En los tutoriales anteriores diseñamos las VLAN, configuramos SonicWall y UniFi, y aislamos IoT e invitados. Ahora resolveremos un problema habitual: un dispositivo está conectado y tiene Internet, pero no aparece en el móvil o el ordenador de otra VLAN. Puede ocurrir con impresoras, televisores y dispositivos de streaming.
Importante: que dos redes tengan acceso a Internet no significa que puedan descubrirse entre sí. El descubrimiento, el control del dispositivo y el tráfico multimedia pueden utilizar mecanismos y puertos diferentes. En esta guía usaremos nombres, VLAN e IP ficticios; no copies reglas sin comprobarlas en tu instalación.
Qué vamos a conseguir
- Entender por qué una impresora o un dispositivo multimedia puede no aparecer entre VLAN.
- Distinguir multicast/IGMP de mDNS y del tráfico que usa el dispositivo después de descubrirse.
- Revisar la configuración multicast de SonicWall y las redes Wi-Fi de UniFi sin abrir toda la comunicación entre VLAN.
- Crear excepciones de firewall solo cuando conozcamos el origen, destino y servicio necesario.
- Probar el descubrimiento y la conexión real por separado.
Antes de empezar: identifica el problema
Antes de cambiar nada, anota qué dispositivo quieres utilizar, desde qué red está el móvil u ordenador y en qué red está conectado el dispositivo de destino. Comprueba que ambos tienen una dirección IP válida y que funcionan correctamente dentro de su propia VLAN.
- Impresora: distingue entre encontrarla automáticamente y añadirla por dirección IP o nombre DNS. La impresión puede funcionar aunque el descubrimiento automático no lo haga.
- Chromecast u otro dispositivo multimedia: puede anunciarse mediante mDNS, pero después necesita conectividad adicional para recibir órdenes o transmitir contenido.
- Multicast: es una forma de distribuir tráfico a un grupo de receptores. IGMP ayuda a gestionar la pertenencia a grupos IPv4 multicast en redes compatibles.
- mDNS: utiliza normalmente UDP 5353 y la dirección multicast IPv4 224.0.0.251 para descubrir servicios en el enlace local. Los routers no reenvían automáticamente este tráfico entre subredes.
Estos mecanismos están relacionados, pero no son intercambiables. Activar una opción general de multicast en el firewall no garantiza que el descubrimiento mDNS se propague entre VLAN.
Paso 1. Dibuja el recorrido del tráfico
Usa una tabla sencilla antes de configurar excepciones. Por ejemplo, el móvil puede estar en la red Hogar y la impresora en IoT. El objetivo no es permitir que ambas redes se comuniquen libremente, sino identificar qué debe cruzar entre ellas.
| Origen de ejemplo | Destino de ejemplo | Pregunta que debes resolver |
|---|---|---|
| Hogar | Impresora | ¿Se necesita descubrimiento automático o basta con añadirla por IP? |
| Hogar | Chromecast/TV | ¿El dispositivo aparece en la aplicación? ¿Se puede conectar después? |
| IoT | Hogar | ¿Existe una necesidad real de iniciar conexiones hacia la red doméstica? |
| Invitados | Dispositivos privados | Por defecto, deben seguir aislados salvo que exista una excepción deliberada. |
Paso 2. Revisa las opciones multicast de SonicWall
En la interfaz de SonicOS que aparece en tu captura, la sección está en NETWORK → System → Multicast. La pantalla incluye opciones para habilitar multicast, requerir informes de pertenencia IGMP y definir un tiempo de expiración de las entradas de la tabla multicast.
Esta sección controla aspectos del reenvío multicast; no debe confundirse con un reflector o proxy mDNS entre redes. No cambies sus interruptores ni el temporizador solo para intentar que aparezca una impresora o Chromecast. Primero confirma qué protocolo utiliza el dispositivo y consulta la documentación correspondiente a tu versión de SonicOS.
- Enable Multicast: habilita la función multicast del firewall según las capacidades y políticas de la configuración.
- Require IGMP Membership reports: condiciona el reenvío multicast a la información de pertenencia IGMP, cuando aplica.
