Introducción a VLAN
Una VLAN (Red de área local virtual o LAN virtual) es una red de área local que
agrupa un conjunto de equipos de manera lógica y no física.
Efectivamente, la comunicación entre los diferentes equipos en una red de área local
está regida por la arquitectura física. Gracias a las redes virtuales (VLAN), es posible
liberarse de las limitaciones de la arquitectura física (limitaciones geográficas,
limitaciones de dirección, etc.), ya que se define una segmentación lógica basada en el
agrupamiento de equipos según determinados criterios (direcciones MAC, números de
puertos, protocolo, etc.).
Tipos de VLAN
Se han definido diversos tipos de VLAN, según criterios de conmutación y el nivel en el
que se lleve a cabo:
la VLAN de nivel 1 (también denominada VLAN basada en puerto) define una
red virtual según los puertos de conexión del conmutador;
la VLAN de nivel 2 (también denominada VLAN basada en la dirección MAC)
define una red virtual según las direcciones MAC de las estaciones. Este tipo de
VLAN es más flexible que la VLAN basada en puerto, ya que la red es
independiente de la ubicación de la estación;
la VLAN de nivel 3: existen diferentes tipos de VLAN de nivel 3:
o la VLAN basada en la dirección de red conecta subredes según la
dirección IP de origen de los datagramas. Este tipo de solución brinda
gran flexibilidad, en la medida en que la configuración de los
conmutadores cambia automáticamente cuando se mueve una estación.
En contrapartida, puede haber una ligera disminución del rendimiento, ya
que la información contenida en los paquetes debe analizarse
detenidamente.
o la VLAN basada en protocolo permite crear una red virtual por tipo de
protocolo (por ejemplo, TCP/IP, IPX, AppleTalk, etc.). Por lo tanto, se
pueden agrupar todos los equipos que utilizan el mismo protocolo en la
misma red.
Ventajas de la VLAN
La VLAN permite definir una nueva red por encima de la red física y, por lo tanto,
ofrece las siguientes ventajas:
mayor flexibilidad en la administración y en los cambios de la red, ya que la
arquitectura puede cambiarse usando los parámetros de los conmutadores;
aumento de la seguridad, ya que la información se encapsula en un nivel
adicional y posiblemente se analiza;
disminución en la transmisión de tráfico en la red.
Una VLAN (acrónimo de Virtual LAN, ‘Red de Área Local Virtual’) es un método de
crear redes lógicamente independientes dentro de una misma red física. Varias VLANs
pueden coexistir en un único conmutador físico o en una única red física. Son útiles para
reducir el tamaño del Dominio de difusión y ayudan en la administración de la red
separando segmentos lógicos de una red de área local (como departamentos de una
empresa) que no deberían intercambiar datos usando la red local (aunque podrían
hacerlo a través de un enrutador o un switch capa 3 y 4).
Una 'VLAN' consiste en una red de ordenadores que se comportan como si estuviesen
conectados al mismo conmutador, aunque pueden estar en realidad conectados
físicamente a diferentes segmentos de una red de área local. Los administradores de red
configuran las VLANs mediante software en lugar de hardware, lo que las hace
extremadamente flexibles. Una de las mayores ventajas de las VLANs surge cuando se
traslada físicamente algún ordenador a otra ubicación: puede permanecer en la misma
VLAN sin necesidad de cambiar la configuración IP de la máquina.
Contenido
[ocultar]
1 Protocolos y diseño
2 Ejemplo de definición de VLAN
3 Gestión de la pertenencia a una VLAN
4 VLAN basadas en el puerto de conexión
[editar] Protocolos y diseño
El protocolo de etiquetado IEEE 802.1Q domina el mundo de las VLANs. Antes de su
introducción existían varios protocolos propietarios, como el ISL (Inter-Switch Link) de
Cisco, una variante del IEEE 802.1Q, y el VLT (Virtual LAN Trunk) de 3Com.
Los primeros diseñadoras de redes enfrentaron el problema del tamaño de los dominios
de colision (Hubs) esto se logró controlar a través de la introducción de los switch o
conmutadores pero a su vez se introdujo el problema del aumento del tamaño de los
dominios de difusión y una de las formas más eficientes para manejarlo fue la
introducción de las VLANs. Las VLANs también pueden servir para restringir el acceso
a recursos de red con independencia de la topología física de ésta, si bien la robustez de
este método es discutible al ser el salto de VLAN (VLAN hopping) un método común de
evitar tales medidas de seguridad.
Las VLANs funcionan en el nivel 2 (enlace de datos) del modelo OSI. Sin embargo, los
administradores suelen configurar las VLANs como correspondencia directa de una red
o subred IP, lo que les da apariencia de funcionar en el nivel 3 (red).
