Actualizar el firmware de la ONT y del router del abonado es una tarea que todo proveedor de internet sabe que tiene que hacer y que muchos equipos técnicos van postergando. El temor tiene fundamento. Una versión nueva enviada a todo el parque sin pruebas puede devolver el Wi-Fi con el nombre y la contraseña de fábrica, tumbar el PPPoE en parte de los hogares y llenar la cola de soporte a la mañana siguiente. Pero dejar el parque en una versión de hace tres años también cuesta, en fallas de seguridad conocidas y en errores que el fabricante ya corrigió.
En nuestra experiencia, lo que separa una ventana de mantenimiento tranquila de una ola de llamadas es cómo se armó el lote. Separar el parque por fabricante, modelo, versión de hardware y versión de firmware, probar en pocos equipos, ejecutar de madrugada y repetir solo lo que falló elimina la mayor parte del riesgo. Con un ACS TR-069, nada de eso exige ir casa por casa.
¿Por qué actualizar el firmware de la ONT y del router?
El firmware de la CPE necesita actualizarse porque es ahí donde el fabricante corrige fallas de seguridad, errores de Wi-Fi, bloqueos que solo aparecen tras semanas de equipo encendido e incompatibilidades con funciones como IPv6.
La seguridad viene pesando más en esa decisión. El informe de NETSCOUT sobre el primer semestre de 2026, publicado por el medio brasileño Convergência Digital, contabilizó 487.415 ataques DDoS en Brasil entre enero y junio, y las empresas de telecomunicaciones inalámbricas (excepto satélite) fueron el principal blanco, con 141.400 ataques. La CPE entra en esta historia porque un router doméstico con una falla antigua y contraseña predeterminada suele terminar reclutado por una botnet, tema que detallamos en el artículo sobre ataques DDoS al proveedor de internet. Actualizar cierra las fallas ya públicas y catalogadas, que son las primeras que busca un escáner automatizado. Eso reduce la superficie de ataque conocida, aunque no deja al equipo inmune.
Qué puede salir mal en una actualización de firmware en masa
Una actualización de firmware en masa puede salir mal de cuatro maneras, y por lo general solo la primera aparece como falla en la tarea.
La primera es el equipo que no vuelve, porque se cortó la energía en medio de la grabación, el archivo era de otra revisión de hardware o la memoria no admite la imagen nueva. La ONU queda muda y casi siempre termina en visita técnica. La segunda es la configuración que vuelve a los valores predeterminados, porque algunas versiones aplican los valores de fábrica después del upgrade y el abonado amanece con todos los dispositivos de la casa desconectados.
Las otras dos tardan en aparecer, porque la tarea figura como concluida. TR-069 es un estándar, pero cada fabricante guarda buena parte de los parámetros en ramas propietarias (las que empiezan con X_), y una versión nueva puede cambiar un parámetro de ruta o dejar de exponerlo. Días después, el soporte de primer nivel intenta cambiar la contraseña del Wi-Fi de un abonado y no puede, o la potencia óptica desaparece de la pantalla.
Por eso el centro de ayuda de IXC ACS advierte que los equipos con firmwares mezclados se comportan como modelos distintos. Dos ONUs del mismo modelo, cada una en una versión, pueden exponer la contraseña del Wi-Fi o la VLAN de la WAN en rutas diferentes, y el lote de actualización tiene que respetar esa división.
¿Actualizar firmware de ONT a mano o desde el ACS?
A mano, las opciones son la interfaz web de cada equipo o la visita técnica, y ninguna de las dos acompaña el tamaño de un parque. Por la interfaz web, alguien entra a cada CPE, sube el archivo y verifica que volvió del reinicio, una por una y sin registro centralizado. La visita resuelve el equipo bloqueado, pero gasta combustible y horas de técnico en una tarea que no necesita a nadie dentro de la casa.
Desde el ACS, el trabajo se hace por TR-069 (CWMP), el protocolo con el que la CPE se conecta al servidor de autoconfiguración para ser configurada y diagnosticada. El ACS le envía a la CPE la dirección del archivo. La CPE lo descarga, lo graba, se reinicia y, en la sesión siguiente, informa que la transferencia terminó, así que la plataforma sabe quién se actualizó y quién quedó atrás sin depender de una planilla. IXC ACS se instala en la infraestructura del proveedor con acceso a la red de CGNAT, por lo que el abonado sin IP pública también recibe la orden al instante. Solo queda pendiente la CPE apagada o que perdió la configuración de la URL del ACS, hasta que vuelva a comunicarse con el ACS.
En un ISP brasileño analizado durante 6 meses (2025-2026), con decenas de miles de atenciones, los abonados con CPE en IXC ACS tuvieron 62% menos visitas técnicas que los abonados sin CPE en el ACS. El número mide el efecto de tener la CPE gestionada sobre la atención en general, y la actualización de firmware es solo una parte de eso.
