Profundizar

VLANs y subredes a fondo

Cómo se divide una red, cómo viajan las etiquetas, dónde se enruta entre redes y, sobre todo, cómo una decisión de VLAN o de máscara afecta a toda la infraestructura: al Wi-Fi, al DHCP, al firewall, al roaming, a la seguridad y a la manera en que se propagan los fallos.

Base: Fundamentos → IP y VLAN Simular: Laboratorio lógico Caso real: Mi empresa

1. VLAN = subred = dominio de broadcast

La regla que hay que tener grabada: una VLAN es una subred IP y es un dominio de broadcast. Todo lo que un equipo envía "a todos" (ARP, DHCP Discover, mDNS, SSDP, NetBIOS, IPv6 Neighbor Discovery…) llega a todos los equipos de su VLAN, en todos los switches y en todos los APs que emiten esa VLAN, y a ninguno de otra VLAN.

Mismo VLAN

Los equipos hablan directamente (capa 2, por MAC). El switch reenvía sin pasar por router ni firewall.

Distinto VLAN

Necesitan un router (switch L3 o firewall). Ahí se pueden aplicar reglas.

Tamaño

El tamaño de la subred limita cuántos equipos caben; el tamaño del dominio de broadcast determina cuánto "ruido" soporta cada uno.

2. La etiqueta 802.1Q

Cuando una trama viaja por un enlace que transporta varias VLANs (trunk), el switch le inserta 4 bytes con el número de VLAN:

El PCP sirve para dar prioridad a la voz (valor 5) o al vídeo (4) dentro del switch. Por eso la VLAN de voz suele ir con QoS.

Tipos de puerto

Puerto	Qué lleva	Dónde	Configuración típica
Access (untagged)	Una sola VLAN, sin etiqueta. El equipo no sabe que existen VLANs.	PCs, impresoras, cámaras.	`access vlan 30`
Access + voz	Datos sin etiqueta + voz etiquetada (el teléfono IP etiqueta su tráfico; el PC conectado detrás no).	Puesto con teléfono IP y PC detrás.	`access vlan 30` + `voice vlan 40` (LLDP-MED la anuncia)
Trunk (tagged)	Varias VLANs etiquetadas + opcionalmente una nativa sin etiqueta.	Switch ↔ switch, switch ↔ firewall, switch ↔ AP, switch ↔ hipervisor.	`trunk allowed 10,40,70,99` · `native 10`

La VLAN nativaEn un trunk, la VLAN "nativa" viaja sin etiqueta. Si los dos extremos no tienen la misma nativa (native VLAN mismatch), el tráfico de una VLAN aparece en otra: un clásico fallo silencioso. Buenas prácticas: no usar la VLAN 1 para nada, nativa = VLAN de gestión de los equipos (en APs) o una VLAN "aparcamiento" vacía (entre switches), y limitar las VLANs permitidas en cada trunk a las necesarias.

3. ¿Dónde se enruta entre VLANs?

La puerta de enlace de cada VLAN (su IP .1) vive donde se enruta: una interfaz virtual (SVI) en el core o una subinterfaz en el firewall.

	Firewall	Core L3
Rendimiento	Limitado por el firewall (con inspección, menos)	Velocidad de cable (decenas–cientos de Gb)
Control	Reglas por usuario/aplicación, IPS, registros	ACLs básicas por IP/puerto
Riesgo	Si cae el firewall, cae el tráfico interno	Movimiento lateral si no hay ACLs
Ideal para	Zonas de distinta confianza (invitados, IoT, OT, DMZ)	Zonas de la misma confianza con mucho tráfico

DHCP con varias VLANs: el relay

El DHCP Discover es un broadcast: no sale de su VLAN. Si el servidor DHCP está en la VLAN de servidores, la puerta de enlace de cada VLAN debe reenviarlo como unicast: es el DHCP relay (ip helper-address en Cisco, "DHCP relay" en EnGenius/Aruba/Fortinet). Olvidarlo al crear una VLAN nueva es el fallo nº 1: los equipos se quedan con 169.254.x.x.

4. VLANs en el Wi-Fi

El AP convierte cada SSID en una VLAN. Con 802.1X, el RADIUS puede poner a cada usuario en una VLAN distinta dentro del mismo SSID (VLAN dinámica): p. ej. administración en la 45. Menos SSIDs = menos balizas = más tiempo de aire.

