Cómo configurar VLANs en switches para aislar el tráfico de red

Por qué dividir la red física en redes lógicas más pequeñas?

En una red de ordenadores tradicional, todos los dispositivos se comunican entre sí porque comparten exactamente el mismo medio físico. En la práctica, esto significa que una impresora, un ordenador de recepción y el servidor financiero gritan en la misma sala ruidosa. Cuando el volumen de tráfico de broadcast, que son mensajes enviados a todo el mundo, crece demasiado, el rendimiento cae en picado. Además, surgen problemas de seguridad rápidamente cuando cualquier equipo accede a datos sensibles sin barreras.

Las redes de área local virtuales, conocidas como VLANs, resuelven este caos dividiendo el switch físico en múltiples piezas lógicas aisladas. Para comprender a fondo cómo viajan los paquetes por los cables y chips antes de llegar al switch, vale la pena revisar cómo probar el circuito de red y el chip PHY con multímetro para garantizar la integridad física inicial. Con las VLANs activas, los ordenadores de la directiva no ven las cámaras de seguridad, aunque estén conectados a la misma caja con luces en la sala de telecomunicaciones.

Qué son los puertos untagged y tagged en la práctica?

Para hacer posible esta magia, los switches gestionables utilizan dos tipos principales de comportamiento en sus puertos físicos. El puerto untagged, también llamado puerto de acceso, está configurado para conectar dispositivos finales comunes como escritorios, teléfonos IP básicos y smart TVs. En la práctica, cuando un ordenador envía un dato, el switch le adjunta una etiqueta invisible, lo procesa internamente y elimina dicha etiqueta antes de entregarlo a otro dispositivo ordinario.

Por otro lado, el puerto tagged, ampliamente conocido como trunk, actúa como un servicio de correspondencia múltiple. Acepta paquetes que llevan etiquetas numéricas adheridas en su cabecera, siguiendo el estándar internacional IEEE 802.1Q. Por este puerto transitan varios universos de red diferentes simultáneamente a través del mismo cable de par trenzado. Al conectar dos switches corporativos, usamos puertos tagged para preservar el aislamiento de todas las VLANs sin necesidad de tirar un cable físico exclusivo para cada una.

Planificación del encaminamiento y rangos de direcciones IP

Crear VLANs sin planificar el direccionamiento IP es como construir una urbanización cerrada sin numerar las casas. Cada VLAN debe corresponder obligatoriamente a una subred IP distinta. Por ejemplo, la VLAN 10 puede usar el rango 192.168.10.0/24 para los empleados, mientras que la VLAN 20 utiliza 192.168.20.0/24 para los visitantes. Si necesita interconectar estas redes con seguridad avanzada, puede consultar cómo configurar NetBird desde cero para una red segura e integrar accesos remotos controlados.

Dado que las VLANs aíslan el tráfico por defecto, los dispositivos de la VLAN 10 no pueden comunicarse con la VLAN 20 sin la ayuda de un router o de un switch de capa 3. Este router actúa como el conserje de la urbanización, autorizando y filtrando el tráfico que necesita cruzar las fronteras entre islas digitales. Esta separación garantiza que, si un virus invade la red de invitados, quedará completamente atrapado en ese recinto lógico.

Paso a paso para configurar VLANs en un switch gestionable

La configuración práctica requiere acceso a la interfaz de gestión web o CLI de su switch corporativo. Sigamos el procedimiento básico para aislar el departamento de ventas en la VLAN 30.

1. Acceda al panel de administración del switch mediante navegador y navegue hasta la pestaña de configuración de VLANs.
2. Cree la nueva VLAN introduciendo el número identificador y un nombre descriptivo:

   VLAN ID: 30 - Nombre: VENTAS

3. Vaya a la sección de asignación de puertos y defina qué puertos físicos recibirán los ordenadores de ventas como untagged:

   Puertos 1 a 8: Untagged en la VLAN 30

4. Configure el puerto que conecta con el router principal o con otro switch como tagged para permitir el paso del tráfico etiquetado:

   Puerto 24: Tagged en las VLANs 10, 20 y 30

5. Guarde los ajustes en la memoria permanente del dispositivo para evitar pérdidas tras un corte de energía:

   write memory / save configuration

Errores comunes y cómo validar el aislamiento de puertos

El error más común al implementar VLANs es olvidar configurar el puerto del router como tagged, lo que provoca que todo el tráfico etiquetado sea descartado silenciosamente. Otro descuido frecuente es dejar la VLAN nativa mal configurada en puertos trunk, pudiendo mezclar paquetes sin etiqueta con redes no deseadas. Para prevenir fallos estructurales mayores en la topología física, también resulta fundamental cómo configurar STP en el switch para evitar bucles de red durante la redundancia de cables.

Para validar si el aislamiento funcionó correctamente, utilice comandos de diagnóstico en la máquina cliente. Una prueba sencilla de ping dirigida hacia la puerta de enlace de otra VLAN debe resultar en un fallo de conexión inmediato. Si hay respuesta, existe un fallo grave en la regla de enrutamiento o el puerto está configurado en la VLAN equivocada. La verificación rigurosa garantiza que la segmentación cumple su papel de proteger los activos corporativos.

Consideraciones finales sobre seguridad y rendimiento en redes

La implementación adecuada de VLANs transforma una infraestructura de red frágil en un entorno corporativo resiliente, ordenado y seguro. El aislamiento correcto de departamentos reduce la superficie de ataque frente a software malicioso y optimiza el uso del ancho de banda disponible. Mantener documentados los registros de puertos tagged y untagged ahorra valiosas horas de resolución de problemas cuando se requieran mantenimientos futuros en la empresa.