Contenedores (Docker) en RouterOS v7: correr apps en tu MikroTik

Uno de los cambios más profundos de RouterOS v7 es que tu MikroTik dejó de ser solo un router: con el paquete container puede correr contenedores compatibles con Docker directamente sobre el equipo. Eso significa alojar un Pi-hole, un agente de monitoreo, un servidor DNS o un pequeño servicio de red al lado del plano de ruteo, sin sumar un servidor aparte. Para un ISP o una empresa con muchos sitios, consolidar servicios en el mismo equipo de borde ahorra hardware, energía y puntos de falla.

Qué necesitas antes de empezar

• RouterOS v7.4 o superior y el paquete container instalado (se descarga como .npk desde el sitio de MikroTik, según la arquitectura del equipo).
• Arquitectura ARM, ARM64 o x86. Los equipos ARM64 con más RAM son los que mejor rinden.
• Almacenamiento extra: un disco USB, SSD o NVMe. Los contenedores no deben vivir en la flash interna (se desgasta y suele ser pequeña).
• Acceso físico al equipo: activar el modo contenedor exige un paso de seguridad que solo se puede hacer con el equipo a mano.

Activar el modo contenedor

Por seguridad, MikroTik obliga a habilitar la función mediante el modo device-mode, que requiere confirmar con un botón físico o un corte de energía dentro de una ventana de tiempo:

/system/device-mode/update container=yes

Tras ejecutarlo, el equipo pide confirmación física (presionar el botón de reset o reiniciar la alimentación). Es una barrera deliberada: evita que un atacante remoto levante contenedores sin acceso al sitio.

Preparar el almacenamiento y la red

Primero, apunta el root-dir de los contenedores al disco externo montado (por ejemplo usb1):

/container/config/set registry-url=https://registry-1.docker.io tmpdir=usb1/tmp
/container/config/set ram-high=256M

Los contenedores se conectan a la red por una interfaz virtual veth unida a un bridge. Así el contenedor obtiene su propia IP y tú controlas el tráfico con el firewall:

/interface/veth/add name=veth1 address=172.19.0.2/24 gateway=172.19.0.1
/interface/bridge/add name=dockers
/interface/bridge/port add bridge=dockers interface=veth1
/ip/address/add address=172.19.0.1/24 interface=dockers
# NAT de salida para el contenedor
/ip/firewall/nat add chain=srcnat action=masquerade src-address=172.19.0.0/24

Levantar una imagen

Puedes bajar una imagen desde un registro (Docker Hub) o importarla desde un archivo. Ejemplo con una imagen liviana de DNS/adblock:

/container/add remote-image=pihole/pihole:latest interface=veth1 \
    root-dir=usb1/pihole logging=yes
/container/start 0

Para que la LAN acceda al servicio del contenedor, se hace port forward hacia su IP. Todos los contenedores en la misma veth se ven entre sí sin restricciones; hacia afuera, tú decides qué se expone.

Novedad 2026: contenedores más seguros

Las versiones recientes de RouterOS (rama 7.2x) ampliaron mucho el catálogo de apps listas para usar y sumaron un interruptor de acceso saliente de red por contenedor: puedes impedir que un contenedor inicie tráfico hacia afuera, dejándolo aislado salvo lo que tú permitas. Es clave si corres software de terceros en el borde.

Casos de uso reales

Caso	Qué resuelve
DNS + adblock (Pi-hole / AdGuard)	Filtrado y DNS local sin un servidor extra en cada sucursal.
Agente de monitoreo	Exportar métricas del sitio a tu NOC central.
Automatización / webhooks	Pequeños scripts que reaccionan a eventos de la red.
Cache o proxy liviano	Servicios de borde cerca del usuario.

Límites que conviene tener claros

No es un servidor de aplicaciones: la RAM y el CPU del router son acotados, así que los contenedores deben ser livianos. Evita cargas pesadas (bases de datos grandes, transcodificación). Y trata el almacenamiento como consumible: usa discos de calidad y respalda la configuración. Bien dimensionado, correr contenedores en el borde es una de las capacidades más potentes de RouterOS v7.

En MikroTik Chile diseñamos e implementamos arquitecturas de borde con contenedores para ISP y empresas, cuidando la seguridad y el rendimiento. Si quieres evaluar qué servicios conviene llevar a tus equipos, conversemos en una reunión técnica.