Una VLAN (Virtual Local Area Network) permite dividir lógicamente una red Ethernet en diferentes dominios de broadcast, incluso cuando los dispositivos están conectados a la misma infraestructura física de switching.
En la práctica, las VLANs permiten separar usuarios, servidores, teléfonos IP, equipos de administración y otros tipos de dispositivos sin necesidad de utilizar un switch físico diferente para cada red.
¿Qué es una VLAN?
En una red Ethernet tradicional sin segmentación, los dispositivos pertenecen al mismo dominio de broadcast.
Una VLAN crea una separación lógica dentro de la infraestructura de switching.
Por ejemplo:
| VLAN | Nombre | Uso |
|---|---|---|
| 10 | USERS | Usuarios |
| 20 | VOICE | Telefonía IP |
| 30 | SERVERS | Servidores |
| 99 | MANAGEMENT | Administración |
Aunque dispositivos de estas VLANs puedan estar conectados al mismo switch físico, pertenecen a redes lógicas diferentes.
VLAN y dominios de broadcast
Cada VLAN constituye un dominio de broadcast independiente.
Un broadcast generado por un dispositivo perteneciente a la VLAN 10 no será reenviado hacia puertos pertenecientes a la VLAN 20.
Esta separación ayuda a:
- segmentar la red;
- reducir el alcance de los broadcasts;
- aplicar políticas diferentes;
- separar funciones y tipos de dispositivos;
- mejorar la organización operacional de la infraestructura.
Sin embargo, una VLAN no debe considerarse por sí sola un mecanismo completo de seguridad. La comunicación entre redes y las políticas de seguridad deben ser controladas mediante funciones de Capa 3, ACLs, firewalls u otros mecanismos apropiados.
VLAN y subred IP
En un diseño convencional, cada VLAN normalmente está asociada a una subred IP diferente.
Por ejemplo:
| VLAN | Subred |
|---|---|
| VLAN 10 | 192.168.10.0/24 |
| VLAN 20 | 192.168.20.0/24 |
| VLAN 30 | 192.168.30.0/24 |
Un dispositivo de la VLAN 10 que necesite comunicarse con un dispositivo de la VLAN 20 necesitará routing inter-VLAN.
Ese routing puede realizarse, por ejemplo, mediante:
- un router;
- Router-on-a-Stick;
- un switch multicapa mediante SVIs.
VLANs en un switch Cisco
Podemos consultar las VLANs configuradas con:
Switch# show vlan brief
Un resultado simplificado puede ser:
VLAN Name Status Ports
---- -------------------------------- --------- -------------------------------
1 default active Gi1/0/1, Gi1/0/2
10 USERS active Gi1/0/3, Gi1/0/4
20 VOICE active Gi1/0/5
30 SERVERS active Gi1/0/6
Cómo crear una VLAN
Para crear la VLAN 10 y asignarle el nombre USERS:
Switch# configure terminal
Switch(config)# vlan 10
Switch(config-vlan)# name USERS
Switch(config-vlan)# end
Podemos verificar que la VLAN fue creada correctamente:
Switch# show vlan brief
La VLAN debe aparecer en la tabla con el identificador y el nombre configurados.
Cómo asignar un puerto access a una VLAN
Supongamos que la interfaz GigabitEthernet1/0/10 será utilizada por un equipo de usuario que debe pertenecer a la VLAN 10.
La configuración sería:
Switch# configure terminal
Switch(config)# interface GigabitEthernet1/0/10
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 10
Switch(config-if)# end
El comando switchport mode access define la interfaz como puerto de acceso, mientras que switchport access vlan 10 determina a qué VLAN pertenece.
Podemos verificar la configuración de la interfaz con:
Switch# show interfaces GigabitEthernet1/0/10 switchport
También podemos comprobar qué direcciones MAC están siendo aprendidas en esa interfaz:
Switch# show mac address-table interface GigabitEthernet1/0/10
¿Qué ocurre cuando conectamos varios switches?
Crear una VLAN en un switch no significa automáticamente que esa VLAN estará disponible en todos los demás switches de la red.
Cuando el tráfico de múltiples VLANs necesita atravesar un enlace entre switches, normalmente utilizamos un trunk IEEE 802.1Q.
Un enlace trunk permite transportar tráfico perteneciente a múltiples VLANs utilizando el mismo enlace físico.
Por ejemplo:
Switch(config)# interface GigabitEthernet1/0/48
Switch(config-if)# switchport mode trunk
En una red real también debemos comprobar qué VLANs están permitidas en el trunk y cuál es la VLAN nativa.
Para verificar los trunks:
Switch# show interfaces trunk
Access port vs trunk port
Comprender la diferencia entre un puerto access y un puerto trunk es fundamental para trabajar con VLANs.
Access port
Un puerto access normalmente conecta un dispositivo final, como una computadora, impresora, servidor o cámara IP.
El puerto pertenece a una VLAN de acceso específica y, en condiciones normales, el dispositivo final no necesita conocer el identificador de la VLAN.
Por ejemplo:
Switch(config)# interface GigabitEthernet1/0/10
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 10
Trunk port
Un puerto trunk se utiliza normalmente para transportar múltiples VLANs entre dispositivos de red.
IEEE 802.1Q permite identificar a qué VLAN pertenece una trama mediante etiquetado VLAN.
