The Dude MikroTik y Netwatch: monitoreo nativo RouterOS

En una red ISP o de misión crítica, el peor momento para enterarte de que un enlace se cayó es cuando suena el teléfono del NOC. Si tu OLT, tu BNG, un router de agregación o el uplink de un cliente corporativo quedó fuera de servicio, cada minuto sin visibilidad es un minuto de MTTR que corre en tu contra. La buena noticia es que RouterOS trae dos herramientas de monitoreo integradas que no dependen de ningún servidor externo: Netwatch para detección de estado y reacción automática, y The Dude MikroTik para tener un mapa vivo de toda la topología. Bien combinadas, te dan una primera capa de observabilidad que se levanta con lo que ya tienes en el rack.

Netwatch: el probe nativo dentro de RouterOS

Netwatch vive en /tool netwatch (paquete advanced-tools) y hace una cosa muy concreta: sondea periódicamente un host y ejecuta un script cuando el estado cambia entre Up y Down. No es un dashboard; es un motor de detección y acción que corre dentro del router, sin instalar nada.

Lo que lo hace potente para un ISP es que dejó de ser un simple ping. Las versiones actuales de RouterOS 7 permiten elegir el tipo de sondeo según lo que realmente quieras validar: que el equipo responda a nivel de red, que un puerto TCP esté escuchando, que un servicio HTTP devuelva el código correcto o que un resolver DNS conteste. Cada probe se define con un host obligatorio, un interval (por defecto 10s) y un timeout (por defecto 3s), más un conjunto de umbrales específicos por tipo.

Tipos de probe disponibles

El parámetro type define qué se prueba y con qué profundidad. Estos son los tipos reales que soporta Netwatch:

Tipo (type)	Qué valida	Umbral típico	Caso de uso ISP
simple	ICMP básico (compatibilidad con Netwatch antiguo)	—	Chequeo mínimo de alcanzabilidad
icmp	Serie de ICMP con estadística (rtt, jitter, pérdida)	thr-avg 100ms, thr-loss-percent 85%	Calidad de un enlace, no solo si "pinguea"
tcp-conn	Handshake TCP de 3 vías a un puerto	thr-tcp-conn-time 1s	Verificar que un servicio (SSH, RADIUS) escucha
http-get	Petición HTTP GET y validación de código	http-codes 100-299	Portal cautivo, panel web, API interna
https-get	GET sobre TLS con validación opcional de certificado	thr-http-time 10s	Servicio web con verificación de cadena TLS
dns	Consulta DNS (A, AAAA, MX, NS) a un resolver	record-type A	Salud de tu infraestructura DNS

La diferencia entre simple e icmp es más grande de lo que parece. El tipo icmp envía una serie de paquetes (packet-count 10 por defecto, cada packet-interval de 50ms) y calcula rtt promedio, desviación estándar, jitter y porcentaje de pérdida. Puedes marcar el host como Down no solo cuando deja de responder, sino cuando la latencia promedio supera thr-avg o la pérdida cruza thr-loss-percent. Para un enlace de última milla o un radioenlace, eso significa detectar la degradación antes de la caída total.

Netwatch en acción: up-script, down-script y automatización

El valor real de Netwatch aparece cuando conectas el cambio de estado a un up-script y un down-script. Ahí pasa de "monitor" a "primera línea de automatización": puedes notificar, cambiar rutas, activar un enlace de respaldo o registrar el evento, todo desde el propio router.

/tool netwatch
add name="uplink-cliente-corp" host=200.x.x.1 type=icmp \
    interval=10s timeout=1s \
    thr-avg=120ms thr-loss-percent=40 \
    down-script={
        :log warning "Netwatch: uplink-cliente-corp CAIDO";
        /tool e-mail send to="noc@tudominio.cl" \
            subject="[ALERTA] Uplink corp DOWN" \
            body=("Host caido a las " . [/system clock get time]);
    } \
    up-script={
        :log info "Netwatch: uplink-cliente-corp RECUPERADO";
    }

Un par de propiedades importan para evitar falsos positivos, típico dolor de cabeza en un NOC saturado de alertas:

• startup-delay (5m por defecto): espera antes de arrancar el probe tras un reinicio, para no gatillar alarmas mientras converge la red.
• ignore-initial-up e ignore-initial-down: controlan si el script corre en la transición desde el estado Unknown inicial, útil para no disparar el down-script apenas habilitas la regla.
• early-failure-detection: en probes ICMP, marca el host como caído sin esperar todos los paquetes cuando ya es evidente el resultado, acortando el tiempo de reacción.

