Cómo separar el Wi-Fi de clientes, el TPV y las cámaras en un comercio

En un comercio conviven cuatro tráficos que no deberían verse entre sí: el Wi-Fi que se ofrece a los clientes, el TPV con sus impresoras y datáfonos, las cámaras con el grabador y la gestión de los propios equipos de red. Crear un SSID con otro nombre no los separa. Separarlos de verdad exige decidir qué puede hablar con qué, llevarlo a VLAN, puertos y reglas, y después comprobarlo.

Qué redes conviven en un comercio y por qué no deben mezclarse

Un comercio pequeño o mediano suele tener, como mínimo, estas redes lógicas aunque hoy compartan el mismo router:

• Clientes: móviles de los visitantes, a veces con portal de registro. Ni el comercio ni tú controláis esos dispositivos.
• Venta: TPV, impresoras de tickets, báscula, datáfono con conexión IP, ordenador de trastienda. Es la red que no puede caer y la que más conviene aislar.
• Cámaras: cámaras IP y grabador (NVR). Generan tráfico continuo y, si quedan accesibles desde la red de clientes, cualquiera con el móvil puede probar la contraseña por defecto.
• Gestión: las interfaces de administración del router, el switch y los puntos de acceso. Solo deben alcanzarse desde el equipo del instalador o desde la plataforma de gestión del fabricante.

Opcionalmente aparece una quinta red para dispositivos de servicio (música ambiental, pantallas, sensores) que no necesitan ver la red de venta. La guía de compra Reyee ya explica qué gama de router, switch y punto de acceso encaja en un local con Wi-Fi de clientes y TPV; aquí no repetimos esa selección, sino cómo organizar y comprobar la separación con los equipos elegidos.

La matriz de comunicaciones: qué puede hablar con qué

Antes de tocar un equipo, rellena esta matriz con el responsable del comercio. Cada celda indica si la red de la fila puede iniciar conexiones hacia la red de la columna. Las respuestas a una conexión ya autorizada se tratan aparte, en las reglas. La versión que se entrega al cliente es también la referencia de las pruebas finales: cada «No» se comprueba y cada «Solo» se concreta en un destino y un servicio.

Tres decisiones de esta matriz merecen conversación con el cliente antes de instalar nada:

• El TPV y los medios de pago. El fabricante del TPV y el proveedor del servicio de cobro publican qué destinos y servicios necesitan. Pídelo por escrito y añádelo a la matriz; no inventes puertos ni abras «todo hacia Internet» por comodidad.
• Las cámaras. Normalmente solo el NVR necesita salir a Internet (aplicación del fabricante, notificaciones, actualizaciones). Las cámaras hablan con el NVR dentro de su VLAN y no necesitan Internet.
• Si el dueño quiere ver las cámaras desde su móvil conectado al Wi-Fi de clientes, lo correcto es que use la aplicación del NVR por Internet, igual que desde la calle. Abrir la VLAN de cámaras a la de clientes rompe el diseño para resolver un caso que ya tiene solución.

Esquema lógico: una VLAN por red y un solo cable por puerto

El esquema traduce la matriz a equipos. El router hace de pasarela de todas las VLAN y aplica las reglas; el switch lleva las VLAN a cada puerto; los puntos de acceso emiten un SSID por red y lo etiquetan con su VLAN. Entre router, switch y puntos de acceso viajan varias VLAN por el mismo cable (puertos troncales); en los puertos donde se conecta un equipo final viaja una sola (puerto de acceso).

En este ejemplo el TPV se conecta por cable a los puertos LAN del router y no pasa por el switch. Es una elección deliberada: deja el switch para los equipos que necesitan PoE y simplifica la matriz (la VLAN de venta solo viaja por el troncal si existe un SSID de venta para terminales inalámbricos). Si el TPV está lejos del router, se le asigna un puerto de acceso en el switch con el mismo resultado lógico.

Asignación de puertos, SSID y direccionamiento

Esta tabla es la que se cuelga dentro del armario. Fija, para cada puerto y cada SSID, su VLAN y su modo (acceso o troncal). Las subredes también son del ejemplo: lo importante es que cada VLAN tenga la suya y su propio ámbito DHCP.

