Separar dispositivos IoT con una red de invitados

Qué consigue este cambio

Una red de invitados puede impedir que una cámara, enchufe o altavoz acceda directamente a ordenadores y almacenamiento de la red principal. Reduce el alcance de un fallo, pero no convierte el dispositivo en seguro: todavía necesita actualizaciones, contraseña propia y una cuenta protegida.

No todos los routers usan “red de invitados” con el mismo significado. Algunos aíslan de la red principal solo en modo router; otros ofrecen un interruptor de acceso local o permiten que invitados se vean entre sí. Antes de migrar, busca en el manual una frase explícita sobre qué tráfico bloquea.

Este procedimiento es reversible y de bajo riesgo. No modifica firmware ni reglas avanzadas de cortafuegos. Si administras una empresa, una VLAN con políticas verificadas puede ser más adecuada que una función doméstica de invitados; coordínala con la persona responsable de la red.

Paso 1: crea un inventario mínimo

Para cada dispositivo anota:

• marca, modelo y ubicación;
• aplicación y cuenta asociada;
• banda Wi-Fi admitida;
• si depende de un concentrador local;
• automatizaciones y asistentes de voz;
• quién debe controlarlo;
• versión de software y fecha de revisión.

Empieza por un enchufe o bombilla no esencial. Deja para el final cerraduras, alarmas, cámaras o equipos que afecten seguridad y accesibilidad. Una migración gradual evita que una incompatibilidad deje toda la vivienda sin control.

INCIBE aconseja para dispositivos IoT cambiar credenciales predeterminadas, instalar actualizaciones, revisar permisos y desactivar servicios no usados. Haz estas comprobaciones antes de mover el equipo: la segmentación complementa esas medidas, no las reemplaza.

Paso 2: guarda el estado recuperable

Fotografía o exporta la configuración del router si el fabricante lo permite. Anota SSID, modo router o punto de acceso, banda y opción de acceso local de la red invitada. No copies la contraseña principal: crea una clave distinta, larga y única para los IoT.

Comprueba que puedes administrar el router desde un equipo que permanecerá en la red principal. Si la aplicación depende de nube, verifica también que conservas códigos de recuperación y segundo factor. No inicies el cambio durante una actualización o cuando necesites el dispositivo de inmediato.

Paso 3: configura la red invitada

Activa solo las bandas necesarias. Muchos IoT antiguos usan 2,4 GHz; no debilites la seguridad de la red principal para acomodarlos. Si el router permite una configuración distinta por red, aplica el modo de seguridad más fuerte que admita el dispositivo y documenta la excepción.

Desactiva “permitir acceso local”, “acceso a intranet” o una opción equivalente. Confirma después el comportamiento en el manual. La guía de TP-Link sobre aislamiento de dispositivos muestra un ejemplo concreto: en modelos compatibles, los dispositivos aislados mantienen acceso a Internet y pueden comunicarse con otros aislados, pero no transfieren datos con la red doméstica principal. Otros fabricantes pueden implementar algo distinto.

No habilites portal cautivo, límite horario o aislamiento entre invitados durante la primera prueba, salvo que sean parte del objetivo. Cada función adicional introduce otra posible causa de fallo.

Paso 4: migra un único dispositivo

Sigue el método documentado por su fabricante para cambiar de Wi-Fi. Si exige restablecer solo la conexión de red, no borres toda la configuración. Conecta el móvil de instalación a la banda y SSID que requiera el proceso; después vuelve a la red principal para evaluar el control entre redes.

Espera a que el router muestre el dispositivo con una dirección nueva. Ponle un nombre reconocible en la lista de clientes, sin incluir datos sensibles. Si el equipo aparece conectado pero la aplicación dice “sin conexión”, comprueba primero si necesita acceso a Internet, DNS o descubrimiento local.

Paso 5: prueba cinco funciones por separado

1. Acceso a Internet: confirma que recibe hora, actualizaciones o estado de nube.
2. Control desde la aplicación: prueba con el móvil en la red principal y, después, mediante datos móviles si corresponde.
3. Automatización local: ejecuta una escena que dependa del concentrador o asistente.
4. Descubrimiento: verifica AirPlay, Chromecast, HomeKit, impresión u otro protocolo solo si el dispositivo lo necesita.
5. Aislamiento: desde el IoT no debe poder abrir recursos administrativos o compartidos de la red principal.

No confundas control por nube con comunicación local. Una aplicación puede funcionar porque ambos extremos salen a Internet, mientras que un concentrador que usa difusión local deja de encontrar el accesorio. Si el router no permite excepciones seguras, decide si ese dispositivo debe permanecer en la red principal o si necesitas una solución de segmentación más capaz.

Paso 6: valida cámaras y grabadores

Una cámara puede necesitar llegar a un NAS o grabador local, pero no al resto de equipos. Una red invitada doméstica suele ser una regla de “todo o nada” y puede bloquear ese destino. Antes de moverla, revisa la guía de cámaras con almacenamiento local y prueba grabación, reproducción, avisos y actualización.

No abras puertos para recuperar una función rota. Exponer la cámara a Internet elimina parte del beneficio del aislamiento. Si necesitas una regla selectiva entre redes, utiliza un router que documente VLAN y cortafuegos o busca ayuda profesional.

Paso 7: migra el resto por grupos pequeños

Cuando el primer dispositivo complete todas las pruebas, mueve otro del mismo tipo y repite. No migres diez a la vez. Conserva una lista con fecha, SSID, resultado y cualquier función perdida.

Revisa cobertura antes de atribuir cortes al aislamiento. La guía para colocar nodos Mesh ofrece una prueba separada, y la comparativa Mesh 6, 6E o 7 ayuda si el sistema actual no extiende la red invitada a todos los nodos.

Criterio de aceptación

La migración queda aceptada solo si el dispositivo:

• se reconecta después de reiniciar;
• recibe actualizaciones y mantiene la hora;
• conserva las automatizaciones necesarias;
• puede controlarse por los usuarios previstos;
• no alcanza equipos ni paneles de la red principal;
• aparece en el inventario con una persona responsable.

Repite la revisión después de una actualización importante del router. Una nueva versión puede cambiar nombres de opciones o comportamiento, y un modo punto de acceso puede tratar invitados de otra forma.

Recuperación

Si se rompe una función esencial, vuelve a asociar solo ese dispositivo al SSID original con la información guardada. Restaura sus automatizaciones y confirma el estado anterior. No desactives el aislamiento para todos por un único caso y no restablezcas de fábrica el router. Registra la incompatibilidad y deja el dispositivo pendiente de una solución que permita únicamente la comunicación necesaria.