Si pones reglas de wifi que apuntan al dispositivo concreto de tu hijo, un crío con maña técnica tiene una respuesta limpia: cambiar la dirección MAC del aparato, el identificador de hardware con el que el router lo reconoce, y para el router ahora es otro dispositivo para el que tu regla nunca se escribió. Cambiar de adaptador hace lo mismo en un ordenador. Perseguir esto en el router, bloqueando cada MAC nueva según aparece, es una carrera que pierdes, porque falsear otra toma segundos. El arreglo real es dejar de identificar el dispositivo y filtrar de un modo al que le dé igual qué MAC se presente, que es lo que hacen el bloqueo en el propio dispositivo y el filtrado de toda la red, el enfoque detrás de TKO’T en los aparatos que cubre, gratis. Defensa pura, nombrando el truco solo para cerrarlo.

Por qué las reglas por dispositivo pierden

Muchos routers dejan aplicar reglas a un dispositivo con nombre, identificado por su dirección MAC. Esa comodidad es la debilidad: la MAC se cambia por software, así que una regla atada a ella es una regla atada a una etiqueta que el usuario puede reescribir. Es el patrón del topo de todo el mapa de puertas laterales en versión de red: cada identificador bloqueado se sustituye por uno fresco, y no se gana coleccionando identificadores. Se gana no dependiendo del identificador.

Filtra de modo que la identidad del aparato no importe

Toda la red, no por dispositivo. Fija el DNS de filtrado a nivel del router para la red entera en lugar de reglas por aparato, para que cada dispositivo del wifi quede filtrado sin importar su MAC: una dirección falseada recibe igualmente el resolutor familiar de la red. El falseo cambia la etiqueta, no la red en la que está el aparato. Canda la administración del router para que el propio DNS se quede quieto, la misma disciplina de la página de administrador del router con la llave en otras manos.

Y filtrado que viaja en el dispositivo. El movimiento más fuerte para el teléfono de un hijo es un filtrado que viva en el aparato y no en la red: un perfil gestionado con DNS y reglas de contenido en el dispositivo se aplica esté el teléfono en la red que esté y presente la MAC que presente, porque el filtro está en el teléfono y no en la vista que el router tiene de él. Esto cierra también la escapada vecina de pasarse a los datos móviles, con la que el falseo suele ir emparejado. La política gestionada puede además restringir el cambio de ajustes de red en el propio dispositivo.

La conversación honesta de padres

Sé claro con lo que el falseo te está diciendo: un crío que falsea direcciones MAC es técnicamente capaz y está muy motivado, y a ese nivel ningún control puramente técnico sobre un aparato que tiene físicamente en las manos es hermético; quedan el DNS cifrado y la ruta del segundo dispositivo. El filtrado de toda la red más un perfil gestionado en el dispositivo cierra las versiones fáciles e intermedias, que cubren la mayoría de los casos, pero con un adolescente hábil y decidido la capa técnica compra tiempo y sube el coste; no sustituye la conversación. Eso no es un fallo de las herramientas: es el límite honesto de cualquier control frente a alguien listo que vive en casa, y es la razón de que el enfoque familiar completo empareje la pared con la confianza en lugar de apoyarse solo en la pared.

Preguntas frecuentes (FAQ)

¿Cómo evito que mi hijo cambie la dirección MAC para tener internet? Deja de usar reglas del router por dispositivo, que una MAC cambiada vence, y filtra la red entera para que cada aparato reciba el DNS de filtrado sin importar su MAC; añade después filtrado en el propio teléfono del crío mediante un perfil gestionado, para que el bloqueo viaje incluso fuera del wifi. Canda la administración del router para que el DNS se quede quieto. Con un adolescente capaz de falsear la MAC, acompáñalo todo de una conversación directa: las herramientas suben el coste pero no la sustituyen.

¿Por qué cambiar la dirección MAC se salta mi filtro? Porque un filtro que apunta a un dispositivo concreto lo identifica por su dirección MAC, y la MAC se cambia por software, así que una nueva parece un aparato recién llegado para el que tu regla nunca se escribió. El arreglo es filtrar de un modo que no dependa de la identidad del dispositivo: DNS de toda la red que cubra cada aparato, y filtrado en el dispositivo que viaje con el teléfono.

¿Cómo filtro el wifi para todos los dispositivos sin importar la MAC? Fija el DNS de filtrado a nivel del router para toda la red en lugar de escribir reglas por aparato, de modo que cada dispositivo conectado, incluido uno con la MAC falseada, reciba el resolutor familiar de la red. Canda la página de administrador del router para que el DNS no se pueda revertir. Así desaparece la etiqueta por dispositivo como blanco, porque el filtro se aplica a todo el tráfico de la red y no a aparatos con nombre.

¿El filtrado en el dispositivo para el falseo de MAC? Más que pararlo, lo vuelve irrelevante: el filtrado en el dispositivo vive en el teléfono y se aplica presente la MAC que presente y se una a la red que se una, así que cambiar la MAC no cambia nada de la pared del propio aparato. Un perfil gestionado es la versión duradera porque el crío no puede quitarlo; TKO’T corre este modelo de viajar-con-el-dispositivo en Mac e iPhone, gratis, y cubre también las rutas de datos móviles y otras redes con las que el falseo suele emparejarse.

¿Un adolescente técnico y decidido puede saltarse todo esto igualmente? Con honestidad: un adolescente muy hábil y motivado con acceso físico puede seguir encontrando rutas, DNS cifrado, un segundo dispositivo, y ningún control puramente técnico es hermético contra eso. El filtrado de toda la red más el perfil gestionado en el dispositivo cierra las versiones fáciles e intermedias, que cubren la mayoría de los casos, y para el resto compra tiempo y sube el coste mientras el trabajo de verdad ocurre en la conversación. Las herramientas apoyan la confianza; no la sustituyen.