Cómo crear una red WiFi de invitados segura y comprobar su aislamiento

Qué debe conseguir una red WiFi de invitados segura

Crear un segundo nombre de red y asignarle otra contraseña no garantiza por sí solo que las visitas estén aisladas. Una configuración segura debe permitirles navegar por Internet sin que puedan acceder a ordenadores, impresoras, servidores, cámaras, dispositivos domóticos o paneles de administración de la red principal.

El objetivo práctico consiste en aplicar una forma sencilla de segmentación de red: separar los dispositivos según su nivel de confianza y permitir únicamente las comunicaciones necesarias. En una vivienda, esta división suele organizarse en tres grupos: equipos personales, visitas y dispositivos IoT.

Red	Dispositivos habituales	Acceso recomendado	Disponibilidad
Principal	Ordenadores, móviles personales, NAS e impresoras	Internet y recursos locales autorizados	Permanente
Invitados	Móviles y portátiles de visitas	Internet, sin acceso a la red principal ni a otros invitados	Temporal o permanente
IoT	Bombillas, enchufes, altavoces, cámaras y electrodomésticos conectados	Internet y solo las excepciones locales imprescindibles	Permanente

Esta separación no convierte un router doméstico en una infraestructura empresarial ni elimina todos los riesgos. Sí puede limitar lo que alcanza un dispositivo conectado a una red determinada, siempre que el router aplique correctamente las reglas de aislamiento.

También conviene distinguir una red doméstica controlada por su propietario de una red pública o ajena. INCIBE explica los riesgos de conectarse a redes públicas o no confiables y recomienda comprobar a qué red está conectado cada dispositivo. Una WiFi de invitados doméstica sigue estando administrada por el propietario, pero debe tratar los equipos visitantes como dispositivos con un nivel de confianza inferior.

Diferencias entre la red principal, la de invitados y una red IoT

Red principal

La red principal debería reservarse para equipos de confianza. En ella suelen encontrarse los dispositivos que necesitan comunicarse entre sí: un ordenador que accede a un NAS, un móvil que envía documentos a una impresora o un equipo que utiliza una carpeta compartida.

Precisamente por contener esos recursos, no conviene entregar su contraseña a cualquier visita. Tampoco es recomendable conectar aquí un dispositivo inteligente solo porque su aplicación no logra configurarlo en una red separada.

Red de invitados

La red de invitados está pensada para ofrecer acceso a Internet sin abrir la red local. El router puede presentar opciones con nombres como Guest Network, WiFi para invitados, bloquear intranet o permitir acceso a la red local.

Algunos modelos incluyen además el aislamiento entre clientes. Esta segunda barrera intenta evitar que dos dispositivos conectados a la propia red de invitados se comuniquen directamente. Es útil porque los móviles y portátiles de dos visitas distintas tampoco tienen por qué verse entre ellos.

Red IoT

Una red IoT es una separación permanente para dispositivos conectados que no necesitan compartir el mismo nivel de confianza que un ordenador personal. Algunos routers ofrecen una función específica; en otros puede utilizarse una segunda red de invitados, pero solo después de comprobar sus reglas y limitaciones.

No debe darse por hecho que una red IoT y una red de invitados son equivalentes. Un altavoz, una televisión o una impresora inalámbrica pueden necesitar comunicación local con el móvil que los controla. Una red de invitados completamente aislada podría impedirlo. Si sucede, hay que identificar qué comunicación necesita el dispositivo y comprobar si el router permite autorizarla sin abrir toda la red principal.

Preparativos antes de cambiar el router

Antes de modificar la configuración, guarda la contraseña administrativa actual, identifica el modelo exacto del router y localiza su manual oficial. Los nombres y la ubicación de cada ajuste cambian entre fabricantes e incluso entre versiones de firmware del mismo equipo.

Anota también los siguientes datos:

• El nombre de la red principal.
• La dirección o aplicación utilizada para administrar el router.
• Los dispositivos que necesitan comunicarse entre sí.
• Qué equipos son de confianza y cuáles deberían pasar a invitados o IoT.
• Si algún dispositivo antiguo necesita un modo de seguridad concreto.
• Las bandas y nodos WiFi desde los que habrá que repetir las pruebas.

Realiza los cambios desde un equipo conectado por cable cuando sea posible. Si solo dispones de WiFi, configura primero la red de invitados y evita cambiar simultáneamente el nombre, la contraseña y el cifrado de la red principal. Así será más sencillo recuperar el acceso si una opción no funciona como esperabas.

Cómo crear una red WiFi de invitados segura paso a paso

1. Accede a la administración desde la red principal

Entra en la aplicación oficial del router o escribe en el navegador su dirección de administración. Hazlo desde la red principal o mediante una conexión por cable, no desde una red pública.

