¿Peplink o UniFi como gateway? Separar los papeles con claridad

«¿Peplink o UniFi?» suena a una decisión de producto y es en realidad una cuestión de papeles. Los dos mundos se solapan en un único punto — el gateway — y por lo demás son complementarios.

Peplink es fuerte allí donde varias líneas de internet deben convertirse en una conexión robusta: agregar, conmutar sin interrupciones, redundancia de paquetes y priorización en el punto de entrega a internet. Ese es el núcleo de SpeedFusion y, con esa profundidad, no existe en el portafolio de UniFi.

UniFi es fuerte en la red que va detrás: muchos puertos, alimentación PoE limpia, un sistema wifi bien pensado con administración unificada, puntos de acceso económicos, separación en VLAN con unos pocos clics y un concepto de manejo con el que también se arreglan los no especialistas.

Por eso la respuesta razonable es casi siempre: ambos, con un reparto claro de papeles. El Peplink es router y cortafuegos en la transición a internet. UniFi aporta el switch, los puntos de acceso y la administración. La cosa solo se pone interesante en dos puntos — qué ocurre cuando se añade además un gateway de UniFi, y dónde corresponde la priorización.

Los equipos gateway de UniFi son buenos routers. Manejan varias conexiones WAN, detectan la caída de la línea primaria y conmutan a la segunda. Para la mayoría de las oficinas eso es totalmente suficiente.

La diferencia está en lo que ocurre durante y después de esa conmutación. Un failover sin túnel significa: la dirección pública cambia, las conexiones existentes se cortan y las aplicaciones las vuelven a establecer. En páginas web y correo electrónico nadie lo nota. En una videoconferencia en curso, todos los participantes ven el corte.

Al portafolio de UniFi le faltan dos capacidades en esta forma:

• Agregar varias líneas en una sola conexión — no repartir sesiones, sino transportar una única transmisión por varios caminos al mismo tiempo.
• Redundancia de paquetes por varias líneas, es decir, enviar el mismo paquete en paralelo y usar en el receptor la primera copia. Precisamente ese procedimiento hace inmune una transmisión frente a perturbaciones breves.

De ello resulta una regla de decisión sencilla: si una transmisión en curso tiene que sobrevivir a la caída de una línea, el gateway es un Peplink. Si basta con que la oficina vuelva a estar en línea al cabo de unos segundos, un gateway de UniFi puede asumir ese papel — y se ahorra un equipo.

Una propuesta frecuente consiste en usar el Peplink para las líneas y colocar detrás una Dream Machine «para tener la experiencia UniFi». Funciona y, aun así, no es buena idea, porque se operan dos routers en serie.

Las consecuencias son concretas:

• Traducción de direcciones doble. Cada paquete se reescribe dos veces. Las redirecciones de puertos hay que configurarlas en dos sitios, y los protocolos que llevan direcciones en la parte de datos exigen doble atención.
• Dos cortafuegos. Cada regla existe potencialmente dos veces, y ante cada intento de conexión bloqueado la búsqueda de errores pregunta primero: ¿cuál de los dos equipos ha sido?
• Dos rangos de direcciones y dos responsabilidades de DHCP. Las VLAN hay que mantenerlas coherentes en los dos equipos.
• Ninguna ganancia. Las funciones interesantes de UniFi — administración, wifi, VLAN, PoE, estadísticas — dependen del controlador, de los switches y de los puntos de acceso. No necesitan ningún gateway de UniFi.

Por eso la variante más limpia es: Peplink como gateway, UniFi como capa de switch y de wifi. Los puntos de acceso se administran a través del controlador, las VLAN terminan en el Peplink y hay exactamente un punto en el que se enruta y se filtra.

Hay una excepción: si una ubicación ya opera de todos modos un gateway de UniFi y el Peplink solo debe proteger una única aplicación crítica, se puede operar el Peplink también como puro equipo de túnel detrás del gateway. Eso es una solución especial adoptada de forma consciente — no la arquitectura estándar.

Un error de razonamiento extendido afecta a la cuestión de dónde se da preferencia al tráfico importante. La intuición dice: en el switch, porque allí confluyen los cables. La física dice otra cosa.

La priorización solo actúa en el punto en el que realmente se queda estrecho. En una conexión con 300 Mbit/s de subida y un switch de 24 puertos con puertos Gigabit o de 2,5 Gbit, el cuello de botella es claramente la transición a internet, no la red local. Un switch que atiende 24 puertos Gigabit no se congestiona nunca con cuatro puntos de acceso y un puesto de trabajo.

