MikroTik RoMON: qué es, cómo funciona y cómo configurarlo para administrar otros routers

¿Qué es RoMON en MikroTik y por qué deberías conocerlo?

¿Administras varios routers MikroTik y necesitas acceder a ellos desde WinBox, incluso cuando no tienen una IP de gestión configurada? RoMON es una herramienta de RouterOS que facilita la administración de equipos conectados a una misma red RoMON. En esta guía aprenderás cómo funciona, cómo configurarlo correctamente y cómo aprovecharlo en situaciones reales de soporte remoto.

Cuando administramos una red con varios routers MikroTik, especialmente en pequeños ISP o WISP, es habitual encontrarnos con equipos que no tienen una dirección IP de administración, routers recién instalados o dispositivos que han perdido su configuración.

En estas situaciones existe una herramienta muy útil dentro de RouterOS: RoMON (Router Management Overlay Network).

RoMON permite establecer una red de administración entre dispositivos MikroTik utilizando identificadores basados en direcciones MAC, sin depender del direccionamiento IP de los routers de destino.

Esto significa que podemos acceder mediante WinBox a un MikroTik que no tiene una IP configurada, siempre que exista conectividad RoMON con otro equipo y que ambos participen en esta red de administración.

1. ¿Cómo funciona RoMON?

RoMON establece una red de descubrimiento y comunicación a nivel de capa 2. Utiliza tramas Ethernet específicas, identificadas mediante el EtherType 0x88BF.

Cada MikroTik participante dispone de un identificador denominado RoMON ID, que permite reconocerlo dentro de la red.

Un router puede funcionar como punto de entrada, también denominado RoMON Agent, permitiendo que WinBox descubra y alcance otros dispositivos MikroTik conectados a la misma red RoMON.

Por ejemplo, imaginemos esta topología:

Administrador remoto
        |
   Internet / VPN
        |
  MikroTik principal
    (RoMON Agent)
        |
     Switch
        |
  MikroTik secundario
     (Sin IP)

Si ambos MikroTik tienen RoMON habilitado y existe comunicación compatible entre sus interfaces, el administrador puede conectarse al router principal mediante WinBox y utilizarlo como intermediario para acceder al equipo secundario.

Importante: RoMON no crea una conexión a Internet ni reemplaza una VPN. El administrador necesita alcanzar previamente al router que utilizará como agente.

2. Principales funciones y características de RoMON

• Administración sin IP: permite acceder a equipos MikroTik sin configurar previamente una dirección IP de gestión.
• Integración con WinBox: permite administrar gráficamente routers descubiertos mediante RoMON.
• Comunicación entre varios routers: admite redes de administración con múltiples equipos y saltos RoMON.
• Identificación mediante RoMON ID: cada dispositivo dispone de un identificador propio.
• Selección de interfaces: permite autorizar o prohibir la participación de determinadas interfaces.
• Autenticación mediante secrets: permite verificar la autenticidad e integridad de los mensajes RoMON.
• Herramientas de diagnóstico: dispone de funciones para consultar vecinos y comprobar conectividad.
• Independencia del enrutamiento IP: no requiere rutas IP entre los routers que participan en la red RoMON.

3. Ventajas de utilizar RoMON en una red ISP o WISP

Acceso a equipos sin direccionamiento IP

Es especialmente útil durante la instalación de routers nuevos o cuando necesitamos configurar un equipo antes de asignarle su IP definitiva.

Facilita el soporte remoto

Podemos solicitar a un técnico de campo que conecte físicamente un MikroTik y habilite RoMON. Posteriormente, el administrador remoto puede realizar la configuración desde WinBox.

Administración centralizada

Un router principal puede utilizarse como punto de entrada para administrar otros MikroTik que formen parte de la red RoMON.

Recuperación del acceso de administración

Si un router pierde su IP de gestión, pero conserva RoMON habilitado y dispone de conectividad RoMON con otros equipos, todavía podríamos administrarlo.

Menor necesidad de desplazamientos

En redes con torres, nodos de distribución o instalaciones alejadas, RoMON puede evitar visitas técnicas cuando el problema se limita al acceso de administración.