La dirección concreta puede aparecer en la documentación del fabricante, en la información de la conexión o en una etiqueta del equipo. No asumas que todos los routers utilizan la misma dirección privada.

2. Localiza la función de red de invitados

Busca apartados como WiFi, Wireless, Guest Network o Red de invitados. Si aparecen configuraciones separadas por banda, revisa en cuáles necesitas habilitarla.

Si el router no ofrece una función de invitados, crear otro SSID puede no proporcionar separación real. El equipo debe aplicar reglas entre esa red y la LAN principal. Si no dispone de esa capacidad, las alternativas pasan por utilizar un punto de acceso que admita redes aisladas, instalar un router compatible con VLAN o sustituir el equipo.

3. Elige un nombre reconocible que no revele datos personales

Utiliza un SSID que permita a las visitas identificar la red correcta, pero que no muestre apellidos, dirección o número de vivienda. Un nombre neutro seguido de “Invitados” resulta suficiente.

Ocultar el SSID no sustituye al cifrado ni al aislamiento. Además, obliga a introducir manualmente el nombre en cada dispositivo. La protección debe depender de los controles del router y de una contraseña adecuada, no de que el nombre sea menos visible.

4. Configura WPA3 o WPA2-AES según la compatibilidad

Selecciona WPA3-Personal cuando el router y los dispositivos que deban conectarse sean compatibles. La guía de INCIBE sobre WPA3 describe sus mejoras de seguridad y recuerda que la disponibilidad de las funciones depende del router y de los clientes.

Si algún dispositivo no admite WPA3, utiliza WPA2-Personal con AES o CCMP cuando el firmware permita distinguir el cifrado. También puede ser necesario un modo de transición WPA2/WPA3 proporcionado por el fabricante. Evita WEP, el WPA original y configuraciones heredadas que incluyan TKIP.

La compatibilidad anunciada por el fabricante no demuestra que WPA3 esté activado en una red concreta. La guía sobre cómo saber si un router usa WPA3 explica cómo diferenciar ambas cuestiones.

5. Establece una contraseña exclusiva

La contraseña de invitados no debe coincidir con la de la red principal ni con la clave administrativa del router. Utiliza una combinación larga, difícil de adivinar y creada específicamente para esta red.

Compartirla mediante un código QR puede resultar cómodo, pero no cambia sus permisos. Quien conserve el código podrá conectarse mientras la contraseña siga vigente. Sustitúyela si sospechas que se ha difundido más de lo previsto.

6. Bloquea el acceso a la red local

Busca una opción similar a alguna de estas:

• Permitir acceso a la red local.
• Permitir acceso a la intranet.
• Acceder a recursos domésticos.
• Guest access to local network.

Debe quedar desactivada si quieres que las visitas solo accedan a Internet. Como ejemplo de fabricante, la documentación de TP-Link para configurar una red de invitados diferencia entre permitir que los invitados se vean entre sí y permitirles acceder a dispositivos conectados a la LAN o a la red principal. Los nombres pueden cambiar en otros routers, pero son dos controles distintos que conviene localizar.

7. Activa el aislamiento entre clientes

Habilita una opción denominada aislamiento de clientes, AP isolation, client isolation o equivalente. En algunos routers se expresa de forma inversa mediante una casilla similar a “permitir que los invitados se vean entre sí”. En ese caso, debe permanecer desmarcada.

Este ajuste intenta impedir la comunicación directa entre dispositivos conectados a la misma red de invitados. No debe confundirse con el bloqueo de acceso a la LAN: un router puede ofrecer ambos controles, solo uno o ninguno.

8. Impide la administración del router desde invitados

La red de invitados no debería permitir abrir el panel de administración. Busca opciones relacionadas con administración local, gestión web, acceso al router o administración desde WLAN. Si el manual no aclara el alcance de la opción, compruébala después desde un dispositivo invitado.

No desactives el acceso administrativo de la red principal sin conocer las consecuencias. La finalidad es conservar la gestión desde un equipo de confianza o por cable y evitarla desde la red destinada a visitas.

9. Revisa los controles opcionales

Los horarios, el número máximo de clientes y los límites de ancho de banda pueden ser útiles, pero no sustituyen la segmentación. Un dispositivo con poca velocidad seguiría pudiendo alcanzar un NAS si el acceso local estuviera permitido.

Configura primero el cifrado, la contraseña, el bloqueo de la LAN, el aislamiento entre clientes y la administración. Después aplica los límites adicionales que respondan a una necesidad concreta.

