Cómo configurar VLANs en switches para aislar IoT y servidores

Aprende a segmentar tu red para separar dispositivos IoT inseguros de servidores críticos. Guía práctica de configuración de VLANs y troncalización.

Marcio Cunha•3 min

También disponible en:Português English

Resumen

La segmentación por VLAN crea barreras lógicas que impiden que el tráfico de dispositivos IoT vulnerables llegue a servidores sensibles en la misma infraestructura física.
El uso de puertos de acceso y puertos trunk define claramente qué datos circulan en cada segmento y cómo los switches intercambian etiquetas de identificación.
La configuración correcta del ID de VLAN y de la VLAN nativa es fundamental para evitar que paquetes maliciosos se filtren entre redes aisladas por error de mapeo.
El aislamiento de red es una capa indispensable de seguridad para quienes mantienen servidores domésticos y quieren evitar intrusiones provenientes de gadgets sin parches.
Probar la conectividad tras la creación de las VLANs exige atención especial al direccionamiento IP y a las reglas de enrutamiento que permiten o bloquean la comunicación.

¿Por qué segmentar tu red con VLANs?

Imagina que tu red local es una gran oficina en espacio abierto. Si todos los departamentos (RRHH, finanzas, invitados) están en la misma sala, cualquier conversación puede ser escuchada por cualquier persona. En computación, llamamos a esto dominio de broadcast único. Si un dispositivo IoT barato e inseguro es infectado, puede intentar escanear toda tu red buscando servidores críticos. El uso de VLANs, o redes locales virtuales, es como poner a cada departamento en una sala con puerta cerrada, donde la comunicación solo fluye a través de un 'portero' (el router o firewall).

Entendiendo los modos de puerto: Acceso vs. Trunk

Antes de tocar la interfaz del switch, necesitamos dominar dos conceptos esenciales: puertos de acceso y puertos trunk (troncales). El puerto de acceso es lo que usas para conectar tu PC, servidor o lámpara inteligente; pertenece a una única VLAN y no espera que los paquetes de datos traigan etiquetas. Por otro lado, el trunk es el canal entre dos switches (o entre switch y router) que transporta el tráfico de varias VLANs simultáneamente. Para que el destino sepa de qué VLAN vino el paquete, el switch adjunta una etiqueta (tag) en el estándar 802.1Q. Esto es vital, pues evita que datos de servidores críticos se mezclen con tráfico de cámaras o sensores, tal como hacemos al configurar LACP en switches para duplicar el ancho de banda sin colisiones de paquetes.

Paso a paso: Configurando el aislamiento de red

Para implementar este escenario, asumiremos que estás utilizando un switch gestionable de nivel 2 o 3. El objetivo es crear la VLAN 10 para servidores (trust) y la VLAN 20 para dispositivos IoT (untrust). Sigue los pasos a continuación en la interfaz de línea de comando (CLI) o panel web de tu equipo:

Crea las VLANs en la base de datos del switch, asegurando que los IDs 10 y 20 estén activos globalmente.
Configura los puertos destinados a tus servidores como 'Access' y asígnalos a la VLAN 10.
Configura los puertos que reciben tus dispositivos IoT como 'Access' y asígnalos a la VLAN 20.
Define el puerto de uplink, que conecta a tu firewall o router, como 'Trunk', permitiendo el paso de las VLANs 10 y 20 (configurando la VLAN 1 como nativa solo si es necesario).
Valida la tabla de direcciones MAC del switch para confirmar que los dispositivos están siendo aprendidos en la VLAN correcta.

Validando la seguridad y el enrutamiento

Después de configurar la segmentación física, el tráfico solo podrá cruzar los límites entre las VLANs si hay un router o firewall con soporte para 'Inter-VLAN Routing'. En la práctica, esto significa que tu firewall recibe los paquetes, analiza si el acceso entre la VLAN IoT y la VLAN Servidores está permitido por tus reglas de ACL (Listas de Control de Acceso) y, solo entonces, reenvía el tráfico. Esta es la forma más eficaz de proteger tu entorno, manteniendo el control centralizado incluso cuando necesitas inspeccionar tráfico MQTT de dispositivos IoT para diagnosticar comportamientos anómalos. Si tienes dudas sobre hardware, recuerda que probar la integridad de tus equipos es tan importante como la lógica; si un dispositivo falla, comienza verificando sus componentes como si estuvieras probando transistores MOSFET en placa con multímetro para descartar problemas físicos antes de culpar a la configuración de red.

Consideraciones finales

Implementar VLANs transforma una red doméstica o corporativa caótica en un ambiente profesional, resiliente y seguro. Al aislar dispositivos IoT, minimizas la superficie de ataque y ganas visibilidad sobre el tráfico que transita en tu infraestructura. Recuerda siempre documentar qué IDs de VLAN corresponden a qué subredes IP, evitando conflictos que pueden tumbar servicios esenciales. La gestión de redes es un aprendizaje continuo donde la organización y la disciplina superan cualquier técnica compleja.