4. Desventajas y limitaciones de RoMON

Aunque es una herramienta muy útil, también tiene limitaciones que debemos considerar:

• No funciona automáticamente: RoMON viene deshabilitado de forma predeterminada y debe activarse en los dispositivos participantes.
• No atraviesa Internet por sí solo: requiere una red RoMON compatible y un punto de entrada accesible.
• Dependencia de la conectividad física: si no existe comunicación compatible entre los equipos, RoMON no podrá establecer la conexión.
• Limitaciones de VLAN y switches: algunas configuraciones de VLAN, filtrado multicast y hardware offloading pueden impedir el paso de sus tramas.
• Riesgos de seguridad: el protocolo RoMON no cifra por sí mismo el tráfico. Los secrets autentican mensajes, pero no proporcionan confidencialidad.
• Exposición innecesaria: permitir RoMON en interfaces de clientes o redes no confiables aumenta la superficie de ataque.
• No recupera equipos inaccesibles: si el router está apagado, averiado o ha perdido completamente su conectividad, RoMON no solucionará el problema.

5. Cómo configurar RoMON mediante WinBox

Para activar RoMON desde la interfaz gráfica:

1. Ingresa al router MikroTik mediante WinBox.
2. Abre el menú Tools → RoMON.
3. Activa la opción Enabled.
4. Configura un Secret compartido con los equipos que deban comunicarse.
5. En la sección Ports, revisa las interfaces autorizadas.
6. Guarda los cambios mediante Apply y OK.

Por defecto, RoMON incluye una regla que permite participar a todas las interfaces. En producción es recomendable modificar esta política y autorizar únicamente las interfaces de administración necesarias.

6. Configuración de RoMON mediante terminal

La terminal permite habilitar RoMON rápidamente mediante SSH, consola o una sesión existente de RouterOS.

6.1. Consultar su estado

/tool romon print

Este comando permite verificar si RoMON está habilitado, su identificador y otros parámetros generales.

6.2. Habilitar RoMON

/tool romon set enabled=yes

Con este comando activamos el servicio. Sin embargo, si se mantiene la configuración predeterminada de puertos, todas las interfaces podrían participar.

6.3. Configurar un secret

/tool romon set enabled=yes secrets="ClaveRoMON-Segura"

El secret debe coincidir con el utilizado por los routers que establecerán la comunicación RoMON. Reemplaza el valor del ejemplo por una clave propia y robusta.

Nota de seguridad: el secret no cifra el tráfico RoMON. Para el acceso remoto utiliza adicionalmente una VPN y las funciones de seguridad de WinBox.

6.4. Restringir las interfaces participantes

Supongamos que utilizaremos exclusivamente ether2 para conectar los routers.

/tool romon port set [find interface=all] forbid=yes

/tool romon port add interface=ether2 forbid=no

Con esta configuración prohibimos la participación general y autorizamos específicamente ether2.

Antes de ejecutar estos comandos en producción, verifica el nombre real de la interfaz y asegúrate de no bloquear la única ruta RoMON disponible.

6.5. Consultar los puertos configurados

/tool romon port print detail

Permite revisar las interfaces, sus permisos y los costos asociados a las rutas RoMON.

6.6. Consultar los dispositivos descubiertos

/tool romon discover

Permite consultar dispositivos RoMON detectados. También podemos visualizar los dispositivos disponibles desde WinBox mediante la conexión al agente RoMON.

6.7. Comprobar conectividad RoMON

/tool romon ping id=AA:BB:CC:DD:EE:FF count=5

Reemplaza el identificador del ejemplo por el RoMON ID del dispositivo de destino.

Esta prueba permite verificar la comunicación RoMON, incluso cuando el equipo no dispone de una dirección IP de administración.

7. Ejemplo práctico: configurar remotamente un MikroTik nuevo utilizando MAC-Telnet y RoMON

Imaginemos una situación frecuente cuando administramos una red ISP o WISP de manera remota.

Un técnico de campo instala un MikroTik nuevo detrás de un router principal que ya administramos. Sin embargo, el equipo nuevo todavía no dispone de una dirección IP de gestión accesible desde nuestra ubicación.

En lugar de solicitar al técnico que realice toda la configuración, podemos aprovechar las herramientas IP Neighbors, MAC-Telnet y RoMON para acceder al dispositivo y configurarlo desde WinBox.

7.1. Escenario de red

   Administrador remoto
           |
      Internet / VPN
           |
    MikroTik principal
      (RouterOS)
           |
         ether3
           |
         ether2
           |
     MikroTik nuevo
   (Sin IP de gestión
      accesible)

Objetivo: acceder al MikroTik nuevo desde nuestra ubicación remota, habilitar RoMON y posteriormente administrarlo mediante la interfaz gráfica de WinBox.

