VLAN MikroTik: bridge VLAN filtering en RouterOS v7

Si administras una red con varios servicios corriendo sobre el mismo cableado —oficinas, VoIP, cámaras, un enlace de ISP hacia clientes— tarde o temprano necesitas segmentar. Y ahí aparece la pregunta que separa una red ordenada de una que se cae en hora peak: cómo implementar VLAN MikroTik sin heredar configuraciones frágiles de la era de los switch-chip menus. En RouterOS v7 la respuesta es una sola: bridge VLAN filtering. Es el método unificado, portable entre modelos y compatible con hardware offloading, que reemplaza los enfoques específicos de cada switch-chip que tantos dolores de cabeza daban al migrar equipos.

En este artículo revisamos cómo funciona el filtrado de VLAN sobre el bridge, la diferencia entre puertos tagged y untagged, el rol del PVID y de frame-types, y una configuración real de trunk y access ports que puedes adaptar a un switch de distribución o a un router de borde. Todo con menús y propiedades reales de RouterOS, no recetas de foro.

Por qué bridge VLAN filtering es el estándar en RouterOS v7

Antes, configurar una VLAN MikroTik dependía del equipo: en un CRS tocabas el switch menu, en un router ARM armabas interfaces VLAN sobre el bridge, y cada plataforma tenía su propia lógica. Eso hacía que una configuración no fuera portable y que un mismo diseño se comportara distinto según el chip.

El bridge VLAN filtering unifica todo bajo el bridge. Defines la política de VLAN una sola vez, en tres menús, y RouterOS la aplica en software o —si el modelo lo soporta— la baja al switch-chip con hardware offloading, sin que cambie tu configuración. La misma sintaxis funciona en un hEX, en un CCR de core y en un CRS de distribución. Esa portabilidad es justo lo que necesitas cuando operas una flota heterogénea de equipos.

El filtrado se apoya en tres menús que conviene tener claros desde el principio:

• /interface/bridge — donde activas vlan-filtering=yes y defines el ether-type (por defecto 0x8100, el estándar 802.1Q).
• /interface/bridge/port — donde cada puerto recibe su pvid, su frame-types y el ingress-filtering.
• /interface/bridge/vlan — la tabla que define, por cada VLAN ID, qué puertos son tagged y cuáles untagged.

Tagged, untagged y PVID: los tres conceptos que hay que dominar

La mayoría de los errores de VLAN en MikroTik vienen de confundir estos tres conceptos. Vale la pena fijarlos antes de tocar la consola.

Un puerto tagged (troncal) transmite la trama con su etiqueta 802.1Q intacta: es el uplink hacia otro switch o router que también entiende VLANs. Un puerto untagged (acceso) quita la etiqueta antes de entregar la trama al dispositivo final —un PC, un teléfono, una cámara— que no sabe nada de VLANs. Y el PVID (Port VLAN ID) resuelve el caso inverso: cuando una trama sin etiqueta entra por un puerto, RouterOS la asigna a la VLAN indicada por su pvid (por defecto 1).

Dos propiedades más terminan de blindar el diseño:

• frame-types — controla qué tipo de tramas admite el puerto en ingreso. Admite admit-all, admit-only-vlan-tagged y admit-only-untagged-and-priority-tagged. Un troncal correcto usa admit-only-vlan-tagged; un puerto de acceso, admit-only-untagged-and-priority-tagged.
• ingress-filtering — desde RouterOS v7 viene activado por defecto (yes). Verifica que el puerto de ingreso sea miembro del VLAN ID recibido en la tabla; si no lo es, descarta la trama en la entrada. Es tu red de seguridad contra VLANs que no deberían circular por ahí.

Un detalle práctico que ahorra líneas: los puertos con frame-types en admit-all o admit-only-untagged-and-priority-tagged se agregan automáticamente como untagged de su PVID en la tabla de VLAN. Aun así, ser explícito en la tabla hace la configuración más legible y auditable.

Rol del puerto	frame-types	pvid	En la tabla VLAN
Troncal (uplink)	admit-only-vlan-tagged	—	tagged
Acceso (PC/cámara)	admit-only-untagged-and-priority-tagged	VLAN del servicio	untagged
Híbrido (VoIP + PC)	admit-all	VLAN de datos	tagged voz + untagged datos

Configurar VLAN MikroTik paso a paso

Veamos un caso típico de distribución: un puerto troncal hacia el core, dos puertos de acceso (oficinas en VLAN 10, VoIP en VLAN 20) y una VLAN 99 reservada para administración. El orden importa, y mucho: primero se construye toda la tabla y recién al final se activa el filtrado.

