VLANs y segmentación de red: guía práctica con configuración en Cisco y Aruba

Cuando una red crece y pasa de unas pocas decenas de equipos a cientos, tenerlos todos en el mismo segmento deja de ser viable. El tráfico de broadcast aumenta, un solo equipo comprometido puede ver y atacar a todos los demás, y aplicar políticas distintas a usuarios, servidores, cámaras o invitados se vuelve imposible. Las VLAN (Virtual LAN) son la herramienta estándar para resolverlo: dividen una red física en varias redes lógicas independientes, cada una con su propio dominio de broadcast.

Segmentar no es solo una cuestión de rendimiento. Separar servidores, puestos de trabajo, impresoras, dispositivos IoT y WiFi de invitados limita hasta dónde puede llegar un incidente y dificulta el movimiento lateral de un atacante. Por eso es uno de los controles básicos que recomiendan marcos como CIS Controls, ISO 27001 o el Esquema Nacional de Seguridad.

En esta guía verás cómo funciona una VLAN, cómo planificarlas con un direccionamiento ordenado, la configuración paso a paso en Cisco IOS y en Aruba, cómo comunicar VLAN entre sí con control, los ataques de VLAN hopping y cómo comprobar que el aislamiento funciona de verdad.

Qué es una VLAN y cómo funciona

Una VLAN es un dominio de broadcast virtual que se define en los switches. Un broadcast enviado en la VLAN 30 (por ejemplo, una petición ARP) solo llega a los equipos de esa VLAN, nunca a los de la VLAN 20. Además de reducir ruido, esto limita lo que un equipo puede descubrir de los demás de forma pasiva.

Lo normal es que cada VLAN se corresponda con una subred IP: la VLAN 30 usa 10.1.30.0/24, la 40 usa 10.1.40.0/24, y así sucesivamente. Si necesitas repasar cómo calcular esos rangos, tienes la guía de subnetting explicado paso a paso.

Cada puerto de un switch puede funcionar de dos maneras:

• Puerto de acceso (access): pertenece a una única VLAN y envía las tramas sin etiqueta. Es el modo de ordenadores, impresoras, cámaras y servidores.
• Puerto troncal (trunk): transporta varias VLAN a la vez, con cada trama etiquetada. Se usa entre switches, hacia routers, firewalls y puntos de acceso WiFi.

El estándar 802.1Q: cómo se etiquetan las tramas

El estándar IEEE 802.1Q inserta una etiqueta de 4 bytes en la trama Ethernet, entre la dirección MAC de origen y el campo EtherType. Contiene dos partes:

• TPID (2 bytes): siempre 0x8100, indica que la trama lleva etiqueta.
• TCI (2 bytes): incluye 3 bits de prioridad (PCP, que se usa en QoS), 1 bit DEI y 12 bits con el identificador de VLAN (VID).

Con 12 bits hay 4096 valores, pero el 0 y el 4095 están reservados, así que los identificadores utilizables van del 1 al 4094.

En un trunk, una VLAN especial viaja sin etiqueta: la VLAN nativa. Por defecto en Cisco es la VLAN 1. Los dos extremos del trunk tienen que estar de acuerdo en cuál es; si no, el tráfico acaba en la VLAN equivocada y el switch lo avisa con mensajes de discrepancia de VLAN nativa.

Diseñar el plan de VLAN y direccionamiento

Antes de tocar ningún switch, decide qué grupos necesitan estar separados y asígnales un número de VLAN y una subred. Una estructura típica para una sede de tamaño medio, con el esquema 10.sede.vlan.0/24:

• VLAN 10 · Gestión (10.1.10.0/24): interfaces de administración de switches, APs y firewalls. Solo accesible desde el equipo de IT.
• VLAN 20 · Servidores (10.1.20.0/24): aplicaciones, bases de datos y almacenamiento.
• VLAN 30 · Usuarios (10.1.30.0/24): puestos de trabajo.
• VLAN 40 · Voz (10.1.40.0/24): teléfonos IP, con QoS propia.
• VLAN 50 · Impresoras (10.1.50.0/24): un vector de ataque a menudo olvidado.
• VLAN 60 · IoT y cámaras (10.1.60.0/24): máximo aislamiento.
• VLAN 70 · Invitados (10.1.70.0/24): solo salida a Internet.
• VLAN 999 · Nativa sin uso: no lleva ningún equipo; solo sirve como VLAN nativa de los trunks.

Este plan no es universal. Lo importante es el criterio: cada VLAN debe poder acceder únicamente a lo que sus equipos necesitan (mínimo privilegio), y todo debe quedar documentado. Un /24 por VLAN te deja margen de crecimiento y permite resumir rutas por sede, como se explica en el artículo sobre OSPF vs BGP.

