Un puerto de acceso es un modo de interfaz de capa 2 que se utiliza en los puertos de los conmutadores que se conectan directamente a dispositivos finales, como ordenadores, impresoras y teléfonos. Pertenece a una única VLAN —la VLAN de acceso—, trata los paquetes entrantes sin etiquetar como si estuvieran etiquetados con el identificador de dicha VLAN y descarta cualquier trama etiquetada cuyo identificador de VLAN no coincida.
Puntos clave
- Un puerto de acceso pertenece exactamente a una VLAN: la VLAN de acceso.
- Los paquetes entrantes sin etiqueta se tratan como si tuvieran la etiqueta con el ID de la VLAN de acceso.
- Las tramas etiquetadas que no coinciden con la VLAN de acceso se descartan.
- Los puertos trunk son su contrapartida y transportan varias VLAN entre conmutadores.
- Los puertos de acceso pueden incorporar PoE, una VLAN de voz o multihoming para garantizar la redundancia.
En esta página: Por qué es importanteCómo funcionaTiposPuertos de acceso y VersaPreguntas frecuentes
¿Por qué son importantes los puertos de acceso?
La mayoría de los dispositivos finales —ordenadores, impresoras, cámaras, puntos de acceso— envían y esperan tramas Ethernet sin etiquetar; no tienen ningún conocimiento de las etiquetas VLAN. Los puertos de acceso permiten que un conmutador asigne ese tráfico sin etiquetar a la VLAN correcta sin necesidad de ninguna configuración especial en el propio dispositivo. Eso es lo que hace que la segmentación basada en VLAN resulte práctica a gran escala: un administrador configura el modo del puerto y la VLAN una sola vez, y todos los dispositivos conectados a él heredan automáticamente el dominio de difusión adecuado.
Los puertos de acceso también constituyen un límite de contención. Dado que un puerto pertenece exactamente a una sola VLAN y descarta las tramas etiquetadas que no coinciden, un dispositivo —o un atacante— conectado a él no puede simplemente etiquetar su propio tráfico para pasar a otra VLAN. Esa restricción permite que la segmentación por departamentos, para invitados y por zonas de seguridad se aplique en el propio puerto físico, en lugar de depender de que todos los dispositivos conectados se comporten correctamente.
¿Qué es un puerto de acceso?
Un puerto de acceso se configura en modo de acceso, uno de los dos modos de interfaz de Capa 2 en los que puede funcionar un puerto de conmutador (siendo el otro el modo de enlace troncal). En modo de acceso, la interfaz acepta paquetes sin etiquetar y pertenece a una sola VLAN, la VLAN de acceso: cualquier paquete sin etiquetar que llegue se trata como si estuviera etiquetado con el ID de esa VLAN, y cualquier trama etiquetada cuyo ID de VLAN no coincida se descarta. Los ID de las VLAN de acceso suelen asignarse en el rango del 1 al 4094, quedando la VLAN 0 reservada para una interfaz totalmente sin etiquetar.
El modo «trunk» es su contrapartida: una interfaz «trunk» acepta paquetes etiquetados y puede transportar múltiples ID de VLAN o rangos a través de un único enlace, normalmente entre conmutadores, con un ID de VLAN nativo definido opcionalmente, de modo que un paquete sin etiquetar que llegue al «trunk» se trate como si perteneciera a esa VLAN nativa. Un puerto de acceso, por el contrario, es el caso sencillo de una sola VLAN: un cable, una VLAN, sin que el dispositivo conectado tenga que entender ningún comportamiento de etiquetado.
Tipos de puertos de acceso
El puerto de acceso estándar es el caso por defecto: un puerto físico, una VLAN de acceso, para un ordenador, una impresora o un punto de acceso inalámbrico que envíe tráfico sin etiquetar. Un puerto de acceso multihospedado amplía ese comportamiento a dos conmutadores a la vez, utilizando la agregación de enlaces multichasis (MC-LAG), de modo que el puerto se conecta a más de un dispositivo de red, lo que mejora la fiabilidad en caso de que falle un conmutador de nivel superior. Un puerto de acceso habilitado para PoE y VLAN de voz combina la configuración en modo de acceso con un perfil de puerto físico que proporciona alimentación a través de Ethernet (PoE) y una VLAN de voz independiente —detectada mediante LLDP— para teléfonos IP que comparten un tramo de cable con un ordenador. Un puerto de acceso también puede requerir autenticación 802.1X, por lo que un dispositivo debe autenticarse antes de que el puerto reenvíe su tráfico.