En el contexto de las VLANs, el término trunk (‘troncal’) designa una conexión de red
que transporta múltiples VLANs identificadas por etiquetas (o tags) insertadas en sus
paquetes. Dichos trunks deben operar entre tagged ports (‘puertos etiquetados’) de
dispositivos con soporte de VLANs, por lo que a menudo son enlaces conmutador a
conmutador o conmutador a enrutador más que enlaces a nodos. (Para mayor
confusión, el término trunk también se usa para lo que Cisco denomina «canales»; véase
agregado de enlaces). Un enrutador (conmutador de nivel 3) funciona como columna
vertebral para el tráfico de red transmitido entre diferentes VLANs.
En los dispositivos Cisco, VTP (VLAN Trunking Protocol) permite definir dominios de
VLAN, lo que facilita las tareas administrativas. VTP (Cisco) también permite «podar»,
lo que significa dirigir tráfico VLAN específico sólo a los conmutadores que tienen
puertos en la VLAN destino.
[editar] Ejemplo de definición de VLAN
Imaginemos que en nuestra empresa tenemos una LAN corporativa con un rango de
direcciones IP tipo 172.16.1.XXX. Se da el caso de que tenemos asignadas las casi 255
direcciones que como máximo nos permite el mismo y además notamos cierta
saturación en la red. Una fácil solución a este problema sería crear unas cuantas VLAN
por medio de un switch o conmutador de nivel 3.
Podemos asignar una VLAN a cada departamento de la empresa, así también
controlamos que cada uno sea independiente (o no) del resto:
VLAN1: Contabilidad. Direcciones 172.16.2.XXX
VLAN2: Compras. Direcciones 172.16.3.XXX
VLAN3: Distribución. Direcciones 172.16.4.XXX
etc.
De esta forma liberamos direcciones de nuestra red origen 172.16.1.XXX pasándolas a
las distintas VLAN que hemos creado. Gracias al switch de nivel 3 podremos gestionar
la visibilidad entre las distintas VLAN y notaremos una mejora en el rendimiento de la
red ya que las difusiones o broadcast de cada VLAN sólo llegarán a los equipos
conectados a la misma.
[editar] Gestión de la pertenencia a una VLAN
Las dos aproximaciones más habituales para la asignación de miembros de una VLAN
son las siguientes: VLANes estáticas y VLANes dinámicas
Las VLANes estáticas también se denominan VLANes basadas en el puerto. Las
asignaciones en una VLAN estática se crean mediante la asignación de los puertos de un
switch o conmutador a dicha VLAN. Cuando un dispositivo entra en la red,
automáticamente asume su pertenencia a la VLAN a la que ha sido asignado el puerto.
Si el usuario cambia de puerto de entrada y necesita acceder a la misma VLAN, el
administrador de la red debe cambiar manualmente la asignación a la VLAN del nuevo
puerto de conexión en el switch.
En las VLANes dinámicas, la asignación se realiza mediante paquetes de software tales
como el CiscoWorks 2000. Con el VMPS (acrónimo en inglés de VLAN Policy Server
o Servidor de Directivas de la VLAN), el administrador de la red puede asignar los
puertos que pertenecen a una VLAN de manera automática basándose en información
tal como la dirección MAC del dispositivo que se conecta al puerto o el nombre de
usuario utilizado para acceder al dispositivo. En este procedimiento, el dispositivo que
accede a la red, hace una consulta a la base de datos de miembros de la VLAN. Se
puede consultar el software FreeNAC para ver un ejemplo de implementación de un
servidor VMPS.
[editar] VLAN basadas en el puerto de conexión
Con las VLANes con pertenencia basada en el puerto de conexión del switch, el puerto
asignado a la VLAN es independiente del usuario o dispositivo conectado en el puerto.
Esto significa que todos los usuarios que se conectan al puerto serán miembros de la
misma VLAN. Habitualmente es el administrador de la red el que realiza las
asignaciones a la VLAN. Después de que un puerto ha sido asignado a una VLAN, a
través de ese puerto no se puede enviar ni recibir datos desde dispositivos incluidos en
otra VLAN sin la intervención de algún dispositivo de capa 3.
El dispositivo que se conecta a un puerto, posiblemente no tenga conocimiento de la
existencia de la VLAN a la que pertenece dicho puerto. El dispositivo simplemente sabe
que es miembro de una sub-red y que puede ser capaz de hablar con otros miembros de
la sub-red simplemente enviando información al segmento cableado. El switch es
responsable de identificar que la información viene de una VLAN determinada y de
asegurarse de que esa información llega a todos los demás miembros de la VLAN. El
switch también se asegura de que el resto de puertos que no están en dicha VLAN no
reciben dicha información.
Este planteamiento es sencillo, rápido y fácil de administrar, dado que no hay complejas
tablas en las que mirar para configurar la segmentación de la VLAN. Si la asociación de
puerto-a-VLAN se hace con un ASIC (acrónimo en inglés de Application-Specific
Integrated Circuit o Circuito integrado para una aplicación específica), el rendimiento es
muy bueno. Un ASIC permite el mapeo de puerto-a-VLAN sea hecho a nivel hardware.
