En el complejo mundo de las redes informáticas, las VLANs (Virtual Local Area Networks) se han convertido en un componente fundamental para la gestión eficiente de redes empresariales y la optimización del tráfico de datos. En este artículo, exploraremos en detalle qué son las VLANs, cómo funcionan y por qué son tan importantes en el diseño y la administración de redes modernas.

¿Qué son las VLANs?

Una VLAN, o Red de Área Local Virtual, es una técnica que permite segmentar una red física en múltiples redes lógicas o virtuales. Aunque físicamente los dispositivos pueden estar conectados a la misma red, mediante el uso de VLANs se pueden aislar grupos de dispositivos lógicamente, creando segmentos de red independientes.

¿Cómo funcionan las VLANs?

Las VLANs funcionan mediante la asignación de identificadores de etiqueta a los paquetes de datos que circulan por la red. Estas etiquetas, conocidas como VLAN tags, se agregan a nivel de capa 2 del modelo OSI, lo que significa que operan a nivel de switch y no de router. Cuando un paquete llega a un switch, este examina la etiqueta VLAN y lo dirige al puerto correspondiente asociado con esa VLAN.

Para comprender mejor cómo funcionan las VLANs, consideremos el siguiente ejemplo:

Supongamos que en una empresa hay tres departamentos: ventas, contabilidad y recursos humanos. Cada departamento necesita su propia red lógica, pero todos están conectados al mismo switch. En lugar de utilizar cables físicos separados para cada departamento, se pueden crear tres VLANs distintas y asignar cada puerto del switch a una VLAN específica. De esta manera, aunque los dispositivos físicamente compartan el mismo switch, están lógicamente separados en tres redes distintas.

Ventajas de las VLANs

• Segmentación de Red: Permite dividir una red física en múltiples redes lógicas, lo que facilita la administración y mejora la seguridad al limitar la visibilidad y el acceso a recursos de red.
• Optimización de Tráfico: Al reducir la cantidad de dispositivos en una red broadcast, las VLANs pueden mejorar el rendimiento general de la red al disminuir la congestión y aumentar el ancho de banda disponible.
• Mayor Flexibilidad: Las VLANs permiten a los administradores de red realizar cambios en la topología de la red de manera más ágil y sin necesidad de reconfigurar físicamente los dispositivos.
• Mejora de la Seguridad: Al aislar grupos de dispositivos en redes lógicas separadas, las VLANs pueden ayudar a prevenir ataques de red y limitar el acceso no autorizado a recursos sensibles.
• Menor Costo y Cableado Simplificado: Al evitar la necesidad de instalar cableado físico adicional para segmentar la red, las VLANs pueden ayudar a reducir costos y simplificar la infraestructura de red.

Implementación de VLANs

La implementación de VLANs requiere varios pasos clave, que incluyen:

• Diseño de VLANs: Identificar los grupos de dispositivos que deben estar en redes lógicas separadas y planificar la estructura de VLANs en consecuencia.
• Configuración de Switches: Asignar puertos individuales en el switch a VLANs específicas y configurar troncales (trunks) entre switches para permitir el paso de tráfico VLAN a través de la red.
• Configuración de VLAN Tags: Configurar los dispositivos finales para etiquetar los paquetes de datos con la VLAN tag correspondiente.
• Implementación de Seguridad: Aplicar medidas de seguridad adicionales, como listas de control de acceso (ACLs) y autenticación de red, para proteger las VLANs y los recursos de red.

¿Qué son las VLAN?

Las VLAN o también conocidas como «Virtual LAN» nos permite crear redes lógicamente independientes dentro de la misma red física, haciendo uso de switches gestionables que soportan VLANs para segmentar adecuadamente la red. También es muy importante que los routers que utilicemos soportan VLAN, de lo contrario, no podremos gestionarlas todas ni permitir o denegar la comunicación entre ellas. Actualmente la mayoría de routers profesionales e incluso sistemas operativos orientados a firewall/router como pfSense o OPNsense soportan VLAN porque es un estándar hoy en día. El uso de VLANs nos proporciona lo siguiente:

