Seguridad en la Capa 3 del Wi‑Fi: riesgos, señales y protección

Cuando pensamos en Wi‑Fi solemos imaginar ataques de Capa 2: deauth, Evil Twin, spoofing de BSSID…

Pero una vez que un dispositivo ya está conectado al Wi‑Fi, entra en juego la Capa 3, donde se gestionan:
    _ direcciones IP
    _ rutas,
    _ DNS,
    _ NAT,
    _ DHCP,
    _ ICMP,
    _ subredes,
    _ firewall lógico,
    _ aislamiento entre clientes.

Y aquí es donde un atacante conectado al Wi‑Fi (o que ha conseguido acceso mediante un ataque de Capa 2) puede causar daños mucho más graves.

1. Riesgos reales en la Capa 3 del Wi‑Fi

La Capa 3 del Wi‑Fi es especialmente delicada porque, una vez que un atacante consigue conectarse a la red inalámbrica, obtiene acceso directo a la subred IP, al servidor DHCP, al DNS, al NAT del router y a todos los dispositivos conectados. En este punto ya no importa la seguridad de la contraseña o del cifrado: el atacante está “dentro” y puede manipular direcciones, rutas, sesiones y tráfico. La Capa 3 del Wi‑Fi es, por tanto, el puente entre la red inalámbrica y la red IP doméstica, y cualquier ataque aquí afecta a PCs, móviles, IoT, cámaras, NAS y Smart TV.

1.1 DHCP Spoofing (servidor DHCP falso)

Un atacante conectado al Wi‑Fi puede levantar un servidor DHCP falso y entregar una puerta de enlace maliciosa, DNS manipulados, IPs incorrectas o rutas alteradas. Esto permite secuestro de tráfico, pérdida de conectividad y ataques MITM totales sin necesidad de explotar vulnerabilidades del router.

1.2 IP Spoofing

Un atacante puede enviar paquetes con IP falsa para saltarse reglas del firewall, hacerse pasar por otro dispositivo o provocar conflictos de IP. Esto permite evasión de seguridad, manipulación de tráfico y ataques MITM dentro de la red Wi‑Fi.

1.3 Manipulación de DNS

Si el atacante controla DHCP o ARP, puede redirigir tráfico a DNS falsos, interceptar credenciales, manipular navegación o secuestrar sesiones. La manipulación de DNS es uno de los ataques más peligrosos en la Capa 3 del Wi‑Fi porque afecta a todos los dispositivos conectados.

1.4 Ataques ICMP

El atacante puede saturar la red con ICMP, manipular el MTU o provocar fragmentación excesiva. Esto genera lentitud, pérdida de paquetes y denegación de servicio. ICMP es crítico para ping, traceroute y MTU discovery, y su manipulación afecta a toda la red inalámbrica.

1.5 Escaneo de red y descubrimiento de dispositivos

Una vez dentro del Wi‑Fi, el atacante puede escanear la subred, identificar dispositivos, detectar puertos abiertos y mapear servicios. Esto permite reconocimiento avanzado para ataques posteriores, incluyendo MITM, explotación de servicios o ataques dirigidos a IoT.

1.6 Saltarse el aislamiento de clientes

Si el router no tiene Client Isolation, un atacante puede comunicarse con otros dispositivos del Wi‑Fi, atacar PCs, NAS, cámaras o IoT. La ausencia de aislamiento convierte la red Wi‑Fi en una LAN completa accesible para cualquier intruso.

1.7 Ataques a NAT y firewall del router

Si el atacante accede al panel del router desde el Wi‑Fi, puede abrir puertos, activar DMZ, cambiar DNS o modificar rutas. Esto permite compromiso total de la red doméstica y exposición directa a Internet.

2. Señales de que estás sufriendo un ataque o fallo en Capa 3 del Wi‑Fi

Los ataques y fallos en la Capa 3 del Wi‑Fi suelen manifestarse como pérdida de conectividad, asignación incorrecta de direcciones IP, navegación manipulada, latencia extrema o degradación general del rendimiento. Una vez que un atacante está dentro del Wi‑Fi, puede manipular DHCP, DNS, rutas, ICMP y NAT, lo que afecta directamente a todos los dispositivos conectados. Tanto los dispositivos como el router y la experiencia del usuario muestran señales claras cuando la Capa 3 del Wi‑Fi está comprometida.

2.1 Señales en los dispositivos conectados

Los dispositivos conectados al Wi‑Fi suelen ser los primeros en mostrar síntomas. Obtener una IP incorrecta revela ataques de DHCP spoofing o servidores DHCP falsos. No tener acceso a Internet pese a estar conectados indica puerta de enlace maliciosa o rutas manipuladas. La navegación que redirige a webs extrañas muestra secuestro de DNS. La latencia muy alta revela saturación de ICMP o manipulación del MTU. Una VPN que no conecta indica problemas de NAT, bloqueo de puertos o rutas incorrectas.

