Guía de diseño de red para dispositivos Shelly Gen2

Para instaladores, profesionales de TI, socios B2B y usuarios avanzados de home

[BREAKING - FW 1.8] El firmware 1.8 impone HTTPS, añade una ventana de configuración de 15 minutos y refuerza Bluetooth. Consulta todos los detalles en Cambios de cumplimiento del firmware 1.8 / EU RED.

Cómo utilizar esta guía

Esta es una guía de red. Explica cómo debe configurarse una red para que los dispositivos Shelly Gen2+ funcionen de forma fiable. Empieza por encontrar tu perfil. Cada sección de perfil es independiente: lee la tuya y omite el resto.

Iconos de aviso: ℹ = nota · ⚠ = advertencia · [BREAKING - FW 1.8] = cambios de comportamiento en el firmware 1.8; se requiere una acción antes de actualizar.

Encuentra tu perfil

Perfil 1 - home básica: Sin VLAN, sin bróker ni reglas de firewall. Necesitas: un router de home, la aplicación de Shelly y unos 15 minutos.

Perfil 2 - home avanzada: VLAN de Shelly, Home Assistant, WebSocket/MQTT, VPN WireGuard y retransmisor mDNS. Necesitas: un router/AP gestionado, Home Assistant, Mosquitto y Avahi.

Perfil 3 - Pequeña y mediana empresa: VLAN corporativa, de invitados y de Shelly, Fleet Manager SaaS, MQTT y un host de salto VPN. Necesitas: Shelly Fleet Manager (SaaS), un firewall gestionado y una VPN.

Perfil 4 - Empresa / Varias sedes: Implementaciones estandarizadas, control de cambios, RBAC y clúster de MQTT. Necesitas: un clúster de MQTT, Shelly Fleet Manager con RBAC, VLAN de Shelly por sede, retransmisores mDNS del campus e integración con SIEM.

Perfil 5 - Hotel: Aislamiento de VLAN por habitación o aislamiento básico de clientes según la plataforma de AP, control centralizado del personal, integración con PMS y Matter + Echo opcionales por habitación. Necesitas: Shelly Cloud o Fleet Manager, la API de integración de Shelly, BLU Assistant y una plataforma de AP compatible con el aislamiento de clientes (variante A) o DPSK/iPSK + RADIUS (variante B).

ℹ ¿No estás seguro? Si sabes qué es una VLAN y tienes más de 15 dispositivos, empieza por el Perfil 2.

Fundamentos de red para dispositivos Shelly

2.1 Compatibilidad de protocolos por generación

*Consulta la lista de productos certificados por la CSA para conocer los modelos Gen3 compatibles con Matter. **En modo Zigbee, el dispositivo Gen4 abandona por completo el Wi-Fi: no tiene dirección IP.

2.2 Planos de control: HTTP, WebSocket, MQTT

Límite por dispositivo: 6 canales RPC no persistentes simultáneos, según la especificación de canales RPC de Shelly.

• HTTP: adecuado para comandos sencillos o depuración. No es adecuado para el estado reactivo sin sondeo.

• WebSocket: adecuado para obtener el estado en tiempo real sin un broker.

• MQTT: adecuado cuando los devices necesitan conectarse hacia fuera a través de un firewall o cuando el estado de un fan debe enviarse a varios consumidores. QoS fijo en 1 (entrega al menos una vez), no configurable.

ℹ Un dispositivo puede tener MQTT y WebSocket activos simultáneamente. Ninguna documentación de Shelly especifica un umbral de cantidad de dispositivos para cambiar de protocolo.

2.3 mDNS, DNS-SD y Bonjour

• mDNS (RFC 6762): UDP 5353. Solo de enlace local: TTL=1, nunca sale del segmento L2 local.

• DNS-SD (RFC 6763): capa de nombres sobre mDNS. Formato _service._protocol.

• Bonjour: nombre que Apple da a la pila combinada.

Tipos de servicio de Shelly: _shelly._tcp (específico de Gen2+) · _http._tcp (puerto 80) · _matter._tcp (Matter operativo) · _matterc._udp (comisionado de Matter, solo durante la ventana de emparejamiento activa).

⚠ mDNS nunca atraviesa por sí solo un límite entre VLAN. Configura un relay de mDNS para entornos segmentados.

ℹ Implicación arquitectónica del aislamiento de clientes: Cuando el aislamiento de clientes está habilitado en el SSID de Shelly, todo el tráfico de los dispositivos, incluido el multidifusión, debe atravesar el gateway de capa 3 en lugar de conmutarse en la capa 2. Esto es intencionado: obliga a que mDNS pase por el relay y garantiza que todo el tráfico entre dispositivos y entre dispositivos y el controlador atraviese la política del firewall. Siempre se requiere un relay cuando el aislamiento de clientes está activado, independientemente de la configuración de la VLAN.

Retransmisión de mDNS por plataforma:

• UniFi (IoT Auto Discovery)

• Meraki MX (Bonjour Forwarding)

• Catalyst 9000 (DNA Service for Bonjour)

• MikroTik RouterOS 7.16+ (/ip dns set mdns-repeat-ifaces=)

• pfSense/OPNsense (Avahi)

• Omada 5.9+ (Settings -> Services -> mDNS)

• Linux/HA OS (Avahi, enable-reflector=yes)

• eero (no disponible).

