¿Qué es una interfaz de gestión?

Una interfaz de gestión es una interfaz de red específica —física o virtual— que un dispositivo utiliza para el acceso administrativo y la supervisión, independiente de las interfaces que transportan el tráfico de producción. Por lo general, es compatible con SSH, SNMP y protocolos similares, y sigue estando accesible incluso cuando se interrumpe el tráfico del plano de datos.

Puntos clave

• Las interfaces de gestión separan el acceso administrativo del tráfico de producción.
• Los diseños «fuera de banda» siguen siendo accesibles incluso cuando falla el plano de datos.
• Entre los protocolos de gestión habituales se incluyen el acceso mediante SSH, SNMP, HTTPS y Telnet.
• Los dispositivos VOS ponen a disposición una interfaz con el prefijo «eth» para el acceso mediante SSH y SNMP.
• Aislar el tráfico de gestión reduce la superficie de ataque en las redes de producción.

En esta página: Por qué es importante · Cómo funciona · Tipos · Interfaces de gestión y Versa · Preguntas frecuentes

¿Por qué es importante una interfaz de gestión?

Todo dispositivo conectado a la red necesita un método para que el administrador pueda iniciar sesión, comprobar su estado y aplicar cambios de configuración. Si ese acceso se realiza a través de las mismas interfaces que el tráfico de los usuarios, surgen dos problemas: un riesgo de seguridad, ya que cualquiera que acceda al plano de datos podría acceder potencialmente a protocolos como SSH o SNMP; y un problema de disponibilidad, ya que una interrupción en el plano de datos —una configuración errónea, un fallo en el enlace o una sobrecarga de tráfico— bloquea también el acceso del propio administrador.

Una interfaz de gestión específica resuelve ambas cuestiones. Aislar el tráfico administrativo en su propio puerto, VLAN o dirección IP garantiza que el acceso a la supervisión siga estando disponible independientemente del tráfico de producción, y permite a los administradores restringir qué redes pueden acceder a los protocolos de gestión; de ahí que la mayoría de los equipos de nivel empresarial incluyan un puerto de gestión independiente y que las directrices de seguridad recomienden aislar el tráfico de gestión en su propia red fuera de banda.

¿Qué es una interfaz de gestión?

Una interfaz de gestión es cualquier interfaz —puerto físico, puerto virtual o punto final definido por software— que un dispositivo destina al acceso administrativo, en lugar de al reenvío del tráfico de los usuarios. Suele tener su propia dirección IP y, a menudo, su propia VLAN, de modo que las sesiones de gestión permanecen separadas del plano de datos.

Las interfaces de gestión suelen implementar protocolos diseñados para la administración de dispositivos: SSH y Telnet para el acceso mediante línea de comandos, HTTPS para consolas web y SNMP para la consulta del estado y la configuración por parte de los sistemas de gestión. Algunos dispositivos también utilizan la interfaz para conectarse a la infraestructura de apoyo: servidores NTP, syslog, RADIUS/TACACS+ y DNS.

La característica que la define no es el medio físico, sino la finalidad: una interfaz se considera una interfaz de gestión cuando su función es garantizar que un dispositivo sea administrable, independientemente de las interfaces que se encarguen del reenvío propiamente dicho.

Tipos de interfaces de gestión

Las interfaces de gestión suelen seguir unos pocos patrones. La gestión «fuera de banda» (OOB) utiliza un puerto físicamente independiente con su propio direccionamiento —el clásico puerto Ethernet dedicado que tienen la mayoría de routers y conmutadores—, de modo que el acceso se mantiene incluso ante una interrupción total del plano de datos. La gestión «en banda» reutiliza un puerto de datos normal para el tráfico administrativo, restringido mediante listas de control de acceso (ACL) o una VLAN dedicada; aunque su cableado resulta más económico, comparte el mismo destino que el plano de datos que supervisa. Las interfaces de gestión virtuales existen únicamente en el ámbito del software —una subinterfaz etiquetada con VLAN o una estructura de tipo «loopback»— y se superponen al hardware compartido para separar el tráfico de gestión sin necesidad de un puerto dedicado. Las interfaces de gestión alojadas en la nube, como el portal web de un proveedor, trasladan la interfaz fuera del dispositivo, a la que se accede a través de Internet.