Configuración en Cisco IOS

Primero se crean las VLAN con su nombre:

vlan 10
 name Gestion
vlan 20
 name Servidores
vlan 30
 name Usuarios
vlan 40
 name Voz
vlan 50
 name Impresoras
vlan 60
 name IoT
vlan 70
 name Invitados
vlan 999
 name Nativa-sin-uso

Después se configuran los puertos. Un puerto de acceso para un ordenador de usuario:

interface GigabitEthernet1/0/10
 description PC-Usuario
 switchport mode access
 switchport access vlan 30
 switchport nonegotiate
 spanning-tree portfast
 spanning-tree bpduguard enable

Si en ese puerto hay un teléfono IP con el ordenador conectado detrás, añade la VLAN de voz y el teléfono etiquetará su propio tráfico:

 switchport voice vlan 40

Y un trunk entre dos switches, con la VLAN nativa sin uso y la lista de VLAN permitidas escrita a mano:

interface GigabitEthernet1/0/48
 description Trunk-a-SW-Distribucion
 switchport trunk encapsulation dot1q
 switchport mode trunk
 switchport trunk native vlan 999
 switchport trunk allowed vlan 10,20,30,40,50,60,70
 switchport nonegotiate

El comando switchport trunk encapsulation dot1q solo existe en los modelos que además soportan ISL (como los Catalyst 3560 o 3750). En los switches más modernos se omite, porque solo admiten 802.1Q.

Para comprobar el resultado:

show vlan brief
show interfaces trunk
show interfaces GigabitEthernet1/0/10 switchport

show vlan brief lista las VLAN y los puertos de acceso que tiene cada una. show interfaces trunk es el más útil para diagnosticar: te dice qué VLAN están permitidas en cada trunk y cuáles están realmente activas.

Configuración en Aruba (ArubaOS-Switch)

En los switches HP/Aruba con ArubaOS-Switch (antes ProCurve) el modelo es el mismo, pero la sintaxis se organiza por VLAN: indicas qué puertos van sin etiquetar (untagged, acceso) y cuáles etiquetados (tagged, trunk).

vlan 30
   name "Usuarios"
   untagged 1-24
   tagged 47-48
   exit
vlan 10
   name "Gestion"
   tagged 47-48
   exit

Aquí los puertos 1 a 24 son de acceso para usuarios y los puertos 47 y 48 forman el trunk, que transporta las VLAN 30 y 10 etiquetadas. Para revisarlo, usa show vlans. Los switches con ArubaOS-CX tienen una sintaxis distinta, basada en vlan access y vlan trunk dentro de cada interfaz, pero los conceptos son exactamente los mismos.

Comunicar VLAN entre sí (inter-VLAN routing)

Las VLAN están aisladas en capa 2, así que para que hablen entre sí el tráfico tiene que pasar por un dispositivo de capa 3 que aplique tus reglas. Hay tres formas habituales:

• Router-on-a-stick: un único enlace trunk entre el switch y un router, con una subinterfaz por VLAN. Sencillo y suficiente para redes pequeñas, pero el enlace se convierte en cuello de botella.
• Switch de capa 3 con SVI: el propio switch enruta entre VLAN mediante interfaces virtuales (SVI), a velocidad de línea. Es la opción más habitual en empresas medianas.
• Firewall como puerta de enlace: todo el tráfico entre VLAN pasa por el firewall, lo que permite políticas muy finas a costa de más latencia y carga. Se usa donde la seguridad es prioritaria.

Un ejemplo de SVI en un switch de capa 3 para la VLAN de usuarios:

ip routing
interface Vlan30
 description GW-Usuarios
 ip address 10.1.30.1 255.255.255.0
 no shutdown

Una vez que las VLAN pueden enrutarse entre sí, tienes que decidir qué está permitido. Por ejemplo, para que los invitados salgan a Internet pero no vean nada de la red interna, se aplica una ACL en la interfaz de su VLAN:

ip access-list extended INVITADOS-IN
 deny   ip 10.1.70.0 0.0.0.255 10.0.0.0 0.255.255.255
 permit ip 10.1.70.0 0.0.0.255 any
interface Vlan70
 ip access-group INVITADOS-IN in

La primera regla bloquea cualquier destino dentro de 10.0.0.0/8 y la segunda permite el resto. Fíjate en que las ACL usan máscara inversa (wildcard): 0.0.0.255 equivale a un /24. Si el servidor DNS o DHCP de los invitados está dentro de 10.0.0.0/8, tendrás que permitirlo explícitamente antes del deny.

VLAN hopping: el ataque que debes conocer

El VLAN hopping permite a un atacante acceder a VLAN a las que no debería llegar. Tiene dos variantes:

• Negociación de trunk (DTP): si un puerto de acceso permite negociar el modo, un atacante puede hacerse pasar por un switch y obtener un trunk con todas las VLAN. Se evita fijando los puertos en switchport mode access y añadiendo switchport nonegotiate.
• Doble etiqueta (double tagging): el atacante envía una trama con dos etiquetas 802.1Q. El primer switch retira la exterior (la de la VLAN nativa) y reenvía la trama con la interior hacia otra VLAN. Solo funciona si el atacante está en la VLAN nativa, y es unidireccional. Se evita usando como nativa una VLAN que no tenga ningún equipo (la 999 de nuestro plan) y, en Cisco, forzando el etiquetado de la nativa con vlan dot1q tag native.