Dos comprobaciones de aritmética antes de pedir material. Puertos: el switch del ejemplo usa cinco puertos RJ45 para cámaras y NVR, dos para puntos de acceso y uno o una ranura SFP para el enlace con el router; quedan libres un RJ45 y una ranura SFP. PoE: solo consumen PoE las cuatro cámaras y los dos puntos de acceso; el NVR y el enlace al router no. Suma la potencia máxima de ficha de cada uno de esos seis equipos y compárala con el presupuesto PoE del switch, no con la potencia por puerto. La calculadora PoE hace esa suma.

Reglas de acceso, DHCP, DNS e IPv6

Lo que hace el router por defecto y lo que hay que escribir

Al crear varias VLAN en un router Reyee de la serie EG, los equipos de VLAN distintas quedan separados en capa 2, pero el propio router enruta entre ellas: sin reglas, un móvil de la VLAN de clientes puede llegar a la dirección IP del NVR. La guía de configuración de ReyeeOS 2.410 documenta cómo crear las VLAN con su servidor DHCP y cómo definir reglas de control de acceso basadas en IP, con origen, destino y protocolo. Dos detalles de esa guía condicionan el diseño:

• Las reglas basadas en IP se aplican en un solo sentido. Para impedir el tráfico entre dos subredes en ambos sentidos hacen falta dos reglas de bloqueo, una por dirección. Es una razón más para que la matriz distinga quién inicia la conexión.
• El número de VLAN que admite cada router está limitado por serie (la guía cita 16 en la serie EG1xx y 32 en la EG2xx). Para un comercio sobran, pero conviene saberlo si el mismo router da servicio a varios locales.

Traducido a la matriz del ejemplo, las reglas mínimas son: bloquear Clientes → Venta, Clientes → Cámaras y Clientes → Gestión; bloquear Venta → Cámaras y Venta → Gestión; bloquear Cámaras → Venta, Cámaras → Gestión y Cámaras → Clientes; y permitir desde Gestión hacia todo lo interno. Si el router ofrece una red de invitados con aislamiento por defecto, úsala para la VLAN de clientes y comprueba igualmente que no alcanza las otras subredes: la configuración se verifica, no se presume.

DHCP y DNS

Cada VLAN lleva su propio ámbito DHCP en el router, con la puerta de enlace de su subred. Reserva direcciones fijas (por MAC o estáticas) para el NVR, las cámaras, el TPV y la impresora: facilita las reglas y las pruebas. Para el DNS, lo más sencillo es que todas las VLAN usen el del router o uno público; si el TPV exige un DNS concreto, anótalo en la ficha del proveedor.

IPv6

Si el operador entrega IPv6 y el router lo propaga a las VLAN, las reglas que escribas solo para IPv4 no cubren ese tráfico. La guía de los routers EG permite definir reglas de acceso tanto para IPv4 como para IPv6; o se escriben las dos versiones, o se deja IPv6 desactivado en las VLAN internas hasta que el diseño lo contemple. Una prueba que solo mira IPv4 no demuestra el aislamiento.

Aislamiento dentro del Wi-Fi de clientes

La VLAN separa redes; el aislamiento de clientes separa a los usuarios dentro del mismo SSID. En la gestión Reyee aparecen dos opciones con alcance distinto, según la guía: el aislamiento de clientes, que aísla entre sí a los dispositivos conectados a ese Wi-Fi en el mismo punto de acceso, y el aislamiento de capa 2, que lo hace en todos los puntos de acceso de la red. En un comercio con dos o más puntos de acceso, la segunda es la que corresponde al SSID de clientes. No la actives en el SSID de venta si el TPV debe imprimir en una impresora inalámbrica.

Material que hace posible el diseño

El diseño anterior exige tres capacidades: un router que cree VLAN, sirva DHCP por VLAN y aplique reglas entre ellas; un switch que etiquete VLAN por puerto (802.1Q) y alimente por PoE; y puntos de acceso que emitan varios SSID y asignen cada uno a una VLAN. La tabla indica qué comprobar en la ficha de cualquier modelo y qué referencias publicadas en nuestro catálogo cumplen lo que se afirma, según la documentación oficial consultada el 9 de noviembre de 2026.

