Qué es OpenWrt: routers por software, pasarelas secundarias y routers VPN para China

Un router común es un producto terminado: el fabricante combina un hardware específico con su propio sistema. El fabricante decide las funciones. Es estable y poco exigente, y es poco lo que puedes cambiar.

Un router por software era, en origen, hardware de uso general —una mini PC, una caja industrial, una placa de desarrollo, incluso una computadora vieja o una máquina virtual— con un sistema operativo de router instalado. El hardware es potente y tiene muchos puertos, el sistema se puede cambiar libremente y las funciones se añaden como software.

En China el término se usa hoy en un sentido más amplio: a un router común flasheado con un sistema de terceros como OpenWrt también se le suele llamar router por software. Lo que tienen en común es un sistema que se puede reemplazar y funciones que se pueden añadir, que es justo lo que hace falta para usar una VPN en un router. El firmware de fábrica casi nunca lo incluye.

OpenWrt es un sistema operativo de código abierto para routers, basado en Linux y disponible para una gran cantidad de marcas y modelos. Como el sistema de un teléfono, admite paquetes instalables: el enrutamiento dividido, el filtrado de anuncios y los distintos protocolos de VPN se añaden así.

El firmware OpenWrt se compila por modelo. Cada modelo, y cada revisión de hardware de ese modelo, tiene su propia imagen, y las imágenes no son intercambiables.

• Versiones oficiales: las publica el proyecto OpenWrt y solo traen las funciones básicas. Todo lo demás lo instalas y configuras tú.
• Paquetes de la comunidad: imágenes que circulan por foros y enlaces de descarga con decenas de complementos preinstalados. No se puede verificar quién las compiló ni qué llevan dentro.
• Firmware a medida: compilado sobre OpenWrt por un servicio para sus propias rutas, con la conexión y el enrutamiento dividido ya listos.
• Todo lo que envía tu casa pasa por el router, así que deberías poder responder de dónde viene su firmware. Para saber cómo juzgarlo, consulta Cómo reconocer una app de VPN riesgosa.

Router principal: el router por software se conecta directo al módem, se encarga del inicio de sesión de la conexión y reparte las direcciones, así que todo el tráfico de la casa pasa por él por diseño. Es la disposición más sencilla y nada puede saltárselo. El precio es que, cuando falla, toda la casa se queda sin internet, y lo mismo les pasa a todos mientras tú lo ajustas.

Pasarela secundaria (bypass gateway): el router principal que ya tienes se queda como está. El router por software cuelga de él con un solo cable, y en los dispositivos se pone como puerta de enlace y servidor DNS, así que el tráfico da un rodeo por él antes de salir. Lo atractivo es que la red existente no se toca y solo la usan algunos dispositivos. Conviene conocer de antemano sus costos:

• Cuando la pasarela secundaria está apagada o colgada, todos los dispositivos que apuntan a ella se quedan sin conexión. Si la puerta de enlace se cambió para toda la casa en el router principal, toda la casa se queda sin conexión aunque el router principal esté perfectamente, lo que hace que el fallo sea difícil de rastrear.
• El IPv6 se la salta: el router principal sigue repartiendo direcciones IPv6 a los dispositivos, y lo que un dispositivo envía por IPv6 sale por el router principal sin pasar por la pasarela secundaria. El síntoma es que las cosas funcionan solo a ratos. El remedio habitual es desactivar IPv6 en el router principal.
• El tráfico da un salto más, y con ajustes imperfectos aparecen subidas lentas o apps concretas que fallan: problemas difíciles de localizar.
• Hay que cambiar la puerta de enlace y el DNS, ya sea a mano en cada dispositivo o en los ajustes de asignación de direcciones del router principal. Las dos cosas requieren ciertos conocimientos de redes.

La tercera disposición es un segundo router. Un router con el firmware instalado se conecta detrás del módem o del router principal existente y emite su propio Wi‑Fi. Los dispositivos que deben usar la ruta se conectan a él; todo lo demás se queda en la red original, y ningún lado afecta al otro.