Seguridad adicional en los puertos

La VLAN por sí sola no es un control de seguridad: separa, pero lo que protege de verdad es el filtrado que aplicas entre VLAN. Estas medidas completan el diseño:

• Apaga (shutdown) y mueve a una VLAN sin uso los puertos que no se utilicen.
• Limita las VLAN de cada trunk con una lista explícita, nunca all.
• Activa seguridad de puerto o, mejor, autenticación 802.1X, para que solo entren equipos autorizados.
• Usa DHCP snooping y Dynamic ARP Inspection para frenar servidores DHCP falsos y suplantación ARP.
• Protege el plano de gestión: el acceso a switches y firewalls solo desde la VLAN 10.

VLAN y WiFi

La segmentación también se extiende a la red inalámbrica. Los puntos de acceso modernos permiten asociar cada SSID a una VLAN: por ejemplo, el SSID «Corporativo» a la VLAN 30 y el SSID «Invitados» a la VLAN 70. El AP se conecta al switch por un trunk que lleva todas esas VLAN, y etiqueta el tráfico de cada cliente según la red a la que se haya unido. El propio AP se gestiona normalmente desde la VLAN de gestión o desde la nativa.

Cómo comprobar que el aislamiento funciona

Configurar no es lo mismo que verificar. Antes de dar un despliegue por terminado, conéctate a una VLAN y comprueba que solo llegas a donde debes. Desde un portátil en la VLAN de invitados:

ping 10.1.20.10            # servidor interno: debe fallar
ping 8.8.8.8               # Internet: debe responder
nmap -sn 10.1.30.0/24      # usuarios corporativos: no debería descubrir nada

Si algo llega donde no debería, revisa las ACL de la SVI y el orden de las reglas. Para un uso más avanzado de Nmap tienes el cheatsheet de nmap, y si necesitas ver qué ocurre en el cable, la guía de diagnóstico de red con tcpdump y Wireshark te explica cómo capturar tráfico y leer las etiquetas.

Un fallo clásico en producción: el trunk que se tragó las demás VLAN

Es un error tan común que casi todo el que administra switches lo ha visto o cometido. Se necesita añadir la VLAN 60 al trunk que une dos switches, y alguien escribe:

interface GigabitEthernet1/0/48
 switchport trunk allowed vlan 60

Parece correcto, pero ese comando sustituye la lista completa de VLAN permitidas por una sola. En cuanto se aplica, las VLAN 10, 20, 30, 40, 50 y 70 dejan de pasar por ese enlace. Para los usuarios, la red «se cae» en una planta entera, aunque los puertos sigan en verde y el trunk figure activo.

La pista está en show interfaces trunk. Si la columna de VLAN permitidas muestra solo la 60, ahí está el problema:

Port        Vlans allowed on trunk
Gi1/0/48    60

La forma correcta de añadir una VLAN sin tocar las demás es usar add:

interface GigabitEthernet1/0/48
 switchport trunk allowed vlan add 60

La lección es doble: sustituir y añadir son comandos distintos, y es buena práctica hacer show interfaces trunk antes y después de cualquier cambio en un trunk.

Errores frecuentes en el diseño de VLAN

• Crear más VLAN de las necesarias. Cada VLAN implica una subred, una puerta de enlace, un ámbito DHCP y reglas de firewall. Añade complejidad solo cuando aporte aislamiento real.
• Dejar la VLAN 1 como nativa y con equipos conectados. Es el origen de muchos ataques de VLAN hopping.
• Permitir todas las VLAN en los trunks en lugar de listarlas.
• Olvidar la VLAN en uno de los extremos del trunk. La VLAN existe en un switch pero no en el otro, o no está en la lista permitida.
• Usar el mismo rango IP en distintas sedes que luego se interconectan por VPN. Es el problema que se explica en el caso de subnetting y obliga a renumerar.
• No documentar el diseño. Meses después nadie recuerda qué VLAN es cada una ni quién puede hablar con quién.

Resumen

Una VLAN es un dominio de broadcast virtual que, bien planificada, mejora el rendimiento y reduce la superficie de ataque. Los puntos clave: planifica VLAN y subredes juntas, usa una VLAN nativa sin uso, lista explícitamente las VLAN de cada trunk, apaga los puertos que no usas, controla el tráfico entre VLAN con ACL o firewall, y comprueba siempre que el aislamiento funciona tal como lo has diseñado. Con eso, la segmentación se convierte en uno de los controles de seguridad más rentables que puedes aplicar en una red empresarial.