Los switches gestionables del fabricante QNAP, nos permiten segmentar el tráfico de la red local cableada en diferentes VLAN, con el objetivo de proporcionar seguridad entre diferentes segmentos de la red. QNAP ofrece dos gamas de switches gestionables claramente diferenciadas: los modelos «L2 Lite» tienen funciones básicas de capa 2 como creación de VLAN, agregación de enlaces y QoS; y los modelos «L2 completos» incluyen RSTP (para evitar bucles de capa de enlace), ACL (listas de control de acceso para filtrar tráfico) y otras funciones avanzadas. Hoy os vamos a enseñar cómo crear una VLAN en un switch QSW-M2108R-2C, un modelo «L2» realmente interesante al tener todos los puertos Multigigabit.

Este modelo de switch está dentro de la gama alta de los switches gestionables de QNAP, ya que incorpora un total de 8 puertos 2.5G Multigigabit, y también tenemos dos puertos 10G Combo, por lo que tenemos tanto RJ-45 como SFP+. De esta forma, este switch tiene un total de 10 puertos Multigigabit. Otras características importantes son que dispone de una capacidad de conmutación de 80Gbps, tiene un rendimiento sin bloqueo total de 40Gbps, así como una tabla de direcciones MAC de 16K de longitud, y es compatible con Jumbo Frames hasta 9K de longitud. Este modelo cuenta con dos pequeños ventiladores que ajustan su velocidad dependiendo de la temperatura interna.

En cuanto al sistema operativo QSS, este modelo tiene todas las opciones de gestión de puertos, VLAN, agregación de enlaces, RSTP para evitar bucles a nivel de capa de enlace, tiene LLDP, así como IGMP Snooping y también ACL para permitir o denegar el tráfico, así como un avanzado QoS para priorizar el tráfico. Este equipo permite ser administrado vía web fácilmente, además, podemos integrarlo en Home Assistant para monitorizar su temperatura, velocidad de los ventiladores y otros parámetros como el tráfico de los puertos, errores etc.

Ahora que ya sabéis las principales características de este switch gestionable, os vamos a explicar qué es una VLAN, y también cómo configurarlas en el switch.

¿Qué es una VLAN y cómo funcionan?

Las VLAN nos permiten crear redes lógicas dentro de una red física, con el uso de switches gestionables y routers que soporten estas VLAN para comunicarlas entre sí, podemos segmentar la red muy fácilmente. Todos los routers profesionales, e incluso domésticos con soporte de VLAN en la red local LAN soportan esta tecnología, por supuesto, si usas un sistema operativo orientados a firewall/router como pfSense o OPNsense soportan VLAN porque es un estándar hoy en día, y también los modelos Qhora del fabricante QNAP.

El motivo de implementar VLAN en una red local, es que añadirá una capa de seguridad para crear redes que son lógicamente independientes, para aislarlas entre sí y que solamente el router se encargue de permitir la comunicación o no entre los equipos de las VLAN. Otro motivo es porque la segmentación en VLAN nos permitirá gestionar de forma más eficiente todos los dispositivos, lo más habitual es crear una red principal, otra red para IoT o domótica, una red para videovigilancia, y otra para invitados. Además, tener la red segmentada en VLANs nos proporcionará una gran flexibilidad para aplicar reglas de permitir o denegar el tráfico de red.

Para poder comunicar dos o más VLAN, es necesario «ascender» a nivel de red, esto significa que el router o firewall debe soportarlo, aunque si tenemos un switch gestionable L3 también las podremos comunicar sin problemas, y posteriormente aplicar ACL (Listas de Control de Acceso) para permitir o denegar el tráfico. Cuando usamos el estándar 802.1Q o también conocido como VLAN, debemos conocer dos términos muy importantes:

• VLAN tagged o «con etiqueta»: significa que en las tramas Ethernet se incorpora la etiqueta del VLAN ID correspondiente. Esta etiqueta solamente la «entienden» los dispositivos como switches gestionables, puntos de acceso profesionales, y también los routers. Un mismo puerto puede tener varias VLAN ID con etiqueta. Lo más habitual, es que los enlaces troncales tengan varias VLAN etiquetadas, o todas ellas si es que se utilizan.
• VLAN untagged o «sin etiqueta»: significa que en las tramas Ethernet no se incorpora la etiqueta, sino que se retira en el puerto que lo hayamos configurado como tal. Este modo es el que se usa de cara a dispositivos finales como ordenadores, portátiles, impresoras, cámaras IP y otros dispositivos similares. Un puerto de red solamente puede tener una VLAN como untagged, no es posible tener dos o más.