- Multicast state table entry timeout: define cuánto tiempo se mantiene una entrada de estado multicast sin renovarse.
- Multicast policies: las opciones visibles permiten controlar la recepción de direcciones multicast; no equivalen a crear reglas de acceso entre todas las VLAN.
Si no sabes por qué está configurada una opción de esta pantalla, no la cambies en una red en producción. Documenta el estado actual y contrástalo con la guía oficial de SonicWall antes de aplicar cambios.
Paso 3. Comprueba las redes y los SSID en UniFi
En UniFi Network, revisa las secciones Settings → WiFi y Settings → Networks (los nombres pueden variar por versión). Confirma qué red está asociada a cada SSID y que la VLAN correspondiente se aplica correctamente.
- Identifica el SSID al que se conecta el móvil u ordenador que controla el dispositivo.
- Comprueba la red asociada a ese SSID.
- Identifica en qué red se encuentra la impresora o el dispositivo multimedia.
- Verifica que ambas redes tienen direccionamiento y gateway correctos.
- Comprueba si está activado el aislamiento entre clientes Wi-Fi. Ese ajuste puede impedir la comunicación entre clientes del mismo SSID, pero no es lo mismo que el enrutamiento entre VLAN.
Paso 4. Decide si necesitas mDNS, multicast o solo una regla de acceso
Utiliza los síntomas para separar el problema antes de crear reglas:
| Síntoma | Qué comprobar primero |
|---|---|
| El dispositivo no aparece en la búsqueda automática, pero funciona por IP | Descubrimiento local, mDNS/Bonjour u otro protocolo anunciado por el fabricante. |
| El dispositivo aparece, pero la aplicación no puede controlarlo | Reglas de acceso para el tráfico posterior al descubrimiento y requisitos del fabricante. |
| Un flujo multicast no llega a los receptores esperados | Soporte multicast, IGMP, pertenencia a grupos y camino de red. |
| Ni siquiera funciona dentro de la misma VLAN | Conectividad básica, Wi-Fi, aislamiento de clientes, dirección IP y estado del dispositivo. |
mDNS se utiliza normalmente para descubrir servicios en el enlace local. Para que esos anuncios crucen subredes suele ser necesario un reflector, gateway o proxy mDNS compatible, o una alternativa explícita del fabricante. La opción multicast de SonicWall que muestras no confirma por sí sola que esa función esté disponible.
Paso 5. Crea excepciones de firewall con el mínimo privilegio
Una vez identificado el tráfico necesario, revisa POLICY → Rules and Policies → Access Rules. Antes de crear una regla, debes conocer el origen, el destino, el protocolo y el puerto requerido. No uses una regla amplia entre Hogar e IoT como solución genérica.
- Guarda una copia de seguridad de la configuración y anota las reglas que afectan a ambas zonas.
- Identifica la zona de origen y la zona de destino en NETWORK → System → Interfaces.
- Consulta la documentación del dispositivo para saber qué servicios necesita. No presupongas que todos los modelos utilizan los mismos puertos.
- Si la comunicación requiere una excepción, limita el origen a los equipos autorizados, el destino al dispositivo concreto y el servicio al protocolo/puerto necesario.
- Comprueba el orden de las reglas y que la nueva política no quede anulada por una regla anterior más permisiva.
- Prueba la función y revisa los registros. Si no funciona, no abras más puertos al azar: identifica qué tráfico está siendo bloqueado.
El descubrimiento mDNS y el control posterior son fases distintas. Permitir UDP 5353 por sí solo no garantiza que una aplicación funcione, y una regla de acceso al dispositivo no hace necesariamente que aparezca en las búsquedas automáticas.
Paso 6. Impresoras: alternativa por IP y descubrimiento automático
Si la impresora lo permite, una opción sencilla para diagnosticar el problema es añadirla por su dirección IP o por un nombre DNS conocido desde un equipo autorizado. Esto ayuda a distinguir el fallo de descubrimiento del fallo de impresión, aunque no sustituye las medidas de seguridad entre redes.
- Comprueba que la impresora tiene una dirección estable o una reserva DHCP documentada.