Interfaces de gestión y Versa

En los dispositivos con el sistema operativ Versa (VOS), la interfaz de gestión es una interfaz fuera de banda, cuyo nombre comienza por el prefijo «eth», que se utiliza para iniciar sesión a través de SSH y realizar operaciones SNMP de forma independiente del tráfico de datos, a diferencia de las interfaces VNI que transportan el tráfico de WAN y LAN. Durante la activación del dispositivo, un proceso de depuración de la provisión sin intervención (ZTP) basado en una URL, llevado a cabo por el administrador, confirma que un puerto está configurado como la interfaz eth0 antes de llegar al nodo del controlador de preparación.

Versa Amplía esta misma separación a los conmutadores SD-LAN. La configuración de una interfaz de gestión de conmutadores en un dispositivo perimetral de sucursal SD-WAN proporciona a los conmutadores SD-LAN una ruta dedicada —a través de una VLAN nativa (4091 por defecto) y una instancia de enrutamiento Switch-Management-VR— hacia el nodo controlador, sin competir con el tráfico de producción. Las mismas plantillas de flujo de trabajo permiten acceder a servidores globales como NTP, syslog, RADIUS y DNS a través de los controladores o de la interfaz de gestión.

Preguntas frecuentes

¿Cuál es la diferencia entre la gestión «in-band» y la gestión «out-of-band»?

La gestión «in-band» comparte los puertos de datos habituales del dispositivo para el tráfico administrativo, normalmente aislados mediante listas de control de acceso (ACL) o una VLAN. La gestión «out-of-band» utiliza un puerto y una dirección físicamente independientes, de modo que los administradores pueden seguir accediendo al dispositivo para solucionar problemas incluso si falla el plano de datos.

¿Por qué las interfaces de gestión necesitan su propia dirección IP?

Una dirección IP distinta permite a los administradores enrutar el tráfico de gestión por una ruta independiente —a menudo, una VLAN diferente— y aplicar reglas de cortafuegos que solo permiten protocolos como SSH y SNMP desde redes de gestión de confianza, en lugar de desde cualquier lugar al que se pueda acceder mediante el direccionamiento del plano de datos.

¿Qué protocolos se ejecutan a través de una interfaz de gestión?

Lo más habitual es utilizar SSH y Telnet para el acceso mediante la interfaz de línea de comandos (CLI), HTTPS para las consolas web y SNMP para la supervisión y la configuración. Además, los dispositivos suelen utilizar esta interfaz para conectarse a servidores NTP, DNS, syslog, RADIUS, TACACS+ y LDAP, lo que permite mantener el tráfico de soporte fuera de los enlaces de producción.

¿Una interfaz de bucle cerrado es lo mismo que una interfaz de gestión?

No. Una interfaz de bucle cerrado es virtual, está siempre operativa independientemente del estado del enlace físico y se utiliza habitualmente como dirección estable para los protocolos de enrutamiento. Una interfaz de gestión se define por su finalidad —el acceso administrativo— y puede ser física, basada en VLAN o de tipo bucle cerrado.

¿Utiliza « Versa » una interfaz de gestión específica en sus dispositivos?

Sí. Los dispositivos VOS ofrecen una interfaz de gestión con el prefijo «eth» para el inicio de sesión por SSH y SNMP, independiente de las interfaces VNI que transportan los datos de la WAN y la LAN. Los conmutadores SD-LAN disponen de una ruta equivalente —una interfaz de gestión del conmutador— hacia el nodo controlador, independiente del tráfico de producción.

Más información sobre las interfaces de gestión

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre interfaces de gestión, te conviene echarles un vistazo a continuación.