VLAN y segmentación de reds

Aquí debes dividir una red en segmentos y justificar qué tráfico debe ser permitido. Necesitas la dirección, el prefijo, la puerta de enlace y el puerto desde IP, subredes y puerta de enlace predeterminada y protocolos de red.

Comienza con el ejemplo de VLAN, la Tarea 1 y el ejercicio del cortafuegos. La ruta básica es un plan de acceso con el tráfico permitido y bloqueado esperado. El cambio práctico requiere un entorno de prueba independiente, aprobado, y una vía para revertir a la configuración anterior. Sin dicho acceso, usa el ejemplo para la planificación; no debes modificar la red de la escuela. El cálculo de subredes y la configuración de DHCP son opciones adicionales.

¿Por qué segmentar?

La segmentación divide la red en partes más pequeñas. Los VLAN separan el tráfico a nivel de capa 2. Un router o un conmutador de capa 3 aún puede mediar el tráfico entre ellos; los firewalls o las reglas de acceso determinan lo que realmente se permite.

¿Qué es un VLAN?

Una red de área local virtual (Virtual Local Area Network, VLAN) divide un conmutador físico en redes lógicas. El ID de VLAN indica a qué VLAN pertenece el tráfico. Además, debe controlarse el acceso entre VLANs.

Video: Cómo divide un VLAN una red física

El video explica cómo un VLAN divide una red física en varias redes lógicas y separa el tráfico entre ellas.

En este ejemplo, cada VLAN utiliza su propio subred IPv4:

Tráfico etiquetado y sin etiqueta

Para que las VLAN funcionen a través de varios conmutadores (o entre un conmutador y una ruta), se utiliza el etiquetado (tagging):

Un PC normal suele conectarse a un puerto de acceso sin marcar su propio tráfico con un ID de VLAN. Una troncal puede transportar varias VLAN permitidas, no necesariamente todas. Una troncal también puede tener una VLAN nativa sin etiqueta. Lea la configuración real del perfil del puerto antes de interpretar la trayectoria del tráfico.

Tarea 1 - Ver los VLAN en la práctica

Si tienes permiso para leer la configuración de red en Uni u otra herramienta, examínala sin realizar cambios:

• Revisa qué VLAN están configurados
• ¿Qué puertos están configurados como access y cuáles como trunk?
• Compara la configuración IP del equipo con el subred y el perfil de puerto. La dirección IP por sí sola no confirma la pertenencia a un VLAN.

Sin acceso administrativo: Utiliza la tabla de ejemplo. Un cliente tiene la dirección 10.0.30.10/24 y la puerta de enlace es 10.0.30.1. A cuál de las subredes del ejemplo pertenece este dispositivo y qué tipo de puerto elegirías para una PC estándar? La respuesta esperada es la subred de alumnos y un puerto access en el VLAN 30. Esto es una interpretación del ejemplo, no una medición de tu propia red.

Reglas de firewall entre VLAN

Primero, describa quién debe iniciar una conexión, hacia qué destino y mediante qué protocolo/puerto. Una etiqueta genérica como “empleados a servidores” es demasiado amplia para configurarla directamente. La tabla es una política de ejemplo que debe detallarse:

El tráfico de respuesta significa que el servidor no debería poder iniciar nuevas conexiones a todos. Las reglas para established/related y su orden deben coincidir con el firewall. El tráfico entre dispositivos dentro del mismo VLAN generalmente no pasa por el firewall que controla la enrutación entre VLANs.

Esta es la política final deseada, no un mensaje para activar primero una amplia bloqueación en una red que está en uso. Mantenga la administración necesaria, el DNS y el DHCP mientras se modifica una configuración de prueba limitada.

Ejercicio: Cliente a través de un proxy, no directamente hacia la aplicación

Utilice estos roles de ejemplo o valores conocidos equivalentes desde un entorno de pruebas:

El cliente debe poder abrir la aplicación a través del proxy, pero no directamente en el puerto de la aplicación. Nivel Docker 3 muestra cómo se configuran y controlan el proxy y la aplicación. Escriba el plan en un documento separado:

En el ejemplo, el proxy y la aplicación están en la misma VLAN. La conexión entre ellos se prueba directamente, pero no está gobernada por estas reglas entre VLANs. Una prueba exitosa a través del proxy demuestra que la aplicación estaba accesible por esta vía; una prueba directa fallida por sí sola no demuestra que el cortafuegos haya bloqueado correctamente.

