Qué es una VLAN y para qué sirve
Una VLAN es una red virtual que separa, dentro de un mismo conmutador, a los equipos en grupos que no se ven entre sí. Sirve para que el alumnado de un instituto no llegue al ordenador donde el profesorado guarda las notas.
Hoy ves por qué un conmutador no separa nada por sí solo, cómo lo hace una VLAN y qué papel tiene el router.
Al final de esta lección
Nota
Puedo mantener separados dos grupos de equipos en un mismo conmutador.
Palabras clave
| Palabra | Qué significa | Ejemplo |
|---|---|---|
| Conmutador | el aparato donde se enchufan los cables de los equipos de una red | |
| VLAN | un grupo de puertos que forma una red aparte | VLAN 30 |
| Puerto de acceso | un puerto que pertenece a una sola VLAN | |
| Puerto troncal | un puerto que lleva varias VLAN por el mismo cable | |
| Etiqueta | el número de VLAN que se añade a cada trama en un troncal | |
| Difusión | un mensaje que oyen todos los equipos de la misma red |
Las celdas que rellenan los estudiantes quedan en blanco en esta vista previa.
Sin VLAN, un conmutador es una red
Los equipos enchufados al mismo conmutador forman una red. Cuando uno envía una difusión, la oyen todos.
En un instituto eso es un problema. Un portátil del alumnado queda en la misma red que el servidor de notas, a un paso de intentar entrar.
Ejemplo resuelto: instituto sin y con VLAN
| Equipo | Sin VLAN | Con VLAN |
|---|---|---|
| Portátil del alumnado | Ve a todos | Solo ve a la VLAN 40 |
| Ordenador de profesorado | Ve a todos | Solo ve a la VLAN 30 |
| Servidor de notas | Lo ve el alumnado | Está en la VLAN 30 |
Las celdas que rellenan los estudiantes quedan en blanco en esta vista previa.
Mira las máquinas del laboratorio
vlanlab statusSe muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
Qué hay en el laboratorio
Hay un conmutador, sw, un router, r1, y tres equipos: h10, h20 y srv. Cada uno tiene su dirección y su puerto en el conmutador.
Fíjate en qué dirección tiene cada equipo. Los de la red 10.10.0.0/24 y el de la 10.20.0.0/24 están todavía en el mismo conmutador y en la misma VLAN.
Cada puerto es de acceso o es troncal
Un puerto de acceso pertenece a una sola VLAN. El equipo enchufado no sabe nada de VLAN: envía tramas normales.
Un puerto troncal lleva varias VLAN por un cable. Para no mezclarlas, cada trama sale con una etiqueta, un número de VLAN. El estándar se llama 802.1Q y admite hasta 4094 VLAN.
Ejemplo resuelto: puertos de un conmutador
| Puerto | Qué hay enchufado | Tipo | VLAN |
|---|---|---|---|
| 1 | Un ordenador del aula | Acceso | 40 |
| 2 | Un ordenador de sala de profesorado | Acceso | 30 |
| 3 | El servidor de notas | Acceso | 30 |
| 4 | El router | Troncal | 30 y 40 |
Las celdas que rellenan los estudiantes quedan en blanco en esta vista previa.
Mira la VLAN de cada puerto
sudo ip netns exec sw bridge vlan showSe muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
Cómo leer esa tabla
Cada línea nombra un puerto del conmutador y una VLAN. Si todavía no has cambiado nada, todos los puertos están en la VLAN 1, la de por defecto.
Esa es la razón por la que todos se ven. Separar grupos es mover cada puerto a la VLAN que le toca.
Entre dos VLAN se pasa por un router
Dos VLAN son dos redes distintas. Para hablar, un paquete tiene que subir a un router y volver a bajar.
Basta un cable troncal desde el conmutador. El router crea una subinterfaz por VLAN, y cada una es la puerta de salida de su grupo. Se llama router con un solo cable.
Como todo pasa por el router, allí se pueden poner reglas que bloqueen lo que no debe cruzar.
Ejemplo resuelto: quién puede hablar con quién
| Desde | Hasta | Directo | Por el router |
|---|---|---|---|
| Alumnado 40 | Otro del alumnado 40 | Sí | No hace falta |
| Alumnado 40 | Profesorado 30 | No | Sí |
| Alumnado 40 | Servidor de notas 30 | No | No, bloqueado por una regla |
| Profesorado 30 | Servidor de notas 30 | Sí | No hace falta |
Las celdas que rellenan los estudiantes quedan en blanco en esta vista previa.
Pregunta a h10 cómo llegaría a h20
sudo ip netns exec h10 ip route get 10.20.0.11Se muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
Qué te dice esa respuesta
h10 no habla directamente con h20, porque están en redes distintas. La respuesta empieza por 10.20.0.11 via 10.10.0.1.
La palabra via y la dirección 10.10.0.1 son la puerta de h10, que será una subinterfaz del router. Hasta que no exista, el paquete no llega.
Un error frecuente
Advertencia
Mucha gente cree que una VLAN es un cortafuegos. Solo corta la comunicación directa. Si el router enlaza las dos VLAN sin reglas, los grupos se hablan igual. Para bloquear el paso hace falta una regla en el router.
Para ir más lejos: una VLAN para invitados
El instituto añade una VLAN 50 para el wifi de invitados. Los invitados no deben llegar a ninguna otra VLAN, pero sí deben salir a internet.
Anota en tu cuaderno qué regla pondrías en el router, y pruébala en reachable con la lista de bloqueos.