MikroTik y TP-Link Omada: la red y la WiFi de un restaurante o un hotel, con VLAN, WiFi de clientes y 4G de respaldo

Qué vas a conseguir

Una red de local en la que cada cosa va por su sitio: TPV, datáfonos, personal, cámaras y clientes en redes separadas, con la fibra respaldada por 4G, un cortafuegos que se entiende de un vistazo y la configuración guardada fuera del router. Y saber qué mirar cuando un salón lleno dice que la WiFi no va.

Antes de empezar

• Un router MikroTik con RouterOS 7 y una salida 4G: un router 4G en un puerto propio o un MikroTik con módem LTE integrado.
• Switches y puntos de acceso TP-Link Omada con su controlador: software, hardware (OC200 u OC300) o en la nube. Las rutas de menú de esta guía son las del controlador 6.
• El plan de VLAN de la guía de hotel en pre-apertura. Aquí se usan las mismas: 10 gestión, 20 personal, 30 TPV, 40 datáfonos, 70 IoT y 100 clientes.

1. Las VLAN: una red por uso

En el MikroTik, un bridge con filtrado de VLAN y una interfaz con su IP por cada red. El puerto ether5 es el troncal hacia el switch Omada:

›/interface bridge add name=bridge1 vlan-filtering=no›/interface bridge port add bridge=bridge1 interface=ether5›/interface bridge vlan add bridge=bridge1 tagged=bridge1,ether5 vlan-ids=10,20,30,40,70,100›/interface vlan add interface=bridge1 name=vlan30-tpv vlan-id=30›/ip address add address=10.40.30.1/24 interface=vlan30-tpv# lo mismo para 10, 20, 40, 70 y 100; después el DHCP de cada una›/interface bridge set bridge1 vlan-filtering=yes

Activar vlan-filtering puede dejarte fuera. Hazlo con Safe Mode (Ctrl+X en el terminal): si se corta la sesión, el router deshace los cambios.

En el controlador Omada, sin gateway Omada, cada red se crea solo como VLAN (el DHCP lo da el MikroTik), y perfiles de puerto: troncal hacia cada punto de acceso, la 30 sin etiquetar para un TPV y la 40 para un datáfono.

2. La WiFi de clientes: portal, aislamiento y límites

Tres SSID bastan; cada uno de más consume tiempo de aire con sus balizas:

• Brisa-Staff en la VLAN 20, WPA2/WPA3 con clave que se cambia cuando alguien deja la empresa.
• Brisa-TPV en la VLAN 30, para los comanderos, con clave que solo conoce IT.
• Brisa-Clientes en la VLAN 100, con portal.

• Guest Network aísla a los clientes de la red interna: navegan, pero no ven los TPV ni a otros clientes.
• El portal está en Network Config › Authentication › Portal: sin autenticación con aceptación de condiciones, contraseña simple o vales (voucher) para el hotel. Pon un Authentication Timeout razonable (un día) para no pedir el portal en cada comida.
• Sin gateway Omada, el portal funciona para los clientes inalámbricos. Elige un portal: el de Omada o el Hotspot del MikroTik, no los dos.
• El límite por cliente lo pone Omada; el total de la red de clientes, el MikroTik, para que siempre quede ancho de banda para el TPV:

›/queue simple add name=clientes target=10.40.100.0/22 max-limit=40M/150M›/ip dhcp-server set dhcp-clientes lease-time=2h

max-limit es subida/bajada para todos los clientes juntos. Una /22 con concesiones de dos horas evita que un salón lleno agote las direcciones.

3. Doble WAN: fibra y 4G

Rutas recursivas: el router comprueba con un ping a un destino de internet que la fibra llega, no solo que el cable tiene luz.

›/ip route add dst-address=1.0.0.1/32 gateway=203.0.113.1 scope=10 comment="sonda fibra"›/ip route add dst-address=0.0.0.0/0 gateway=1.0.0.1 target-scope=11 check-gateway=ping distance=1 comment="fibra"›/ip route add dst-address=0.0.0.0/0 gateway=192.168.8.1 distance=2 comment="4G"›/ip firewall nat add chain=srcnat out-interface-list=WAN action=masquerade›/tool netwatch add host=1.0.0.1 type=icmp interval=30s down-script=":log warning \"fibra caida: trafico por 4G\""

• La IP de la sonda siempre sale por la fibra. No uses la misma que los servidores DNS del router: con la fibra caída, el router se quedaría sin DNS.
• El 4G tiene datos limitados. Con la fibra caída, los datáfonos y el TPV sí; los clientes, no:

›/ip firewall filter add chain=forward src-address=10.40.100.0/22 out-interface=ether2-4g action=drop comment="sin clientes por 4G" place-before=0

• Prueba el respaldo de verdad una vez al mes: desconecta la fibra, cobra con tarjeta, imprime en cocina y vuelve a conectarla.