Prueba práctica en un entorno de pruebas aprobado

Utilice una configuración existente y funcional del proxy/aplicación. Anote el estado normal y las reglas actuales, y mantenga la consola u otra vía de administración para que sea posible revertir los cambios. Verifique origen, destino, puerto, dirección y orden de las reglas antes de modificar una regla limitada específica.

Desde el cliente, pruebe el nombre de la aplicación a través del proxy. Para el acceso directo a la aplicación, puede utilizar lo siguiente:

No changes were made because there are no comments in the provided code block that require translation. The original content is returned unchanged as per your instructions.

La dirección es del ejemplo; reemplácela con la dirección de la aplicación del entorno de pruebas. Tras el bloqueo, este cliente no debe poder establecer la conexión HTTP. Un tiempo de espera puede tener otras causas; compare el resultado con el registro del cortafuegos o el contador de reglas cuando la herramienta lo proporcione y asegúrese al mismo tiempo de que la aplicación siga respondiendo a través del proxy. Una respuesta HTTP 404 o 500 desde el puerto de la aplicación indica que la conexión HTTP llegó correctamente, aunque curl --fail termine con un error.

Punto de control: Acceso planificado y real

Muestra ambas pruebas con fuente, destino, resultado esperado y resultado real. Explica la regla y lo que las pruebas confirman. En caso de desviación, investiga una regla o una ruta de tráfico a la vez y repite el control. Revertir si el cambio interrumpe un acceso necesario.

Si solo has utilizado el ejemplo, marca los resultados como esperados y explica qué pruebas quedan pendientes. Entonces, el plan está listo, pero no se ha demostrado la implementación ni su efecto real. El cálculo de subredes y DHCP a continuación son extensiones opcionales después de este punto de control.

Subredes

Elección posterior: Utilice [[Protocolos Nivel 3 - IP, subredes y puerta de enlace predeterminada|IP y subredes]] cuando desee seleccionar un rango de direcciones diferente. Los números a continuación se aplican a subredes IPv4 comunes e indican el número de direcciones de host después de la dirección de red y la dirección de difusión:

Ejercicio 2 - Calcular una subred

Ejercicio de cálculo opcional: Utilice el método de la consulta de IPs o una calculadora de subredes, por ejemplo subnet-calculator.com:

• Escriba 10.0.60.0 con máscara /24. ¿Cuántas direcciones obtiene?
• ¿Qué sucede si cambia a /25? ¿O a /23?
• ¿Cuál elegiría para un aula con 30 estudiantes?

Verificación: /24 da 254 direcciones de host, /25 da 126 y /23 da 510. Justifique la elección basándose en todos los dispositivos que necesiten dirección, incluida la puerta de enlace y otro equipo; el número de estudiantes no representa todo el requerimiento de direcciones.

DHCP por VLAN

Consulta opcional: Los clientes que deben recibir la configuración de IP automáticamente necesitan un servidor DHCP que proporcione la configuración correcta para el subred. Las direcciones estáticas no requieren DHCP. Servicios de red y roles del servidor explica el DHCP y las reservas.

Ejemplo para el VLAN de estudiantes:

Resumen

• La segmentación divide la red en partes donde el tráfico puede controlarse.
• Un VLAN es una red virtual sobre el mismo conmutador físico.
• Los puertos de acceso conectan dispositivos a un solo VLAN; los puertos troncales (trunk) transportan varios VLANs.
• Las reglas del cortafuegos determinan lo que está permitido entre los VLANs.
• En el ejemplo, cada VLAN tiene su propio subred; DHCP es relevante cuando se deben asignar direcciones automáticamente.
• Política final: bloquear el tráfico innecesario y permitir los servicios acordados.

Fuentes: UniFi: reglas de acceso y tráfico de respuesta y puertos de acceso/troncal.