En este Tutorial 4 de CLHOME vamos a configurar y comprobar las redes Wi-Fi de una instalación con UniFi Network en Docker y tres puntos de acceso UniFi U7 Pro. La guía está pensada para quien empieza: te indicaré dónde entrar, qué revisar, qué valor seleccionar y cómo comprobar que el resultado es correcto.
La instalación utiliza un firewall SonicWall TZ670 y un switch UniFi. UniFi Network administra los SSID y los puntos de acceso; el firewall continúa encargándose del enrutamiento, DHCP cuando está configurado allí y las reglas de seguridad entre redes. Los nombres de menú pueden variar un poco según la versión.
Antes de empezar: este tutorial sirve para revisar y configurar la red existente. No cambies la red de gestión ni la VLAN nativa por probar. Si estás conectado a la infraestructura mediante Wi-Fi, utiliza una conexión administrativa estable o asegúrate de disponer de acceso local de recuperación antes de guardar cambios.
Qué vamos a configurar
| SSID | Red asociada | Bandas | Grupo de AP |
|---|---|---|---|
SSID-Administracion | Native Network | 2,4 / 5 / 6 GHz | Según la configuración actual |
SSID-Hogar | Hogar (VLAN 140) | 2,4 / 5 GHz | Grupo de 2 AP |
SSID-IoT | IoT (VLAN 160) | 2,4 GHz | Grupo de 2 AP |
SSID-Invitados | Invitados (VLAN 190) | 2,4 / 5 GHz | Grupo de 3 AP |
Importante sobre SSID-Administracion: en esta instalación utiliza Native Network, que es la red nativa desde la que se administra la infraestructura. No es correcto cambiarla automáticamente a Manage (VLAN 10): son conceptos distintos y la captura real muestra Native Network. Respetaremos esta configuración.
La distribución por grupos de puntos de acceso es intencionada: SSID-Hogar y SSID-IoT se emiten desde el grupo de dos AP, mientras que SSID-Invitados se emite desde el grupo de tres AP. No vamos a cambiar esa distribución.
Paso 1. Entra en UniFi Network y abre WiFi
- Abre la interfaz web de UniFi Network con tu cuenta de administración.
- En el menú de ajustes, entra en WiFi (en algunas versiones aparece como Settings → WiFi).
- Localiza los cuatro nombres:
SSID-Administracion,SSID-Hogar,SSID-IoTySSID-Invitados. - Antes de editar nada, confirma que los SSID aparecen activos y que los puntos de acceso están conectados.
Qué deberías ver: una lista de redes Wi-Fi con su nombre, la red asociada, el grupo de puntos de acceso, las bandas y la seguridad. Si un SSID no aparece, no crees otro inmediatamente: comprueba primero si estás viendo el sitio correcto dentro de UniFi Network.
Paso 2. Comprueba primero la red asociada
Abre un SSID haciendo clic sobre su nombre. Busca el campo Network o red. Ese campo determina a qué red/VLAN se asigna el tráfico de los clientes; no basta con que el nombre del Wi-Fi parezca correcto.
Configura SSID-Hogar
- Selecciona
SSID-Hogar. - En Network, confirma Hogar (140) o el nombre equivalente de Hogar con VLAN ID 140.
- Si aparece otra VLAN, no guardes el cambio a ciegas: comprueba que la red Hogar (140) existe en Settings → Networks y que corresponde a la VLAN de Hogar.
- Guarda solo si has confirmado que la asignación coincide con el diseño.
Configura SSID-IoT
- Abre
SSID-IoT. - En Network, selecciona o confirma IoT (160).
- Comprueba que el SSID se emite desde el grupo de dos AP que tienes asignado intencionadamente.
- No cambies el grupo si coincide con tu configuración actual.
Configura SSID-Invitados
- Abre
SSID-Invitados. - En Network, confirma Invitados (190) o Invitados con VLAN ID 190.
- Comprueba que el campo Broadcasting APs utiliza el grupo de tres AP.
- La red de invitados debe quedar aislada de los segmentos privados mediante las políticas del firewall. El nombre del SSID, por sí solo, no proporciona aislamiento.
Comprueba SSID-Administracion sin cambiar su red
- Abre
SSID-Administracion. - Comprueba que Network sigue en Native Network.
- No la cambies a VLAN 10 solo por la palabra “Manage”. En este homelab, la red nativa es la que se utiliza desde el equipo administrativo para gestionar la infraestructura.
- Limita el uso de esta red a dispositivos autorizados y protege el SSID con una contraseña robusta.
Paso 3. Configura las bandas Wi-Fi
En el panel de cada SSID localiza Radio Band. Marca únicamente las bandas que corresponden a esa red en la tabla de referencia. Si ya están bien configuradas, no necesitas cambiarlas.
- SSID-Administracion: 2,4 GHz, 5 GHz y 6 GHz.
- SSID-Hogar: 2,4 GHz y 5 GHz.
- SSID-IoT: solo 2,4 GHz.
- SSID-Invitados: 2,4 GHz y 5 GHz.
La banda de 2,4 GHz suele ser útil para dispositivos IoT y equipos alejados; 5 GHz ofrece más capacidad en muchos casos y 6 GHz requiere clientes compatibles. La disponibilidad real depende del dispositivo, la región y las opciones de seguridad. No actives una banda solo porque aparezca disponible si tus clientes no la necesitan.