4. El cortafuegos mínimo

Parte de la configuración por defecto de RouterOS 7, que ya protege la entrada, y añade el reenvío entre redes:

›/ip firewall filter add chain=forward connection-state=established,related action=accept›/ip firewall filter add chain=forward connection-state=invalid action=drop›/ip firewall filter add chain=forward in-interface-list=LAN-INTERNA out-interface-list=WAN action=accept›/ip firewall filter add chain=forward in-interface=vlan100-clientes out-interface-list=WAN action=accept›/ip firewall filter add chain=forward in-interface=vlan10-gestion action=accept comment="IT a todo"›/ip firewall filter add chain=forward action=drop comment="entre VLAN, nada mas"

• LAN-INTERNA es una lista de interfaces (Interfaces › Interface List) con las VLAN 20, 30, 40 y 70. Lo que no está permitido está prohibido: una regla nueva para el CashDro o el PMS se añade, con comentario, antes de la última.
• La gestión del router, solo desde la VLAN 10: /ip service set winbox address=10.40.10.0/24, lo mismo para ssh, y /ip service disable telnet,ftp,www,api si no los usas.

5. Copias de configuración y firmware

›/export file=rtr-brisa-2026-10-30›/system backup save name=rtr-brisa-2026-10-30 password=********›/system scheduler add name=export-semanal interval=7d on-event="/export file=auto-export"

• /export es texto y sirve para comparar versiones (oculta las claves salvo con show-sensitive); /system backup es binario, cifrado y solo para el mismo equipo.
• Las dos copias salen del router (Winbox › Files o SFTP) y se guardan con el resto de la documentación del local.
• En Omada, la copia del controlador, que incluye todos los sitios, y la copia automática programada. Sin ella, cambiar el controlador obliga a adoptar de nuevo cada equipo.
• Firmware: RouterOS en el canal stable o long-term (/system package update install) y después /system routerboard upgrade con otro reinicio. En Omada, primero un punto de acceso y luego el resto, con un firmware compatible con la versión del controlador.

6. El ticket: "la WiFi va lentísima en la boda"

Sábado, 21:15. Boda de 220 invitados en el salón del hotel. Los invitados se quejan de la WiFi y, peor, los camareros dicen que los comanderos tardan en enviar comandas.

1. ¿Es la WiFi o internet? /interface monitor-traffic ether1 muestra la fibra saturada de subida. /tool torch interface=vlan100-clientes lo explica: un equipo de la red de clientes sube a 80 Mbps, todo el vídeo de la boda a la nube.
2. ¿Por qué no lo frenó la cola? /queue simple print stats da la cola clientes casi a cero. Las conexiones van por FastTrack, y lo que va por FastTrack se salta las colas simples. Se excluye la red de clientes de la regla: /ip firewall filter set [find action=fasttrack-connection] src-address=!10.40.100.0/22 dst-address=!10.40.100.0/22. A los dos minutos la cola limita y la subida baja a 40 Mbps.
3. Descartar lo demás: /ip dhcp-server lease print count-only where server=dhcp-clientes da 612 de 1.019 direcciones: no es el DHCP. En Omada, los dos puntos de acceso del salón tienen 140 clientes cada uno y el canal de 2,4 GHz muy ocupado.
4. Los comanderos comparten tiempo de aire con los invitados. Esta noche, se baja el límite por cliente. Para la próxima: más puntos de acceso en el salón, clientes solo en 5 GHz en los eventos y canales de 20 o 40 MHz.
5. El cierre: causa (FastTrack saltándose la cola), solución (regla corregida en todos los locales) y, para eventos, pedir al organizador el número de invitados una semana antes.

La subida es lo que se satura primero en un evento: cuando está llena, hasta la bajada se resiente.

Siguientes pasos

• La guía de hotel en pre-apertura tiene el plan completo de VLAN de un hotel y los proveedores de cada una.
• La de Zabbix: monitorizar un restaurante o un hotel vigila este router, sus dos salidas a internet y los switches.
• La de Cisco: switches y routers del Nivel 4 explica las VLAN y los troncales con más detalle.
• Comprobar cada mañana la línea de respaldo, con los TPV y las impresoras, es parte de la idea del repositorio 34-venue-service-readiness de mi GitHub; la red de un hotel antes de abrir, de 24-hospitality-it-preopening.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.