De ello se deduce: la priorización corresponde al gateway. Peplink ofrece allí grupos de usuarios con reserva de ancho de banda, límites por equipo, preferencia en función de la aplicación y reglas de tráfico que dirigen flujos concretos a un túnel o directamente a una línea. Ese es el nivel en el que se impide que una copia de seguridad desplace a un stream de conferencia.

Los switches de UniFi pueden priorizar perfectamente — por puerto se pueden reconocer clases de tráfico, remarcarlas y asignarlas a colas; las series mayores traen además perfiles listos para aplicaciones de audio y de vídeo. Eso es útil, pero solo resulta relevante cuando surge un cuello de botella en la LAN: muchas cámaras y una copia de seguridad por el mismo enlace ascendente, o un sistema de almacenamiento que llena de forma permanente una conexión Gigabit. Entonces la respuesta correcta suele ser de todos modos un enlace ascendente más rápido y una VLAN propia, no una cola.

La regla general: en la transición a internet prioriza el Peplink; en la LAN se evitan los cuellos de botella mediante la topología.

Una red UniFi necesita un controlador. Administra los puntos de acceso y los switches, guarda la configuración y las estadísticas y proporciona la interfaz. Para ello hay tres caminos.

Una consola en la casa — por ejemplo un Cloud Key. Probada, manejable, cuesta una unidad de altura en el armario, electricidad y mantenimiento. Es importante saberlo: para UniFi Protect, es decir, la aplicación de cámaras, una consola de Ubiquiti de este tipo es imprescindible según las especificaciones del fabricante. Quien planifique cámaras la necesita de todos modos — entonces es mejor planificarla desde el principio que tocar el sistema dos veces.

Operado por uno mismo en un servidor propio. Ubiquiti lo admite para la aplicación de red, pero expresamente solo para ella; Protect, Access y las demás aplicaciones exigen hardware de Ubiquiti. Como solución permanente para una red en producción es más bien algo para quienes ya administran servidores de todos modos.

Alojado. Nosotros operamos un controlador UniFi en nuestro centro de datos e integramos allí los equipos si así se desea — con facturación por equipo integrado y mes. Eso ahorra la adquisición, el espacio en el armario, el consumo eléctrico y, sobre todo, el mantenimiento: las actualizaciones y la copia de seguridad del controlador las asumimos nosotros. Para una red con un puñado de puntos de acceso y un switch es la variante que menos esfuerzo exige — y más adelante se puede pasar a una consola propia cuando se añadan cámaras.

La decisión depende menos del precio que de la pregunta de quién actualiza el controlador cuando llega el momento crítico.

Para una ubicación con varias líneas de internet, puestos de trabajo por cable, wifi y quizá más adelante cámaras se ha demostrado eficaz el siguiente montaje:

1. Las líneas, al Peplink. Dos conexiones WAN por cable son la regla en los modelos compactos; un tercer camino se añade mediante un módem móvil incorporado o mediante la función Virtual WAN.
2. Un túnel SpeedFusion con un punto remoto en el centro de datos. Dentro de él, un sub-túnel con redundancia de paquetes para el tráfico crítico; el resto, por conmutación sin interrupciones o directamente.
3. Un switch PoE de UniFi como único centro de distribución. Alimenta los puntos de acceso y separa las redes a nivel de puerto.
4. VLAN con una tarea clara: los puestos de trabajo y la técnica crítica separados de la red privada o de invitados, las cámaras en una red propia sin acceso a internet, los invitados aislados.
5. Puntos de acceso en los cables que ya están tendidos. Dos equipos por planta son un buen punto de partida para la mayoría de las distribuciones; lo decisivo es la colocación, no el número de unidades.
6. El controlador allí donde se mantenga actualizado de forma fiable — en la casa o alojado.

Con eso hay exactamente un punto en el que se enruta, se filtra y se prioriza, y exactamente un punto en el que se administran el wifi y los puertos. Esa separación es la verdadera razón por la que la combinación de los dos fabricantes funciona tan bien — y por la que juntar los dos papeles en un solo equipo es casi siempre la peor opción.

Este artículo se ha investigado y redactado con apoyo de IA y ha sido revisado antes de su publicación por los técnicos de Ascend.