Paso a paso de la actualización de firmware en masa en IXC ACS
La actualización de firmware en masa está en Menú Herramientas > Actualizaciones en masa > Firmware y pasa por tres pantallas: selección de dispositivos, elección del archivo y programación. El procedimiento que recomendamos es este:
- Obtenga el archivo con el fabricante o con el proveedor del lote, para el modelo y la revisión de hardware exactos. El firmware descargado de un foro o compartido por otro proveedor queda descartado.
- Haga clic en Nueva actualización y complete fabricante, modelo, hardware y firmware actual. Cada combinación de esos cuatro campos es un lote aparte.
- Elija un archivo ya registrado en el ACS o súbalo indicando versión, tipo de archivo y etiquetas.
- Seleccione primero 2 o 3 equipos, como recomienda el propio centro de ayuda, de preferencia del propio equipo o de abonados con los que el soporte pueda comunicarse. Verifique que cada uno volvió, reportó la versión nueva, mantiene Wi-Fi y PPPoE y sigue aceptando el cambio de contraseña desde el ACS.
- Con el piloto aprobado, arme el lote completo, use Programar inicio para un horario de poco tráfico (en general, la madrugada) y confirme con la contraseña de su usuario.
- Siga el total de dispositivos, los actualizados, los rechazados o no finalizados y los pendientes. Si necesita interrumpir la tarea, la interrupción solo afecta a los que todavía no se actualizaron.
- Al final, use Rehacer actualización. Solo considera los dispositivos que fallaron y mantiene el modelo, el hardware y el firmware de la tarea original.
Si más del 30% de los equipos falla, rechaza el archivo o da timeout, el sistema interrumpe la tarea y la marca como Falla, lo que frena un archivo equivocado antes de que llegue al lote entero. Para figurar como Concluida, la actualización tiene que funcionar en más del 90% de los dispositivos.
¿Cómo saber si la versión nueva sigue siendo compatible?
Compare la versión que va a aplicar con la versión homologada del modelo antes de armar el lote. La homologación vale para la versión de hardware y de firmware que se probaron, y en cualquier otra versión el soporte de cada función es una suposición hasta que alguien lo verifique.
En el equipo del piloto, abra Dispositivos, menú de tres puntos > Acerca de, y revise la pantalla Capacidades, con el sello y el estado de cada grupo de funciones (funcional, parcialmente funcional, sin capacidad). Sume a eso la prueba manual de las funciones que su soporte usa más. Si alguna dejó de funcionar después de la actualización, contacte al soporte con la versión nueva y pida la evaluación de la homologación.
Por si la versión nueva restaura los valores predeterminados, deje activa la Reconfiguración Automática en Menú Sistema > Configuraciones > ACS. El preset vuelve a aplicar la preconfiguración del proveedor cuando el equipo regresa de un reset. Esa restauración depende del modelo, así que confírmela en el piloto.
Preguntas frecuentes
¿Actualizar el firmware borra la configuración del abonado? Depende de la versión. Muchas conservan la configuración, pero algunas vuelven a los valores de fábrica después del upgrade. El piloto muestra cuál es el caso, y la Reconfiguración Automática del ACS vuelve a aplicar la preconfiguración en los modelos que admiten restauración después de un reset.
¿Se puede actualizar una ONU detrás de CGNAT? Sí, y al instante. IXC ACS se instala con acceso y alcance a la red de CGNAT del proveedor, así que llega a la CPE y dispara la actualización bajo demanda, igual que con un abonado con IP pública. Solo queda pendiente el equipo apagado o que perdió la configuración del ACS, que recibe la orden cuando vuelve a comunicarse.
¿Con qué frecuencia debo actualizar el firmware de la ONU? No hay un calendario fijo. Actualice cuando el fabricante publique una corrección de seguridad o de un error que afecte a su parque, y solo después de comparar la versión nueva con la homologación de ese modelo y hardware.
¿Puedo usar firmware de otro proveedor o de otra región? No es recomendable. Las versiones personalizadas pueden traer la URL de otro ACS, otros valores predeterminados y otro dominio regulatorio de Wi-Fi, y la CPE puede perder la configuración del ACS o bloquearse. Pida el archivo a su proveedor y, si el equipo desaparece del ACS, revise la configuración TR-069 del ACS.
Checklist para la próxima ventana de actualización
- Archivo obtenido con el fabricante o proveedor, para el modelo y el hardware exactos.
- Lote separado por fabricante, modelo, hardware y firmware actual.
- Versión nueva comparada con la homologación del modelo.
- Piloto en 2 o 3 equipos, con Wi-Fi, PPPoE, potencia óptica y cambio de contraseña probados.
- Soporte avisado de la ventana, con indicaciones sobre qué preguntar si el abonado llama.
- Ejecución programada para la madrugada, fallas repetidas justo después y versión aplicada registrada por lote.
A la mañana siguiente, compare los tickets del día con los de un día normal. Si no subieron, la próxima ventana puede ser más grande. Si subieron, busque primero un lote que haya mezclado versiones de firmware. Si quiere ver este flujo funcionando en su parque, haga clic en el botón de abajo y hable con nuestro equipo.