ℹ Para ver un ejemplo real de anuncios mDNS de Shelly, incluido el comportamiento de las direcciones IPv6 según la generación, consulte Descubrir dispositivos Shelly mediante mDNS en la base de conocimientos de Shelly. El artículo también enlaza a un script de descubrimiento de Python de código abierto que busca _shelly._tcp y muestra una tabla con todos los dispositivos descubiertos, su generación, firmware y direcciones IP; resulta útil para auditar un sitio antes y después de la implementación.

2.4 IPv6 y Matter

Matter (estándar de CSA) utiliza IPv6 para toda la comunicación posterior a la puesta en servicio. IPv4 por sí solo no es suficiente.

La compatibilidad con IPv6 sigue el límite entre generaciones: los dispositivos Gen3 y Gen4 admiten IPv6 y son las únicas generaciones compatibles con Matter. Los dispositivos Gen2 Plus no admiten ninguna de las dos; si va a implementar Matter, sus dispositivos deben ser Gen3 o Gen4. Los dispositivos Gen2 Pro admiten IPv6 entrante (firmware 1.4.0 o posterior), pero no son compatibles con Matter.

Solo entrante: todas las conexiones salientes de Shelly —nube, MQTT, NTP, OTA y DNS— utilizan IPv4 independientemente de la configuración IPv6 de la red. No necesita reglas de firewall de salida IPv6 para los dispositivos Shelly. IPv6 se utiliza únicamente para el control entrante: interfaz web del dispositivo, RPC y tráfico del concentrador Matter al dispositivo.

• SLAAC (RFC 4862): los dispositivos obtienen una dirección IPv6 a partir de los anuncios del router. Cada SVI de Shelly VLAN debe enviar RA. Requiere firmware 1.4.0 o posterior; el firmware anterior solo admite IPv6 local del enlace y no obtiene una dirección enrutable.

• RA (Router Advertisement): si se bloquea, los dispositivos nunca obtienen una dirección IPv6 enrutable. Es la causa más común de fallos de Matter en redes segmentadas.

• ULA (RFC 4193): IPv6 privada (fd00::/8). Matter funciona perfectamente con ULA; no se requiere IPv6 pública.

Puertos de Matter: IPv6 TCP/UDP 5540 (bidireccional, concentrador ↔ dispositivo) · UDP 5353 -> ff02::fb (mDNS, no debe bloquearse).

ℹ Solo es relevante si IPv6 está activado en tu red o si estás implementando Matter. Si IPv6 está activado, no se debe bloquear ICMPv6 en el límite de la VLAN de Shelly; específicamente, el tipo 134 de ICMPv6 (anuncios de router) entrante en la SVI y Neighbor Discovery (tipos 135/136) bidireccionalmente. Muchos firewalls empresariales bloquean todo ICMPv6 de forma predeterminada. Comprueba también que RA Guard no esté activo en los puertos del switch orientados a Shelly: descarta los anuncios de router en la capa 2 antes de que lleguen a los dispositivos, lo que provoca síntomas idénticos a los de una regla del firewall que bloquea los RA.

⚠ Fallo más común de Matter: "Sin respuesta" después del emparejamiento. check: ¿IPv6 está activado en el router? ¿La SVI de la VLAN de Shelly envía RA? ¿El firewall bloquea ICMPv6? ¿RA Guard está activo en los puertos del switch? ¿Está bloqueado ff02::fb? En UniFi: ¿IGMP Snooping está activado? Desactívalo. Consulta Configuración específica del proveedor.

2.5 Optimización de Wi-Fi

Objetivos de señal: RSSI ≥ −67 dBm · SNR ≥ 25 dB. Interferencias de RF: cocanal (usa la herramienta de escaneo de RF) · canal adyacente (usa únicamente 1/6/11) · cajas metálicas empotradas (mueve el AP o usa Shelly Pro Ethernet) · alta densidad de BLE (usa el SNR como métrica de ubicación) · Zigbee en el canal incorrecto (usa Zigbee en el canal 25; consulta Configuración de Wi-Fi y coexistencia de Zigbee).

2.6 Bluetooth - Tres funciones

Aprovisionamiento (BLE): La aplicación Shelly envía las credenciales de Wi-Fi. No afecta a la red después de la configuración. gateway BLU: el dispositivo Shelly Wi-Fi reenvía los anuncios BLE de los sensors BLU a través de Wi-Fi. Los sensors BLU no aparecen en tu red. Alcance aproximado de 10 m por gateway. Asistente BLU: preconfigura los dispositivos mediante BLE antes de la instalación. No afecta a la red.

[CAMBIO IMPORTANTE - FW 1.8] A partir del firmware 1.8, BLE se desactiva después del aprovisionamiento (EU RED). Al volver a activarlo, solo se abre una ventana de 15 minutos.

2.7 DHCP y nombres de dispositivos

• Añade una reserva DHCP (MAC -> IP fija) después de que un dispositivo se conecte a la red.

• Controladores y brokers MQTT: IP estática o reserva + registro DNS A.

• No establezcas IP estáticas directamente en la configuración del dispositivo sin excluirlas del grupo DHCP.

Patrón de nombres (Configuración -> Nombre del dispositivo): Hogar básico: habitación-función-## · Hogar avanzado: planta-habitación-función-## · SMB: sitio-área-habitación-función-## · Empresa: sitio-edificio-planta-habitación-función-## · Hotel: propiedad-planta-habitación-función-## (p. ej., h1-02-214-luz-01).