7.2. Paso 1: identificar el MikroTik nuevo mediante IP Neighbors

Primero ingresamos al MikroTik principal, ya sea mediante WinBox o SSH.

Desde la terminal ejecutamos:

/ip neighbor print

Este comando muestra los dispositivos vecinos descubiertos mediante protocolos como MNDP, LLDP o CDP, según la configuración y compatibilidad de los equipos.

En los resultados podemos identificar información como:

• Nombre del dispositivo (Identity).
• Dirección MAC.
• Interfaz por la que fue descubierto.
• Dirección IP, si está anunciada.
• Versión de RouterOS y modelo, cuando estén disponibles.

Para mostrar información más detallada podemos utilizar:

/ip neighbor print detail

Supongamos que identificamos el MikroTik nuevo con la siguiente información:

Identity: MikroTik
MAC Address: AA:BB:CC:DD:EE:FF
Interface: ether3
Platform: MikroTik
Version: 7.x

La dirección MAC nos permitirá intentar acceder al dispositivo sin necesitar una dirección IP de administración.

Importante: el descubrimiento de vecinos debe estar habilitado en las interfaces correspondientes y los dispositivos deben encontrarse dentro de un dominio de descubrimiento compatible.

7.3. Paso 2: acceder al MikroTik nuevo mediante MAC-Telnet

Una vez identificada la dirección MAC, utilizamos la herramienta MAC-Telnet desde la terminal del MikroTik principal.

Ejecutamos:

/tool mac-telnet AA:BB:CC:DD:EE:FF

Reemplazamos la dirección MAC del ejemplo por la correspondiente al equipo nuevo.

El sistema solicitará las credenciales de acceso del MikroTik de destino.

Si la conexión se establece correctamente, podremos administrar el router nuevo mediante su terminal, aunque no tenga una dirección IP de gestión configurada.

Nota: MAC-Telnet debe estar habilitado y permitido en la interfaz correspondiente del router de destino. Además, debemos disponer de credenciales válidas. Algunos equipos recién restablecidos requieren utilizar la contraseña de fábrica indicada en su etiqueta.

7.4. Paso 3: habilitar RoMON en el MikroTik nuevo

Ahora que tenemos acceso a la terminal del router secundario, habilitamos RoMON:

/tool romon set enabled=yes

Para verificar que se encuentra activo ejecutamos:

/tool romon print

Si nuestra red RoMON utiliza un secret compartido, debemos configurarlo también en el router nuevo:

/tool romon set secrets="ClaveRoMON-Segura"

La clave debe ser compatible con la configuración del router principal.

Para una implementación segura, también debemos revisar las interfaces que participan en RoMON y restringirlas según la topología de nuestra red.

7.5. Paso 4: verificar RoMON en el router principal

Una vez habilitado RoMON en el router nuevo, regresamos a la terminal del MikroTik principal.

Verificamos que RoMON esté activo:

/tool romon print

Si todavía no está habilitado, podemos activarlo:

/tool romon set enabled=yes

Debemos comprobar que la interfaz conectada al MikroTik nuevo permita la comunicación RoMON y que ambos equipos tengan una configuración compatible de secrets.

También podemos intentar descubrir los equipos participantes:

/tool romon discover

7.6. Paso 5: ingresar al MikroTik nuevo mediante WinBox y RoMON

Ahora viene la parte más interesante: podremos utilizar la interfaz gráfica de WinBox para configurar el equipo nuevo.

1. Abrimos WinBox desde nuestro computador remoto.
2. Introducimos la dirección IP del MikroTik principal, al cual ya tenemos acceso.
3. Ingresamos las credenciales del router principal.
4. Seleccionamos la opción Connect To RoMON para utilizarlo como agente.
5. WinBox mostrará los dispositivos descubiertos mediante la red RoMON.
6. Identificamos el MikroTik nuevo mediante su RoMON ID.
7. Seleccionamos el equipo e ingresamos sus propias credenciales.
8. Establecemos la conexión mediante WinBox.

