Proteger la administración remota de MikroTik: lista de comprobación práctica

Por Alaa Ezat · 8 de octubre de 2026 · 4 min de lectura

Siete pasos para reforzar un router MikroTik que administras de forma remota: usuarios, servicios, direcciones permitidas, Safe Mode, actualizaciones y copias de seguridad.

La administración remota es cómoda y también es lo primero que sondean los atacantes. Estos pasos llevan unos minutos y eliminan la mayor parte del riesgo. Todos los comandos son estándar de RouterOS; ejecútalos en un terminal mientras todavía puedas llegar al router en local.

1. Mantén la administración fuera de Internet

Hay bots que rastrean Internet todo el día en busca de Winbox (puerto 8291), SSH y la interfaz web. Lo más seguro es no publicar esos servicios y llegar a ellos por un túnel, que es lo que hace el acceso remoto sin IP pública.

2. Usa un usuario con nombre propio y contraseña robusta

Crea tu propio usuario con una frase de contraseña larga y única, comprueba que puedes entrar con él y solo entonces desactiva la cuenta por defecto.

/user add name=ops group=full password="a-long-unique-passphrase"
/user disable admin

Prueba el nuevo acceso en una segunda ventana de Winbox antes de desactivar admin.

3. Apaga los servicios que no uses

Lista lo que está escuchando y apaga lo que no necesites. Telnet, FTP y la interfaz web sin cifrar rara vez hacen falta.

/ip service print
/ip service set telnet disabled=yes
/ip service set ftp disabled=yes
/ip service set www disabled=yes

Conserva los que sí usas, por ejemplo winbox, ssh y api.

4. Limita quién puede conectarse

Cada servicio puede restringirse a las direcciones que deben alcanzarlo. Sustituye el ejemplo por tu propia red:

/ip service set winbox address=192.168.88.0/24

Si administras el router a través de un túnel, permite también el rango de direcciones del túnel, o cortarás tu propio acceso remoto.

5. Usa Safe Mode al cambiar reglas de acceso

Safe Mode deshace tus cambios si se corta la conexión, así que un error en una regla de firewall o en un servicio no puede dejarte fuera. En Winbox pulsa el botón Safe Mode; en un terminal, pulsa Ctrl+X. Haz el cambio, confirma que sigues teniendo acceso y sal de Safe Mode para conservarlo.

6. Actualiza RouterOS

/system package update check-for-updates

Instala las actualizaciones del canal de versiones que uses y lee antes las notas de la versión en los routers de producción.

7. Haz una copia de seguridad antes de cambiar nada

/system backup save name=before-changes

Descarga el archivo desde Files para guardar una copia fuera del router.

Con todo esto, un router administrado de forma remota queda en buen estado. Si aún no has configurado el acceso remoto, empieza por nuestra guía y mira qué protocolo VPN encaja con tu red.