VLAN y enlaces troncales: organizar una red conmutada

Las VLAN separan dominios de difusión

Sin segmentación adicional, los puertos de la misma VLAN comparten un dominio de difusión. Los dominios más pequeños mejoran la organización y limitan el tráfico de difusión y el alcance de los fallos. La agrupación lógica puede seguir las necesidades de comunicación en lugar de la ubicación física del cable.

Un puerto de acceso asigna el tráfico sin etiqueta del dispositivo final a una VLAN. Un enlace troncal transporta tramas de varias VLAN permitidas mediante etiquetas IEEE 802.1Q; la VLAN nativa puede viajar sin etiqueta según la configuración. La etiqueta de cuatro bytes aparece entre los campos MAC de origen y tipo y contiene un ID de VLAN en el intervalo 1–4094.

Los dispositivos de VLAN distintas necesitan enrutamiento de capa 3 incluso en el mismo switch físico. La segmentación solo se convierte en control de seguridad con reglas que gobiernen el tráfico entre VLAN. Planifique las redes de servidores, usuarios, gestión, voz e invitados según la comunicación necesaria, no solo por departamentos.

Ejemplos de configuración de acceso y troncal

Un dispositivo final puede enviar tramas Ethernet normales mientras el switch le asigna su VLAN de acceso. En cambio, un enlace entre dispositivos de red puede transportar varias VLAN. Estos ejemplos de estilo Cisco ilustran la configuración; aplíquelos únicamente a las interfaces previstas y conforme a un diseño acordado.

• Puerto de acceso: interface Gi0/1 → switchport mode access → switchport access vlan 10
• Puerto troncal: interface Gi0/24 → switchport mode trunk → switchport trunk allowed vlan 10,20

Ambos extremos de un enlace troncal necesitan el mismo acuerdo

Configure coherentemente el modo troncal, la VLAN nativa y las VLAN permitidas en ambos extremos. Una VLAN ausente de un troncal puede funcionar solo en parte de la red. Una discrepancia de VLAN nativa puede producir advertencias, clasificación incorrecta y problemas de seguridad. No transporte todas las VLAN por todos los troncales sin necesidad.

Muchos entornos restringen VLAN 1 y la negociación automática de troncales. Deshabilite los puertos de acceso sin uso y sitúelos en una VLAN no utilizada. El acceso de gestión debe estar en una red separada y controlada.

Utilizar la tabla MAC para ver dónde llegan las tramas

Compruebe la existencia de la VLAN, el modo del puerto, la VLAN de acceso, los permisos del troncal y el estado de Spanning Tree. La tabla MAC debe mostrar los dispositivos finales en la VLAN y el puerto previstos. Si falta una entrada, la trama no ha llegado o se ha descartado antes.

Ping no es una prueba completa de VLAN porque también influyen el enrutamiento, las ACL y los firewalls de los hosts. Las capturas de paquetes y las comprobaciones específicas de capa 2 separan los problemas de segmentación de los fallos en capas superiores.