• Seguridad. Las VLAN nos permite crear redes lógicamente independientes, por tanto, podemos aislarlas para que solamente tengan conexión a Internet, y denegar el tráfico de una VLAN a otra. Por defecto no se permite a las VLANs intercambiar tráfico con otra VLAN, es totalmente necesario ascender a nivel de red (L3) con un router o un switch multicapa, con el objetivo de activar el inter-vlan routing, es decir, el enrutamiento entre VLANs para sí permitir la comunicación entre ellas siempre que lo necesitemos.
• Segmentación. Las VLAN nos permite segmentar todos los equipos en diferentes subredes, a cada subred le asignaremos una VLAN diferente. Por ejemplo, podremos crear una subred de gestión interna de todos los routers, switches y puntos de acceso, podremos crear una subred principal para los administradores, otra subred para dispositivos IoT y otra subred diferente para invitados. Es decir, podremos segmentar la red principal en subred con el objetivo de que cada subred haga uso de las comunicaciones como deseen. Gracias a la segmentación, podremos agrupar una gran cantidad de equipos dentro del mismo dominio de broadcast, aunque estén muy lejos físicamente.
• Flexibilidad. Gracias a las VLAN podremos colocar a los diferentes equipos en una subred o en otra, de manera fácil y rápida, y tener unas políticas de comunicación donde permitimos o denegamos el tráfico hacia otras VLANs o hacia Internet. Por ejemplo, si creamos una VLAN de invitados, podríamos prohibirles el uso de servicios de streaming de vídeo.
• Optimización de la red. Al tener subredes más pequeñas, en entornos donde tengamos cientos o miles de equipos conectados, contendremos el broadcast en dominios más pequeños, por tanto, el rendimiento de la red será óptimo, sin tener que transmitir los mensajes de broadcast a todos los equipos conectados, lo que haría que el rendimiento de la red baje radicalmente e incluso podría llegar a colapsar. Al usar VLAN, tendremos varios dominios de difusión en el mismo switch. En redes donde el tráfico consiste en un alto porcentaje de transmisiones y multidifusiones, las VLAN pueden reducir la necesidad de enviar dicho tráfico a destinos innecesarios. Por ejemplo, en un dominio de transmisión que consta de 10 usuarios, si el tráfico de transmisión está destinado solo a 5 de los usuarios, colocar estos 5 usuarios en una VLAN separada puede reducir el tráfico. En comparación con los switches, los routers requieren más procesamiento del tráfico entrante, y a medida que aumenta el volumen de tráfico que pasa a través de los routers, también aumenta la latencia en dichos routers, lo que da como resultado un rendimiento reducido. El uso de VLAN reduce la cantidad de routers necesarios, ya que las VLAN crean dominios de transmisión utilizando switches en lugar de routers.
• Reducción de costes. Debido a la poca necesidad de actualizaciones de red que son demasiado costosas, y gracias a un uso más eficaz de los enlaces y del ancho de banda disponible, es posible reducir costes al realizar este tipo de redes. Las VLAN se pueden usar para crear dominios de transmisión que eliminan la necesidad de costosos routers, lo cual ayuda aún más a reducir dichos costes.
• Mejor eficiencia del personal de TI. Nos facilitarán el manejo de la red, debido a que diferentes usuarios pueden compartir una misma VLAN. Cuando implementamos un nuevo switch, este implantará todas las políticas y procedimientos que tiene prestablecidos la VLAN. También hará más sencillo identificar la función de una VLAN en concreto, al poder proporcionarle un nombre.
• Administración de aplicaciones y proyectos simples. Estas redes pueden agregar dispositivos y usuarios para admitir ciertos requisitos geográficos o de tipo comercial. Como tienen características diferentes, se facilita mucho la administración de una aplicación concreta, o albergando proyectos diferentes. El setenta por ciento de los costos de la red son el resultado de adiciones, movimientos y cambios de usuarios en la red, cada vez que un usuario se mueve en una LAN, se hace necesario volver a cablear, direccionar nuevas estaciones y reconfigurar los concentradores y routers. Algunas de estas tareas se pueden simplificar con el uso de VLAN, por lo que, si un usuario se mueve dentro de una VLAN, no es necesaria la reconfiguración de los routers. Además, según el tipo de VLAN, se pueden reducir o eliminar otros trabajos, sin embargo, todo el poder de las VLAN solo se sentirá realmente cuando se creen buenas herramientas de administración que permitan a los administradores de red arrastrar y colocar usuarios en diferentes VLAN o configurar alias, a pesar de este ahorro, las VLAN agregan una capa de complejidad administrativa, ya que ahora es necesario administrar grupos de trabajo virtuales.

