Puertos de acceso y enlaces troncales

Una vez que tiene VLAN, los puertos del switch se dividen en dos tipos principales: access ports y trunk ports. Un access port transporta tráfico de una sola VLAN y se conecta a dispositivos finales. Un trunk port transporta tráfico de varias VLAN a la vez y conecta switches entre sí. Conocer la diferencia es esencial para construir cualquier red VLAN con varios switches y es un tema frecuente en los exámenes.

Un access port pertenece exactamente a una VLAN. En él se conecta un dispositivo final, como un PC, una impresora o un teléfono, y ese dispositivo queda dentro de la VLAN asignada. El dispositivo no sabe que existen las VLAN; simplemente envía y recibe tramas normales. El switch asocia discretamente todo lo que circula por ese puerto con su única VLAN. La mayoría de los puertos de un edificio son access ports.

Un trunk port transporta tráfico de varias VLAN a través de un único enlace. Los trunks suelen conectar un switch con otro o un switch con un router. Como muchas VLAN comparten el trunk, el switch debe etiquetar cada trama con su VLAN ID para que el otro extremo sepa dónde pertenece. Sin trunks, necesitaría un cable independiente por cada VLAN entre los switches, lo cual no resulta práctico.

¿Cómo mantiene un trunk separadas las VLAN? Mediante el etiquetado 802.1Q, el estándar para etiquetar VLAN. Cuando una trama entra en el trunk, el switch inserta una pequeña etiqueta que contiene el VLAN ID. El switch receptor lee la etiqueta, identifica la VLAN de la trama y la elimina antes de entregarla a un access port. El etiquetado permite que un solo cable transporte de forma segura muchas VLAN.

Un trunk tiene una native VLAN cuyo tráfico atraviesa el trunk sin etiquetar. De forma predeterminada, esta es la VLAN 1. Se supone que toda trama que llega al trunk sin etiqueta pertenece a la VLAN nativa. Por seguridad, los administradores suelen cambiar la VLAN nativa para que no sea la VLAN 1 y se aseguran de que ambos extremos del trunk coincidan, ya que una discrepancia puede provocar filtraciones de tráfico entre VLAN.

Configurar un access port es sencillo: establezca el puerto como access y asígnele su VLAN. El ejemplo siguiente muestra un puerto colocado en la VLAN 20 para el PC de un usuario. Todo lo que se conecte allí pasará a formar parte de la VLAN 20. Los access ports son los extremos del sistema VLAN, donde se conectan los dispositivos normales sin necesidad de entender el etiquetado.

Un trunk se configura para transportar las VLAN que deben viajar entre los switches. El ejemplo establece un puerto como trunk y lo limita a dos VLAN. Restringir las VLAN permitidas en un trunk es una buena práctica: reduce la propagación de las difusiones y limita la exposición si una VLAN no debería llegar a un switch concreto.

Imagine tres switches, cada uno con las VLAN 10, 20 y 30. Con trunks, un solo cable entre switches transporta las tres VLAN, etiquetadas para que cada una permanezca separada. Sin trunks, necesitaría tres cables por cada par de switches. Los trunks permiten que las VLAN se extiendan por todo un edificio o campus mientras mantienen sencillo el cableado.

Un caso especial combina ambas ideas: un teléfono IP con un PC conectado detrás de él. El puerto funciona principalmente como access port para la VLAN de datos del PC, pero también etiqueta el tráfico de voz para una VLAN de voz independiente. Esto permite que un solo cable transporte datos del PC sin etiquetar y voz del teléfono etiquetada, una configuración habitual que combina un comportamiento similar al de access y trunk en un único puerto.

Destacan dos errores frecuentes. Primero, olvidar permitir una VLAN en un trunk, de modo que los dispositivos de esa VLAN no puedan llegar a otro switch. Segundo, una native VLAN mismatch, en la que los dos extremos no coinciden en la VLAN sin etiquetar, lo que provoca problemas extraños de conectividad o riesgos de seguridad. Cuando el tráfico de una VLAN falla misteriosamente entre switches, compruebe primero la lista de VLAN permitidas en el trunk y la VLAN nativa.

Recuerde las funciones: los access ports conectan dispositivos finales y transportan una VLAN; los trunk ports conectan switches y transportan varias VLAN mediante etiquetas 802.1Q, con una native VLAN sin etiquetar. Los access ports son las puertas por las que entran los dispositivos; los trunks son las autopistas entre switches. Juntos permiten que las VLAN se extiendan de forma limpia y segura por una red de cualquier tamaño.

Ponga a prueba sus conocimientos sobre los puertos.

Los puertos de switch son de acceso o trunk. Un puerto de acceso conecta un dispositivo final y transporta una VLAN. Un puerto trunk conecta switches y transporta varias VLAN mediante el etiquetado 802.1Q, que identifica cada trama con su ID de VLAN. Un trunk tiene una VLAN nativa que circula sin etiqueta (la VLAN 1 de forma predeterminada). Los trunks permiten extender las VLAN a varios switches mediante un cableado sencillo. Si los trunks no funcionan correctamente, compruebe si hay VLAN no permitidas o discrepancias en la VLAN nativa.