¿Qué es una VLAN?

Una red de área local virtual (VLAN) es una agrupación lógica de puertos de conmutador y dispositivos que forma su propio dominio de difusión, independiente de la ubicación física o del cableado. Las VLAN reducen la inundación innecesaria de difusión y multidifusión, aíslan el tráfico entre grupos de dispositivos y permiten a los administradores reorganizar una red modificando la configuración en lugar de tender cables.

Puntos clave

• Las VLAN agrupan los dispositivos en dominios de difusión aislados, y no en función del cableado.
• La segmentación reduce la saturación innecesaria de la difusión y la multidifusión.
• Los puertos «trunk» transmiten varias VLAN etiquetadas a través de un único enlace físico.
• Los puertos de acceso asignan el tráfico sin etiquetar a un único ID de VLAN explícito.
• Versa VOS vincula los identificadores de VLAN a los dominios de puente y a las subinterfaces.

En esta página: Por qué es importante · Cómo funciona · Tipos · VLAN y Versa · Preguntas frecuentes

¿Por qué es importante una VLAN?

Las redes con conmutadores planas y sin segmentar sitúan a todos los dispositivos conectados en un único dominio de difusión: una impresora, un ordenador portátil de un invitado y un servidor financiero ven el tráfico de difusión de los demás, y separarlos implica volver a cablear los puertos a distintos conmutadores. Las VLAN convierten esa separación en un cambio de configuración: es la asignación de VLAN de un puerto, y no su tendido de cable, lo que determina a qué dominio de difusión se une un dispositivo.

Esto reporta beneficios directos en materia de seguridad y rendimiento. Limitar el tráfico de difusión y multidifusión a una VLAN evita que se produzca una inundación innecesaria en el resto de la red, y mantener el tráfico de invitados, IoT, voz y corporativo en VLAN separadas limita el alcance que un dispositivo comprometido puede tener en otras partes. Las VLAN también permiten la segmentación basada en la identidad: un dispositivo autenticado mediante 802.1X puede asignarse a una VLAN elegida por un servidor RADIUS, con una VLAN de invitados como opción de reserva para los dispositivos que nunca se autentican.

¿Qué es una VLAN?

Cada VLAN se identifica mediante un ID de VLAN, un número entero comprendido entre 1 y 4094 según el estándar IEEE 802.1Q. Un puerto de conmutador se conecta a una VLAN en uno de estos dos modos: un puerto de acceso transporta el tráfico de una única VLAN, y las tramas sin etiquetar se tratan como si pertenecieran al ID de esa VLAN; un puerto troncal transporta varias VLAN a través de un único enlace, y cada trama va etiquetada con el ID de la VLAN a la que pertenece.

Cada VLAN forma su propio dominio de aprendizaje y reenvío en el conmutador: las direcciones MAC se aprenden por separado para cada VLAN, y el tráfico que entra por los puertos de una VLAN se distribuye únicamente a otros puertos de esa misma VLAN, sin traspasar nunca el límite. El enrutamiento entre VLAN requiere un salto de Capa 3, ya que una VLAN, por sí sola, es una estructura de Capa 2.

Tipos de VLAN

Las VLAN de acceso son el caso más sencillo: a un puerto se le asigna un identificador de VLAN explícito, y cualquier trama sin etiquetar que llegue a él se considera perteneciente a esa VLAN; esta es la configuración habitual en el perímetro de la red. Las VLAN de tronco (etiquetadas) transportan varias VLAN a través de un único enlace ascendente; la configuración de tronco suele aceptar una lista de identificadores de VLAN, incluidos rangos, en lugar de un único identificador. La VLAN nativa es la única VLAN de un puerto troncal que el conmutador trata como sin etiquetar, de modo que un dispositivo que no pueda etiquetar el tráfico pueda seguir accediendo al tronco. Las VLAN dinámicas se asignan por dispositivo en el momento de la autenticación: un intercambio 802.1X con un servidor RADIUS determina a qué VLAN se une un dispositivo, con una VLAN de invitado como alternativa cuando falla la autenticación.

VLAN y Versa

Versa Los dispositivos del sistema operativo (VOS) aplican los ID de VLAN a nivel de interfaz: una subinterfaz Ethernet, Ethernet agregada o IRB se configura en modo de acceso con un ID de VLAN o en modo troncal con una lista de ID de VLAN, además de un ID de VLAN nativo opcional. VOS agrupa las interfaces de capa 2 en instancias de conmutador virtual (VSI); dentro de una VSI, cada dominio de puente se vincula a un identificador de VLAN único con su propia tabla de reenvío MAC, y las interfaces se unen a un dominio de puente al coincidir con los identificadores de VLAN. La traducción de VLAN permite que una interfaz utilice un identificador de VLAN diferente al de su dominio de puente; véase «Configurar el reenvío de capa 2».

En los dispositivos de sucursal de la serie « Titan », las VLAN se configuran a través del portal « Titan » como «Routed» (Capa 3) o «Switched» (Capa 2), con un nombre de VLAN, un ID de VLAN y, en el caso de las VLAN conmutadas, una interfaz IRB; el portal « Titan » también admite la asignación dinámica de VLAN mediante 802.1X y RADIUS, con opciones de reserva para invitados y predeterminadas; consulte «Configurar conexiones LAN». Las plantillas de dispositivos aplican el mismo modelo de acceso/trunk, además de listas de VLAN para conmutadores virtuales EVPN, tal y como se describe en «Configurar funciones básicas».

Preguntas frecuentes

¿Cuál es la diferencia entre una VLAN y una subred?

Una VLAN es un dominio de difusión de capa 2 definido mediante la configuración del conmutador y las etiquetas 802.1Q. Una subred es un bloque de direcciones IP de capa 3. En las implementaciones suele asignarse una subred a una VLAN, pero ambos conceptos son independientes: una VLAN puede existir sin que haya una subred IP enrutada en ella.

¿Cuál es la diferencia entre una VLAN de acceso y una VLAN de enlace?

Un puerto de acceso transporta exactamente una VLAN y considera que las tramas sin etiquetar pertenecen a ella, algo habitual en los puertos de dispositivos finales. Un puerto troncal transporta varias VLAN a través de un único enlace, etiquetando cada trama para que el conmutador receptor clasifique el tráfico en el dominio correcto.

¿Qué es una VLAN nativa y por qué es importante?

La VLAN nativa es la única VLAN de un puerto troncal a la que el conmutador no añade etiqueta; las tramas sin etiqueta del puerto troncal se asignan a ella. Si la VLAN nativa no coincide entre dos conmutadores conectados, puede producirse una fuga de tráfico entre VLAN que deberían permanecer separadas.

¿Cuántas VLAN puede admitir una red?

El campo de etiqueta IEEE 802.1Q admite ID de VLAN del 1 al 4094, el mismo rango que ofrecen las interfaces VOS Versa . El número de VLAN utilizables en una implementación concreta viene limitado por las restricciones de escala del conmutador y de la plataforma, antes de que ese límite máximo sea relevante.

¿Cómo funciona el enrutamiento entre VLAN en el sistema operativo VOS de Versa ?

Una interfaz IRB (enrutamiento y puenteo integrados) asocia una interfaz de capa 3 con un dominio de puente de capa 2, de modo que los paquetes se enrutan hacia y desde la VLAN vinculada a ese dominio. Los ajustes estándar de capa 3, como DHCP y VRRP, se configuran en la interfaz IRB.

Más información sobre las VLAN

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre las VLAN, te conviene echarles un vistazo a continuación.