En resumen, las VLANs son una herramienta poderosa para la segmentación y gestión de redes en entornos empresariales. Al permitir la creación de redes lógicas independientes dentro de una infraestructura física compartida, las VLANs ofrecen flexibilidad, seguridad y eficiencia en la gestión de redes. Con una implementación adecuada, las VLANs pueden ayudar a optimizar el rendimiento de la red, mejorar la seguridad y facilitar la administración de redes en entornos empresariales de cualquier tamaño.

Las VLAN nos permiten asociar lógicamente a los diferentes usuarios, en base a etiquetas, puertos del switch, a su dirección MAC e incluso dependiendo de la autenticación que hayan realizado en el sistema. Las VLAN pueden existir en un solo switch gestionable, para asignar después a cada puerto el acceso a una determinada VLAN, pero también pueden existir en varios switches que están interconectados entre ellos, por tanto, las VLAN pueden extenderse por diferentes switches a través de los enlaces troncales. Esto nos permite tener las VLAN en diferentes switches y asignar una determinada VLAN en cualquiera de estos switches o en varios simultáneamente.

Cuando creamos y configuramos las VLAN en un router no se pueden comunicar entre ellas, la única forma de que se puedan comunicar las VLAN es ascendiendo a nivel de red (L3), esto lo podemos hacer de diferentes formas:

• Usar un router/firewall con soporte para el estándar de VLANs. El switch pasará un troncal con todas las VLANs y el router/firewall dará de alta en su firmware o sistema operativo las diferentes VLANs, y permitirán el enrutamiento inter-vlan. Es posible que, por defecto, este enrutamiento esté activado, pero por reglas en el firewall se deniegue la comunicación entre las VLAN, hasta que permitamos el acceso.
• Usar un switch gestionable L3. Los switches gestionables L3 nos permiten crear interfaces IPv4 y IPv6, por lo que podremos crear una interfaz por cada VLAN que tengamos configurada en el switch y activar el enrutamiento inter-vlan. Esto es una opción muy buena para intercomunicar las VLANs sin necesidad de que el router se encargue de todo, generalmente estos switches L3 están en el Core de la red.

Para permitir la comunicación o la no comunicación de las VLAN se deben hacer uso de ACL (Listas de Control de Acceso), o configurar el firewall correspondiente para permitir o denegar el tráfico. Por ejemplo, se podría permitir la comunicación de una VLAN 2 a una VLAN 3, pero no al revés, por tanto, configurando correctamente el firewall y los estados de conexión, se podría ajustar la comunicación a los requisitos de la empresa.

Desventajas de las VLAN

Acabamos de ver todas las ventajas y beneficios de las VLAN, pero estas también tienen sus desventajas y limitaciones, las cuales se deben tener en cuenta a la hora de crear una. Todo esto con la intención de aprovechar mejor sus funcionalidades y rendimiento, ahorrar costes de instalación y mantenimiento posterior. Entre ellas, algunas de las más importantes son:

• Administración compleja: Si llegamos a tener varias VLAN, puede suponer el mismo o incluso más trabajo y coste que las redes LAN. Lo cierto es que este es uno de los primeros puntos en contra. Y no es para menos. Básicamente porque hay que comprobar que cada dispositivo esté asignado de forma correcta a la VLAN correspondiente sin cometer un fallo.
• Equipos y software específicos: otra desventaja es que, para llegar a tener una red VLAN, lo cierto es que hace falta contar con el hardware de red necesario, así como el software que soporte dicha conexión. Si no hay switches de red compatibles con VLAN, habrá que comprarlo. Por lo que también supone una inversión.
• Aislamiento: Si la red es muy grande, cabe la posibilidad de que sean necesarios varios router para poder comunicarse sin problema, por lo cual aumentaría el coste de instalación.
• Congestión: este punto solamente se da si las VLANs no se llegan a configurar de la forma correcta. Lo que implica que también se reduzca la velocidad con la que se transfieren los datos.
• Seguridad: Si un virus llega a la red, se puede distribuir de forma relativamente sencilla por toda la red.
• Latencia: Este tipo de redes son más eficaces que las WAN, pero no lo son tanto como una red LAN.

Además de estos puntos, también hay que sumar que hay un mayor riesgo de cometer algún tipo de error durante la configuración. Por el simple hecho de configurar incorrectamente una VLAN, lo cierto es que se pueden generar problemas de seguridad o de rendimiento en la toda la red. Es por esto mismo por lo que hay que tener cuidado durante su configuración. Al igual que la gestión de diferentes VLANs supone una mayor complejidad y aumentar la probabilidad de cometer errores.