Ejemplos comunes de enlaces trunk incluyen conexiones entre diferentes tipos de dispositivos:
Comandos útiles para troubleshooting
Cuando existe un problema relacionado con VLANs, algunos de los comandos más útiles en Cisco IOS son:
show vlan brief
show interfaces switchport
show interfaces trunk
show mac address-table
show running-config interface GigabitEthernet1/0/10
Durante el troubleshooting, comprueba especialmente:
- si la VLAN existe en el switch;
- si la VLAN está activa;
- si la interfaz está operacionalmente activa;
- si el puerto está configurado en el modo esperado;
- si el puerto access pertenece a la VLAN correcta;
- si la VLAN está permitida en los trunks necesarios;
- si existe conectividad de Capa 3 cuando los dispositivos están en VLANs diferentes.
Errores comunes con VLANs
VLAN incorrecta en un puerto access
Un dispositivo puede estar físicamente conectado al puerto correcto, pero el puerto puede pertenecer a una VLAN diferente de la esperada.
En ese caso, debemos comparar la configuración de la interfaz con el diseño de la red.
VLAN no permitida en un trunk
La VLAN puede existir correctamente en ambos switches y aun así no atravesar un determinado enlace.
Una de las verificaciones necesarias es:
Switch# show interfaces trunk
Este comando permite comprobar, entre otras informaciones, qué VLANs están permitidas y activas en los enlaces trunk.
Native VLAN mismatch
Los dos extremos de un trunk pueden estar configurados con VLANs nativas diferentes.
Esta inconsistencia puede generar alertas y comportamientos no deseados, por lo que ambos extremos del enlace deben ser revisados.
Problema de routing confundido con problema de VLAN
Dos hosts pertenecientes a VLANs diferentes no se comunicarán únicamente porque ambas VLANs existan.
La comunicación entre sus respectivas subredes necesita routing inter-VLAN.
Antes de modificar la configuración de switching, es importante determinar si el problema está realmente en Capa 2 o en Capa 3.
Buenas prácticas para el uso de VLANs
Las VLANs son fáciles de crear, pero una red con muchas VLANs sin planificación puede volverse difícil de operar y mantener.
Algunas prácticas recomendadas son:
Utilizar nombres descriptivos
Un nombre ayuda a identificar rápidamente la función de una VLAN.
Por ejemplo:
vlan 10
name USERS
vlan 20
name VOICE
vlan 30
name SERVERS
Esto es más fácil de administrar que depender únicamente de los números de VLAN.
Documentar la función de cada VLAN
Además del VLAN ID y del nombre, es recomendable mantener información sobre:
- propósito de la VLAN;
- subred IP asociada;
- gateway;
- switches donde debe existir;
- enlaces trunk que deben transportarla;
- servicios o dispositivos que dependen de ella.
Esta documentación se vuelve especialmente importante en redes con muchos switches.
Limitar las VLANs permitidas en los trunks
No todos los trunks necesitan transportar todas las VLANs de la infraestructura.
Cuando el diseño lo permita, podemos limitar explícitamente las VLANs necesarias en cada enlace.
Por ejemplo:
Switch(config)# interface GigabitEthernet1/0/48
Switch(config-if)# switchport mode trunk
Switch(config-if)# switchport trunk allowed vlan 10,20,30
Después de cualquier cambio, debemos verificar que las VLANs necesarias continúan atravesando el enlace correctamente.
Tener cuidado antes de eliminar una VLAN
Eliminar una VLAN simplemente porque no existen puertos access asociados puede ser peligroso.
Una VLAN también puede estar siendo utilizada:
- únicamente a través de trunks;
- por otro switch de la topología;
- por un servidor o hipervisor;
- por un access point;
- por telefonía IP;
- por una SVI;
- por servicios de infraestructura;
- por dispositivos que no están activos en ese momento.
Antes de eliminar una VLAN de producción, debemos entender su utilización en toda la topología y verificar sus dependencias.
VLANs en redes modernas
Las VLANs continúan siendo una tecnología fundamental en redes empresariales.
Tecnologías como VXLAN, overlays, SDN, virtualización y automatización han ampliado las posibilidades de segmentación, pero no han eliminado la necesidad de comprender los fundamentos de switching Ethernet.
Conceptos como VLAN, trunk 802.1Q, VLAN nativa, tabla MAC, STP y routing inter-VLAN siguen siendo esenciales para diseñar y diagnosticar redes.
Resumen
Una VLAN permite crear dominios de broadcast lógicamente separados dentro de una infraestructura de switching.
Los puntos fundamentales son:
- cada VLAN representa un dominio de broadcast independiente;
- diferentes VLANs normalmente utilizan diferentes subredes IP;
- un puerto access normalmente pertenece a una VLAN de acceso;
- un trunk puede transportar múltiples VLANs;
- la comunicación entre VLANs requiere routing de Capa 3;
- la existencia de una VLAN debe verificarse junto con puertos, trunks y topología;
- una VLAN no debe eliminarse sin conocer sus dependencias.
Dominar estos conceptos crea la base para entender tecnologías más avanzadas de switching y routing.
Próximos temas
Para continuar aprendiendo sobre switching, los siguientes temas complementan este artículo:
- Trunk IEEE 802.1Q
- VLAN nativa
- Spanning Tree Protocol (STP)
- Rapid Spanning Tree Protocol (RSTP)
- EtherChannel y LACP
- Router-on-a-Stick Estos conceptos forman parte de la misma base tecnológica utilizada para construir y operar redes Ethernet segmentadas.