Cuando administramos una red con MikroTik, uno de los recursos más importantes para identificar problemas suele ser también uno de los menos aprovechados: los registros del sistema, conocidos como Logs.
Estos registros permiten conocer eventos ocurridos en el router, como desconexiones PPPoE, cambios en interfaces, intentos de acceso, errores de servicios y modificaciones de configuración.
Para un administrador de un ISP o WISP, revisar los logs puede marcar la diferencia entre diagnosticar una falla rápidamente o invertir horas buscando su origen.
1. ¿Qué son los Logs en MikroTik?
Los logs son mensajes generados por RouterOS que registran determinados eventos del sistema. Cada registro suele contener la fecha u hora, el tema al que pertenece y una descripción del acontecimiento.
Por ejemplo, si un cliente PPPoE pierde su conexión, el sistema puede registrar un mensaje que ayude a identificar cuándo ocurrió y cuál fue la causa reportada.
Los registros son especialmente útiles para:
- Identificar desconexiones de clientes PPPoE.
- Detectar cambios de estado en interfaces de red.
- Investigar errores de autenticación y acceso.
- Verificar modificaciones realizadas por administradores.
- Analizar eventos de firewall y posibles intentos de acceso no autorizado.
- Revisar problemas relacionados con DHCP, VPN o protocolos de enrutamiento.
2. ¿Dónde consultar los Logs?
Desde WinBox o WebFig
Ingresamos al equipo MikroTik y seleccionamos la opción Log del menú principal. Allí aparecerán los registros disponibles en memoria, con información sobre el momento, tema y descripción de cada evento.
Desde la terminal
Para consultar los registros disponibles:
/log printPara observar nuevos eventos en tiempo real:
/log print followPodemos detener el seguimiento presionando Ctrl + C.
Para buscar mensajes relacionados con PPP:
/log print where topics~"ppp"Para buscar registros que contengan una palabra o dirección determinada:
/log print where message~"disconnected"/log print where message~"192.168.1.10"Para consultar mensajes de error:
/log print where topics~"error"Y para monitorear únicamente mensajes de firewall:
/log print follow where topics~"firewall"3. Cómo interpretar los registros más frecuentes
No basta con visualizar los mensajes. Lo importante es comprender qué nos están indicando y relacionarlos con el comportamiento de la red.
| Registro o evento | Interpretación | Qué revisar |
|---|---|---|
| PPPoE authentication failed | La autenticación del cliente no fue aceptada. | Usuario, contraseña, RADIUS y configuración PPP. |
| PPPoE disconnected | La sesión del cliente terminó. | Motivo de desconexión, enlace, CPE y registros cercanos. |
| ether1 link down | La interfaz perdió el enlace físico. | Cable, módulo SFP, alimentación y equipo remoto. |
| ether1 link up | La interfaz recuperó el enlace. | Frecuencia de caídas y estabilidad del puerto. |
| login failure | Se produjo un intento de autenticación fallido. | IP de origen, usuario, servicio y frecuencia. |
| DHCP assigned / deassigned | Se asignó o retiró una dirección IP. | Concesiones DHCP, cliente y configuración del servidor. |
Los textos exactos pueden variar según la versión de RouterOS y el servicio involucrado.
Ejemplo práctico: cliente que se desconecta constantemente
Supongamos que un cliente reporta interrupciones frecuentes. Primero buscamos los eventos relacionados con PPP:
/log print where topics~"ppp"Después revisamos la hora de cada desconexión y la comparamos con otros eventos. Si varias sesiones se desconectan simultáneamente, conviene investigar el enlace principal, la OLT, las interfaces y la disponibilidad del servidor PPPoE antes de asumir que el problema pertenece a un cliente individual.
4. Personalizar los Logs mediante System Logging
RouterOS permite decidir qué eventos registrar y dónde almacenarlos. Para ello ingresamos a System → Logging en WinBox o utilizamos la terminal.
Primero consultamos las reglas existentes:
/system logging printY las acciones disponibles:
/system logging action print detailLos topics permiten seleccionar la categoría de mensajes que nos interesa.
| Topic | Utilidad |
|---|---|
| system | Eventos generales del sistema. |
| interface | Cambios y eventos de interfaces. |
| ppp / pppoe | Sesiones y eventos relacionados con PPP o PPPoE. |
| firewall | Mensajes generados por reglas de firewall con registro. |
| dhcp | Asignación y administración de direcciones. |
| account | Actividad de cuentas y accesos. |
| error / warning | Errores y advertencias. |
| debug | Información detallada para diagnóstico. |
Ejemplo: registrar eventos de PPPoE
/system logging add topics=pppoe,info action=memory prefix="PPPOE: "Esta regla registra en memoria los eventos informativos de PPPoE que coincidan con los topics indicados, agregando un prefijo para reconocerlos.
Ejemplo: registrar errores PPP
/system logging add topics=ppp,error action=memory prefix="PPP-ERROR: "También podemos configurar un registro temporal de depuración:
/system logging add topics=ppp,debug action=memory prefix="PPP-DEBUG: "Para desactivar la regla de depuración creada en este ejemplo:
/system logging disable [find where prefix="PPP-DEBUG: "]Es recomendable verificar primero las reglas existentes y evitar duplicar configuraciones innecesariamente.
5. Configurar el tamaño de los Logs y su almacenamiento
Este apartado es especialmente importante cuando administramos equipos MikroTik en producción.
RouterOS permite almacenar registros en memoria RAM, en archivos de disco o enviarlos a un servidor remoto. Cada alternativa tiene ventajas y limitaciones.
Almacenamiento en memoria RAM
Es una alternativa adecuada para el diagnóstico cotidiano porque no genera escrituras constantes sobre el almacenamiento interno.