/interface/bridge
add name=bridge1 protocol-mode=rstp

/interface/bridge/port
add bridge=bridge1 interface=ether1 \
    frame-types=admit-only-vlan-tagged comment="trunk hacia core"
add bridge=bridge1 interface=ether2 pvid=10 \
    frame-types=admit-only-untagged-and-priority-tagged comment="oficinas"
add bridge=bridge1 interface=ether3 pvid=20 \
    frame-types=admit-only-untagged-and-priority-tagged comment="voip"

/interface/bridge/vlan
add bridge=bridge1 tagged=bridge1,ether1 untagged=ether2 vlan-ids=10
add bridge=bridge1 tagged=bridge1,ether1 untagged=ether3 vlan-ids=20
add bridge=bridge1 tagged=bridge1,ether1 vlan-ids=99

Fíjate que bridge1 aparece como puerto tagged en cada entrada. Ese es el punto que casi todos olvidan: para que el propio equipo (su CPU, o el switch-cpu port cuando hay offloading) participe de una VLAN —para rutear entre ellas o simplemente para administrarlo— la interfaz del bridge debe estar en la tabla como tagged.

Acceso de administración: cómo no dejarte fuera del equipo

El error más caro con VLAN en MikroTik es activar vlan-filtering=yes y perder el acceso al equipo en el mismo instante. Ocurre porque, al filtrar, el tráfico de administración deja de circular si no definiste una VLAN de gestión con acceso a la CPU. Si estás en terreno tienes un cable de consola; si el equipo está en un rack a 300 km, tienes un problema.

La forma correcta es crear una interfaz VLAN de administración sobre el bridge antes de activar el filtrado:

/interface/vlan
add interface=bridge1 name=vlan99-mgmt vlan-id=99

/ip/address
add address=10.99.0.2/24 interface=vlan99-mgmt

/interface/bridge
set bridge1 vlan-filtering=yes

Desde RouterOS v7.16, al agregar una interfaz VLAN sobre un bridge con filtrado activo, RouterOS crea automáticamente la entrada tagged correspondiente en la tabla —aparece como una entrada dinámica con el comentario added by vlan on bridge—. Y desde la v7.20, cuando un mismo VLAN ID cruza varios switch-chips o mezcla puertos de hardware y software, se agrega además una entrada dinámica added by switch-cpu. Aun con estos automatismos, la recomendación operativa se mantiene: prepara toda la configuración, valida el acceso de gestión y deja vlan-filtering=yes como el último comando. Una tarea programada en /system/scheduler con un rollback a unos minutos es un seguro barato cuando trabajas en remoto.

Del switch al enrutamiento: firewall, QoS e inter-VLAN

Segmentar en capa 2 es solo la mitad del trabajo. Una vez que cada servicio vive en su VLAN, el valor real aparece cuando controlas el tráfico entre ellas. Con una interfaz VLAN por segmento sobre el bridge, el equipo puede rutear entre VLANs y aplicar política: quién habla con quién y bajo qué reglas.

• El aislamiento no lo entrega la VLAN por sí sola; lo entrega el firewall de RouterOS filtrando el tráfico inter-VLAN en la cadena forward. La VLAN separa los dominios de broadcast; el firewall decide qué cruza entre ellos.
• La VLAN de VoIP tiene sentido cuando además priorizas su tráfico. Ahí entra el diseño de QoS y traffic shaping para que la voz no compita de igual a igual con las descargas en hora peak.
• En escenarios de ISP, este mismo modelo se combina con etiquetado por abonado, RADIUS y asignación dinámica de VLAN por puerto, un terreno donde un diseño de red bien planificado evita rehacer todo a los seis meses.

Un punto sobre rendimiento que conviene tener presente: el bridge VLAN filtering se acelera por hardware solo en los modelos con switch-chip capaz de offload. En equipos donde el filtrado corre en software —o cuando activas funciones como dhcp-snooping, que apaga el fast-path del bridge— la CPU asume la carga. Dimensionar el equipo según el volumen de tráfico segmentado es parte del diseño, no un detalle posterior.

Verificar antes de dar por cerrado

Nunca des una configuración de VLAN por terminada sin leer la tabla en detalle. El comando clave es:

/interface/bridge/vlan/print detail

Revisa las columnas current-tagged y current-untagged: reflejan el estado real aplicado, incluyendo las entradas dinámicas que RouterOS agregó por ti. Si un puerto de acceso no aparece como current-untagged de su VLAN, o si el bridge no figura como current-tagged en la VLAN de gestión, algo quedó mal antes de que lo note el usuario final. Complementa con /interface/bridge/port/print para confirmar que el hardware offloading (columna H) está activo donde esperas.

Bien hecho, el filtrado de VLAN sobre el bridge te da una red segmentada, portable entre modelos y lista para escalar. Mal hecho, es una fuente silenciosa de fugas de broadcast, loops y equipos inaccesibles.

En MikroTik Chile diseñamos, implementamos y documentamos arquitecturas de VLAN sobre RouterOS para empresas e ISP con infraestructura de misión crítica: desde el esquema de segmentación y el filtrado inter-VLAN hasta la asignación dinámica por abonado. Si estás planificando una segmentación o quieres una segunda mirada sobre la que ya tienes en producción, conversemos tu caso con un ingeniero.