VLAN, direccionamiento y DHCP: el plano que decide cómo se comporta tu red
Casi todas las redes de oficina nacen igual: un rango de 254 direcciones, todo el mundo adentro, el módem repartiendo. Funciona hasta que aparecen cámaras, invitados, una segunda sede o el primer incidente de seguridad. Rediseñar el direccionamiento después cuesta más que planearlo bien la primera vez.
Los síntomas de una red plana
Una red sin segmentar avisa siempre igual. Se acaban las direcciones un lunes de mañana y nadie entiende por qué, hasta que se cuentan los celulares de los visitantes. Una cámara mal configurada toma la dirección del servidor y el sistema deja de responder. El equipo de un contratista se conecta al mismo cable que la contabilidad. Y cuando toca unir una segunda sucursal, ambas usan el mismo rango y ningún túnel funciona sin renumerar una de las dos. Nada de esto se arregla comprando equipo: se arregla con un plano.
Se separa por función, no por piso
Una VLAN es una red lógica dentro del mismo cableado físico. La pregunta correcta no es dónde está el dispositivo, sino qué hace y con quién necesita hablar. Un reparto que funciona bien en una empresa mediana:
- Administración de red. Switches, puntos de acceso, firewall. Nadie más entra aquí. Es la que más protege y la que más veces falta.
- Puestos de trabajo y, aparte, servidores y almacenamiento: lo que recibe conexiones en lugar de iniciarlas.
- Voz. Teléfonos IP, con prioridad de tráfico propia.
- Cámaras y control de acceso. Equipos que rara vez se actualizan; conviene que solo hablen con su grabador.
- Invitados. Salida a internet y nada más.
- Dispositivos varios. Impresoras, relojes, televisores, controladores: el grupo con más aparatos viejos e inseguros.
Dos advertencias de campo. Separar no es filtrar: crear las VLAN sin escribir las reglas del firewall entre ellas deja el trabajo a medias. Y no conviene abrir una VLAN para tres aparatos: cada segmento agrega reglas, rutas y un lugar más donde equivocarse.
Por qué una red plana de 254 direcciones no escala
El rango de 24 bits, el clásico de 254 direcciones útiles, es popular porque se entiende de un vistazo. El problema no es el número: es que todo lo que está dentro comparte un mismo dominio de difusión.
Cada consulta de resolución de direcciones, cada búsqueda de impresora, cada anuncio de un dispositivo que enciende se entrega a todas las tarjetas del segmento, y ese tráfico crece mucho más rápido que la cantidad de equipos. Con cuarenta dispositivos es invisible; con trescientos es lentitud de fondo que ningún cambio de plan de internet resuelve.
Y hay un segundo costo, el de la falla. En un segmento único, una tormenta de difusión afecta a todos a la vez. Con segmentos separados el problema queda encerrado donde nació: las cámaras se caen, la caja sigue cobrando.
Cómo repartimos el direccionamiento: un rango privado propio por sede, evitando los de fábrica más comunes, que son los que chocan el día que se levante un túnel; un segmento por VLAN dimensionado a tres años; un tercer octeto legible, con el número de segmento igual al de la VLAN; y rangos apartados para las sedes futuras.
DHCP: ámbitos, reservas y las opciones que nadie documenta
DHCP reparte direcciones, pero también reparte instrucciones. La mitad de los problemas raros de una oficina viven en ese segundo papel.
- Un ámbito por VLAN, con su puerta de enlace y sus servidores de nombres correctos. Un ámbito con la puerta de enlace equivocada entrega direcciones sin problema y ningún equipo sale a internet.
- Rango fijo fuera del ámbito. El primer tramo se aparta para equipos con dirección manual: firewall, switches, servidores, grabador. El repartidor nunca debe poder entregarlas.
- Reservas para lo que debe ser siempre igual. Impresoras, cámaras y puntos de acceso reciben la misma dirección, pero por DHCP en lugar de escrita en el aparato: el cambio se hace en un solo lugar.
- Duración del préstamo según el uso. En invitados, pocas horas devuelven direcciones rápido y evitan que el ámbito se agote un día de evento; en puestos de trabajo, un día o más.
