Cómo configurar VLANs y enrutamiento inter-VLAN en switch

Por qué segmentar tu red corporativa con VLANs

Cuando una red de computadoras crece más allá de media docena de equipos, mantener todo en el mismo espacio físico y lógico pasa a ser un riesgo operacional severo. En la práctica, esto significa que cualquier bombilla inteligente, cámara de seguridad o impresora barata se conecta exactamente al mismo canal por donde circulan datos financieros confidenciales. Para resolver este desafío de seguridad, utilizamos las VLANs, que son redes virtuales capaces de dividir un único switch físico en varios compartimentos aislados lógicamente. En lugar de comprar nuevos cables y equipos para cada departamento, el administrador emite comandos para que puertos específicos del switch pertenezcan únicamente a su propio universo virtual, bloqueando cualquier conversación directa no autorizada entre ellos. Este aislamiento es la base de una arquitectura de red segura para servicios críticos, garantizando que el tráfico de invitados o dispositivos IoT nunca colida con los servidores principales de la empresa.

El peligro silencioso de los dispositivos IoT en la red

Los dispositivos de Internet de las Cosas (IoT) se han convertido en el talón de Aquiles de muchas corporaciones modernas. Cámaras IP económicas, termostatos y asistentes de voz ejecutan sistemas operativos simplificados, a menudo repletos de fallas de seguridad conocidas y sin actualizaciones periódicas de firmware por parte de los fabricantes. En la práctica, si un atacante descubre una brecha en una bombilla inteligente conectada a la red principal, gana vía libre para escanear todas las computadoras de los escritorios vecinos, robar contraseñas y secuestrar archivos. Al aislar estos dispositivos en una VLAN específica, creamos una barrera infranqueable en la capa de enlace. Incluso si el equipo IoT es totalmente comprometido, permanece confinado en una isla digital sin rutas directas hacia el resto de la infraestructura empresarial, mitigando daños catastróficos.

Entendiendo los puertos Access y Trunk en el switch gestionable

Para hacer realidad esta magia de la segmentación, debemos dominar los dos tipos fundamentales de puertos en un switch gestionable: el puerto de acceso (Access) y el puerto troncal (Trunk). Un puerto Access es aquel donde conectamos los dispositivos finales, como computadoras e impresoras. Elimina cualquier etiqueta de identificación de los paquetes que salen y añade una etiqueta estándar a todo lo que entra, tratando al equipo final como si estuviera solo en la red. El puerto Trunk, por otro lado, es la autopista que interconecta diferentes switches o vincula el switch a un router central. En él, los paquetes viajan acompañados de una etiqueta de color (según el estándar IEEE 802.1Q), indicando exactamente a qué VLAN pertenece cada dato. Así, un único cable de red entre dos switches puede transportar decenas de VLANs diferentes sin mezclar los flujos de información, optimizando costos y simplificando el tendido de cables por las canaletas.

Cómo habilitar el enrutamiento inter-VLAN con seguridad

Como su nombre lo indica, las VLANs aíslan las redes de tal manera que las computadoras de una VLAN no pueden ver a las de otra, lo cual es excelente para la seguridad pero terrible si un empleado necesita acceder al servidor de archivos. Para permitir que estas islas intercambien datos de forma controlada, debemos activar el enrutamiento inter-VLAN. En la práctica, esto significa colocar un portero inteligente entre las redes, que puede ser un router dedicado o un switch de Capa 3 con funciones avanzadas. Cuando la computadora de la VLAN 10 desea hablar con el servidor en la VLAN 20, el paquete de datos viaja hasta este router central. Es en este punto exacto de tránsito donde aplicamos las reglas de control de acceso, decidiendo quién puede hablar con quién basándonos en direcciones IP, puertos de servicio y protocolos autorizados.

Implementación de reglas de firewall en Capa 2 y Capa 3

La seguridad de una red segmentada no depende solo del aislamiento físico o virtual, sino principalmente de las políticas de tráfico aplicadas en las capas 2 y 3 del modelo OSI. Las reglas de Capa 2 operan basándose en las direcciones físicas (MAC) de las tarjetas de red, bloqueando conexiones a nivel de hardware antes de que el protocolo IP sea procesado. Las reglas de Capa 3, por el contrario, funcionan como listas de control de acceso (ACLs) en el router, inspeccionando paquetes IP para frenar el tráfico indeseado entre subredes. En la práctica, podemos configurar una regla que permita a las computadoras administrativas acceder a la impresora IoT, pero prohíba terminantemente que la VLAN IoT inicie cualquier conexión hacia la red corporativa. Esto transforma el firewall en un filtro quirúrgico, liberando solo lo estrictamente necesario para el negocio y bloqueando el resto por defecto.

Paso a paso básico para configurar VLANs en el switch

Para poner manos a la obra en un switch gestionable estándar del mercado, el procedimiento inicial requiere acceso mediante línea de comandos (CLI) o interfaz web. A continuación, detallamos los comandos fundamentales para crear la VLAN 10 (Corporativa) y la VLAN 20 (IoT), configurar los puertos y definir un puerto trunk. Recuerde adaptar los números de las interfaces según el modelo de su equipo. Ejecute los siguientes comandos con cuidado para no perder el acceso remoto al switch durante el proceso. Para complementar esta implementación en entornos de producción, consulte también nuestros análisis técnicos sobre ¿Disco lento en Linux? Cómo hallar cuellos de botella de IOPS y Por qué usar Row-Level Security en PostgreSQL para aislar clientes.

1. Acceda al switch mediante cable de consola o SSH e ingrese al modo de configuración global escribiendo el comando de inicialización.
2. Cree las VLANs deseadas en la base de datos del switch y asigne nombres descriptivos para facilitar la identificación futura.
3. Configure los puertos de acceso de los dispositivos finales asociándolos a la VLAN correcta y defina el puerto troncal para la interconexión con el router.

enable
configure terminal
vlan 10
name Corporativa
vlan 20
name IoT
interface gigabitethernet 0/1
switchport mode access
switchport access vlan 10
interface gigabitethernet 0/2
switchport mode access
switchport access vlan 20
interface gigabitethernet 0/24
switchport mode trunk
end
write memory

Consideraciones finales sobre resiliencia y mantenimiento de la red

Configurar VLANs y enrutamiento inter-VLAN en un switch gestionable es un punto de inflexión en la madurez operacional de cualquier infraestructura tecnológica, ya sea en una pequeña empresa o en un entorno avanzado de homelab. Mantener la documentación de la topología actualizada y revisar periódicamente las reglas de firewall garantiza que futuros cambios no abran brechas no deseadas. Con el aislamiento adecuado de los dispositivos IoT y el control riguroso del tráfico en las capas inferiores, proteges los datos sensibles contra amenazas externas e internas, asegurando que la tecnología trabaje a favor de la productividad y tranquilidad del negocio.