Qué es una VLAN y por qué ayuda

Un switch conecta muchos dispositivos en una misma red. Sin embargo, a veces querrá dividir esos dispositivos en grupos separados aunque compartan el mismo switch físico. Una VLAN (Virtual Local Area Network) hace exactamente eso: divide lógicamente un switch en varias redes independientes. En esta lección se explica qué es una VLAN y qué beneficios aporta realmente en materia de seguridad, rendimiento y organización.

Sin VLAN, todos los puertos de un switch pertenecen al mismo dominio de difusión. Un dominio de difusión es el conjunto de dispositivos que reciben todos un mensaje de difusión. Cuando un dispositivo envía una difusión, todos los demás dispositivos del switch la reciben. En una red grande y plana, esto genera una conversación constante en segundo plano y ninguna separación entre los distintos grupos de usuarios o dispositivos.

Una VLAN divide el switch en dominios de difusión separados. Los puertos asignados a la VLAN 10 forman una red; los puertos de la VLAN 20 forman otra. Los dispositivos de la VLAN 10 no pueden comunicarse directamente con los dispositivos de la VLAN 20, aunque estén conectados al mismo switch, a menos que un router las conecte. Cada VLAN se comporta como si fuera su propio switch aislado dentro del switch físico.

Las VLAN mejoran la seguridad mediante la separación. Puede colocar la red Wi-Fi de invitados en una VLAN, los dispositivos de los empleados en otra y las cámaras de seguridad en una tercera. Un dispositivo de invitados comprometido no puede comunicarse directamente con las VLAN de las cámaras o de los empleados, porque el tráfico se mantiene separado. Controlar los pocos puntos donde se conectan las VLAN, normalmente un router o firewall, le proporciona un lugar para aplicar reglas.

Las VLAN también mejoran el rendimiento al reducir el tamaño de los dominios de difusión. Las difusiones permanecen dentro de su propia VLAN en lugar de inundar todo el switch. Los dominios de difusión más pequeños implican menos ancho de banda desperdiciado y menos procesamiento en cada dispositivo. En una red con mucha actividad, dividir cientos de dispositivos en varias VLAN reduce notablemente el ruido de difusión y mantiene la red ágil.

Las VLAN permiten agrupar los dispositivos por función en lugar de por ubicación. El personal de finanzas puede compartir una VLAN tanto si se encuentra en la primera planta como en la tercera, porque la pertenencia a la VLAN depende de la asignación del puerto, no del cableado. Esta agrupación lógica hace más claras las políticas, la nomenclatura y la resolución de problemas, ya que cada VLAN corresponde a un grupo significativo, como Ventas, Voz o Servidores.

Cada VLAN tiene un VLAN ID numérico del 1 al 4094. La VLAN 1 es la predeterminada en la que comienzan todos los puertos. Los administradores asignan otros identificadores para crear VLAN nuevas, a menudo mediante un esquema ordenado como VLAN 10 para el personal, 20 para invitados y 30 para voz. El identificador permite a los switches etiquetar el tráfico de cada VLAN y mantenerlo separado del resto.

Para colocar un dispositivo en una VLAN, el administrador asigna el puerto del switch correspondiente a ese VLAN ID. El fragmento siguiente muestra la idea en un switch administrable típico. Después de esto, todo lo que se conecte a ese puerto pertenecerá a la VLAN 10. Si mueve el cable a un puerto de la VLAN 20, el dispositivo pasará a formar parte de la VLAN 20 sin necesidad de modificar el cableado del edificio.

Si las VLAN están aisladas, ¿cómo se comunican cuando es necesario? A través de un router o un switch de capa 3 que realice el enrutamiento entre ellas, lo que a veces se denomina enrutamiento inter-VLAN. El router se convierte en el gateway controlado entre las VLAN y allí puede aplicar reglas de acceso. De este modo, las VLAN permanecen separadas de forma predeterminada, pero pueden intercambiar tráfico deliberadamente bajo su control.

Un ejemplo habitual en el mundo real es una voice VLAN. Los teléfonos IP se colocan en su propia VLAN para separar su tráfico de los datos informáticos normales, lo que ayuda a priorizar las llamadas y mantener una alta calidad de voz. Muchos teléfonos tienen un puerto de switch integrado para un PC, lo que permite al teléfono etiquetar su propia VLAN de voz mientras transmite los datos del ordenador por una VLAN independiente a través del mismo cable.

Las VLAN convierten un único switch físico en muchas redes lógicas. Proporcionan seguridad mediante el aislamiento, rendimiento mediante dominios de difusión más pequeños y organización al agrupar los dispositivos por función. Cada VLAN tiene un identificador, los puertos se asignan a las VLAN y un router las conecta cuando es necesario. Esta flexibilidad explica por qué las VLAN aparecen en casi todas las redes empresariales y tienen tanta importancia en el examen Network+.

Ponga a prueba sus conocimientos sobre VLAN.

Una VLAN divide lógicamente un switch físico en redes separadas, cada una con su propio dominio de difusión. Las VLAN mejoran la seguridad mediante el aislamiento, el rendimiento al limitar las difusiones y la organización al agrupar los dispositivos por función. Cada VLAN tiene un VLAN ID numérico (del 1 al 4094, con 1 como valor predeterminado) y los puertos se asignan a las VLAN. Los dispositivos de VLAN diferentes necesitan un router para comunicarse. Las VLAN de voz separan el tráfico telefónico para mejorar la calidad de las llamadas.