Cómo configurar VLANs en el router para aislar dispositivos IoT
Aprende a aislar el tráfico de tu red local dividiendo dispositivos IoT, servidores de homelab y estaciones de trabajo mediante segmentación de capa 2.
Resumen
- La segmentación por VLAN protege las redes domésticas frente a compromisos originados en dispositivos IoT vulnerables.
- El uso de puertos troncales (Trunk) permite transportar múltiples identificadores lógicos a través de un solo cable físico.
- Las reglas de firewall inter-VLAN evitan que servidores expuestos comprometan las estaciones de trabajo personales.
- Las herramientas de homelab como Proxmox exigen un mapeo correcto de interfaces virtuales.
- La monitorización del tráfico de red ayuda a identificar cuellos de botella y puertos abiertos indebidamente entre segmentos.
Por qué dejar todo en la misma red local es un riesgo real
Cuando compramos un router doméstico y conectamos todos los cables y el Wi-Fi en él, los ordenadores, las bombillas inteligentes, las cámaras de seguridad y los servidores corren exactamente en el mismo espacio virtual. En la práctica, esto significa que si un dispositivo inteligente barato comprado en una tienda dudosa es hackeado, el intruso gana vía libre para intentar acceder al ordenador donde guardas tus archivos personales y contraseñas.
Este modelo de red plana es cómodo de configurar, pero pésimo para la seguridad. Los dispositivos inteligentes orientados a la automatización del hogar suelen recibir pocas actualizaciones de software y contienen fallas conocidas de fábrica. Al crear barreras lógicas dentro de tu propio router, impedimos que la vulneración de un aparato resulte en la caída total de nuestra infraestructura.
Qué son las VLANs y cómo dividen un cable de red
Las VLANs (Virtual Local Area Networks o redes locales virtuales) sirven para dividir un único switch o router físico en varios bloques aislados, como si fuesen redes completamente separadas en la vida real. En la práctica, un paquete de datos que nace en la VLAN de IoT (por ejemplo, la VLAN 20) no puede ver ni hablar directamente con la estación de trabajo principal (VLAN 10), aunque ambos equipos estén conectados al mismo aparato físico.
Para hacer esta magia posible sin comprar cables adicionales para cada habitación de la casa, utilizamos puertos Trunk (troncales). Un cable de red troncal puede llevar los datos de todas las VLANs al mismo tiempo, utilizando pequeñas etiquetas numéricas en los paquetes para que el router sepa exactamente a dónde va o de dónde viene cada información.
Planificando la segmentación: IoT, Homelab y Estaciones de Trabajo
Antes de tocar cualquier configuración, el primer paso es diseñar quién va en qué lugar. Una arquitectura limpia y funcional suele dividir la infraestructura en al menos tres redes virtuales distintas. La primera es la red principal (Trust), donde se conectan los ordenadores de trabajo, smartphones y portátiles que necesitan acceso total.
La segunda es la red de servidores o homelab, destinada a máquinas que ejecutan automatizaciones, archivos compartidos y contenedores Docker. La tercera es la red aislada de IoT, donde colocamos asistentes de voz, bombillas, enchufes y teles inteligentes que solo deben hablar con internet y con el servidor de domótica, jamás con tu ordenador de trabajo.
Configurando puertos Trunk y Access en el switch administrable
El equipo central de la infraestructura suele ser un switch administrable o un router con soporte para VLANs (como OpenWrt, pfSense o equipos corporativos). Los puertos configurados en modo Access son aquellos donde conectamos los dispositivos finales comunes, como una tele o un ordenador. Estos puertos eliminan la etiqueta de la VLAN antes de entregar el dato al aparato, el cual ni siquiera necesita saber que existen redes virtuales.
Por su parte, los puertos Trunk conectan el router al switch o el switch a un servidor de virtualización. En ellos, el tráfico pasa con la etiqueta preservada. Para aplicar esto con seguridad en la práctica, debes asegurarte de que ningún puerto del switch quede abierto por defecto, evitando que cualquier visita conecte un cable a un puerto libre y obtenga acceso administrativo.
Regras de firewall inter-VLAN para bloquear tráfico no deseado
Crear las VLANs no resuelve todo el problema por sí solo, ya que por defecto muchos routers crean rutas automáticas permitiendo que todas las redes hablen entre sí. Aquí es donde entran las reglas de firewall de capa 3, que filtran el tráfico que intenta saltar de una red virtual a otra. En la práctica, creamos una regla explícita: la red IoT puede hablar con el servidor de domótica, pero tiene prohibido llegar a la red principal.
Para validar si tus reglas funcionan como esperas, puedes usar herramientas de diagnóstico desde un ordenador conectado a la VLAN IoT intentando alcanzar tu ordenador principal. Si el comando de prueba de conexión falla o expira el tiempo de espera, significa que el aislamiento de capa 2 y las reglas de firewall cumplieron su labor protectora. Para complementar esta implementación en entornos de producción, consulte también nuestros análisis técnicos sobre Cómo inspeccionar señales PWM en placas con osciloscopio y Cómo calcular la caída de tensión en cables largos.
Conclusión y beneficios de una red segmentada
Aislar el tráfico de la red local mediante VLANs transforma un entorno doméstico frágil en una infraestructura resiliente y profesional. Aunque requiere algo de planificación y pruebas con reglas de firewall, la tranquilidad compensa el esfuerzo inicial. Con tus datos personales protegidos y los dispositivos inteligentes confinados en redes restringidas, aseguras un homelab seguro listo para crecer sin sustos.