Cómo configurar VLANs en switches para aislar IoT y servidores

¿Por qué segmentar su red con VLANs?

Imagine una oficina donde el tráfico de la red de invitados, cámaras de seguridad y servidores de datos comparten los mismos cables y switches. En un escenario así, cualquier dispositivo comprometido en la red IoT podría, teóricamente, intentar acceder directamente a su base de datos. Una VLAN (Virtual Local Area Network) es precisamente la técnica que divide esa gran red única en segmentos más pequeños y aislados, funcionando como si existieran varios switches independientes operando dentro de un mismo equipo físico.

En la práctica, esto significa que un paquete enviado por un sensor de temperatura no llega a los servidores a menos que usted configure explícitamente una ruta entre ellos. Este aislamiento es vital para la seguridad corporativa, reduciendo el riesgo de movimiento lateral por atacantes y optimizando el rendimiento, ya que cada VLAN mantiene su propio dominio de broadcast. Si necesita más estabilidad en entornos complejos, comprender cómo usar storm control en el switch es el siguiente paso lógico.

Entendiendo la diferencia entre puertos Access y Trunk

La configuración de una VLAN en un switch se basa en dos tipos principales de puertos: Access y Trunk. El puerto Access es el más común; conecta al dispositivo final (como una computadora, impresora o sensor IoT) y transporta tráfico solo de una red específica, sin que el dispositivo sepa que es parte de una VLAN. El switch elimina cualquier 'etiqueta' antes de entregar los datos al equipo.

El puerto Trunk, sin embargo, funciona como una autopista para múltiples VLANs al mismo tiempo. Se utiliza para conectar el switch al router o a otro switch. Para que esto funcione, el switch añade un identificador especial en cada paquete, el estándar 802.1Q, que indica a qué red pertenece ese tráfico. Si está configurando una red más robusta, puede ser útil consultar nuestra guía sobre cómo configurar VLAN por puerto en switch gestionable para CFTV para ver aplicaciones específicas.

Paso a paso: Configurando VLANs en su switch

A continuación, presentamos el procedimiento lógico para crear la segmentación. Aunque cada fabricante (como Cisco, Aruba o Ubiquiti) tiene su interfaz, la lógica de CLI sigue un estándar riguroso. Sustituya los valores por los IDs que haya definido para su infraestructura.

1. Cree la VLAN en la base de datos del switch: vlan 10 (para IoT) y vlan 20 (para servidores).
2. Defina el puerto del dispositivo IoT como acceso: interface GigabitEthernet 0/1, switchport mode access, switchport access vlan 10.
3. Configure el puerto del servidor también en modo acceso: interface GigabitEthernet 0/2, switchport mode access, switchport access vlan 20.
4. Configure el trunk hacia el router (el 'cerebro' que hará transitar el tráfico entre ellas): interface GigabitEthernet 0/48, switchport mode trunk, switchport trunk allowed vlan 10,20.

Consideraciones finales sobre seguridad y enrutamiento

Crear las VLANs en el switch es solo la mitad del camino. Debido a que los dispositivos están en segmentos aislados, no se comunicarán por sí solos. Es necesario que el router o un switch de capa 3 realice el Inter-VLAN routing. En este punto, usted debe aplicar reglas de Firewall o Access Control Lists (ACLs) para permitir solo el tráfico necesario, como un servidor recopilando datos de telemetría de los sensores IoT, sin permitir que el sensor inicie conexiones con otros activos de la red.

Mantener la higiene de la red también implica un monitoreo continuo. Si nota tráfico inesperado saliendo de puertos que deberían estar silenciosos, puede ser necesario realizar análisis más profundos, como se detalla en cómo monitorizar tráfico de red en puertos específicos con tcpdump. La segmentación eficaz no es algo que se hace una sola vez, sino un proceso de revisión constante para garantizar que, si un dispositivo es vulnerado, el impacto permanezca confinado a su segmento original.