Podemos revisar la configuración actual:
/system logging action print detailPara configurar el buffer predeterminado con un máximo de 2.000 registros:
/system logging action set [find where name="memory"] memory-lines=2000El parámetro memory-lines define la cantidad máxima de entradas, no un tamaño en megabytes.
Cuando se alcanza el límite, normalmente los mensajes antiguos son reemplazados por los nuevos, siempre que no esté activada la opción de detener el registro al llenarse.
Los registros almacenados exclusivamente en RAM no deben considerarse un historial persistente ante reinicios.
Crear un buffer independiente
Podemos crear una memoria exclusiva para los eventos de PPPoE:
/system logging action add name=pppoeBuffer target=memory memory-lines=1000Y asignarle los eventos:
/system logging add topics=pppoe action=pppoeBufferPara consultar ese buffer:
/log print where buffer=pppoeBufferEsta opción permite separar registros de diagnóstico de los mensajes generales del sistema. Si ya existen reglas que registran esos eventos en la memoria predeterminada, se seguirán generando allí también.
Guardar registros en disco
Si necesitamos conservar eventos después de un reinicio, podemos utilizar una acción de almacenamiento en archivos.
/system logging action add name=erroresDisco target=disk disk-file-name=errores-router disk-lines-per-file=500 disk-file-count=3Después indicamos qué eventos deseamos almacenar:
/system logging add topics=error action=erroresDiscoEn este ejemplo se utiliza una rotación de tres archivos con hasta 500 líneas por archivo, lo que representa una capacidad aproximada de 1.500 registros, no un límite fijo en bytes.
Los archivos se pueden consultar desde el menú Files.
Para comprobar el espacio disponible:
/system resource printRevisa especialmente free-hdd-space y total-hdd-space. En equipos que disponen de USB o microSD también se puede considerar un medio de almacenamiento externo, verificando previamente su disponibilidad y estado.
6. Activar Logs en las reglas del Firewall
Una función que muchos administradores desconocen es que las reglas del firewall pueden generar sus propios registros.
En WinBox ingresamos a IP → Firewall → Filter Rules, abrimos una regla y, en sus propiedades, activamos Log. También podemos definir un Log Prefix para identificar fácilmente los eventos.
Por ejemplo, si tenemos una regla que bloquea determinados intentos de acceso, podemos identificar sus mensajes mediante el prefijo:
FW-BLOQUEO:También es posible configurar una regla existente desde terminal. Primero identificamos la regla correcta:
/ip firewall filter print detailLuego, si la regla tiene el comentario único BLOQUEO-ADMIN:
/ip firewall filter set [find where comment="BLOQUEO-ADMIN"] log=yes log-prefix="FW-BLOQUEO: "Este comando modifica una regla existente; no crea una nueva ni cambia su acción de aceptar o bloquear tráfico.
Para observar los mensajes generados:
/log print follow where topics~"firewall"En estos registros podemos encontrar información como dirección IP de origen, IP de destino, protocolo, puertos e interfaz de entrada, según el tipo de paquete.
Para diagnósticos puntuales, es preferible seleccionar reglas específicas, limitar la cantidad de eventos registrados cuando corresponda y desactivar el registro después de la investigación.
7. Enviar los Logs a un servidor Syslog remoto
Cuando administramos varios routers o necesitamos conservar un historial de incidentes, es recomendable centralizar los registros mediante un servidor Syslog.
Esta alternativa permite almacenar y consultar eventos sin depender únicamente de la memoria o del almacenamiento interno de cada MikroTik.
Ejemplo de configuración para enviar errores a un servidor de registros con dirección 192.168.100.10:
/system logging action add name=syslogISP target=remote remote=192.168.100.10 remote-port=514 remote-log-format=syslog/system logging add topics=error action=syslogISPLa dirección IP es ilustrativa y debe reemplazarse por la del servidor Syslog real. El servidor debe estar configurado para recibir mensajes, y la conectividad y las reglas de firewall deben permitir la comunicación.
El envío Syslog tradicional por UDP no garantiza la entrega ni cifra el contenido. Para transportar registros entre redes no confiables, conviene utilizar una VPN u otra solución segura compatible.
8. Buenas prácticas para administradores ISP/WISP
- Revisa los logs durante cada incidente: compara los mensajes con la hora exacta del problema reportado.
- Prioriza errores y advertencias: evita registrar eventos innecesarios.
- Utiliza prefijos descriptivos: facilitan identificar el origen de los mensajes.
- Controla la cantidad de registros: ajusta el buffer según los recursos disponibles y el volumen real de eventos.
- Evita debug permanente: habilítalo temporalmente y desactívalo después.
- Protege la memoria interna: para historiales extensos utiliza almacenamiento externo o Syslog remoto.
- Verifica la hora del router: configura correctamente la zona horaria y la sincronización NTP para correlacionar eventos.
- Protege los registros: pueden contener IP, usuarios y otros datos operativos sensibles.
Conclusión
Los logs de MikroTik son mucho más que una lista de mensajes del sistema. Utilizados correctamente, permiten identificar incidentes, analizar desconexiones, detectar actividad sospechosa y comprender mejor el comportamiento de nuestra infraestructura.
Sin embargo, registrar demasiada información también puede convertirse en un problema. Por eso es fundamental seleccionar los eventos realmente importantes, configurar adecuadamente su almacenamiento y utilizar herramientas externas cuando necesitamos conservar grandes volúmenes de registros.
En NisiTechs recomendamos convertir la revisión de logs en parte habitual del diagnóstico de redes, especialmente en entornos ISP/WISP donde la disponibilidad del servicio es fundamental.
Documentación oficial: MikroTik RouterOS Logging.
Publicar un comentario