2.2 Señales en el router

El router refleja directamente los ataques de Capa 3 dentro del Wi‑Fi. Las solicitudes DHCP repetidas indican conflictos, servidores falsos o pérdida de sesión. Los dispositivos con IP duplicada revelan suplantación o manipulación de DHCP. Los DNS cambiados sin permiso muestran secuestro de tráfico. Las rutas extrañas en la tabla de enrutamiento indican redirección maliciosa. El tráfico ICMP anómalo revela saturación, manipulación del MTU o intentos de DoS.

2.3 Señales en la experiencia del usuario

La experiencia del usuario también muestra síntomas claros. Las páginas que no cargan revelan problemas de rutas, DNS maliciosos o pérdida de paquetes. El streaming que se corta indica inestabilidad en la Capa 3. Los juegos con lag extremo muestran saturación de ICMP o manipulación del MTU. Los cambios de IP pública sin reiniciar indican manipulación de la sesión WAN o ataques desde el Wi‑Fi hacia el router.

2.4 Señales avanzadas

Las señales avanzadas permiten confirmar el ataque. El TTL alterado revela manipulación de rutas o presencia de un intermediario. La fragmentación excesiva indica problemas de MTU o ataques ICMP dirigidos. El tráfico hacia DNS desconocidos muestra secuestro de tráfico o manipulación de DHCP. Los escaneos de puertos detectados revelan reconocimiento activo dentro del Wi‑Fi, normalmente previo a ataques más avanzados.

3. Cómo proteger la Capa 3 del Wi‑Fi

Proteger la Capa 3 del Wi‑Fi es esencial porque, una vez que un dispositivo se conecta a la red inalámbrica, obtiene acceso directo a la subred IP, al servidor DHCP, al DNS, al NAT del router y a todos los servicios internos. La seguridad del cifrado y de la contraseña solo protege el acceso inicial; la protección real empieza cuando el dispositivo ya está dentro. La defensa debe centrarse en aislar clientes, reforzar DHCP y DNS, limitar el tráfico entre dispositivos y monitorizar cualquier cambio inesperado en rutas, IPs o puertos.

3.1 Activa “Client Isolation” o “AP Isolation”

La medida más eficaz es activar el aislamiento de clientes. Esto evita que los dispositivos Wi‑Fi se vean entre sí y bloquea la mayoría de ataques de Capa 3 entre clientes, como DHCP spoofing, escaneo de red, manipulación de rutas o ataques MITM internos. Con el aislamiento activado, cada cliente solo puede comunicarse con el router.

3.2 Usa una VLAN exclusiva para Wi‑Fi invitados

Separar el Wi‑Fi de invitados en una VLAN exclusiva evita que usuarios externos accedan a PCs, NAS, cámaras o dispositivos IoT. El aislamiento por VLAN limita el alcance de cualquier ataque y protege la red principal.

3.3 Protege DHCP

Si el router lo permite, activar DHCP Snooping, IP/MAC Binding y reservas DHCP evita servidores DHCP falsos y garantiza que los dispositivos reciban direcciones correctas. Estas funciones bloquean ataques de DHCP spoofing y protegen la asignación de IP dentro del Wi‑Fi.

3.4 Usa DNS seguros

Configurar DNS de confianza como Cloudflare, Google o Quad9 evita que un atacante entregue DNS maliciosos mediante un servidor DHCP falso. Los DNS seguros protegen contra secuestro de tráfico, redirecciones fraudulentas y manipulación de navegación.

3.5 Desactiva UPnP

Desactivar UPnP evita que aplicaciones abran puertos sin permiso. Esto bloquea una de las vías más comunes para exponer servicios internos a Internet desde el Wi‑Fi.

3.6 Revisa puertos abiertos

Es fundamental revisar periódicamente los puertos abiertos y eliminar los que no se utilicen. Evitar port forwarding innecesario reduce la superficie de ataque y evita que servicios internos queden expuestos a la WAN.

3.7 Filtra ICMP desde Wi‑Fi

ICMP no debe bloquearse por completo, porque es necesario para MTU discovery y para el funcionamiento básico de la red. Sin embargo, es recomendable limitar ICMP echo, redirect y unreachable desde el Wi‑Fi. Esto evita ataques de saturación y manipulación del MTU sin romper la conectividad.

3.8 Usa firewall avanzado

Un firewall avanzado permite bloquear tráfico entre clientes, tráfico multicast innecesario y puertos no utilizados. Esto reduce la exposición del Wi‑Fi y evita que un atacante pueda comunicarse con otros dispositivos o realizar escaneos internos.

