Cómo configurar VLAN en el puerto del switch y aislar la red

Por qué separar el tráfico corporativo de los dispositivos IoT

En una empresa moderna o incluso en oficinas pequeñas, la cantidad de dispositivos conectados a internet ha explotado. Cámaras de seguridad, bombillas inteligentes, impresoras y asistentes de voz conviven en el mismo espacio físico que ordenadores con datos financieros y hojas de cálculo confidenciales. En la práctica, esto significa que si una bombilla inteligente barata sufre una brecha debido a una falla en su firmware, el intruso gana vía libre para caminar por toda la red.

Para evitar esta pesadilla de seguridad, la ingeniería de redes utiliza el concepto de VLAN, que significa Red de Área Local Virtual. En lugar de comprar varios routers y cables físicos separados para cada tipo de aparato, la VLAN permite dividir un único switch gestionable en varias redes lógicas aisladas. Así, el ordenador del departamento financiero y la cámara de seguridad conversan a través del mismo hardware, pero viven en universos completamente separados, como si estuvieran en edificios diferentes.

Cómo funcionan los puertos de acceso y troncales (Trunk)

Para configurar una VLAN, primero debes entender los dos roles fundamentales que cumple un puerto de switch: el puerto de acceso (Access Port) y el puerto troncal (Trunk Port). El puerto de acceso es donde conectamos el dispositivo final común, como un ordenador, una impresora o un televisor inteligente. No sabe qué es una VLAN; simplemente recibe datos puros del aparato y los inyecta en la red interna con una etiqueta invisible aplicada por el propio switch.

El puerto troncal, por otro lado, es el cable que conecta un switch con otro switch, o un switch con un router central. Debe transportar datos de múltiples VLANs al mismo tiempo a través del mismo cable físico. Para que esto ocurra sin confusiones, el switch utiliza el estándar internacional IEEE 802.1Q, que es una etiqueta numérica adherida al paquete de datos que indica exactamente a qué red virtual pertenece. Al configurar esta estructura, recuerda que técnicas avanzadas de inspección de tráfico de red ayudan a validar si las marcas de las VLANs transitan correctamente por los puertos troncales sin pérdidas.

Paso a paso para configurar la VLAN en el switch gestionable

El proceso exacto varía ligeramente entre marcas como TP-Link, Cisco, HP o Netgear, pero la lógica de configuración es universal. El primer paso consiste en acceder a la interfaz web o consola de comandos (CLI) de tu switch gestionable utilizando el navegador y la dirección IP de gestión del equipo. Una vez dentro, busca la pestaña de configuración de VLAN, que suele encontrarse dentro del menú de switching o características de capa 2.

A continuación se muestra la secuencia típica de comandos en un switch por CLI para crear la VLAN 20, nombrarla IoT y asignar un puerto específico:

enable
configure terminal
vlan 20
name IoT-Devices
exit
interface gigabitEthernet 0/5
switchport mode access
switchport access vlan 20
end
write memory

En el ejemplo anterior, creamos el identificador numérico 20, bautizamos la red como IoT-Devices y forzamos al puerto número 5 a funcionar exclusivamente como puerto de acceso para esta VLAN. Cualquier dispositivo conectado al puerto 5 formará parte únicamente de esta red aislada.

Validando el aislamiento y probando la conectividad

Tras aplicar las configuraciones de VLAN en el panel del switch, el trabajo de ingeniería exige una etapa crucial de validación. Conecta un ordenador de pruebas en el puerto configurado y comprueba qué dirección IP recibió mediante el protocolo DHCP (Dynamic Host Configuration Protocol). Si el aislamiento funcionó perfectamente, el ordenador recibirá una IP del rango reservado para la VLAN de IoT, y no de la red principal de la empresa.

Otra prueba esencial consiste en intentar acceder a los servidores principales desde el dispositivo aislado. El tráfico debe bloquearse por defecto a menos que configures explícitamente reglas de enrutamiento y cortafuegos en un router conectado al puerto troncal del switch. Si algún servicio corporativo esencial falla justo después de la segmentación, verifica que el puerto que vincula el switch al router se configuró correctamente como troncal. Para complementar esta implementación en entornos de producción, consulte también nuestros análisis técnicos sobre Cómo probar el circuito PWM de la placa base en banco y Cómo limpiar el caché del systemd journal y liberar disco.

Consideraciones finales sobre la segmentación de redes

Implementar VLANs en switches gestionables representa una de las barreras de seguridad más económicas y eficientes para proteger entornos corporativos y residenciales contra accesos no deseados. Al impedir que dispositivos vulnerables compartan el mismo espacio lógico con datos sensibles, se reduce drásticamente la superficie de ataque de la infraestructura. Una correcta planificación de puertos y el dominio de los conceptos de acceso y troncal garantizan una red estable, escalable y resiliente a fallos.