En muchas oficinas, todo está en la misma red: las computadoras, el WiFi de visitas, las cámaras, las impresoras, los teléfonos y el servidor. Funciona, hasta que un equipo infectado se propaga a todos, una cámara con contraseña de fábrica abre una puerta o el tráfico de video vuelve lenta la red administrativa. La solución es segmentar, y la herramienta más usada son las VLAN.
Qué es una VLAN
Una VLAN (red de área local virtual) divide un mismo switch, o un conjunto de switches, en varias redes lógicas independientes. Los equipos de una VLAN no se ven con los de otra, aunque estén conectados al mismo switch, salvo que un router o firewall lo permita expresamente. El estándar que lo hace posible es el IEEE 802.1Q.
Beneficios
- Seguridad: un incidente en una red no alcanza automáticamente a las demás.
- Rendimiento: se reduce el tráfico de difusión y se puede priorizar voz y video.
- Orden: cada tipo de equipo tiene su rango de direcciones, lo que facilita el soporte.
- Control: se definen reglas claras de quién puede hablar con quién.
Un plan de VLAN típico
- VLAN 10 · Administración de red: switches, access points y equipos de red.
- VLAN 20 · Usuarios: computadoras del personal.
- VLAN 30 · Servidores: servidores, NAS y sistemas internos.
- VLAN 40 · Voz: teléfonos IP, con prioridad de calidad de servicio.
- VLAN 50 · Videovigilancia: cámaras y grabadores.
- VLAN 60 · Impresión e IoT: impresoras, controles de acceso, pantallas.
- VLAN 90 · Invitados: solo salida a internet, sin acceso a nada interno.
Los números son un ejemplo; lo importante es que el plan esté documentado y sea coherente en todos los switches.
Las reglas entre VLAN
Separar no significa aislar todo. El firewall o router define qué comunicación se permite, por ejemplo:
- Los usuarios acceden a los servidores solo en los puertos de sus aplicaciones.
- Solo seguridad o gerencia acceden al grabador de video.
- Las cámaras no salen a internet, salvo el servicio de visualización autorizado.
- Invitados no acceden a ninguna red interna.
Qué se necesita
- Switches administrables que soporten 802.1Q. Los switches no administrables no reconocen VLAN.
- Un firewall o router que enrute entre VLAN y aplique reglas.
- Access points que asignen cada red WiFi a su VLAN.
- Documentación de puertos, VLAN y rangos de direcciones.
Cómo migrar una red plana sin detener la operación
- Inventario de todos los equipos y sus direcciones.
- Diseño del plan de VLAN y de las reglas.
- Configuración de los troncales entre switches y del firewall.
- Migración por grupos, empezando por invitados y cámaras, que son los de menor impacto.
- Pruebas de cada servicio y ajuste de reglas.
En PERWTEL diseñamos y configuramos redes segmentadas con switches administrables y firewall, y entregamos la documentación. Escríbenos y revisamos tu red actual.