3.9 Monitoriza

La monitorización es esencial para detectar ataques en la Capa 3 del Wi‑Fi. Revisar IPs asignadas permite detectar servidores DHCP falsos. Revisar DNS revela secuestro de tráfico. Revisar rutas detecta manipulaciones o inconsistencias. Revisar los logs del router permite identificar intentos de acceso, escaneos o cambios inesperados en la configuración.

4. ¿Por qué la Capa 3 del Wi‑Fi es tan vulnerable?

La Capa 3 del Wi‑Fi es especialmente vulnerable porque, una vez que un atacante consigue entrar en la red inalámbrica —ya sea por una contraseña débil, por un ataque de Capa 2 o por un punto de acceso comprometido— obtiene acceso directo a la subred IP. Desde ese momento puede interactuar con DHCP, manipular DNS, escanear la red, atacar dispositivos, alterar rutas y secuestrar tráfico sin necesidad de romper cifrados ni explotar vulnerabilidades complejas. La barrera de seguridad del Wi‑Fi desaparece en cuanto el atacante está dentro.

El Wi‑Fi es, por diseño, un medio compartido. Todos los dispositivos conectados comparten la misma subred y dependen del mismo servidor DHCP, del mismo router y de los mismos servicios de resolución de nombres. Esto significa que cualquier cliente malicioso puede levantar un servidor DHCP falso, entregar DNS manipulados, asignar puertas de enlace incorrectas o provocar conflictos de IP. También puede realizar escaneos de red, identificar dispositivos, detectar puertos abiertos y mapear servicios, lo que facilita ataques posteriores contra PCs, NAS, cámaras o IoT.

La manipulación de rutas y de DNS es especialmente peligrosa. Si el atacante controla DHCP o ARP, puede redirigir tráfico hacia sí mismo, interceptar credenciales, manipular navegación o secuestrar sesiones cifradas mediante MITM avanzado. Además, puede saturar la red con ICMP, manipular el MTU o provocar fragmentación excesiva, lo que degrada la conexión y afecta a todos los dispositivos conectados.

En conjunto, la Capa 3 del Wi‑Fi es vulnerable porque es el punto donde la red inalámbrica se convierte en red IP. Aquí se decide qué IP recibe cada dispositivo, qué DNS utiliza, qué rutas sigue el tráfico y cómo se comunica el Wi‑Fi con el router. Si un atacante controla esta capa, controla la lógica de comunicación de toda la red inalámbrica.

En resumen, la Capa 3 del Wi‑Fi es vulnerable porque, una vez dentro del Wi‑Fi, un atacante puede manipular DHCP, controlar DNS, escanear la red, atacar dispositivos, alterar rutas y secuestrar tráfico. Si controlas la Capa 3 del Wi‑Fi, controlas toda la red inalámbrica.

Conclusión

La Capa 3 del Wi‑Fi es crítica y vulnerable porque en ella se gestionan las direcciones IP, las rutas internas, los servidores DNS, el funcionamiento del DHCP, la traducción NAT, el tráfico ICMP, la estructura de subredes y el firewall lógico que determina cómo se comunica la red inalámbrica con el router y con Internet. Una vez que un atacante consigue entrar en el Wi‑Fi, obtiene acceso directo a esta capa y puede manipular la asignación de IP, redirigir tráfico, alterar rutas, secuestrar DNS, saturar la red con ICMP o interferir en la lógica de NAT. Por eso los ataques más comunes —DHCP spoofing, IP spoofing, manipulación de rutas, ICMP flooding o DNS malicioso— ocurren exclusivamente aquí, donde la manipulación del direccionamiento y del enrutamiento permite secuestrar tráfico, bloquear servicios o comprometer dispositivos conectados.

La buena noticia es que la mayoría de estos riesgos pueden mitigarse con medidas sólidas y relativamente sencillas. Activar el aislamiento de clientes evita que los dispositivos Wi‑Fi se vean entre sí y bloquea la mayoría de ataques internos. Separar el Wi‑Fi de invitados en una VLAN exclusiva limita el alcance de cualquier intruso. Proteger DHCP con reservas, IP/MAC Binding o DHCP Snooping evita servidores falsos y garantiza asignaciones correctas. Usar DNS seguros como Cloudflare, Google o Quad9 protege contra secuestro de tráfico y redirecciones maliciosas. Desactivar UPnP elimina una de las principales puertas traseras de la Capa 3. Un firewall avanzado bloquea tráfico entre clientes, multicast innecesario y puertos no utilizados. Y monitorizar IPs asignadas, DNS, rutas y logs del router permite detectar anomalías antes de que afecten a la seguridad o al rendimiento.

Con estas prácticas, la Capa 3 del Wi‑Fi puede alcanzar un nivel de seguridad muy cercano al de un entorno profesional, manteniendo la integridad del tráfico, la estabilidad del enlace y la protección de todos los dispositivos conectados a la red inalámbrica.