Si falla, solo se ven afectados los dispositivos conectados a él y todos los demás siguen con internet. Los dispositivos conectados a él no tienen ninguna salida que lo esquive, así que el problema del IPv6 de la pasarela secundaria no aparece. El precio es una capa más de traducción de direcciones, y la rara aplicación que necesita redirección de puertos hay que configurarla aparte.

Un router con nuestro firmware puede funcionar como router principal o ir detrás de otro de esta manera. Para la disposición pensada para los padres y la tele, consulta Para la tele y los abuelos en casa.

Cuanta más memoria flash y RAM tenga un router, más margen queda después de instalar los componentes de la VPN y más fáciles son las actualizaciones posteriores; los modelos con solo 16 MB de flash se quedan cortos y nuestro firmware no los admite. Si un modelo concreto acepta nuestro firmware lo responde la lista de compatibilidad de la página del Router.

• Memoria flash: donde viven el sistema y los paquetes. Si es poca, el firmware nuevo no cabe, y mucho menos funciones extra.
• RAM: las listas del enrutamiento dividido y el seguimiento de conexiones se guardan en memoria. Si es poca, el router se traba o se reinicia en cuanto se conectan bastantes dispositivos.
• Procesador: es el que cifra. Cuanto más rápida la conexión y más dispositivos a la vez, más importa. Cuando la velocidad de la ruta no sube más, el límite suele estar aquí y no en la conexión.
• Revisión de hardware: un mismo nombre de modelo suele abarcar v1, v2, etc., con chips y memoria flash distintos por dentro, y su firmware no es intercambiable. Lee la etiqueta de la parte de abajo y revísalo con especial cuidado si compras de segunda mano.
• Puertos e inalámbrico: para conexiones de más de un gigabit, busca un puerto de 2.5G. Una mini PC normalmente no tiene Wi‑Fi y necesita un punto de acceso aparte.
• Los módems con router que entrega la operadora normalmente no se pueden flashear. Pon un segundo router detrás.

Para saber qué hace el firmware una vez instalado, consulta Qué hace el firmware del router. Para saber qué tiene que lograr un buen enrutamiento dividido, consulta Cómo funciona el enrutamiento dividido en un router VPN.

• Montarlo tú: compras el hardware, instalas el sistema, instalas complementos, introduces la configuración de la ruta, escribes las reglas de enrutamiento dividido y a partir de ahí te encargas de las actualizaciones y los fallos. Es lo que da más libertad, y la misma caja puede además filtrar anuncios, descargar y ofrecer otros servicios. Cada problema también es tuyo.
• Firmware a medida: la conexión y el enrutamiento dividido ya vienen en la imagen. Aquí eso significa generar el firmware en línea para tu modelo —se admiten más de 600 modelos de OpenWrt— o comprar un equipo que ya lo traiga instalado. Los componentes de conexión y las listas del enrutamiento dividido se actualizan solos, sin volver a flashear.
• Los dos caminos no se diferencian en el hardware. Se diferencian en quién lo configura, quién lo mantiene y a quién recurres cuando algo se rompe.

• Quieres cubrir toda la casa sin mantenimiento: compra un router con el firmware instalado. Para elegir modelo, consulta Cómo elegir un router VPN.
• Ya tienes un router compatible con OpenWrt: flashea tú mismo nuestro firmware siguiendo Cómo flashear el firmware del router.
• Te gusta trastear y quieres otros servicios en la misma caja: monta un router por software e importa un perfil de OpenVPN para la ruta. Consulta Cómo usar OpenVPN y cuándo elegirlo.
• Para los padres, una tele o un reproductor de streaming: un router listo para usar detrás de la red existente. Consulta Para la tele y los abuelos en casa.
• Una habitación alquilada o una residencia donde no puedes tocar el router principal: un router de viaje detrás de él, como segundo router.
• Uno o dos teléfonos y laptops: no hace falta router; un cliente es más ligero. Consulta Qué método de conexión elegir según tu caso.