[CAMBIO IMPORTANTE - FW 1.8] A partir del firmware 1.8, el nombre descriptivo del dispositivo se convierte en su nombre de host mDNS.

Perfil 1 - Hogar básico

No necesitas VLAN, broker ni reglas de firewall. Todo estará en la misma red doméstica. La aplicación Shelly y Shelly Cloud gestionan el acceso remoto, las automatizaciones y las actualizaciones de firmware; no se necesita ningún software adicional.

Tu router asigna direcciones IP automáticamente mediante DHCP, sin necesidad de configuración. La mayoría de los routers domésticos utilizan de forma predeterminada 192.168.1.x o 192.168.0.x.

Un solo router puede gestionar cómodamente una instalación doméstica típica de Shelly. Si tienes más de 30-35 dispositivos Shelly en un mismo punto de acceso, consulta la sección Optimización de Wi-Fi.

La mayoría de los routers domésticos de doble banda admiten varios SSID, incluidos modelos económicos como TP-Link Archer, ASUS RT y Netgear Nighthawk, así como sistemas de malla como Deco y eero. Consulta la sección Configuración específica del proveedor para ver los pasos correspondientes a cada plataforma.

Configuración de Wi-Fi

Crea dos SSID en tu router:

Los dispositivos Shelly solo funcionan con 2,4 GHz. Un SSID específico evita que tu router los dirija a 5 GHz o los desconecte al cambiar de banda.

Configuración del SSID Home-Shelly:

• Solo 2,4 GHz

• Canal 1, 6 u 11

• Ancho de canal de 20 MHz

• WPA2-PSK

• Aislamiento de clientes: DESACTIVADO

• Dirección de banda: Desactivada

• 802.11r: Desactivado

Añadir un dispositivo

1. Crea el SSID Home-Shelly como se indica arriba.

2. Instala la aplicación Shelly e inicia sesión (o crea una cuenta de Shelly Cloud).

3. Toca + -> elige el modelo -> sigue la guía de la aplicación y selecciona Home-Shelly cuando se te solicite la red Wi-Fi.

4. El dispositivo se reinicia y se conecta. La aplicación Shelly lo detecta automáticamente.

5. Opcional, pero recomendado: añade una reserva DHCP en tu router para que el dispositivo conserve la misma IP.

[CAMBIO IMPORTANTE - FW 1.8] A partir del firmware 1.8, la ventana de configuración es de 15 minutos desde el primer encendido. No enciendas un dispositivo hasta que estés listo para añadirlo.

Matter (modelos Gen3 compatibles y Gen4 únicamente)

Los dispositivos Gen4 incluyen Matter de forma nativa: escanea el código QR de la etiqueta del dispositivo directamente en tu aplicación compatible con Matter. No es necesario activarlo.

Gen3 no incluye Matter de forma predeterminada y no todos los modelos Gen3 lo admiten. Consulta la lista de productos certificados por CSA para comprobar tu modelo. Si es compatible: actualiza el firmware a la versión 1.6 o posterior, luego ve a Ajustes -> Matter -> Activar y reinicia el dispositivo. El dispositivo genera un código QR y un código numérico de configuración. Consulta Activación de Matter en dispositivos Shelly Gen3 para ver el proceso completo.

Se requiere un hub compatible con Matter. Opciones habituales: Apple TV (4K), Amazon Echo (4.ª generación o posterior), Samsung SmartThings Hub y Google Nest Hub (2.ª generación). El hub, tu phone y el dispositivo Shelly deben estar en la misma red durante la configuración inicial.

IPv6 debe estar habilitado en tu router: busca una opción de IPv6 o de configuración de Internet en el panel de administración de tu router.

⚠ ¿La puesta en servicio falla? Confirma: IPv6 está activado · el phone está conectado a Wi-Fi (no a la red móvil) · el phone y el dispositivo están en la misma red · Gen3: el firmware es 1.6 o posterior y Matter está activado en los ajustes.

Perfil 2 - Hogar avanzado

Red segmentada con una VLAN de Shelly dedicada, Home Assistant para automatización local y opcionalmente MQTT para escalar. VPN para acceso remoto.

LAN de Administración (p. ej., 192.168.1.0/24) VLAN de Shelly (p. ej., 10.40.0.0/22) ┌──────────────────────────────┐ ┌──────────────────────────────┐ │ Home Assistant (TCP 8123) │ │ SSID: Home-Shelly (2.4 GHz) │ │ MQTT Broker (TCP 8883 / TLS) │─L3 FW─│ Aislamiento de clientes: ACTIVADO │──[Shelly] │ Retransmisor mDNS (Avahi) │ │ Etiqueta VLAN: 40 │ └──────────────────────────────┘ └──────────────────────────────┘ │ [WireGuard VPN] ← solo administración remota 

Plano de control: WebSocket es el protocolo predeterminado de Home Assistant: en tiempo real, sin broker ni sondeo. Requiere TCP 80 (o 443 desde fw 1.8) desde el host de HA al dispositivo. Añade MQTT cuando necesites que los dispositivos se conecten hacia fuera a través del firewall (TCP 8883 TLS).

Retransmisor mDNS (Avahi): enable-reflector=yes en /etc/avahi/avahi-daemon.conf. Reinicia Avahi. Verifica: avahi-browse -alr desde la red de Administración debería mostrar entradas _shelly._tcp. Para plataformas no Linux (UniFi, MikroTik, pfSense, Omada), consulta Configuración específica del proveedor.

