Aislamiento de puertos en MikroTik: clientes que no se ven entre sí

En un hotel, un coworking o un hotspot, cada usuario debe llegar a internet, pero no debe ver a los demás. Si todos están en la misma red y pueden alcanzarse, es un riesgo: alguien podría espiar o atacar al de al lado. El aislamiento de puertos (port isolation) lo evita de forma simple.

La idea: todos al uplink, nadie entre sí

Quieres que cada cliente hable con el gateway/uplink (para salir a internet), pero que los clientes no se hablen entre ellos. En RouterOS esto se hace con la propiedad horizon del bridge: los puertos con el mismo número de horizon no reenvían tráfico entre sí.

Configuración con horizon

# los puertos de clientes comparten el mismo horizon: no se ven entre ellos
/interface/bridge/port
add bridge=bridge1 interface=ether2 horizon=1
add bridge=bridge1 interface=ether3 horizon=1
add bridge=bridge1 interface=ether4 horizon=1
# el uplink NO lleva horizon: todos pueden llegar a él
add bridge=bridge1 interface=ether1

Con eso, ether2, ether3 y ether4 (los clientes) salen por ether1 (el uplink) pero no pueden alcanzarse entre sí. Simple y efectivo, sin necesidad de una VLAN por cliente.

Dónde se usa

• Hotspot / hotel / coworking: cada huésped aislado del resto.
• Redes de invitados: que naveguen, pero sin acceso a otros dispositivos.
• Puertos de servidores que no deben hablar entre sí directamente.

Horizon vs VLAN por cliente

Horizon	VLAN por cliente
Simple, un solo bridge, aísla en capa 2	Aislamiento total con su propia subred
Ideal para muchos clientes iguales (hotspot)	Ideal cuando cada uno necesita su red propia

Para aislar clientes de un hotspot, horizon es la opción más limpia. Para clientes empresariales con su propia red, mejor VLAN.

En MikroTik Chile diseñamos redes de acceso público seguras —hotspot con clientes aislados, invitados sin riesgo— para hoteles, cafés y coworkings. Si en tu red los usuarios se ven entre sí, aislémoslos.