Clasificación
Aunque
las más habituales son las VLAN basadas en puertos (nivel 1),
las redes de área local virtuales se pueden clasificar en cuatro tipos según el
nivel de la jerarquía OSI en el que operen:
VLAN de
nivel 1 (por puerto). También conocida como “port switching”. Se especifica qué puertos del
switch pertenecen a la VLAN, los miembros de dicha VLAN son los que se conecten
a esos puertos. No permite la movilidad de los usuarios, habría que
reconfigurar las VLANs si el usuario se mueve físicamente. Es la más común y la
que se explica en profundidad en este artículo.
VLAN de
nivel 2 por direcciones MAC. Se asignan hosts a una VLAN en función de su dirección MAC. Tiene la
ventaja de que no hay que reconfigurar el dispositivo de conmutación si el
usuario cambia su localización, es decir, se conecta a otro puerto de ese u
otro dispositivo. El principal inconveniente es que si hay cientos de usuarios
habría que asignar los miembros uno a uno.
VLAN de
nivel 2 por tipo de protocolo. La VLAN queda determinada por el contenido del campo tipo de protocolo de
la trama MAC. Por ejemplo, se asociaría VLAN 1 al protocolo IPv4, VLAN 2 al
protocolo IPv6, VLAN 3 a AppleTalk, VLAN 4 a IPX...
VLAN de
nivel 3 por direcciones de subred (subred virtual). La cabecera de nivel 3 se
utiliza para mapear la VLAN a la que pertenece. En este tipo de VLAN son los
paquetes, y no las estaciones, quienes pertenecen a la VLAN. Estaciones con
múltiples protocolos de red (nivel 3) estarán en múltiples VLANs.
VLAN de
niveles superiores. Se crea una VLAN para cada aplicación: FTP, flujos multimedia, correo
electrónico... La pertenencia a una VLAN puede basarse en una combinación de
factores como puertos, direcciones MAC, subred, hora del día, forma de acceso,
condiciones de seguridad del equipo
Tipos de VLAN
Hoy en
día, existe fundamentalmente una manera de implementar las VLAN: VLAN basada en
puerto. Una VLAN basada en puerto se asocia con un puerto denominado acceso
VLAN.
Sin
embargo, en las redes existe una cantidad de términos para las VLAN. Algunos
términos definen el tipo de tráfico de red que envían y otros definen una
función específica que desempeña una VLAN. A continuación, se describe la
terminología común de VLAN:
VLAN de
Datos
Una VLAN
de datos es una VLAN configurada para enviar sólo tráfico de datos generado por
el usuario. Una VLAN podría enviar tráfico basado en voz o tráfico utilizado
para administrar el switch, pero este tráfico no sería parte de una VLAN de
datos. Es una práctica común separar el tráfico de voz y de administración del
tráfico de datos. La importancia de separar los datos del usuario del tráfico
de voz y del control de administración del switch se destaca mediante el uso de
un término específico para identificar las VLAN que sólo pueden enviar datos
del usuario: una "VLAN de datos". A veces, a una VLAN de datos se la
denomina VLAN de usuario.
VLAN
Predeterminada
Todos los
puertos de switch se convierten en un miembro de la VLAN predeterminada luego
del arranque inicial del switch. Hacer participar a todos los puertos de switch
en la VLAN predeterminada los hace a todos parte del mismo dominio de
broadcast. Esto admite cualquier dispositivo conectado a cualquier puerto de
switch para comunicarse con otros dispositivos en otros puertos de switch. La
VLAN predeterminada para los switches de Cisco es la VLAN 1. La VLAN 1 tiene
todas las características de cualquier VLAN, excepto que no la puede volver a
denominar y no la puede eliminar. El tráfico de control de Capa 2, como CDP y
el tráfico del protocolo spanning tree se asociará siempre con la VLAN 1: esto
no se puede cambiar. En la figura, el tráfico de la VLAN1 se envía sobre los
enlaces troncales de la VLAN conectando los switches S1, S2 y S3. Es una
optimización de seguridad para cambiar la VLAN predeterminada a una VLAN que no
sea la VLAN 1; esto implica configurar todos los puertos en el switch para que
se asocien con una VLAN predeterminada que no sea la VLAN 1. Los enlaces
troncales de la VLAN admiten la transmisión de tráfico desde más de una VLAN.