Política del firewall:

MQTT TLS: Consulta Shelly TLS: Supported Certs and Config. Compatibles: TLS 1.2, PEM/DER, RSA-2048, ECDSA P-256/P-384/P-521. No compatibles: TLS 1.3, PKCS#12/PFX, Ed25519, claves privadas cifradas. ⚠ TLS reduce significativamente la duración de la batería en los dispositivos Shelly alimentados por batería.

Acceso remoto (VPN): La VPN debe proporcionar acceso enrutado de capa 3 a la VLAN de Shelly; el host de Home Assistant y cualquier estación de trabajo de administración deben poder acceder directamente a las direcciones IP de los dispositivos Shelly a través del túnel. Para configurar la plataforma VPN, consulta la documentación del proveedor de tu router o firewall.

Perfil 3 - Pequeñas y medianas empresas

Corporativa (10.20/24) Invitados (10.30/24) VLAN de Shelly (10.40/22) | | | [APs]──────[L3 Firewall / Router]──[Switches + IGMP snooping + querier] | Administración/Gestión (10.10/24) | [VPN/Jump Host]─[MQTT :8883]─[Fleet Manager Connector] 

Lo que necesitas: Shelly Fleet Manager (SaaS) · Firewall administrado con compatibilidad con VLAN · Retransmisor mDNS con filtrado de servicios · VPN -> host de salto · Snooping IGMP/MLD + querier en la VLAN de Shelly (el querier debe configurarse en la interfaz L3 de la VLAN de Shelly, no en un puerto del switch; sin él, las tablas de snooping caducan y la multidifusión vuelve a inundar la red).

Implementación a gran escala: Prepara los dispositivos con BLU Assistant mediante BLE antes de la instalación. Después de la instalación: verifica en Fleet Manager en un plazo de 2–3 min, añade una reserva DHCP y actualiza el CSV del inventario (consulta la Plantilla de DHCP y direccionamiento IP).

[CAMBIO IMPORTANTE - FW 1.8] La configuración no autenticada está limitada a 15 minutos desde el primer encendido. El aprovisionamiento mediante BLU Assistant antes del encendido evita esta limitación. Consulte Cambios de cumplimiento de Firmware 1.8 / EU RED.

Diseño de VLAN:

Retransmisión DHCP: Si el servidor DHCP se ejecuta en la VLAN de administración (recomendado), configura un agente de retransmisión DHCP en la interfaz de capa 3 de la VLAN de Shelly que apunte a la IP del servidor DHCP (ip helper-address en Cisco IOS/Catalyst, dhcp-relay en MikroTik, servicio de retransmisión DHCP en pfSense/OPNsense). Sin esto, los dispositivos Shelly de la VLAN de Shelly no recibirán una dirección IP y nunca se incorporarán a la red.

Política del firewall:

VPN / host de salto: El host de salto debe tener acceso enrutado de capa 3 a la VLAN de Shelly para acceder a las interfaces web de los dispositivos y ejecutar comandos de diagnóstico. Todo el tráfico de administración fluye a través de la VPN; los dispositivos Shelly no deben quedar expuestos directamente a WAN en ningún momento. Para configurar la plataforma VPN, consulta la documentación del proveedor de tu firewall.

Perfil 4 - Empresa / Varias ubicaciones

┌──────────────── Núcleo / Centro de datos ─────────────────┐ │ Clúster MQTT (HA, TLS, certificados por dispositivo) │ │ Shelly Fleet Manager (SaaS) + RBAC │ │ IPAM / DNS / NTP SIEM / Agregación de registros │ └─────────────────────┬───────────────────────────────┘ │ VPN / SD-WAN ┌──────── Ubicación A ──────────┬──────── Ubicación B ────────┐ │ Corp/Invitados/Shelly/Admin │ misma estructura │ │ AP y switches │ por ubicación │ │ IGMP/MLD + querier │ │ │ Retransmisión mDNS (ACL) │ Retransmisión mDNS │ │ Host de salto / control de cambios │ Host de salto │ └──────────────────────────┴────────────────────────┘ 

Estándares innegociables: Nombres de SSID idénticos en todas las ubicaciones · Aislamiento de clientes ACTIVADO en todas partes · Retransmisión mDNS con ACL de servicios (solo _shelly._tcp) · Snooping + querier IGMP/MLD en cada VLAN de Shelly (querier en la SVI de capa 3) · Las subredes de las VLAN de Shelly deben anunciarse en toda la infraestructura WAN (BGP, OSPF o rutas estáticas) para que el clúster MQTT central y el conector de Fleet Manager puedan acceder a las IP de los dispositivos en ubicaciones remotas · Ventanas de cambio para actualizaciones de firmware (Fleet Manager, periodo de observación de 48 horas) · Procedimiento de acceso de emergencia por ubicación.

Clúster MQTT: Como mínimo, activo-pasivo. Nomenclatura de temas: shellies/{site}/{device-name}/status y shellies/{site}/{device-name}/command. TLS 8883 con validación de la CA. Prueba la conmutación por error trimestralmente.

Fleet Manager: RBAC: roles por sitio; se requiere 2FA. Política OTA: período de prueba de 48 horas y, después, producción. Reconciliación semanal del inventario con IPAM.