- Prueba primero la conexión desde la misma VLAN que la impresora.
- Desde el equipo autorizado, comprueba el protocolo de impresión que documenta el fabricante.
- Si imprimir funciona por IP pero no aparece automáticamente, investiga el mecanismo de descubrimiento antes de abrir reglas adicionales.
- No permitas que toda la red IoT inicie conexiones hacia todos los equipos de Hogar solo para encontrar una impresora.
Paso 7. Chromecast y dispositivos multimedia
Para dispositivos como Chromecast, el descubrimiento y el control pueden requerir mecanismos locales además del tráfico posterior entre el móvil y el dispositivo. El comportamiento exacto depende del modelo, la aplicación, la versión y la topología.
- Confirma primero que el móvil y el dispositivo multimedia funcionan cuando están en la misma red, si puedes probarlo de forma segura.
- Si están en VLAN distintas, verifica si tu infraestructura ofrece una función compatible de reenvío/reflector mDNS entre esas redes.
- Si la función no existe en la versión instalada, no des por hecho que habilitar multicast en SonicWall la sustituye.
- Una vez descubierto el dispositivo, limita las reglas de control a los equipos y destinos necesarios según la documentación del fabricante.
- Mantén la red de invitados aislada: no habilites descubrimiento hacia redes privadas para todos los visitantes salvo que ese sea un requisito explícito y controlado.
Paso 8. Prueba el descubrimiento y la conexión por separado
| Prueba | Resultado esperado | Si falla |
|---|---|---|
| Dispositivo conectado a su VLAN | Obtiene IP y gateway correctos | Revisar VLAN, SSID, puerto y DHCP |
| Impresora accesible por IP desde una red autorizada | El servicio de impresión permitido responde | Revisar dirección, servicio y reglas |
| Descubrimiento automático entre VLAN | Solo funciona si el protocolo está reenviado de forma compatible | Revisar mDNS/reflector, multicast y soporte del dispositivo |
| Control o envío de contenido al dispositivo | Funciona con las reglas necesarias y limitadas | Revisar tráfico posterior al descubrimiento |
| Invitados intentan acceder a dispositivos privados no autorizados | Bloqueado | Revisar aislamiento y reglas entre zonas |
Un ping fallido no demuestra por sí solo que el firewall esté bloqueando el tráfico: el dispositivo puede ignorar ICMP. Combina pruebas de aplicación, conectividad por IP cuando sea apropiado y registros de SonicWall.
Errores frecuentes
- Confundir multicast/IGMP con un reflector mDNS.
- Abrir todos los servicios entre VLAN para resolver un problema de descubrimiento.
- Dar acceso general desde IoT o invitados a la red doméstica.
- Crear reglas sin verificar las zonas y el orden.
- Concluir que el firewall bloquea el tráfico solo porque no responde un ping.
- Modificar una opción multicast de producción sin registrar el estado original.
Lista final de comprobación
- Se conoce la VLAN de origen y destino de cada dispositivo.
- Se ha separado el descubrimiento del tráfico de control o impresión.
- Se ha confirmado si se necesita mDNS, multicast u otro protocolo.
- Las reglas permiten solo los orígenes, destinos y servicios documentados.
- IoT e invitados siguen aislados de los recursos privados que no necesitan.
- Se han probado la conectividad y el descubrimiento por separado.
- Los cambios están documentados y existe una copia de seguridad.
Documentación oficial
- SonicWall: documentación técnica oficial.
- Ubiquiti: centro de ayuda oficial.
- RFC 6762: Multicast DNS.
- RFC 2236: IGMP versión 2.
Conclusión: para que un dispositivo funcione entre VLAN no basta con “activar multicast”. Hay que identificar cómo se descubre, qué tráfico necesita después y qué controles soportan realmente el firewall y la plataforma Wi-Fi. Permite lo imprescindible y conserva el aislamiento del resto de la red.
Siguiente tutorial: diagnosticar problemas de VLAN, DHCP y conectividad
En el tutorial 8 seguiremos el recorrido de una conexión desde el cliente hasta el gateway y aprenderemos a localizar fallos de VLAN, DHCP, DNS y reglas de firewall.