Optimización de Redes con VLAN: Configuración, Seguridad y Mejores Prácticas

Control de Dominios de Broadcast

Las VLAN segmentan la red, limitando el alcance de tramas broadcast y reduciendo su impacto en el rendimiento global.

VLAN Nativa

Una VLAN especial donde las tramas no etiquetadas son asignadas. En switches Cisco, la VLAN nativa por defecto es la VLAN 1, pero se recomienda cambiarla por seguridad.

Configuración de VLAN

Rangos de VLAN

• Normales: IDs de 1 a 1005, configuraciones almacenadas en el archivo vlan.dat.
• Extendidas: IDs de 1006 a 4096, almacenadas en running-config en la NVRAM.

Creación y Asignación

Los puertos del switch se configuran para pertenecer a una VLAN específica utilizando comandos de configuración con el protocolo IEEE 802.1Q.

Verificación y Mantenimiento

Uso de comandos como show vlan o show interfaces trunk para verificar la configuración y el estado de las VLAN.

Dynamic Trunking Protocol (DTP)

Protocolo propietario de Cisco que facilita la negociación automática de enlaces troncales entre switches.

Modos DTP

• dynamic auto: Permite la negociación, pero no la inicia.
• dynamic desirable: Inicia la negociación activamente.
• trunk: Configura el puerto como troncal sin negociación.
• nonegotiate: Desactiva DTP.

Resolución de Problemas en VLAN y Troncales

Problemas Comunes

• VLAN Ausentes: Dispositivos en diferentes VLAN no pueden comunicarse si no existe una configuración adecuada.
• Errores de Configuración Troncal:
  • Desajuste en VLAN Nativa: VLAN nativas diferentes entre switches.
  • Modos Troncales Incorrectos: Modo troncal incompatible en los puertos de switches vecinos.
  • VLAN No Permitidas: Configuración incorrecta del rango de VLAN permitidas en un troncal.

Herramientas para Solución de Problemas

Comandos CLI para validar configuraciones: show interfaces trunk y show vlan.

Seguridad en VLAN

Ataques Comunes

• VLAN Hopping (salto de VLAN): Un atacante configura un dispositivo para simular un switch y establece un enlace troncal no autorizado, accediendo a múltiples VLAN.
• Doble Etiquetado (Double Tagging): Aprovecha vulnerabilidades en la eliminación de etiquetas 802.1Q, permitiendo a un atacante redirigir tramas a VLAN no autorizadas.

Medidas de Mitigación

• Deshabilitar troncales en puertos no necesarios.
• Configurar VLAN nativa en una VLAN no usada.
• Utilizar VLAN Edge (puertos protegidos) para restringir el intercambio de tráfico entre puertos.

Mejores Prácticas de Diseño de VLAN

Seguridad

• Cambiar la VLAN por defecto y la VLAN nativa.
• Asegurar que sólo dispositivos en la VLAN de administración tengan acceso a los switches.
• Deshabilitar puertos no utilizados.

Configuración de Troncales

• Evitar modos auto o desirable en DTP.
• Usar únicamente conexiones SSH para administración.
• Separar tráfico de datos y administración en VLAN distintas.

Resumen del Vídeo sobre VLAN

Conceptos Clave

• Dominio de Broadcast: Conjunto de equipos que reciben una trama de broadcast. Un dominio más grande reduce la eficiencia de la red.
• Segmentación de Dominio: Dividir el dominio en segmentos más pequeños y eficientes, interconectados por routers.
• Segmentación en un Mismo Switch: Asignar puertos a diferentes VLAN para aislarlos.

Razones para Usar VLAN

• Reducción de Costes: Evita la compra de nuevos switches y routers.
• Reducción de Dominios de Broadcast: Mejora la eficiencia y reduce el uso de CPU.
• Incremento de la Seguridad: Impide la comunicación directa entre redes y protege la información.
• Agrupación Lógica de Equipos: Permite agrupar equipos sin depender de su ubicación física.

VLAN Extendidas y Enlaces Troncales

• No Rentable: Crear un enlace entre switches por cada VLAN.
• Rentable: Usar Trunking (enlace troncal) con el protocolo 802.1Q, que añade una cabecera a la trama Ethernet para diferenciar las VLAN.

Configuración de Puertos

• Puertos de Acceso: Permiten el tráfico de una sola VLAN. No se etiquetan las tramas.
• Puertos Troncales: Permiten el tráfico de varias VLAN. Se etiquetan las tramas.
• VLAN Nativa en Enlaces Troncales: El tráfico de la VLAN nativa no se etiqueta.

Comunicación entre VLAN

• Directa: No es posible.
• A través de Router: Sí es posible. Cada VLAN tiene asociada una red distinta.

Resumen del PDF sobre VLAN

Conceptos Fundamentales de VLAN

Definición

Una VLAN (Red de Área Local Virtual) es una partición lógica dentro de una red física de capa 2. Actúa como un dominio de broadcast independiente, lo que significa que las tramas de broadcast enviadas dentro de una VLAN no afectan a otras VLAN.

Las VLAN están mutuamente aisladas y requieren un router para permitir el intercambio de tráfico entre ellas.

Beneficios de las VLAN

• Seguridad: Aísla tráfico sensible y reduce riesgos de acceso no autorizado.
• Reducción de Costos: Evita la necesidad de switches físicos adicionales al agrupar dispositivos lógicamente.
• Mejor Rendimiento: Minimiza el tráfico broadcast y mejora el rendimiento general de la red.
• Eficiencia en la Administración: Facilita la segmentación y manejo de aplicaciones específicas.

Tipos de VLAN

• VLAN de Datos: Para tráfico de usuario común.
• VLAN por Defecto: Generalmente la VLAN 1.
• VLAN Nativa: Transporta tramas sin etiquetar.
• VLAN de Administración: Reservada para la gestión de dispositivos de red.
• VLAN de Voz: Diseñada para tráfico VoIP con requerimientos estrictos de calidad de servicio (QoS).

VLAN en Entornos Multi-Conmutados

Troncales VLAN

Permiten que múltiples VLAN compartan un único enlace físico entre switches.

El estándar IEEE 802.1Q se utiliza para etiquetar tramas Ethernet, permitiendo diferenciar a qué VLAN pertenecen.