Meraki Fundamentos y Dashboard
Contenido complementario
Este tema no está en las notas de mis cursos; está armado con la documentación oficial de Meraki (consultada en octubre de 2026). Las rutas de menú del Dashboard cambian entre versiones: si algo no coincide, ajústalo a lo que veas. Lo marcado con 🔎 Verificar no está confirmado en documentación.
Resumen
Meraki es una plataforma administrada desde la nube: los equipos (MX = firewall/SD-WAN, MS = switch, MR = Wi-Fi) no se configuran por CLI, sino desde el Dashboard (web) o por la API. Para VPN site-to-site lo que importa es el MX. Esta nota explica cómo se organiza el Dashboard, qué tiene de diferente frente a Cisco IOS y Palo Alto, y dónde mirar cuando algo falla. Es la base para Auto VPN, Non-Meraki VPN Peers (IPsec), BGP sobre IPsec en Meraki y Troubleshooting VPN Meraki. Teoría en 03 - Meraki SD-WAN and Auto VPN (Concepts).
Requisitos previos
- Cuenta de Dashboard con permiso de lectura como mínimo (para configurar VPN, administrador de la organización o de la red)
- Saber a qué organización y red pertenece cada MX
- Haber leído IPsec Fundamentals (fases, perfiles, qué debe coincidir)
Conceptos clave
Jerarquía del Dashboard
graph TD ORG["Organización<br/>(licencias, administradores, VPN no-Meraki)"] --> NET1["Red: Oficina A<br/>(1 MX)"] ORG --> NET2["Red: Oficina B<br/>(1 MX)"] ORG --> NET3["Red: Datacenter<br/>(MX en modo concentrador)"] NET1 --> MX1["MX"] NET1 --> MS1["MS / MR"]
| Nivel | Qué se configura ahí |
|---|---|
| Organización | Administradores, licencias, plantillas, Non-Meraki VPN peers (la lista de peers IPsec de terceros es de toda la organización) |
| Red | Direccionamiento/VLANs del MX, reglas de firewall, Site-to-site VPN (modo hub/spoke y subredes exportadas), uplinks |
| Dispositivo | Estado, herramientas (ping, traceroute…), IP de uplink |
Diferencia clave con Palo Alto
En Palo Alto cada túnel es un objeto con su propia configuración. En Meraki la política IPsec y los peers se definen una vez en la organización y se ofrecen a las redes con Availability (todas las redes o solo las que tengan cierta tag).
Modos de operación del MX
| Modo | Para qué sirve | Detalle VPN |
|---|---|---|
| Routed | Firewall/router normal en la oficina | Puede ser spoke o hub |
| Passthrough / VPN Concentrator | Se coloca “de costado” en el datacenter, con una sola pata a la LAN | El tráfico “interesante” que levanta un túnel IPsec debe venir de un cliente detrás del equipo, no del propio MX (🔎 Verificar: no hay documentación oficial sobre este modo con peers no-Meraki) |
Equivalencias Cisco / Palo Alto / Meraki
| Concepto | Cisco IOS | Palo Alto | Meraki MX |
|---|---|---|---|
| Fase 1 | crypto isakmp policy | IKE Crypto Profile + IKE Gateway | IPsec policy → Phase 1 del peer |
| Fase 2 | crypto ipsec transform-set | IPsec Crypto Profile | IPsec policy → Phase 2 del peer |
| Redes protegidas | ACL del crypto map | Proxy ID (policy-based) o rutas (route-based) | Private subnets del peer (policy-based) o rutas/BGP (route-based) |
| PSK | crypto isakmp key | IKE Gateway → Pre-shared key | Preshared secret del peer |
| ID local/remoto | identity | Local/Peer Identification | Local ID / Remote ID (Local ID solo con IKEv2) |
| Ver estado | show crypto isakmp sa | show vpn ike-sa | Security & SD-WAN → Monitor → VPN status |
| Logs | debug crypto isakmp | ikemgr.log | Network-wide → Event log (tipo VPN) |
| Subir configuración | copy run start | Commit | Se aplica al guardar (puede reiniciar túneles) |
Uplinks y licencias
- El MX tiene un uplink primario y puede tener uno secundario. El primario se elige en Security & SD-WAN → Configure → SD-WAN & Traffic Shaping.
- Licencia por equipo, con tres niveles: Enterprise, Advanced Security y Secure SD-WAN Plus. Auto VPN está incluido en todos.
- Los firewalls upstream deben permitir al MX salir a la nube de Meraki y, para Auto VPN, UDP 9350–9381 saliente (ver Auto VPN).
Configuración (Ejemplo)
1. Dónde mirar cuando algo falla
- Security & SD-WAN → Monitor → VPN status: estado en tiempo real de cada túnel (Auto VPN y no-Meraki).
- Network-wide → Monitor → Event log, filtrando por los tipos de VPN no-Meraki.
- Security & SD-WAN → Monitor → Appliance status → Tools: ping/traceroute desde el MX. 🔎 Verificar el nombre exacto de la pestaña en tu versión.
- Network-wide → Monitor → Packet capture: captura en el uplink para ver UDP 500/4500. 🔎 Verificar la ruta de menú.
Verificación
| Comando o lugar | Qué debes ver | Si no lo ves |
|---|---|---|
| Selector de organización y red (arriba) | La red del MX que vas a revisar | Cambia de red: es un error típico mirar la equivocada |
| Estado del MX en el Dashboard | Online | Revisa su salida a Internet: offline no recibe cambios |
| Firmware del MX | La versión que exige la función (IKEv2 ≥ 15.12, BGP sobre IPsec ≥ 19.1.4, route-based estático ≥ 26.2) | Planifica la actualización |
Errores comunes
Cambié la configuración y el túnel se cayó
- Causa: los cambios en Site-to-site VPN pueden reiniciar túneles existentes.
- Solución: haz los cambios en ventana de mantenimiento.
Configuré el peer pero no aparece en mi red
- Causa: Availability del peer usa tags que la red no tiene.
- Solución: agrega la tag a la red o cambia Availability.
Quiero ver “el show run”
- Causa: Meraki no tiene CLI ni configuración en texto.
- Solución: usa el Dashboard o la API (ver Troubleshooting VPN Meraki).