SIEM: Reenvía los registros de autenticación del bróker MQTT, los registros de eventos de Fleet Manager y los registros de denegaciones del cortafuegos. Genera alertas sobre: desconexiones inesperadas, autenticaciones fallidas, dispositivos en silencio durante > 5 min, anomalías en los temas MQTT y degradaciones inesperadas del firmware.

[CAMBIO IMPORTANTE - FW 1.8] Audita antes del despliegue gradual: (1) Todas las conexiones HTTP/WS deben cambiar a HTTPS/WSS. (2) Comprueba la compatibilidad de HA y de las herramientas de integración con wss://. (3) Actualiza los procedimientos de puesta en servicio para una ventana de configuración de 15 minutos. (4) Actualiza la monitorización para el retroceso exponencial. (5) El cifrado de la memoria flash implica que los dispositivos reflasheados pierden permanentemente el aprovisionamiento de fábrica. Lista completa de cambios: Firmware 1.8 / Cambios de cumplimiento de la normativa EU RED.

SLO de monitorización:

Perfil 5 - Hotel

Variante A — cualquier plataforma de AP Variante B — plataforma compatible con DPSK/iPSK ───────────────────────────────── ──────────────────────────────────────── Un único SSID de IoT + aislamiento de clientes SSID Hotel-IoT (una emisión, 2,4 GHz) │ │ [Todas las habitaciones] ┌───────────────┼───────────────┐ │ PSK-201 PSK-202 PSK-203 Shelly Cloud │ RADIUS │ RADIUS │ RADIUS API de integración VLAN 201 VLAN 202 VLAN 203 [Shelly+Echo] [Shelly+Echo] [Shelly+Echo] │ VLAN de gestión (10.1.1.0/24) [Shelly Cloud / Fleet Manager · MQTT · PMS] 

¿Qué variante? La Variante B si tu plataforma de AP admite DPSK/iPSK + RADIUS (Meraki, Aruba, Ruckus, UniFi Enterprise). La Variante A en caso contrario. El número de habitaciones y si se trata de una modernización o una obra nueva no determinan la variante; la determina la capacidad de la plataforma de AP.

Variante A — Aislamiento básico (cualquier plataforma de AP)

Lo que necesitas (Variante A): Cualquier AP con aislamiento de clientes · Shelly Cloud · API de integración · BLU Assistant.

Reforma (variante A): La ubicación de los AP existentes puede hacer que varias habitaciones compartan una radio; el aislamiento de clientes bloquea el tráfico L2 entre dispositivos del mismo AP, pero las habitaciones que comparten ese AP siguen en la misma subred. Es aceptable cuando cada habitación tiene un AP dedicado o cuando no se requiere aislamiento de subred por habitación. Usa Shelly Pro (Ethernet) donde la cobertura Wi-Fi sea deficiente; las cajas de empotrar metálicas y las paredes gruesas son habituales en las propiedades reformadas.

Obra nueva (variante A): Si el hardware DPSK no está incluido en el alcance, planifica la ubicación de los AP de modo que cada habitación tenga un AP dedicado; así, el aislamiento de clientes proporciona en la práctica un aislamiento equivalente por habitación.

Configuración del SSID (variante A): Solo 2,4 GHz · Canales 1, 6 u 11 · 20 MHz · WPA2-PSK · Aislamiento de clientes: ACTIVADO · Dirección de banda: Desactivada · 802.11r: Desactivado.

Gestión (variante A): Shelly Cloud + API de integración. El registro de entrada en el PMS activa una escena de bienvenida; el registro de salida apaga todos los dispositivos. Solo se permite el control de encendido y apagado; la lógica de escenas complejas requiere scripts de Fleet Manager o automatización mediante MQTT. Los huéspedes no tienen acceso IP a las interfaces web de los dispositivos en ningún momento.

Puesta en servicio (variante A): Prepara los dispositivos con BLU Assistant antes de la instalación. Asigna nombres a los dispositivos según la convención del hotel (p. ej., h1-02-214-light-01). Tras la instalación: verifica los dispositivos en Shelly Cloud en un plazo de 2-3 min, añade una reserva DHCP y actualiza el CSV de inventario (consulta la Plantilla de DHCP y direccionamiento IP).

[CAMBIO IMPORTANTE - FW 1.8] La configuración no autenticada está limitada a 15 minutos desde el primer encendido. El aprovisionamiento mediante BLU Assistant antes del encendido evita esta limitación. Consulte Cambios de cumplimiento de Firmware 1.8 / EU RED.

Variante B — Aislamiento mediante VLAN por habitación (DPSK/iPSK + RADIUS)

Lo que necesitas (variante B): Meraki, Aruba, Ruckus o UniFi Enterprise con DPSK/iPSK + RADIUS · Shelly Cloud o Fleet Manager · API de integración · BLU Assistant.

Reforma (variante B): La infraestructura de AP existente puede conservarse si la plataforma admite DPSK; una actualización de firmware o de licencia en Meraki, Aruba o Ruckus suele ser suficiente sin cambiar el cableado ni la ubicación de los AP. Usa Shelly Pro (Ethernet) donde la cobertura Wi-Fi sea limitada; la mayoría de las propiedades reformadas ya cuentan con cableado estructurado.

Obra nueva (variante B): Planifica conjuntamente la arquitectura de VLAN, la ubicación de los AP y la generación de PSK antes de pedir cualquier dispositivo. Genera todas las PSK de las habitaciones a partir de un CSV y configura las asignaciones de RADIUS antes de iniciar la puesta en servicio; todas las PSK deben estar asignadas a una VLAN antes de encender cualquier dispositivo.