Las cuatro referencias se gestionan desde la misma plataforma del fabricante, lo que permite crear las VLAN cableadas e inalámbricas de forma centralizada: la guía de la serie EG describe un planificador de red en el que se define cada VLAN, su DHCP, los puertos del switch que la llevan y el SSID que la emite. Si el proyecto necesita más puertos PoE o cámaras en exterior, la comparativa de switches Reyee ES200 ayuda a elegir la variante; para un almacén separado del local, la guía de radioenlaces cubre el enlace. Las categorías de routers, switches y puntos de acceso Reyee reúnen el resto de referencias.

Pruebas de puesta en marcha

Las pruebas se hacen desde cada red, con un portátil o un móvil conectado a ella, y se anotan en la misma hoja que la matriz. Crear las VLAN y los SSID no demuestra nada: lo demuestra esta lista.

Al cerrar, entrega al comercio la matriz, la tabla de puertos y SSID y la hoja de pruebas firmada. La próxima vez que alguien conecte «un cable para la pantalla nueva», sabrá en qué puerto y en qué red debe ir.

Lo que no conviene prometer

• Separar redes no equivale a cumplir una norma de pagos ni a garantizar seguridad total. Reduce el alcance de un incidente y ordena la instalación; el cumplimiento, si aplica, lo determina el proveedor del servicio de cobro y su auditoría.
• Un router que puede crear VLAN no está aislando nada hasta que las reglas están escritas en los dos sentidos y comprobadas.
• Los puertos y destinos del TPV o del datáfono los publica su proveedor. Si no están documentados, pídelos; no se adivinan.
• El número de puntos de acceso y la cobertura dependen del local, los tabiques y la densidad de usuarios. Un plano y una medición valen más que una cifra por metro cuadrado.
• No publiques a Internet la interfaz de administración de ningún equipo, aunque sea «solo un rato». La gestión remota se hace por la plataforma del fabricante o por una VPN.
• Los identificadores de VLAN, las subredes y los nombres de SSID de esta guía son un ejemplo coherente, no una plantilla obligatoria.

Preguntas frecuentes

¿Basta con un router doméstico con «red de invitados»?

Para separar el Wi-Fi de clientes del resto, a veces. Para dejar el TPV y las cámaras en redes distintas, con reglas entre ellas y puertos del switch asignados, hace falta un router con VLAN y control de acceso y un switch gestionable.

¿Puedo poner las cámaras en la misma red que el TPV para ahorrar una VLAN?

Técnicamente sí; no es recomendable. Las cámaras son el equipo con más exposición (contraseñas por defecto, firmware antiguo) y el TPV el que menos debe compartir. Dos VLAN cuestan lo mismo que una.

¿Cómo ve el dueño las cámaras desde su móvil?

Con la aplicación del fabricante del NVR, que sale a Internet desde la VLAN de cámaras. Funciona igual dentro del comercio que fuera, sin abrir la VLAN de cámaras a la de clientes.

¿Qué datos necesitáis para preparar el material?

El plano del local con la posición del armario, el TPV, las cámaras y las zonas de Wi-Fi; la lista de equipos actuales; la matriz de comunicaciones acordada con el cliente, y los requisitos de red que publique el proveedor del TPV y del cobro.

Fuentes

• Ruijie Reyee: RG-EG Series Routers ReyeeOS 2.410 Configuration Guide (V1.1): creación de VLAN con DHCP, VLAN por puerto, red de invitados, aislamiento de clientes y de capa 2, reglas de control de acceso por IP (unidireccionales, IPv4 e IPv6) y límites de VLAN por serie (consulta 09/11/2026).
• Ruijie Reyee: RG-EG209GS, especificaciones (consulta 09/11/2026).
• Ruijie Reyee: RG-NBS3100-8GT2SFP-P-V2, especificaciones (consulta 09/11/2026).
• Ruijie Reyee: RG-RAP2260, especificaciones (consulta 09/11/2026).

Más información de la marca en nuestra página de Reyee · Ruijie.