Si todo está correctamente configurado, tendremos acceso gráfico al MikroTik nuevo y podremos realizar las configuraciones necesarias:

• Asignar direcciones IP.
• Configurar interfaces Ethernet y bridges.
• Crear VLAN.
• Configurar rutas y reglas de firewall.
• Crear usuarios y establecer contraseñas seguras.
• Configurar servicios de administración.
• Realizar respaldos y actualizar RouterOS.

7.7. ¿Qué ventajas nos ofrece este procedimiento?

Con este método no necesitamos que el técnico de campo configure manualmente todo el router ni que establezca previamente una IP de administración accesible desde Internet.

El técnico únicamente debe conectar correctamente el equipo a nuestra infraestructura, mientras que nosotros podemos realizar el resto de la configuración de forma remota.

El procedimiento se resume en cuatro acciones:

1. IP Neighbors: descubrimos e identificamos el MikroTik nuevo.
2. MAC-Telnet: accedemos a su terminal utilizando la dirección MAC.
3. RoMON: habilitamos la comunicación de administración entre los routers.
4. WinBox: ingresamos gráficamente para completar la configuración.

Consideración importante: este procedimiento no garantiza acceso a cualquier router recién instalado. Requiere conectividad de capa 2 compatible, servicios de descubrimiento y MAC-Telnet habilitados, credenciales válidas y una conexión RoMON correctamente establecida.

En equipos con configuración predeterminada, también debemos considerar que el firewall, las interfaces autorizadas y la configuración de fábrica pueden limitar el acceso inicial.

Para quienes administramos pequeños ISP o WISP, conocer esta alternativa puede ahorrar tiempo durante instalaciones, reemplazos de equipos y tareas de soporte remoto.

8. ¿Qué ocurre si el MikroTik pierde su configuración?

Debemos distinguir dos situaciones:

El router perdió su dirección IP de administración

Si RoMON permanece habilitado y existe conectividad con otro router participante, todavía podríamos ingresar mediante WinBox.

El router fue restablecido completamente

Si el restablecimiento elimina la configuración de RoMON, será necesario volver a habilitarlo mediante algún método de acceso inicial.

Por tanto, RoMON no debe considerarse una herramienta que garantice acceso automático después de un restablecimiento de fábrica.

9. Recomendaciones de seguridad para utilizar RoMON

• Habilita RoMON únicamente en los routers que realmente lo necesiten.
• Utiliza secrets robustos y evita dejarlos vacíos en producción.
• Restringe los puertos participantes a las interfaces de administración.
• No habilites RoMON innecesariamente en interfaces de clientes o redes de terceros.
• Utiliza VPN para acceder remotamente al router que funciona como agente.
• Mantén RouterOS y WinBox actualizados.
• Utiliza cuentas administrativas individuales y contraseñas seguras.
• Documenta los identificadores RoMON de los routers de tu infraestructura.
• Comprueba el comportamiento de RoMON al utilizar VLAN, bridges o switches administrables.
• Conserva copias de seguridad de los equipos antes de realizar cambios importantes.

10. Comandos útiles de RoMON

Comando	Función
/tool romon print	Consultar configuración general.
/tool romon set enabled=yes	Habilitar RoMON.
/tool romon set enabled=no	Deshabilitar RoMON.
/tool romon port print	Consultar interfaces participantes.
/tool romon discover	Descubrir dispositivos RoMON.
/tool romon ping id=AA:BB:CC:DD:EE:FF	Comprobar conectividad RoMON.
/tool romon ssh AA:BB:CC:DD:EE:FF	Abrir una sesión SSH mediante RoMON.

Conclusión: ¿vale la pena utilizar RoMON?

RoMON es una herramienta de administración muy útil para quienes trabajan con infraestructuras MikroTik, especialmente cuando existen varios routers distribuidos entre torres, nodos y puntos de acceso.

Su principal ventaja es permitir la administración de dispositivos sin depender de su direccionamiento IP, aprovechando otros routers MikroTik como intermediarios.

Sin embargo, debemos recordar que RoMON requiere una configuración previa y no sustituye los mecanismos tradicionales de seguridad, monitoreo o acceso remoto.

Implementado correctamente, puede convertirse en una herramienta importante para reducir tiempos de soporte y facilitar la administración de una red ISP o WISP.

¿Ya utilizas RoMON en tu red MikroTik o todavía administras cada router directamente mediante IP?

En NisiTechs compartimos tutoriales, configuraciones y herramientas para facilitar la administración y diagnóstico de redes.