Con esto, Netwatch cubre el escenario de failover reactivo: detecta la caída de un gateway y, vía script, ajusta una ruta o levanta un túnel de respaldo. Es la base de un monitoreo que no solo avisa, sino que actúa.

The Dude MikroTik: el NOC visual sobre SNMP

Netwatch es excelente por host, pero no te da la foto completa de la red. Ahí entra The Dude MikroTik, la aplicación de monitoreo de red de MikroTik que corre como servicio dentro de RouterOS (paquete dude, gestionado en /dude). A diferencia de un probe puntual, The Dude descubre dispositivos, dibuja la topología y consulta métricas por SNMP, mostrándote en un solo mapa qué está arriba, qué está degradado y qué se cayó.

El flujo típico es: habilitas el servidor Dude en un router con almacenamiento (o en una CHR), defines los dispositivos en /dude/device y sus /dude/device-type, y el motor empieza a sondear. Para que las métricas SNMP fluyan, cada equipo MikroTik monitoreado necesita el servicio SNMP activo:

/snmp community
set [find default=yes] name=NOC-ro addresses=10.10.0.0/24
/snmp
set enabled=yes contact="NOC" location="Core Santiago"

Con SNMP habilitado, The Dude puede graficar uso de CPU, tráfico por interfaz, temperatura, memoria y estado de los enlaces, y dispara notificaciones cuando un dispositivo cambia de estado. La propia documentación de MikroTik lo recomienda explícitamente para monitorear y diseñar topologías complejas —por ejemplo al desplegar STP/RSTP o MSTP en redes con muchos enlaces—, donde ver el árbol de forma gráfica evita errores caros.

Para un WISP o un ISP regional, The Dude resuelve algo que Netwatch por sí solo no hace: la correlación. Cuando cae un router de agregación y detrás cuelgan veinte CPE, el mapa te muestra el nodo raíz en rojo y el resto en gris "dependiente", en vez de inundarte con veinte alarmas independientes.

Netwatch y The Dude MikroTik: cuándo usar cada uno

No compiten; se complementan. La forma sana de pensarlo:

• Netwatch es tu detector-actuador por host: rápido, scriptable, ideal para failover, alertas puntuales de servicios críticos (BNG, RADIUS, DNS, gateway upstream) y reacción automática sin intervención humana.
• The Dude MikroTik es tu vista de conjunto: descubrimiento, mapa de topología, tendencias históricas por SNMP y correlación de fallas. Es lo que mira el operador de turno en la pantalla del NOC.

En una arquitectura madura conviven: Netwatch protege los puntos donde necesitas reacción en segundos, y The Dude entrega el contexto y la historia para diagnóstico y capacidad. Ambos son nativos, sin licencias por dispositivo ni agentes externos, lo que los hace un excelente punto de partida antes de escalar a un stack SNMP + Grafana cuando el volumen de datos lo justifica.

Los límites del monitoreo nativo

Ser honesto con las herramientas es parte del oficio. Netwatch y The Dude son sólidos para una red pequeña o mediana y para reacción local, pero tienen fronteras que conviene conocer antes de apoyarte por completo en ellos:

• The Dude concentra el monitoreo en un router: si ese equipo o su almacenamiento fallan, pierdes visibilidad justo cuando más la necesitas. En redes críticas se diseña redundancia para el propio servidor de monitoreo.
• La retención histórica y la capacidad de análisis son limitadas frente a un stack dedicado; para reportería de SLA y correlación a gran escala, lo natural es exportar por SNMP hacia Prometheus/Grafana.
• Los scripts de Netwatch son poderosos, pero mal calibrados generan flapping de alertas o acciones de failover indeseadas. Los umbrales (thr-*), el interval y los ignore-initial-* hay que ajustarlos a la realidad de cada enlace.

La clave no es la herramienta, sino el diseño: qué monitoreas, con qué umbrales, qué gatilla una acción automática y qué queda para el operador. Ese diseño es lo que separa un NOC que apaga incendios de uno que anticipa.

Conversemos sobre tu observabilidad

Netwatch y The Dude MikroTik te dan una capa de monitoreo nativo que puedes levantar hoy con el equipamiento que ya operas, sin sumar costos de licenciamiento por dispositivo. El verdadero rendimiento aparece cuando esa capa está bien diseñada: probes con los umbrales correctos, scripts de failover confiables, SNMP consistente y un mapa que refleja la topología real. En MikroTik Chile diseñamos e implementamos esquemas de monitoreo y automatización sobre RouterOS para ISPs y empresas con redes de misión crítica, y también acompañamos con soporte continuo cuando necesitas manos expertas detrás del NOC. Si quieres llevar tu observabilidad al siguiente nivel, conversemos sobre tu caso.