimiento, resumido, es este:

• Prepara el host: ejecuta Netinstall en un PC (o router MikroTik) conectado al mismo segmento L2 que el equipo a recuperar. Lo recomendable es usar una interfaz de red dedicada con IP estática y un switch o hub simple, para evitar conflictos de IP, DHCP o BOOTP. Este detalle es el que más falla en terreno: si Netinstall no "ve" el equipo, casi siempre es un problema de segmento L2 o de otro servidor DHCP interfiriendo.
• Lleva el equipo a modo Etherboot. Hay dos vías: el Regular Booter (mantén Ctrl+E por consola serial, o presiona el botón Reset 1–2 segundos después de energizar) y el Backup Booter (apaga, mantén Reset presionado, energiza y espera la secuencia de LED —parpadeo → fijo → apagado— antes de soltar; el equipo entra en modo BOOTP). Conviene conocer ambos, porque según el modelo uno funciona y el otro no.
• Instala: selecciona el equipo detectado, elige los paquetes de RouterOS y, si quieres, un script de configuración inicial que se aplique en el primer arranque. Así el equipo vuelve a producción ya preconfigurado, no en blanco.

Ese último punto es la conexión con tu estrategia de respaldo: si tienes un .rsc limpio y versionado, Netinstall deja de ser una emergencia caótica y se vuelve un procedimiento repetible —reinstalas RouterOS y aplicas tu configuración conocida en minutos.

De la herramienta a la política: qué falta en la mayoría de las redes

Saber los comandos es la parte fácil. Lo que separa una red resiliente de una frágil es la política detrás: ¿con qué frecuencia se genera el backup MikroTik de cada equipo?, ¿dónde se guardan las copias fuera del propio router?, ¿quién valida que se puedan restaurar?, ¿está el export versionado para saber qué cambió y cuándo? En una red de ISP con decenas de equipos, hacer esto a mano no escala; termina en respaldos viejos, incompletos o inexistentes justo cuando más se necesitan.

Ahí es donde el respaldo deja de ser una tarea aislada y pasa a ser parte de la operación. Un esquema sano combina backups binarios y exports automáticos por equipo, almacenamiento externo y una rutina de verificación —todo esto se apoya en el soporte y la operación continua de la red y en la automatización para que suceda sin depender de la memoria de nadie. El objetivo final es simple de enunciar y difícil de improvisar: que perder un equipo sea un incidente de minutos, no de horas.

En MikroTik Chile diseñamos e implementamos estas políticas de respaldo, recuperación y aprovisionamiento para redes de ISP y empresas que no pueden permitirse improvisar una restauración en plena caída. Si quieres revisar cómo está hoy tu estrategia de backup y recuperación en RouterOS, conversemos con un ingeniero.