Cómo comprobar que el aislamiento funciona

No basta con conectar un móvil y abrir una página. Esa prueba solo demuestra que el dispositivo ha obtenido conectividad suficiente para llegar a ese sitio en ese momento. La verificación debe cubrir Internet, la administración del router, recursos concretos de la red principal y la comunicación entre invitados.

Prueba	Resultado esperado	Alcance real del resultado
Abrir varias páginas HTTPS	Funcionan	Existe acceso web hacia esos destinos en ese momento
Abrir la dirección de administración	El panel no carga	Esa dirección, protocolo y puerto no han permitido abrir el panel
Acceder a un recurso de la red principal	No responde	El servicio concreto probado no resulta accesible
Comunicar dos clientes invitados	No se conectan	La comunicación ensayada entre esos dispositivos ha sido bloqueada
Usar un dispositivo IoT	Conserva solo las funciones previstas	La función comprobada sigue disponible tras la separación

Comprueba la configuración de red recibida

Conecta un portátil o móvil a la red de invitados y revisa su dirección IP, puerta de enlace y servidores DNS. Recibir una dirección perteneciente a un rango distinto del utilizado por la red principal es una señal útil, pero no acredita por sí sola el aislamiento. Las reglas que controlan el tráfico son tan importantes como el direccionamiento.

Intenta abrir el panel del router

Desde invitados, escribe en el navegador la dirección de administración conocida. Prueba el protocolo y el puerto utilizados realmente por el router, como HTTPS si esa es su configuración. El resultado deseado es que el panel no cargue.

Si el router también ofrece administración mediante una aplicación, otra dirección o un servicio distinto, esos métodos deben comprobarse por separado. El fallo de una única URL no permite concluir que toda forma de gestión esté bloqueada.

Prueba servicios concretos de la red principal

Desde un ordenador Windows conectado como invitado puede comprobarse un puerto TCP determinado con PowerShell:

Test-NetConnection -ComputerName 192.168.1.50 -Port 445

Sustituye la dirección por la del equipo que quieras revisar y el puerto por el servicio concreto. En este ejemplo se intenta establecer una conexión TCP con el puerto 445 del destino indicado. La documentación oficial de Microsoft sobre Test-NetConnection detalla los parámetros y la información que devuelve el comando.

Un resultado TcpTestSucceeded: False solo indica que no se estableció una conexión TCP con ese destino y puerto durante la prueba. No demuestra que todas las direcciones, servicios y protocolos estén bloqueados.

También puede utilizarse ping contra una dirección concreta:

ping 192.168.1.50

Una respuesta acredita que se recibió contestación ICMP desde ese destino en ese momento. La ausencia de respuesta no demuestra un aislamiento completo, porque el equipo podría bloquear ICMP y mantener otros servicios accesibles. Microsoft mantiene una referencia oficial del comando ping y sus parámetros.

La guía sobre cómo comprobar una conexión con ping y Test-NetConnection amplía la interpretación de los resultados y sus límites.

Comprueba dos clientes invitados

Conecta dos dispositivos a la red de invitados. Si uno ofrece deliberadamente un servicio de prueba conocido, intenta acceder desde el otro al puerto correspondiente. La prueba debe realizarse únicamente sobre dispositivos propios o autorizados.

No utilices como única evidencia la ausencia de equipos en el explorador de red. El descubrimiento puede estar desactivado aunque siga existiendo conectividad directa mediante una dirección IP.

Repite las pruebas donde pueda cambiar la política

Comprueba desde invitados hacia la red principal y, si necesitas conocer el comportamiento inverso, desde la principal hacia invitados. Si el router permite configurar IPv4 e IPv6 por separado, prueba ambos protocolos. En una instalación con varias bandas o nodos mesh, repite la comprobación desde los puntos de acceso que vayan a utilizarse en lugar de asumir que todos aplican la misma política.

Limitaciones que debes comprobar en un router doméstico

Las funciones incluidas bajo el nombre “red de invitados” no son idénticas. El manual oficial del modelo debe ser la referencia para saber qué separa realmente el equipo. Comprueba especialmente estas posibilidades:

• Aislamiento parcial: verifica si afecta solo a clientes inalámbricos o también bloquea el acceso a dispositivos conectados por cable.
• Acceso local sin excepciones: algunos equipos solo permiten bloquear toda la LAN o abrirla completa.
• Ajustes por banda: comprueba si las opciones deben aplicarse por separado a cada red habilitada.
• Sistemas mesh: repite las pruebas al conectarte a los nodos secundarios y revisa la documentación del fabricante.
• Routers de operadora: consulta si determinadas funciones se gestionan desde una aplicación o están limitadas por el firmware instalado.
• Descubrimiento de IoT: comprueba si el aislamiento impide encontrar televisores, impresoras, altavoces o cámaras desde el móvil.