Paso 4. Revisa los grupos de puntos de acceso
En cada SSID busca Broadcasting APs. Puedes encontrar opciones como All, Group o Specific, según la versión. En esta instalación se utiliza una selección por grupos.
SSID-Hogar: grupo de 2 AP.SSID-IoT: grupo de 2 AP.SSID-Invitados: grupo de 3 AP.SSID-Administracion: conserva la asignación de grupos actual.
Si los grupos y las bandas ya coinciden, no cambies nada: el objetivo es aprender a verificar la configuración sin alterar una distribución que funciona. Guarda cualquier ajuste solo después de revisar todos los campos del SSID.
Paso 5. Comprueba el puerto trunk de cada U7 Pro
El punto de acceso necesita recibir las VLAN de los SSID que anuncia. Para ello, el puerto del switch al que está conectado debe estar configurado para transportar esas VLAN. Este enlace suele ser un trunk, no un puerto access limitado a una única VLAN.
- En UniFi Network, abre Devices y selecciona el switch.
- Busca el puerto donde está conectado el U7 Pro. Comprueba el cableado y el nombre del puerto antes de editarlo.
- Abre los ajustes de ese puerto y localiza Native VLAN / Network y Tagged VLAN Management o la lista de VLAN etiquetadas.
- Comprueba que la VLAN nativa coincide con el diseño de la red y con lo que espera el otro extremo. No la cambies por intuición.
- Confirma que las VLAN necesarias para los SSID están permitidas: como mínimo las correspondientes a Hogar (140), IoT (160) e Invitados (190), además de las VLAN requeridas para la gestión y el resto del diseño.
- Si la lista está configurada como Custom, comprueba cada VLAN individualmente. Si está en Allow All, entiende que permite todas las VLAN disponibles en ese enlace; no cambies el modo sin comprobar las consecuencias.
- Repite la comprobación para los puertos de los otros U7 Pro, porque los tres enlaces pueden tener configuraciones diferentes.
Atención: no copies la VLAN nativa ni la lista exacta de otra instalación. Deben coincidir con tu diseño. Un error en el trunk puede dejar el punto de acceso sin conectividad o hacer que los clientes reciban direcciones de una red equivocada.
Paso 6. Guarda los cambios y prueba un dispositivo
Si has tenido que modificar algún campo, guarda la configuración y espera a que UniFi aplique los cambios. No edites todos los SSID y todos los puertos a la vez: es más fácil detectar un error si validas cada cambio de uno en uno.
- Conecta un móvil u ordenador de prueba a
SSID-Hogar. - Comprueba en los detalles de red del cliente que ha recibido una dirección IP. Debe pertenecer a la subred de Hogar, no a otra VLAN.
- Revisa que puede llegar a Internet y a los servicios domésticos que estén permitidos.
- Conecta un dispositivo de prueba a
SSID-IoT. Comprueba que obtiene una IP de IoT y que no puede iniciar conexiones no autorizadas hacia la red doméstica. - Conecta un cliente a
SSID-Invitados. Comprueba que tiene Internet, pero que no puede acceder a las interfaces administrativas, servidores ni dispositivos privados. - En UniFi Network, abre la lista de clientes y verifica a qué SSID y punto de acceso está conectado cada dispositivo.
- Repite las pruebas en los AP que emiten cada SSID según los grupos configurados.
Paso 7. Diagnostica los problemas más comunes
| Problema | Qué comprobar primero |
|---|---|
| El dispositivo no ve el SSID | Que el SSID esté activo y que el AP pertenezca al grupo de emisión seleccionado. |
| Se conecta, pero no recibe IP | La red asociada al SSID, el trunk del AP y el servicio DHCP en el gateway. |
| Recibe una IP de otra red | El VLAN ID del SSID y la configuración de VLAN nativa/etiquetada del puerto del AP. |
| Hay Internet, pero no se descubre una impresora o dispositivo multimedia | Las reglas inter-VLAN y los requisitos de descubrimiento local, como multicast o mDNS. |
| Un SSID funciona en un AP y en otro no | El grupo de AP, el estado del dispositivo y las VLAN permitidas en el puerto correspondiente. |
| Los invitados acceden a recursos internos | Las políticas del firewall y las opciones de aislamiento; no basta con usar la VLAN 190. |
Paso 8. Lista final antes de darlo por terminado
- Los cuatro SSID aparecen activos en UniFi Network.
- SSID-Hogar está en VLAN 140, SSID-IoT en VLAN 160 y SSID-Invitados en VLAN 190.
- SSID-Administracion conserva Native Network.
- Las bandas y los grupos de AP coinciden con la tabla de esta guía.
- Los puertos de los U7 Pro transportan las VLAN que necesitan los SSID.
- Los clientes reciben una IP de la red correcta y acceden a los servicios permitidos.
- Los invitados y los dispositivos IoT no tienen acceso general a las redes privadas.
- La administración sigue funcionando después de los cambios.
Referencias oficiales
Nota de seguridad: conserva una vía de recuperación local antes de cambiar la red nativa o la red de gestión. No publiques contraseñas, direcciones IP internas ni identificadores de dispositivos en capturas públicas.
Siguiente tutorial: crear reglas de firewall entre VLANs
En el tutorial 5 aprenderás a controlar las comunicaciones entre VLANs, permitiendo únicamente los servicios necesarios y manteniendo aisladas las redes de IoT e invitados.