Cuando un cliente coloca el cable del router en la salida LAN y emite una IP errada y tumba la red ¿Cómo se puede bloquear esa IP?

Se puede realizar un amarre de mac, el amarre de mac consiste en que si es un dispositivo se conecta a un puerto y no tiene la ip y mac que están especificadas en una lista (Tabla ARP) en el router no va a poder tener comunicación con su gateway, no va tener comunicación con otros equipos y tampoco salida a internet.

Para que funcione, en la interfaz hay que habilitar el modo arp reply-only e ir agregando de manera manual en la tabla arp, ip,mac e interfaz.

Cuando un cliente conecta incorrectamente un router en la red, utilizando uno de sus puertos LAN, y este router empieza a emitir direcciones IP (actuando como un servidor DHCP no autorizado), puede causar conflictos de IP y problemas de conectividad en la red.

Para solucionar este problema en una red gestionada por un dispositivo MikroTik, puedes tomar medidas para bloquear el tráfico desde la dirección IP específica que está causando el problema o deshabilitar el servidor DHCP no deseado.

A continuación, te mostramos cómo bloquear esa dirección IP específica utilizando el firewall de MikroTik:

Usando WinBox #

1. Accede a tu MikroTik: Inicia sesión en tu dispositivo MikroTik usando WinBox.
2. Abre el Firewall: Ve a IP > Firewall en el menú.
3. Agrega una Nueva Regla en la Cadena ‘Forward’:
   • Haz clic en la pestaña Filter Rules y luego en el botón + para añadir una nueva regla.
   • General: En la pestaña “General”, establece la “Chain” a forward.
   • Advanced: No es necesario ajustar opciones aquí para este propósito.
   • Source Address: Introduce la dirección IP del servidor DHCP no autorizado que deseas bloquear.
   • Action: Cambia a la pestaña “Action”, selecciona drop en el campo “Action”. Esto bloqueará todo el tráfico proveniente de esa dirección IP.
   • Haz clic en Apply y luego en OK para guardar la regla.

Usando la CLI #

Si prefieres usar la línea de comandos, aquí está el comando correspondiente:

/ip firewall filter add action=drop chain=forward src-address=<IP_Servidor_DHCP_Errado>

Reemplaza <IP_Servidor_DHCP_Errado> con la dirección IP del servidor DHCP no autorizado que está causando el problema.

Soluciones Adicionales #

Aparte de bloquear la IP, hay otras estrategias que podrías considerar para prevenir este tipo de incidentes en el futuro:

• Deshabilitar el DHCP en Puertos No Deseados: Si tienes un switch gestionable entre el MikroTik y los usuarios, puedes configurar los puertos como “untrusted” para el DHCP Snooping, evitando que actúen como servidores DHCP.
• Uso de DHCP Snooping: Si tu equipo de red lo soporta, el DHCP Snooping puede ayudar a identificar y bloquear respuestas DHCP no autorizadas en la red.
• Alertas y Monitoreo: Configurar alertas para notificarte cuando ocurran conflictos de IP o cuando un nuevo dispositivo esté intentando actuar como un servidor DHCP en la red.

Estas medidas te ayudarán a mantener la estabilidad de tu red y evitar problemas de conectividad causados por configuraciones erróneas de dispositivos en la red.