Cuando se necesitan reglas detalladas entre redes, una segmentación basada en VLAN y un cortafuegos configurable ofrece más control, pero también exige definir qué origen puede comunicarse con qué destino, protocolo y puerto. La guía sobre cortafuegos para proteger sistemas informáticos desarrolla estos conceptos.

Cómo integrar dispositivos IoT sin abrir toda la red

Antes de mover un dispositivo IoT, identifica cómo funciona:

1. ¿Solo necesita salir a Internet para comunicarse con el servicio del fabricante?
2. ¿El móvil debe descubrirlo directamente dentro de la red local?
3. ¿Necesita acceder a un NAS, servidor multimedia o controlador doméstico?
4. ¿Seguirá funcionando si pierde temporalmente Internet?

Si solo necesita Internet, una red aislada puede ser suficiente. Si requiere comunicación local, la solución dependerá de las reglas disponibles. No habilites el acceso completo a la red principal únicamente para resolver un fallo de descubrimiento. Identifica primero el destino y el servicio necesarios y, si el router lo permite, autoriza solo esa comunicación.

Las impresoras y carpetas compartidas merecen especial atención porque procesan o almacenan información procedente de otros equipos. La guía sobre permisos y seguridad de recursos compartidos explica cómo controlar y comprobar esos accesos.

Errores frecuentes al configurar la WiFi de invitados

• Crear otro SSID y asumir que está aislado: revisa las reglas de acceso local y comprueba el resultado.
• Reutilizar la contraseña principal: elimina buena parte de la ventaja de separar las credenciales.
• Permitir que los invitados se vean entre sí: normalmente no necesitan comunicación directa.
• Dejar accesible la administración: navegar por Internet no requiere entrar en el panel del router.
• Mezclar invitados e IoT sin revisar sus necesidades: una red temporal y otra permanente pueden requerir políticas diferentes.
• Abrir toda la LAN para que funcione un dispositivo: conviene identificar primero la comunicación exacta que necesita.
• No repetir las pruebas tras un cambio: vuelve a comprobar los controles si modificas la configuración o actualizas el firmware.

Checklist final de configuración

• La red de invitados tiene un SSID identificable y distinto.
• Utiliza WPA3-Personal o WPA2-Personal con AES/CCMP según la compatibilidad comprobada.
• La contraseña es exclusiva y no coincide con la red principal ni con la administración.
• El acceso a la LAN o intranet está desactivado.
• El aislamiento entre clientes está habilitado.
• El panel del router no es accesible desde invitados.
• Los clientes invitados pueden navegar por Internet.
• Se han probado servicios concretos de la red principal.
• Se ha comprobado la comunicación entre dos clientes invitados.
• Los dispositivos IoT conservan únicamente las funciones necesarias.
• Las pruebas se han repetido en las bandas, protocolos y nodos utilizados.
• La configuración se ha guardado y documentado.

La clave para crear una red WiFi de invitados segura no está en activar una única casilla, sino en combinar cifrado, credenciales separadas, bloqueo de la red local, aislamiento entre clientes, restricción de la administración y pruebas concretas. Si el router solo ofrece una separación nominal o no permite verificar estos controles, conviene valorar un equipo con mejores capacidades de segmentación.

Preguntas frecuentes

¿Una red de invitados reduce la velocidad de la WiFi principal?

Los invitados comparten la conexión a Internet y la capacidad inalámbrica disponible, salvo que exista infraestructura separada. Un límite de ancho de banda puede controlar su consumo, pero no mejora el aislamiento.

¿Puedo usar la red de invitados para cámaras y dispositivos IoT?

Sí, siempre que permita las comunicaciones que necesitan. Comprueba si requieren descubrimiento local o acceso directo desde el móvil, porque un aislamiento estricto puede impedir esas funciones.

¿El aislamiento de clientes bloquea también la red principal?

No necesariamente. El aislamiento entre invitados y el bloqueo de acceso a la LAN pueden ser opciones independientes. Revisa ambos ajustes y comprueba el resultado.

¿Un ping fallido confirma que el aislamiento funciona?

No. Solo indica que no se recibió una respuesta ICMP del destino durante esa prueba. Otros protocolos o puertos podrían seguir accesibles.

¿Es mejor apagar la red de invitados cuando no se utiliza?

Puede ser útil si solo se emplea durante visitas. Si también conecta dispositivos IoT, tendrá que permanecer activa mientras necesiten conectividad.

¿Qué hago si el router no tiene una red de invitados?

Consulta el manual y las actualizaciones oficiales del modelo. Si no admite separación real, necesitarás un punto de acceso o router compatible, una infraestructura con VLAN o sustituir el equipo.