MikroTik como cortafuegos: modelos, rendimiento real con reglas y qué le falta

MikroTik es un fabricante letón de equipos de red, y RouterOS es su sistema. No vende «cortafuegos»: vende routers, pero RouterOS tiene cortafuegos con estado, NAT y varias VPN. Sus precios son tan bajos que mucha gente se pregunta si sirve para proteger una oficina. La respuesta depende de qué entiendas por proteger y de quién lo vaya a configurar.

Los modelos y sus cifras

MikroTik publica en cada ficha sus propias pruebas de rendimiento, e incluye el resultado con reglas de filtrado. Esa es la columna que importa aquí.

La columna de IPsec usa AES-128-CBC con SHA1, según la misma prueba. Ojo: la guía del NIST no recomienda SHA1 hoy, como se explica en qué es IPsec, pero la ficha del RB5009 da cifras muy parecidas con AES-256 y SHA256 en la prueba de 256 túneles (1.409 Mbps). Las demás fichas se pueden consultar igual.

Lo que el precio en dólares no dice es lo que pagarás en España, que depende del distribuidor.

Cómo leer esas cifras

• «Sin reglas» no es tu caso. Esa prueba va por la vía rápida (fast path). Con solo 25 reglas de filtrado, el hEX baja de 3.647 a 1.430 Mbps. El CCR2004, de 38.116 a 14.304.
• El RB5009 aguanta mejor las reglas que los otros de su precio: de 9.851 a 9.366 Mbps. Y, junto con el RB4011, es el más barato de la tabla que supera 1 Gbps en IPsec.
• Con paquetes pequeños es otra historia. En la misma tabla del RB5009, con paquetes de 64 bytes y 25 reglas, se queda en 414 Mbps.
• Son pruebas del fabricante, con unas reglas concretas. Tu resultado dependerá de lo que actives: las colas de tráfico o una lista larga de reglas pueden restar mucho.

Qué trae RouterOS y qué no

La configuración por defecto que documenta MikroTik es un cortafuegos con estado clásico: acepta lo establecido y relacionado, tira lo inválido y bloquea lo nuevo que venga de la WAN sin una regla de NAT de destino. También hay VLAN y VPN, incluidas IPsec y WireGuard, que se comparan en esta otra guía.

Lo que marca la diferencia con un UTM o un NGFW es lo que no consta en la documentación revisada: servicios por suscripción de IPS, antivirus de red o reputación de direcciones. Tampoco se ha encontrado una inspección de tráfico cifrado como la de esos equipos. Si tu proveedor te dice lo contrario para una versión concreta, pídele la referencia.

Licencias

La documentación indica que el hardware de MikroTik trae una licencia integrada, y que no se puede mover a otro equipo. Las de pago por niveles, y las de CHR, son para usar RouterOS en otros equipos o en máquinas virtuales. Una cosa menos que renovar cada año, a diferencia de las suscripciones de otras marcas.

Cómo proteger un MikroTik

Si das el paso, el propio fabricante recomienda, además de las reglas del cortafuegos:

1. Actualizar RouterOS. Admite que versiones antiguas tuvieron debilidades, y sugiere seguir su blog de avisos de seguridad.
2. Cambiar el usuario admin por otro nombre y deshabilitarlo.
3. Poner una contraseña fuerte: al menos 12 caracteres con números, símbolos, mayúsculas y minúsculas, que no sean palabras de diccionario.
4. Apagar el acceso por MAC en redes en producción: MAC-Telnet, MAC-WinBox y MAC-Ping.
5. Gestionarlo por VPN, y no dejar la administración abierta a internet. MikroTik propone WireGuard, por ejemplo.

¿Te conviene?

Esta valoración es criterio de esta web:

• Sí, si alguien de tu equipo domina redes, lo vas a mantener y buscas routing, VLAN y VPN a buen precio. Con esas condiciones, el RB5009 es un equipo muy capaz para una oficina.
• Mejor no, si nadie lo va a mantener: una regla mal puesta no avisa. Tampoco si necesitas IPS o filtrado por categorías sin montar nada más, o soporte con un contrato detrás. Compara con Ubiquiti UniFi, que también va sin licencia en algunas funciones, o con la gama de entrada de FortiGate.
• Si te afecta el ENS o NIS2, comprueba antes si el equipo cumple lo que te exigen.