El dilema del Wi-Fi en un edificio de varias plantas: ¿una VLAN o una por planta?

Una VLAN Wi-Fi para todo el edificio

✓ Roaming sin cambiar de IP al pasar de planta (llamadas y videollamadas no se cortan).
✓ Configuración simple: el mismo SSID → misma VLAN en todos los APs.
✗ Dominio de broadcast enorme (2.000 equipos): cada ARP, mDNS o SSDP se emite por los 24 APs.
✗ Un bucle o una tormenta afecta a todo el edificio.
Necesita: subred grande (/21 o /20), proxy ARP / ARP suppression, conversión multicast→unicast, filtrado de broadcast en los APs, IGMP/MLD snooping, aislamiento de clientes donde se pueda.

Una VLAN Wi-Fi por planta

✓ Dominios pequeños (≈ 330 equipos): menos broadcast por AP, fallos contenidos en una planta.
✓ Fácil saber dónde está un equipo por su IP.
✗ Al cambiar de planta, el dispositivo cambia de subred → nueva IP por DHCP → se cortan las sesiones (Teams, VPN, SSH).
✗ Más VLANs, ámbitos DHCP y reglas.
Se mitiga con roaming L3 (túneles entre APs/controladora) si el fabricante lo soporta.

Criterio práctico: si la gente se mueve mucho entre plantas con llamadas activas, una VLAN de edificio con supresión de broadcast; si cada persona trabaja en su planta, VLAN por planta. Hay un punto intermedio: VLAN dinámica por rol (RADIUS) + pocas VLANs grandes por función. Simúlalo en el laboratorio y mira el impacto en el tiempo de aire.

5. Cómo una decisión de VLAN/subred afecta a toda la infraestructura

Decisión	Afecta a…	Consecuencia si se hace mal
Subred demasiado pequeña	DHCP	Se agotan las direcciones: los últimos en llegar no tienen red. Con Wi-Fi y MAC aleatorias (iOS, Android y Windows cambian la MAC por red y a veces periódicamente), un mismo móvil puede consumir varias concesiones.
VLAN demasiado grande	Wi-Fi, CPU de los equipos, batería de móviles	Tormentas de broadcast/multicast a tasa básica en todos los APs → menos tiempo de aire para datos; móviles que no duermen.
Todo en una VLAN plana	Seguridad	Un PC infectado ve y ataca directamente a servidores, cámaras e impresoras (movimiento lateral). Sin control ni registros.
VLAN que recorre todo el edificio	STP / estabilidad	Un bucle en una planta tumba la VLAN entera en todas las plantas.
Enrutar todo en el firewall	Rendimiento	Copias de seguridad o ficheros entre VLANs saturan el firewall; latencia para todos.
Rango 192.168.0.0/24 o 192.168.1.0/24	VPN / teletrabajo	Coincide con la red de casa de los empleados: con la VPN conectada no llegan a la oficina (rutas solapadas). Usa 10.x.x.x con un esquema poco común.
Sin plan de numeración	Operación	Nadie sabe qué es 10.0.37.0. Diagnóstico lento, reglas de firewall caóticas.
Cambiar la máscara después	Todo	Re-IP de equipos fijos, reglas, DHCP, DNS, documentación… Planifica con margen desde el principio (× 2 de crecimiento).
Olvidar IPv6	Seguridad	Los sistemas tienen IPv6 activo; si el firewall no lo filtra o un equipo anuncia RAs falsos, hay una red paralela sin control. Activa RA Guard o filtra IPv6 de forma explícita.
Cambiar la VLAN de gestión	Acceso a los equipos	Te quedas sin acceso a switches/APs remotos. Hazlo con consola o con plan de vuelta atrás.

6. Diseñar el plan de direccionamiento

Inventaría por función y planta: usuarios cableados, Wi-Fi corporativo, voz, impresoras, cámaras, IoT/AV, invitados, gestión, servidores.
Multiplica por 2 (crecimiento) y redondea a la potencia de 2 superior.
Elige un bloque grande privado poco común, p. ej. 10.42.0.0/16 para la sede.
Asigna con VLSM de mayor a menor (para no fragmentar) y usa límites "bonitos": el tercer octeto codifica la función.
Haz que el número de VLAN se parezca al tercer octeto: VLAN 40 → 10.42.40.0/21... (cuando cabe).
Reserva: .1 puerta de enlace, .2–.9 infraestructura, rango DHCP, rango de IPs fijas.
Documenta en un IPAM (NetBox, phpIPAM) o al menos en una hoja compartida.