Aislamiento de Wi-Fi: Un SSID en toda la propiedad, una PSK única por habitación y cada clave asignada mediante RADIUS a una VLAN por habitación en el AP. Desde el lado del dispositivo Shelly: WPA2-PSK estándar; RADIUS y la asignación de VLAN son invisibles para el dispositivo.

Gestión en dos niveles: El control del personal desde la VLAN de gestión mediante Shelly Cloud o Fleet Manager llega de forma centralizada a todas las habitaciones. El check-in del PMS activa una escena de bienvenida; el check-out apaga todos los devices mediante la API del integrador (solo encendido/apagado; la lógica de escenas complejas requiere scripts de Fleet Manager o automatización MQTT en la VLAN de gestión). Los huéspedes no tienen acceso IP a las interfaces web ni a las API de los devices en ningún momento.

Control por voz — Matter + Echo por habitación (solo Gen3/Gen4): Un Amazon Echo (4.ª generación o posterior) por habitación, aprovisionado con la PSK de la habitación. El mDNS es local al enlace (TTL=1): el Echo de la VLAN 201 solo puede descubrir devices de la VLAN 201 y no puede ver otras habitaciones. El instalador pone en servicio los devices de cada habitación con el Echo mediante Matter una vez durante la configuración del establecimiento; nada se restablece al hacer check-out. No use la skill de Alexa de Shelly Cloud: enruta la comunicación de nube a nube y expone todos los devices de la account, destruyendo el aislamiento por habitación. Gen4: Matter está habilitado de forma predeterminada. Gen3: fw 1.6+, Ajustes -> Matter -> Habilitar; el modelo debe figurar en la lista de certificación de CSA. En ambos casos: SLAAC de IPv6 en cada SVI de VLAN de habitación; tipos ICMPv6 134/135/136 sin bloquear en el límite de la VLAN. Si IPv6 no es compatible con la red del establecimiento, elimine la ruta del Echo y use únicamente Shelly Cloud + la API del integrador.

ℹ El modo Zigbee (Gen4) no es viable en instalaciones hoteleras. En modo Zigbee, el dispositivo abandona completamente el Wi-Fi: no tiene dirección IP, Shelly Cloud ni Fleet Manager. No se admite la actualización OTA de Zigbee; los devices deben volver al modo Wi-Fi/Matter para actualizar el firmware.

Puesta en servicio a escala (variante B): Genere todas las PSK de las habitaciones a partir de un CSV e impórtelas mediante la API de la plataforma de AP antes de encender cualquier dispositivo. Prepare los devices fuera de las instalaciones con BLU Assistant: cargue la PSK de la habitación y el nombre del dispositivo (h1-02-214-light-01). Cree grupos de Fleet Manager por planta y ala antes de que lleguen los devices. La puesta en servicio de Matter debe realizarse físicamente en cada habitación durante el recorrido del instalador: permita entre 5 y 10 minutos por habitación; no puede hacerse de forma remota.

[CAMBIO IMPORTANTE - FW 1.8] La configuración no autenticada está limitada a 15 minutos desde el primer encendido. El aprovisionamiento mediante BLU Assistant antes del encendido evita esta limitación. Consulte Cambios de cumplimiento de Firmware 1.8 / EU RED.

⚠ El mDNS no debe retransmitirse entre las VLAN de habitaciones. Configure el relé entre cada VLAN de habitación y la VLAN de gestión únicamente, filtrado a _shelly._tcpEl mDNS entre habitaciones constituye una infracción de seguridad en este perfil.

Diseño de VLAN (variante B):

Relé DHCP (variante B): Cada VLAN de habitación necesita un ámbito DHCP local o un agente de retransmisión en su SVI de capa 3 que apunte al servidor DHCP de la VLAN de gestión (ip helper-address en Cisco IOS/Catalyst, dhcp-relay en MikroTik). Sin esto, los dispositivos de las VLAN de habitaciones no recibirán una dirección IP y nunca se unirán a la red.

Política de firewall (variante B):

VPN / host de salto (variante B): El host de salto debe tener acceso enrutado de capa 3 a todas las VLAN de las habitaciones para acceder a las interfaces web de los dispositivos y ejecutar comandos de diagnóstico. Todo el tráfico de gestión fluye a través de la VPN; los dispositivos Shelly nunca quedan expuestos directamente a la WAN.

Configuración de Wi-Fi y coexistencia de Zigbee

Coexistencia de canales Zigbee (modo Zigbee Gen4)

ℹ Recomendado: SSID de Shelly en Wi-Fi CH 1, Wi-Fi principal en CH 6 y coordinador Zigbee en el canal 25.
⚠ No se admiten actualizaciones de firmware OTA mediante Zigbee. Para actualizar el firmware de un dispositivo Gen4 en modo Zigbee, cambiar primero al modo Wi-Fi/Matter (Settings -> Firmware -> Alternative Firmware), actualizar y, después, volver a cambiar.

Puertos, flujos y nombres de host salientes

Flujos de tráfico y puertos

Nombres de host de Internet saliente - Gen2/3/4

Usar únicamente reglas basadas en FQDN. No usar direcciones IP: los servicios de Shelly utilizan una infraestructura de CDN y balanceo de carga que cambia sin previo aviso.