Puertos de acceso y Versa
Versa Configura las interfaces en modo de acceso en dos lugares, abarcando tanto el borde de la SD-WAN como la conmutación de LAN dedicada. En el flujo de trabajo de interfaces de red « Secure SD-WAN » de Concerto, se puede configurar una interfaz de capa 2 en el modo de interfaz «Acceso», lo que la restringe a un único ID de VLAN y trata los paquetes sin etiquetar como miembros de esa VLAN; véase «Configurar interfaces de acceso y de enlace troncal en Concerto». En los conmutadores basados en VOS (incluidas las series CSX4300, CSX4500 y CSX8300), el asistente de SD-LAN de Director configura los puertos físicos de la misma manera —modo «Acceso» o «Trunk», con un ID de VLAN para los puertos de acceso— y permite al administrador añadir un perfil de puerto físico para PoE, LLDP y VLAN de voz, o un perfil 802.1X para la autenticación basada en puertos, tal y como se describe en «Configurar SD-LAN mediante plantillas de flujo de trabajo».
Preguntas frecuentes
¿Cuál es la diferencia entre un puerto de acceso y un puerto de enlace?
Un puerto de acceso pertenece a una única VLAN y trata los paquetes sin etiquetar como si formaran parte de dicha VLAN. Un puerto troncal transmite varios ID de VLAN a través de un único enlace, para lo cual requiere paquetes etiquetados, de modo que los conmutadores situados en ambos extremos puedan distinguir entre las distintas VLAN.
¿Puede un puerto de acceso pertenecer a más de una VLAN?
No. Un puerto de acceso pertenece únicamente a una VLAN: la VLAN de acceso. Para transportar más de una VLAN en el mismo enlace es necesario utilizar el modo troncal, que admite paquetes etiquetados que correspondan a una lista o rango específico de identificadores de VLAN.
¿Qué ocurre si llega un trama etiquetada a un puerto de acceso?
El conmutador descarta el trama si el identificador de VLAN de la misma no coincide con la VLAN de acceso del puerto. Los puertos de acceso gestionan el tráfico sin etiquetar de una sola VLAN; una trama etiquetada que no coincida se descarta en lugar de reenviarse.
¿Puede un puerto de acceso proporcionar también alimentación a través de Ethernet?
Sí. El modo de capa 2 de un puerto de acceso es independiente del PoE: un perfil de puerto físico puede suministrar PoE, con una prioridad configurable, a un dispositivo conectado al mismo puerto y configurado en modo de acceso.
¿Qué es un puerto de acceso multihospedado?
Utiliza la agregación de enlaces multichasis (MC-LAG) para conectarse a más de un dispositivo de red de nivel superior a la vez, en lugar de a un único conmutador, lo que mejora la fiabilidad en caso de que falle una de las conexiones de nivel superior.
Más información sobre Access Port
Si quieres saber más, estas son algunas fuentes en las que confiamos.
| NIST: Glosario del Centro de Recursos sobre Seguridad Informática |
|---|
| El glosario de términos de redes y seguridad del NIST, en el que se enmarcan los «puertos de acceso» dentro de un vocabulario más amplio. |
Términos relacionados
Si estás leyendo sobre puertos de acceso, te conviene echarles un vistazo a continuación.
| 802.1X | Perfil de autenticación | Alimentación a través de Ethernet |
|---|---|---|
| Control de acceso a la red basado en puertos: el estándar que un puerto de acceso puede exigir antes de reenviar el tráfico de un dispositivo. | El objeto de configuración que define cómo se autentica un dispositivo que se conecta a través de un puerto de acceso protegido mediante 802.1X. | La capacidad que el perfil físico de un puerto de acceso puede proporcionar a un teléfono, una cámara o un punto de acceso conectados. |