RoMON en MikroTik: administra tus equipos sin IP, por capa 2

Hay un escenario incómodo para todo técnico de red: necesitas entrar a un switch o router que quedó mal configurado, sin IP alcanzable, o al que le rompiste el acceso justo con el cambio que hiciste. RoMON resuelve eso: permite administrar equipos MikroTik por capa 2, sin depender de direcciones IP.

Qué es RoMON

RoMON significa Router Management Overlay Network. Crea una red de gestión independiente que descubre y reenvía paquetes a nivel de MAC, encapsulados con un EtherType propio (0x88bf). Funciona al margen del ruteo y del direccionamiento IP: aunque un equipo no tenga IP, si está conectado por Ethernet a la malla RoMON, lo alcanzas.

Es ideal para administrar una flota: desde un equipo "agente" entras a todos los MikroTik vecinos (y a los vecinos de esos) saltando por capa 2, como si fueran una sola red de gestión.

Activarlo

Se habilita con un comando en cada equipo. Por seguridad, conviene ponerle un secreto (solo los equipos con el mismo secreto se ven) y limitar por qué puertos opera:

/tool/romon/set enabled=yes secret=CLAVE-ROMON
/tool/romon/port/set [find] disabled=no

Desde WinBox, luego, activas la vista RoMON y ves el árbol de equipos alcanzables por capa 2; entras a cualquiera con un clic, sin conocer su IP.

Seguridad: no lo dejes abierto

• Ponle un secret: sin él, cualquier MikroTik en la misma red L2 podría unirse a tu malla de gestión.
• Limita los puertos donde RoMON está activo (no en los puertos hacia clientes).
• Desde RouterOS v7.17, si el switch chip soporta reglas ACL, se crean reglas dinámicas para llevar los paquetes RoMON a la CPU. En equipos sin ese soporte, revisa que la config de VLAN/CPU esté alineada o RoMON puede no funcionar.

RoMON vs las VPN de gestión

Herramienta	Cuándo
RoMON	Acceso de emergencia por L2, equipos sin IP, red local/anillo de un ISP.
ZeroTier	Llegar a equipos remotos por internet, detrás de CGNAT.
WireGuard	Gestión sobre un túnel cifrado permanente entre sitios.

RoMON no reemplaza a una VPN para acceso por internet (opera en capa 2, dentro del mismo dominio). Su valor es la red local del ISP y el rescate cuando el acceso IP se cae.

En MikroTik Chile diseñamos el acceso de gestión de tu red —RoMON para lo local, VPN para lo remoto— para que nunca pierdas el control de un equipo. Si alguna vez "te quedaste afuera" de un router, te ayudamos a que no vuelva a pasar.