⚠ Shelly no publica actualmente una lista oficial de direcciones permitidas para el firewall. Estos nombres de host están confirmados en la documentación oficial de la API de Shelly y en las respuestas de configuración de los dispositivos.

ℹ Implementación solo local: desactive Shelly Cloud, ejecute MQTT/WebSocket localmente y use NTP interno; bloquee todas las conexiones salientes excepto TCP 443 a updates.shelly.cloud para las actualizaciones OTA. Fleet Manager autohospedado (github.com/ALLTERCO/fleet-management) elimina la necesidad de fleet.shelly.com.

Lista de comprobación de la red Matter

Plantilla de DHCP y direccionamiento IP

Ciclo de vida de DHCP: dispositivo nuevo -> DHCP dinámico, arrendamiento corto (1–4 horas). Dispositivo en producción -> reserva DHCP (MAC -> IP fija), arrendamiento más largo (7–30 días). Controladores/brokers -> IP estática o reserva + registro A de DNS; excluir del grupo de DHCP.

Columnas de la plantilla CSV/IPAM: nombre, mac, ipv4, vlan, sitio, habitación, función, generación, firmware, grupo_fleet, fecha_de_instalación, notas.

Configuración específica del proveedor

Pasos específicos para los proveedores de red más comunes. Úsalos junto con las reglas de firewall del perfil anteriores.

Ubiquiti UniFi

SSID de Shelly: Redes -> Crear red nueva -> asígnale un nombre, establece el ID de VLAN (p. ej., 40), la subred (p. ej., 10.40.0.0/22) y activa DHCP. WiFi -> Crear WiFi nuevo -> asígnale un nombre claro -> Seguridad: WPA2-PSK -> solo 2,4 GHz -> VLAN: Shelly -> activa la detección automática de IoT (mDNS). Avanzado: ancho de canal de 20 MHz -> canal 1/6/11 -> desactiva la dirección de banda -> desactiva 802.11r -> desactiva el ajuste de alta capacidad en este SSID.

mDNS: Configuración -> cada red relevante (VLAN de Shelly + VLAN de administración) -> activa la detección automática de IoT. Barra lateral del proxy mDNS -> añade el filtro de servicio: _shelly._tcp. Añade _matter._tcp y _matterc._udp solo si utilizas Matter.

⚠ UniFi + Matter: Configuración -> Redes -> Configuración de multidifusión -> Filtrado de multidifusión -> no selecciones ninguna red. Además: SSID de Shelly -> Avanzado -> Ajuste de alta capacidad -> Multidifusión a unidifusión = DESACTIVADO. Ambos ajustes son necesarios para que Matter funcione de forma fiable en UniFi. Referencia: UniFi: multidifusión y escucha IGMP.

Cortafuegos basado en zonas (UniFi OS 4.x+): Configuración -> Motor de políticas -> Tabla de políticas -> Zona interna. Crea una regla de tráfico de retorno (Estado de conexión = Establecida y relacionada -> Permitir) en la parte superior. Crea un bloqueo predeterminado de Shelly -> Confiable y añade excepciones: MQTT TCP 8883 al broker, DNS 53, NTP 123 y HTTPS 443.

Cisco Meraki (MX + MR)

SSID de Shelly: Wireless -> SSIDs -> renombra -> Security: WPA2 -> deshabilita el band steering. Access Control -> VLAN tagging: Custom VLAN (p. ej., 40) -> habilita el aislamiento LAN de capa 2.

Reenvío Bonjour (MX): Configure -> Firewall -> Bonjour Forwarding -> Add rule. VLAN de servicio: Shelly (40). VLAN de clientes: Corp/Mgmt. Servicios: _shelly._tcp. Añade una regla recíproca. ⚠ Si el reenvío Bonjour de MR también está habilitado, desactívalo: ejecutar ambos provoca bucles de reenvío.

Reglas de firewall MX: Permite Shelly -> DNS 53, NTP 123, HTTPS 443 y el broker MQTT por TCP 8883. Deniega Shelly -> RFC 1918 (registra en el log). Permite Admin -> Shelly TCP 80, 443 desde el alias del host de salto.

Cisco Catalyst 9000 y WLC 9800

Usa el servicio DNA para Bonjour integrado en Catalyst 9000, para un enrutamiento mDNS unicast basado en políticas.

mdns-sd service-definition shelly service-type _shelly._tcp.local service-type _matter._tcp.local service-type _matterc._udp.local ! mdns-sd service-list SHELLY-IN IN match shelly mdns-sd service-list SHELLY-OUT OUT match shelly ! mdns-sd service-policy SHELLY-POLICY service-list SHELLY-IN IN service-list SHELLY-OUT OUT ! interface Vlan40 mdns-sd gateway service-policy SHELLY-POLICY active-query timer periodicity 60 

MikroTik (RouterOS 7.x)

SSID y VLAN de Shelly:

/interface wifi configuration add name=iot-cfg ssid=Home-Shelly \ security.authentication-types=wpa2-psk \ security.passphrase=YourPassword \ datapath.client-isolation=yes \ channel.frequency=2412 channel.width=20mhz /interface vlan add name=vlan-shelly interface=bridge vlan-id=40 /ip address add address=10.40.0.1/22 interface=vlan-shelly /ip pool add name=pool-shelly ranges=10.40.0.100-10.40.3.254 /ip dhcp-server add name=dhcp-shelly interface=vlan-shelly address-pool=pool-shelly 

Repetidor mDNS - RouterOS 7.16+ (añadido en octubre de 2024, consulta el registro de cambios de MikroTik):

/ip dns set mdns-repeat-ifaces=bridge,vlan-shelly 

Nota: Máximo 16 interfaces. El repetidor integrado no permite filtrar por servicio. Para filtrar servicios, ejecuta Avahi en un contenedor.

pfSense y OPNsense

Relé mDNS (Avahi): pfSense: System -> Package Manager -> instala avahi. OPNsense: System -> Plugins -> instala os-avahi. Services -> Avahi -> Interfaces: selecciona la VLAN de Shelly y la interfaz de administración. Habilita el modo Reflector.

