Muchas pequeñas y medianas empresas nacen con una red plana: todos los computadores, impresoras, cámaras, teléfonos y visitantes conectados a la misma red. Funciona al principio, pero a medida que la empresa crece aparecen la lentitud, los problemas difíciles de localizar y los riesgos de seguridad.
Segmentar la red no es algo exclusivo de las grandes corporaciones. Con los equipos adecuados, una PYME en República Dominicana puede organizar su red de forma ordenada y escalable.
Qué es una VLAN
Una VLAN (red de área local virtual) divide una misma infraestructura física en varias redes lógicas independientes. Los dispositivos de una VLAN no se comunican directamente con los de otra, aunque estén conectados al mismo switch. El estándar IEEE 802.1Q permite transportar varias VLANs por un mismo enlace entre equipos.
Por qué segmentar
- Seguridad. Un dispositivo comprometido o un visitante no tienen acceso directo al resto de la red.
- Menos tráfico innecesario. Se reduce el alcance del tráfico de difusión.
- Orden. Es más fácil asignar reglas y localizar problemas por tipo de servicio.
- Crecimiento. Agregar un departamento o un servicio nuevo tiene un lugar claro dentro de la arquitectura.
Switch de capa 2 y de capa 3
La diferencia está en lo que cada equipo sabe hacer:
- Capa 2. Conmuta el tráfico dentro de una misma red, según las direcciones MAC. Es lo habitual en la capa de acceso, a donde se conectan los puestos, los teléfonos y las cámaras.
- Capa 3. Además de lo anterior, puede enrutar el tráfico entre redes o VLANs distintas, según las direcciones IP. Suele usarse en la capa de distribución o de núcleo.
Las VLANs aíslan, pero en algunos casos es necesario que se comuniquen, por ejemplo cuando los empleados deben usar una impresora o un servidor. Esa comunicación puede pasar por un switch de capa 3 o por un firewall, y ahí se aplican las reglas de acceso.
Ejemplo de segmentación para una PYME
Cada empresa es distinta, pero este esquema sirve como punto de partida:
| VLAN | Uso | Qué conviene permitir |
|---|---|---|
| Administración | Computadores del personal | Internet y servidores internos |
| Servidores | Aplicaciones y archivos | Solo los accesos necesarios |
| Voz | Teléfonos IP | Su central telefónica y proveedor |
| Videovigilancia | Cámaras y grabador | Acceso restringido a quien las gestiona |
| Invitados | Visitantes y dispositivos personales | Solo internet |
| Gestión | Administración de los equipos de red | Solo el personal técnico |
Si tu empresa procesa pagos con tarjeta, conviene además separar esos equipos y revisar lo que exige la norma PCI DSS.
Cómo implementarlo paso a paso
- Haz un inventario. Identifica los dispositivos, las aplicaciones y quién necesita acceder a qué.
- Define las VLANs y su direccionamiento. Asigna un rango de IP claro a cada una y documenta el plan.
- Revisa los equipos. Confirma que los switches y el firewall admiten lo que necesitas; los equipos sin gestión no permiten configurar VLANs.
- Configura los enlaces. Puertos de acceso para los dispositivos y enlaces troncales 802.1Q entre los equipos.
- Aplica las reglas de acceso. Permite solo lo necesario entre VLANs.
- Migra por etapas. Empieza por los servicios de menor riesgo y comprueba cada cambio.
- Documenta y supervisa. Mantén los diagramas al día e incorpora los equipos a un sistema de monitoreo con Zabbix.
Errores habituales
- Crear VLANs, pero permitir después todo el tráfico entre ellas.
- Dejar la administración de los equipos en la misma red que los usuarios.
- Mantener las contraseñas predeterminadas de los switches.
- No conservar copias de las configuraciones.
- Pasar por alto la calidad del cableado, que también afecta al rendimiento.
¿Necesitas un switch de capa 3?
No siempre. En una red pequeña, el firewall o router puede encargarse del enrutamiento entre VLANs, siempre que tenga la capacidad suficiente. Un switch de capa 3 cobra sentido cuando hay mucho tráfico interno, varias VLANs con intercambio frecuente o una red con varios pisos o sedes.
Preguntas frecuentes
¿Puedo segmentar sin cambiar todos los equipos?
Solo si los equipos actuales son administrables. Si no lo son, puede plantearse una sustitución gradual empezando por los puntos más críticos.
¿Las VLANs son suficientes para proteger la red?
Ayudan mucho, pero deben combinarse con reglas de acceso, actualizaciones, contraseñas seguras y supervisión.
Cómo te ayudamos
En Vuralitech realizamos la configuración de switches L2/L3 y VLANs y ofrecemos infraestructuras escalables para empresas y PYMES en Punta Cana y República Dominicana. Cuéntanos cómo funciona tu empresa y revisamos tu red.