Pruébalo con el planificador VLSM del laboratorio.

Resumen de rutas (sumarización)

Si cada sede o planta usa un bloque contiguo alineado, el resto de la red puede verla con una sola ruta: las plantas 10.42.0.0/18, 10.42.64.0/18… o las sedes 10.1.0.0/16, 10.2.0.0/16. Menos rutas = menos errores y tablas más pequeñas. Ver nivel 4.

7. Configuración típica (genérica)

vlan 10 name GESTION
vlan 40 name WIFI-CORP
vlan 50 name VOZ
vlan 60 name IMPRESORAS
vlan 70 name IOT-AV
vlan 99 name INVITADOS

interface 1/0/1-40          ! puestos cableados
  switchport mode access
  switchport access vlan 30
  switchport voice vlan 50
  spanning-tree portfast
  spanning-tree bpduguard enable
  storm-control broadcast level 1.00

interface 1/0/41-44         ! APs (PoE+)
  switchport mode trunk
  switchport trunk native vlan 10
  switchport trunk allowed vlan 10,40,70,99
  spanning-tree portfast trunk

interface 1/1/1-2           ! uplinks de fibra al core (LACP)
  channel-group 1 mode active
interface port-channel 1
  switchport mode trunk
  switchport trunk native vlan 999   ! nativa "aparcamiento" vacía
  switchport trunk allowed vlan 10,30,40,50,60,70,99

ip igmp snooping
lldp run

En switches gestionados en la nube (EnGenius Cloud, Meraki, Aruba Instant On, Omada) esto mismo se hace con perfiles de puerto: "Usuario", "AP-Trunk", "Uplink", que se aplican a rangos de puertos en todos los switches a la vez.

interface vlan 40
  description WIFI-CORP
  ip address 10.42.40.1 255.255.248.0     ! /21
  ip helper-address 10.42.20.10           ! DHCP 1
  ip helper-address 10.42.20.11           ! DHCP 2
  ip access-group WIFI-IN in

interface vlan 99
  ! los invitados NO se enrutan en el core: su puerta de enlace está en el firewall

ip route 0.0.0.0 0.0.0.0 10.42.255.1      ! salida hacia el firewall
spanning-tree mode rapid-pvst
spanning-tree vlan 1-4094 priority 4096   ! el core es la raíz STP

Add-DhcpServerv4Scope -Name "WIFI-CORP" -StartRange 10.42.40.20 -EndRange 10.42.47.250 `
  -SubnetMask 255.255.248.0 -LeaseDuration 0.08:00:00
Set-DhcpServerv4OptionValue -ScopeId 10.42.40.0 -Router 10.42.40.1 `
  -DnsServer 10.42.20.10,10.42.20.11 -DnsDomain empresa.local
# Invitados: concesión corta para que se liberen rápido
Add-DhcpServerv4Scope -Name "INVITADOS" -StartRange 172.20.0.20 -EndRange 172.20.15.250 `
  -SubnetMask 255.255.240.0 -LeaseDuration 0.02:00:00
# Alta disponibilidad entre los dos servidores DHCP
Add-DhcpServerv4Failover -Name "DHCP-HA" -PartnerServer dhcp2 -ScopeId 10.42.40.0 -LoadBalancePercent 50

8. Fallos típicos de VLAN y subred

Síntoma	Causa	Cómo verlo
Wi-Fi conecta pero sin IP (169.254)	VLAN del SSID no permitida en el trunk del AP o del uplink; falta DHCP relay	`show interface trunk`; captura DHCP en el core
Un SSID funciona en una planta y no en otra	VLAN no creada en ese switch de planta	`show vlan` en ese switch
Equipos de VLANs distintas se ven sin pasar por el firewall	Enrutamiento en el core sin ACLs	Traceroute: ¿aparece el firewall como salto?
Tráfico "aparece" en otra VLAN	Native VLAN mismatch	Logs de CDP/LLDP, `show interface trunk`
El ámbito DHCP se llena por la tarde	Concesión larga + MAC aleatorias + visitas	Estadísticas del ámbito; reducir concesión; ampliar subred
Todo lento y CPU de switches alta	Bucle en una VLAN extendida	Logs STP, contadores de broadcast
Usuarios VPN no llegan a ciertas IPs	Solape con la red de su casa	`route print` en el portátil