⚠ pfSense/OPNsense no habilita un querier IGMP en las SVI de VLAN de forma predeterminada. Configura Services -> IGMP Proxy o habilita un querier en la SVI de la VLAN de Shelly de tu switch administrado. Sin un querier, las tablas de snooping caducan y el tráfico multicast vuelve a difundirse por flooding.

TP-Link Omada (plataforma empresarial)

Inalámbrico -> SSID -> Añadir SSID -> solo 2,4 GHz, WPA2-PSK, vincular a la VLAN (por ejemplo, 40), aislamiento inalámbrico: Activado. Avanzado: desactiva la dirección de banda, desactiva la itinerancia rápida (802.11r), ancho de canal: 20 MHz. Configuración -> Servicios -> mDNS -> Activar repetidor mDNS -> selecciona la VLAN de Shelly + la VLAN de administración. Firewall: permite DNS 53, NTP 123, HTTPS 443 y MQTT 8883 desde la VLAN de Shelly. Deniega Shelly -> RFC 1918.

Amazon eero

⚠ eero no admite segmentación VLAN en el lado LAN; es una limitación confirmada de la plataforma. La opción VLAN de la aplicación eero (Configuración del ISP -> VLAN de enlace ascendente) solo es una etiqueta WAN/ISP. Referencia: soporte de eero: etiquetado VLAN en eero.

Para un uso doméstico básico, eero funciona bien: los dispositivos Shelly están en la red eero principal, mDNS es nativo y Matter funciona si IPv6 está activado (aplicación eero -> Configuración avanzada -> interruptor de IPv6). Para la segmentación: configura eero en modo puente detrás de un router compatible. Nota: las funciones eero Secure y HomeKit Secure Router dejan de funcionar en modo puente.

TP-Link para consumidores (Archer / Deco)

Deco: aplicación Deco -> Inicio -> Más -> Red IoT. Crea un SSID de 2,4 GHz con aislamiento de dispositivos. El repetidor mDNS funciona de forma predeterminada. No admite VLAN: para una segmentación VLAN real, configura Deco en modo AP detrás de un router compatible. Para la compatibilidad con VLAN en Archer, consulta tu modelo específico; los modelos de gama alta admiten 802.1Q en los puertos LAN.

Cambios de cumplimiento del firmware 1.8 / RED de la UE

[BREAKING - FW 1.8] Previsto en el firmware 1.8; aún no se ha publicado a fecha del firmware 1.7.5 (marzo de 2026). Fuente: Base de conocimientos oficial de Shelly: lo que necesitas saber sobre Shelly y la norma EN 18031-1 de la RED de la UE.

Se aplica a dispositivos basados en ESP32 (Gen2/Gen3/Gen4). Implementa el cumplimiento de la Directiva de equipos radioeléctricos de la UE (RED, 2014/53/UE) y de la norma de ciberseguridad EN 18031-1, obligatoria desde el 1 de agosto de 2025. Algunos cambios son incompatibles: planifica la migración antes de implementar 1.8 en producción.

Lista de comprobación de migración

Lista de comprobación de implementación del instalador

Referencia de una sola página para la implementación in situ. Completa cada fase antes de pasar a la siguiente.

⚠ Esta lista de comprobación cubre únicamente la preparación de la red y los devices. La instalación eléctrica debe cumplir la normativa local y ser realizada por un electricista cualificado.

Fase 1 - Preparación de la red (antes de que lleguen los devices)

Fase 2 - Preparación de dispositivos (antes de la instalación)

Fase 3 - Instalación y verificación en las instalaciones

Fase 4 - Entrega

ℹ Referencia rápida de fallos: Dispositivo no conectado a la red -> check SSID/contraseña, RSSI y concesión DHCP en el AP (y el relé DHCP si está segmentado por VLAN). Dispositivo conectado a la red pero no aparece en la aplicación -> check el relé mDNS, check _shelly._tcp con avahi-browse. Matter no funciona -> solo Gen3/Gen4; Gen3: ¿firmware 1.6+ y Matter habilitado?; check IPv6 en la VLAN de Shelly (¿la SVI envía RA?); ¿firmware 1.4.0+?; ¿ICMPv6 no está bloqueado?; ¿RA Guard está desactivado?; check el puerto 5540, check la inspección IGMP de UniFi. MQTT no se conecta -> check el certificado TLS del broker, la regla de firewall del puerto 8883 y el log del broker. La automatización no se activa -> check que el controlador tenga el estado actual (¿WebSocket conectado?), check las programaciones y la sincronización de la zona horaria.

Base de conocimientos de Shelly Group | Documentación técnica para socios e instaladores | kb.shelly.cloud · shelly-api-docs.shelly.cloud

Autor: Simeon Marinov