802.1Q VLAN Tagging

Cada VLAN en una red tiene una ID de VLAN asociada, que aparece en la etiqueta IEEE 802.1Q en el encabezado de Capa 2 de los paquetes transmitidos en una VLAN.  La especificación IEEE 802.1Q establece un método estándar para etiquetar marcos de ethernet con información de membresía de VLAN.  La clave para que IEEE 802.1Q realice sus funciones está en sus etiquetas.  Los puertos de switch que cumplen con 802.1Q se pueden configurar para transmitir tramas etiquetadas o no etiquetadas.  Se puede insertar un campo de etiqueta que contiene información de VLAN en un marco de ethernet.  Al utilizar la configuración de VLAN 802.1Q, puede configurar los puertos para que formen parte de un grupo de VLAN.  Cuando un puerto recibe datos etiquetados para un grupo de VLAN, los datos se descartan a menos que el puerto sea miembro del grupo de VLAN.

• VID – Esto muestra la ID de VLAN para la que se define la política de red.  El rango de ID de VLAN es de 1 a 4094.
•  Name (Nombre) – Ingrese el nombre de la VLAN.  Puede utilizar hasta 32 caracteres alfanuméricos.
• Tagged (Etiquetado) – Las marcos transmitidos desde este puerto se etiquetan con el ID de VLAN.
• Untagged (Sin etiquetar) – Las marcos transmitidos desde este puerto no están etiquetadas.

Es el tipo de VLAN más utilizada, hace uso del estándar 802.1Q para etiquetas o quitar la etiqueta a las VLANs. Este estándar consiste en introducir una cabecera 802.1Q dentro de la trama Ethernet que todos conocemos, con el objetivo de diferenciar las diferentes VLANs que tengamos configuradas. Este estándar no encapsula la trama original de Ethernet, sino que añade 4 bytes al encabezado Ethernet original, además, el cambio de «EtherType» se cambia al valor 0x8100 para señalar que se ha cambiado el formato de la trama.

Cuando estamos usando el estándar 802.1Q y creamos las diferentes VLANs en un switch, podremos configurar los diferentes puertos como «tagged» o «untagged», es decir, con etiqueta o sin etiqueta.

• VLAN tagged: en las tramas Ethernet se incorpora el «tag» del VLAN ID que hayamos configurado, este tipo de VLANs son entendidas por todos los switches, por los puntos de acceso WiFi profesionales y por los routers. Se pueden configurar en modo «tagged» una o más VLANs en un determinado puerto. En los enlaces troncales (desde un router a un switch, de switch a switch y de switch a AP) se suelen configurar siempre como «tagged» para «enviarles» todas las VLANs.
• VLAN untagged: en las tramas Ethernet se retira el tag que hayamos configurado, este tipo de VLANs son entendidas por todos los dispositivos, pero principalmente se utilizan de cara a los equipos finales como ordenadores, portátiles, impresoras, cámaras IP y otro tipo de dispositivo. En un puerto en concreto solamente podremos configurar una VLAN como «untagged», no podemos poner dos VLANs como «untagged» porque el equipo final no «entendería» nada.

Cuando estamos utilizando este estándar, los switches también permiten configurar los puertos físicos de diferentes formas:

• Acceso: son los puertos donde conectaremos los PC, impresoras, smartphones y los equipos finales, este puerto de acceso tendrá configurada una VLAN como «untagged».
• Troncal o trunk: lleva una o varias VLANs de un equipo a otro, por ejemplo, si queremos conectar un switch con otro switch y «pasarle» todas las VLANs o algunas de ellas, tendremos que configurarlo en modo troncal o trunk, y seleccionar las VLANs que queremos pasar como «tagged».
• Dynamic: dependiendo del tipo de paquete que reciba el switch, se pondrá como access o como trunk. No se recomienda configurar los puertos de un switch en modo dinámico por seguridad para evitar posibles ataques.

Fuentes:
https://nosololinux.es/todo-lo-que-necesitas-saber-sobre-vlans-en-redes/

https://www.redeszone.net/tutoriales/redes-cable/vlan-tipos-configuracion/

https://www.wikiversus.com/informatica/routers/diferencias-entre-subnet-y-vlan/