La implementación de configuraciones de doble WAN (Dual WAN) bajo esquemas de balanceo de carga como PCC (Per Connection Classifier) en MikroTik RouterOS introduce un problema crítico de persistencia de sesión cuando las estaciones de trabajo internas interactúan con plataformas bancarias y pasarelas de pago cifradas bajo HTTPS. El propósito de este artículo técnico consiste en detallar cómo estructurar reglas de marcado de paquetes (Mangle rules) en el firewall de RouterOS para identificar el tráfico con destino a los prefijos de red del sector financiero, forzar su enrutamiento exclusivo a través de un único enlace WAN primario y mitigar los bloqueos de seguridad por suplantación de IP (IP spoofing) causados por la rotación dinámica de interfaces. Mediante scripts explícitos ejecutados en la interfaz de línea de comandos (CLI) de MikroTik y políticas de ruteo estático, los administradores de red garantizan la continuidad de las transacciones corporativas y la integridad criptográfica de las sesiones SSL/TLS.

1. Anatomía del Fallo de Sesión HTTPS en Entornos Multienlace (Multi-WAN)

Para diseñar un sistema de enrutamiento resiliente, es mandatorio comprender el comportamiento de los servidores web de alta seguridad ante las fluctuaciones de las direcciones IP de origen.

1.1 Mecanismos de seguridad de las plataformas bancarias

Los servidores de las instituciones financieras mitigan los ataques de secuestro de sesión (Session Hijacking) mediante la vinculación unívoca del identificador de sesión (Session ID o cookie cifrada) con la dirección IP pública desde la cual se inicializó el saludo criptográfico (TLS Handshake). Si un enrutador distribuye los paquetes de una misma sesión bancaria de manera alterna entre dos interfaces públicas WAN independientes debido al algoritmo de balanceo, el servidor del banco detecta un cambio repentino de la IP de origen a mitad de la sesión, interpretándolo como un ataque de interceptación y procediendo a la invalidación inmediata de la sesión y al bloqueo preventivo del usuario.

1.2 Limitaciones de los algoritmos de balanceo de carga tradicionales

El balanceo de carga basado en clasificadores como PCC separa el tráfico utilizando hashes obtenidos de campos específicos de la cabecera IP, tales como combinaciones de direcciones de origen, direcciones de destino y puertos. Aunque una configuración basada en «Src-Address and Port» intenta mantener la persistencia, aplicaciones modernas como los portales bancarios realizan llamadas asíncronas concurrentes (AJAX/WebSockets) hacia múltiples dominios y subredes del propio banco (servidores de autenticación, CDN de estáticos, pasarelas de pago). El enrutador procesa estas conexiones hacia IPs de destino distintas como flujos separados, rompiendo la persistencia de canal y enviando componentes de la misma página web por interfaces WAN diferentes.

2. Estructura Lógica de la Solución en MikroTik RouterOS

La mitigación absoluta del problema exige anular el balanceo de carga para el tráfico bancario y centralizarlo en una única interfaz activa con conmutación por error (Failover) transparente.

2.1 Clasificación dinámica mediante Address Lists

Debido a que las instituciones financieras modifican de manera constante sus direcciones IP públicas y utilizan servicios de distribución de contenido extensos, es técnicamente inviable crear reglas estáticas para cada IP individual. La solución estructural de RouterOS consiste en interceptar las consultas DNS del lado del cliente, extraer las direcciones IP resueltas de forma dinámica y almacenarlas temporalmente dentro de una lista de direcciones (Address List) automatizada que sirva como condición de activación para el motor de Mangle.

2.2 Jerarquía de procesamiento en la cadena Prerouting

Las reglas encargadas de desviar el tráfico bancario deben procesarse en la parte superior de la cadena prerouting del Firewall, ubicándose antes de cualquier regla de marcado de conexiones general del balanceo (como las del clasificador PCC). Esto asegura que los paquetes destinados a la banca sean evaluados, marcados con una tabla de enrutamiento exclusiva y excluidos del algoritmo de distribución masiva.

3. Guía de Configuración Paso a Paso en la Terminal de RouterOS

Siga esta secuencia algorítmica y ejecute los siguientes comandos dentro de la terminal de su router MikroTik para inicializar las listas de control, las directivas Mangle y el enrutamiento estático explícito.

3.1 Creación inicial de las listas de direcciones para dominios bancarios

Cree registros que escuchen y capturen las IPs de los dominios utilizados por su organización. RouterOS resolverá automáticamente los dominios y poblará la lista de forma dinámica.

1. Acceda a la interfaz de terminal del router mediante SSH o a través del botón New Terminal en WinBox.
2. Ejecute las siguientes líneas para agregar los dominios bancarios críticos de uso corporativo a la lista denominada Bancos_Destino:

«`mikrotik
/ip firewall address-list
add address=www.banamex.com list=Bancos_Destino comment=»Banamex Portal»
add address=www.bbva.mx list=Bancos_Destino comment=»BBVA Portal»
add address=www.santander.com.mx list=Bancos_Destino comment=»Santander»
add address=www.banorte.com list=Bancos_Destino comment=»Banorte»
add address=www.paypal.com list=Bancos_Destino comment=»Pasarela Paypal»

/ip firewall mangle
add chain=prerouting dst-address-list=Bancos_Destino action=mark-routing new-routing-mark=Ruta_Bancos_WAN1 passthrough=no comment=»EXCLUSION: Forzar Tráfico Bancario a WAN1″

/ip firewall address-list
add address=192.0.2.0/24 list=Bancos_Destino comment=»Bloque Red Redireccion Bancaria Externa»

/ip route
add gateway=192.168.1.1 routing-mark=Ruta_Bancos_WAN1 distance=1 comment=»Ruta Primaria Bancos por WAN1″

/ip route
add gateway=10.0.0.1 routing-mark=Ruta_Bancos_WAN1 distance=2 comment=»Ruta Contingencia Bancos por WAN2″

/ip firewall mangle

1. EXCLUSIONES CRÍTICAS (Se ejecutan primero)

add chain=prerouting dst-address-list=Bancos_Destino action=mark-routing new-routing-mark=Ruta_Bancos_WAN1 passthrough=no comment=»Bancos – Salida Forzada por WAN1″

2. BALANCEO PCC ESTÁNDAR (Solo llegan aquí los paquetes que no van a bancos)

add chain=prerouting dst-address-type=!local in-interface=bridge-LAN connection-mark=no-mark responder-address-selection=no action=mark-connection new-connection-mark=WAN1_conn passthrough=yes per-connection-classifier=src-address-and-port:2/0
add chain=prerouting dst-address-type=!local in-interface=bridge-LAN connection-mark=no-mark responder-address-selection=no action=mark-connection new-connection-mark=WAN2_conn passthrough=yes per-connection-classifier=src-address-and-port:2/1

3. ASIGNACIÓN DE RUTAS DEL BALANCEO GENERAL

add chain=prerouting in-interface=bridge-LAN connection-mark=WAN1_conn action=mark-routing new-routing-mark=to_WAN1 passthrough=no
add chain=prerouting in-interface=bridge-LAN connection-mark=WAN2_conn action=mark-routing new-routing-mark=to_WAN2 passthrough=no

/ip firewall mangle print stats where dst-address-list=Bancos_Destino

/tool traceroute address=www.paypal.com count=3