En muchas empresas la red crece a medida que llegan nuevos equipos: computadoras, impresoras, cámaras, teléfonos IP, servidores y el Wi-Fi de visitas terminan conectados a la misma red plana. Funciona, pero cualquier dispositivo puede ver a todos los demás, un problema en un equipo afecta a toda la oficina y es difícil saber qué tráfico corresponde a qué área. Segmentar la red con VLAN es una de las mejoras más rentables que puede hacer con los switches administrables que probablemente ya tiene. En esta guía le explicamos qué son, cómo planificarlas y qué cuidados tener al implementarlas.
Qué es una VLAN y qué problemas resuelve
Una VLAN (red de área local virtual) permite dividir un mismo switch, o varios switches conectados entre sí, en redes lógicas independientes. Los equipos de una VLAN no se comunican directamente con los de otra: para hacerlo, el tráfico debe pasar por un router o firewall, donde usted decide qué se permite y qué no. El estándar que lo hace posible es IEEE 802.1Q, compatible con la mayoría de switches administrables del mercado.
Los beneficios principales son:
- Seguridad: si un equipo de usuario se infecta, la segmentación dificulta que el problema llegue a los servidores o a otras áreas.
- Orden: cada tipo de dispositivo queda en su propia red, con su propio rango de direcciones, lo que facilita el soporte y la documentación.
- Rendimiento: el tráfico de difusión (broadcast) queda limitado a cada VLAN y no satura toda la red.
- Control: puede aplicar reglas distintas a invitados, cámaras o servidores sin cambiar el cableado.
Cómo planificar sus VLAN
Antes de tocar la configuración, conviene hacer un inventario de lo que hay conectado y agruparlo por función y por nivel de confianza. Un esquema típico para una empresa mediana podría incluir:
- Servidores y almacenamiento.
- Usuarios de oficina (puede separarse por áreas si lo necesita).
- Telefonía IP.
- Cámaras de videovigilancia y control de acceso.
- Impresoras y otros periféricos.
- Wi-Fi de invitados, con salida solo a internet.
- Administración de equipos de red (switches, access points, interfaces de gestión de servidores).
Asigne a cada VLAN un número, un nombre claro y un rango de direcciones IP, y regístrelo en un documento que se mantenga actualizado. Evite usar la VLAN 1 (la predeterminada) para tráfico de producción o de gestión, y no cree más VLAN de las que pueda administrar: una segmentación excesiva complica el soporte sin aportar seguridad adicional.
Puntos clave de la implementación
- Puertos de acceso y troncales: los puertos donde se conecta un equipo final pertenecen a una sola VLAN; los enlaces entre switches, hacia el firewall o hacia los hosts de virtualización transportan varias VLAN etiquetadas. Revise que cada troncal lleve solo las VLAN necesarias.
- Enrutamiento y reglas: defina en el firewall o en el switch de capa 3 qué VLAN pueden comunicarse entre sí. Parta de la regla de permitir solo lo indispensable, por ejemplo, que los usuarios lleguen a los servidores únicamente por los servicios que utilizan.
- DHCP y DNS: cada VLAN necesita su propio rango de direcciones; configure el servidor DHCP o el relay correspondiente para que los equipos obtengan la dirección correcta.
- Puertos sin uso: desactívelos o asígnelos a una VLAN aislada para que nadie se conecte a la red interna desde un punto de red libre.
- Migración por etapas: empiece por los grupos más sencillos (invitados, cámaras), pruebe y documente antes de mover servidores o usuarios. Programe los cambios críticos fuera del horario laboral y tenga un respaldo de la configuración de cada switch.
Mantenimiento de la segmentación
Las VLAN no son una tarea de una sola vez. Cada equipo nuevo debe conectarse en la VLAN que le corresponde, las reglas entre segmentos deben revisarse periódicamente y el firmware de switches y firewall debe mantenerse al día. Una revisión anual del diseño, junto con el inventario de puertos, ayuda a detectar excepciones que se acumularon con el tiempo.
Segmentar la red no exige grandes inversiones, sino planificación y orden. Con un diseño claro de VLAN, su empresa gana seguridad, facilidad de soporte y una base sólida para crecer sin que la red se vuelva inmanejable.
Imagen: «Network switches», de ShakataGaNai, publicada en Wikimedia Commons bajo licencia CC BY-SA 3.0. Imagen recortada y con créditos añadidos.