Otro aspecto importante, es que un mismo puerto puede tener una VLAN untagged, y varias VLAN tagged sin ningún problema. La única regla es que un mismo puerto no puede tener dos VLAN sin etiqueta. El PVID (Port VLAN ID) es también muy importante, ya que este parámetro define la VLAN a la que pertenece el tráfico entrante sin etiqueta, en el switch de QNAP el PVID será el mismo que la VLAN no etiquetada. Un error común es olvidar configurar el PVID en puertos «untagged», lo que provoca que el tráfico se asigne a la VLAN nativa o VLAN 1 por defecto, en lugar de la VLAN deseada.

Estado y configuración de los puertos de red

El acceso al switch gestionable de QNAP se realiza a través de la dirección IP que le proporciona el servidor DHCP del router, en el caso de no usar servidor DHCP, entonces la IP predeterminada es la 169.254.100.101, por lo que tendremos que poner una IP fija en nuestro PC que tenga el mismo rango que esta subred. La primera vez que accedemos, tendremos que poner el nombre de usuario «admin» y la contraseña que tenemos en la pegatina de debajo del switch, después nos pedirá cambiar la contraseña por una robusta para evitar problemas de seguridad. Una vez que hayamos introducido la clave nueva, accederemos al menú principal de configuración del equipo.

En el menú principal podemos ver la información general del equipo, como los puertos ocupados con su velocidad actual, así como también el nombre del modelo de switch, la IP de gestión, la MAC, la versión del firmware, así como la temperatura y la velocidad de los ventiladores que incorpora el equipo. Por supuesto, también podemos ver el tráfico de los diferentes puertos en tiempo real.

En la sección de «Gestión de puertos» es donde veremos el estado de todos los puertos, si hay un equipo conectado, cuántos puertos hay conectados y desconectados, así como la velocidad negociada y si tenemos habilitado el control de flujo o no.

Si pinchamos en «Información del dispositivo» y elegimos «Estado de VLAN«, podemos ver un resumen de la configuración de las VLAN que tengamos en el switch. Por ejemplo, la VLAN 1 la tenemos en dos puertos, la VLAN 12 en otros dos puertos, y la VLAN 13 en un total de 7 puertos. Este conteo es tanto con VLAN con etiqueta como sin etiqueta.

En la pestaña de «Estadísticas del puerto» es donde podemos ver el tráfico intercambiado en los diferentes puertos. En nuestro caso, el puerto «troncal» es el puerto 10 que es el 10GBASE-T Multigigabit. Por este motivo, es el que tiene todo el tráfico del switch, porque es por donde pasa todo el tráfico de red.

En la pestaña de «Configuración del puerto» es donde podemos habilitar o no los diferentes puertos disponibles, también tenemos la posibilidad de configurar la velocidad de sincronización (por defecto, está en automático, y deberíamos dejarlo así), y también podemos ajustar el control de flujo.

Como podéis ver, en el menú de «Gestión de puertos» es donde podemos ver el estado de todos los puertos, y también realizar ciertos ajustes en la configuración.

Configurar una VLAN y asignarla a diferentes puertos

En el menú de «VLAN» es donde podemos configurar las diferentes VLAN, tanto crearlas, asignarlas a los diferentes puertos (con etiqueta «T» o bien sin etiqueta «U»), y también borrarla definitivamente. Un aspecto importante, es que podemos asignar VLAN tanto a los puertos físicos, como también a los LAG (agregación de enlaces) que creemos. Si configuras LACP para combinar varios puertos físicos en un puerto lógico, entonces la VLAN se aplicará a todo el grupo LAG, no a cada puerto por separado.

Para crear una nueva VLAN, lo primero que debemos hacer es pinchar en «Añadir«, añadiremos el ID de la VLAN, y luego elegiremos qué puertos queremos usar, ya sean puertos físicos o bien los diferentes LAG que podemos crear. Además, tenemos que decidir si queremos que la VLAN esté con etiqueta o sin etiqueta.