- Uso del ámbito bajo el 80%. Pasado ahí, conviene ampliar el segmento o acortar el préstamo.
- Opciones específicas donde hacen falta. Teléfonos IP y puntos de acceso suelen necesitar una opción que indique a qué controlador conectarse; sin ella obtienen dirección y se quedan esperando.
- Un solo repartidor por segmento. Un módem doméstico enchufado por alguien produce el fallo más desconcertante de todos: media oficina anda y la otra media no.
Cómo se hace la migración sin apagar la empresa
Inventario real de lo conectado
Antes de dibujar nada, se lista qué hay: cuántos equipos, cuántos aparatos sin dueño claro, qué direcciones están escritas a mano dentro de una aplicación. Esa última categoría es la que rompe migraciones.
Plano en papel y aprobado
Tabla de VLAN, segmentos, puertas de enlace, ámbitos y reglas entre segmentos. Se revisa contigo antes de tocar un equipo, porque un plano se corrige en minutos y una red a medio migrar no.
Segmento por segmento, no todo de golpe
Se empieza por lo que menos duele si falla, normalmente invitados y cámaras, y se termina por servidores y caja. Cada paso queda funcionando y verificado antes del siguiente.
Qué queda por escrito
- Tabla de VLAN con su número, nombre, propósito y segmento asignado
- Plan de direccionamiento por sede, con rangos apartados para sedes futuras
- Ámbitos DHCP configurados con puerta de enlace, nombres y duración de préstamo
- Listado de reservas por dispositivo, con su dirección física y su nombre
- Rango fijo delimitado y fuera del alcance del repartidor
- Reglas de tráfico entre segmentos, con la prueba negativa documentada
Dónde sigue esto
- Equipos que entienden etiquetas: sin eso, este plano no se puede aplicar.
- Unir dos oficinas en un solo plano: la razón más común para descubrir que los rangos chocan.
- Un ámbito que se llena avisa antes: siempre que alguien esté recogiendo ese dato.
- El cableado que sostiene este plano: la capa física sobre la que corre todo lo anterior.
- La red de invitados: el mejor primer segmento para separar del resto.
- Lo demás que hacemos
Preguntas frecuentes sobre VLAN y direccionamiento
¿Cuántas VLAN necesita una oficina de 40 personas?
Normalmente entre cuatro y seis: administración de red, puestos de trabajo, voz, invitados, cámaras y dispositivos varios. Más allá, cada segmento nuevo debe justificarse con una regla de seguridad concreta o con un problema de tráfico medido.
¿Puedo segmentar sin cambiar de switches?
Solo si los equipos actuales son administrables y aceptan etiquetas. Uno no administrable en el camino entrega todo el tráfico mezclado y anula la separación aguas abajo. Es la razón más frecuente por la que una segmentación se queda a medias.
¿Voy a tener que renumerar todos los equipos?
Casi nunca todos. Los que reciben dirección automática cambian solos al renovar el préstamo. El trabajo manual se concentra en lo que tiene direcciones escritas a mano: servidores, aplicaciones que apuntan a una dirección fija y grabadores de video.
¿Qué pasa si mi rango es igual al de la casa de un empleado?
La conexión remota deja de funcionar para esa persona, y es más común de lo que parece porque casi todos los módems domésticos vienen con el mismo par de rangos de fábrica. Se evita eligiendo a propósito un rango distinto desde el principio.
¿El firewall tiene que ver en esto?
Sí, y es la mitad del trabajo. Las VLAN crean las fronteras; el firewall decide qué cruza cada frontera. Un diseño con segmentos y sin reglas entre ellos separa el tráfico de difusión y no impide casi nada más.
Dónde encaja esto
«VLAN, direccionamiento y DHCP» vive en infraestructura de red. El recorrido entero empieza en Soluciones.
¿Todo tu equipo está en la misma red y ya se nota?
Levantamos el inventario de lo conectado, revisamos el reparto actual de direcciones y te entregamos el plano de segmentación con el orden de migración.