EoIP + IPsec en MikroTik: extender tu LAN entre dos sitios

A veces no basta con rutear entre dos sitios: necesitas que estén en la misma red de capa 2, como si un cable las uniera. Un sistema que exige misma subred en dos edificios, un servidor que hace broadcast, una migración... Para eso está EoIP (Ethernet over IP) de MikroTik, y con IPsec encima, cifrado.

Qué hace EoIP

EoIP crea un túnel que transporta tramas Ethernet completas entre dos routers MikroTik. Al agregar la interfaz EoIP a un bridge en cada extremo, ambas LAN quedan unidas en un solo dominio de broadcast: los equipos de un lado ven a los del otro como si estuvieran en el mismo switch.

Configuración con cifrado

Cada extremo apunta al otro. El campo tunnel-id debe coincidir, y con ipsec-secret RouterOS cifra el túnel automáticamente:

# en el sitio A (la IP remota es la del sitio B)
/interface/eoip/add name=eoip-a remote-address=203.0.113.20 tunnel-id=100 \
    ipsec-secret=CLAVE-FUERTE
/interface/bridge/port add bridge=bridge-lan interface=eoip-a

En el sitio B se hace lo simétrico, apuntando a la IP del sitio A. Con eso, las dos LAN son una sola, cifrada de extremo a extremo.

La advertencia importante: MTU y broadcast

Extender capa 2 tiene costos que hay que conocer:

• MTU: encapsular Ethernet en IP reduce el MTU útil. Si no ajustas MTU/MSS, verás conexiones que "cargan a medias" o fallan con archivos grandes. Es el problema más frecuente.
• Broadcast: todo el broadcast de un sitio cruza el túnel al otro. En redes grandes, eso consume ancho de banda y puede propagar tormentas. Úsalo entre segmentos acotados.

Si en realidad solo necesitas ruteo cifrado entre sitios (no mismo dominio L2), casi siempre es mejor WireGuard o GRE: menos problemas y más escalable.

Usa EoIP+IPsec cuando…	Evítalo cuando…
Necesitas mismo dominio L2 entre sitios	Solo necesitas rutear (usa WireGuard/GRE)
Una app exige misma subred	Los sitios son grandes (mucho broadcast)

En MikroTik Chile unimos sitios con la tecnología correcta —L2 con EoIP cuando de verdad se necesita, o ruteo cifrado cuando conviene— cuidando MTU y rendimiento. Si tienes que conectar dos oficinas y no sabes cuál enfoque te conviene, lo definimos en una reunión.