VLAN
Nativa
Una VLAN
nativa está asignada a un puerto troncal 802.1Q. Un puerto de enlace troncal
802.1 Q admite el tráfico que llega de muchas VLAN (tráfico etiquetado) como
también el tráfico que no llega de una VLAN (tráfico no etiquetado). El puerto
de enlace troncal 802.1Q coloca el tráfico no etiquetado en la VLAN nativa. En
la figura, la VLAN nativa es la VLAN 99. El tráfico no etiquetado lo genera una
computadora conectada a un puerto de switch que se configura con la VLAN
nativa. Las VLAN se establecen en la especificación IEEE 802.1Q para mantener
la compatibilidad retrospectiva con el tráfico no etiquetado común para los
ejemplos de LAN antigua. Para nuestro fin, una VLAN nativa sirve como un
identificador común en extremos opuestos de un enlace troncal. Es una
optimización usar una VLAN diferente de la VLAN 1 como la VLAN nativa.
VLAN de
Administración
Una VLAN
de administración es cualquier VLAN que usted configura para acceder a las
capacidades de administración de un switch. La VLAN 1serviría como VLAN de
administración si no definió proactivamente una VLAN única para que sirva como
VLAN de administración. Se asigna una dirección IP y una máscara de subred a la
VLAN de administración. Se puede manejar un switch mediante HTTP, Telnet, SSH o
SNMP. Debido a que la configuración lista para usar de un switch de Cisco tiene
a VLAN 1 como la VLAN predeterminada, puede notar que la VLAN 1 sería una mala
opción como VLAN de administración; no querría que un usuario arbitrario se
conectara a un switch para que se configurara de manera predeterminada la VLAN
de administración. Recuerde que configuró la VLAN de administración como VLAN
99 en el capítulo Configuración y conceptos básicos de switch.
VLAN de
voz
Es fácil
apreciar por qué se necesita una VLAN separada para admitir la Voz sobre IP
(VoIP). Imagine que está recibiendo una llamada de urgencia y de repente la
calidad de la transmisión se distorsiona tanto que no puede comprender lo que
está diciendo la persona que llama. El tráfico de VoIP requiere:
- Ancho de banda garantizado para asegurar la calidad de la voz
- Prioridad de la transmisión sobre los tipos de tráfico de la red
- Capacidad para ser enrutado en áreas congestionadas de la red
- Demora de menos de 150 milisegundos (ms) a través de la red
- Para cumplir estos requerimientos, se debe diseñar la red completa para que admita VoIP. Los detalles sobre cómo configurar una red para que admita VoIP están más allá del alcance del curso, pero es útil resumir cómo una VLAN de voz funciona entre un switch, un teléfono IP de Cisco y una computadora.
En la
figura, la VLAN 150 se diseña para enviar tráfico de voz. La computadora del
estudiante PC5 está conectada al teléfono IP de Cisco y el teléfono está
conectado al switch S3. La PC5 está en la VLAN 20 que se utiliza para los datos
de los estudiantes. El puerto F0/18 en S3 se configura para que esté en modo de
voz a fin de que diga al teléfono que etiquete las tramas de voz con VLAN 150.
Las tramas de datos que vienen a través del teléfono IP de Cisco desde la PC5
no se marcan. Los datos que se destinan a la PC5 que llegan del puerto F0/18 se
etiquetan con la VLAN 20 en el camino al teléfono, que elimina la etiqueta de
la VLAN antes de que los datos se envíen a la PC5. Etiquetar se refiere a la
adición de bytes a un campo en la trama de datos que utiliza el switch para
identificar a qué VLAN se debe enviar la trama de datos. Más adelante,
aprenderá cómo se etiquetan las tramas de datos.
Un
teléfono de Cisco es un switch
El
teléfono IP de Cisco contiene un switch integrado de tres puertos 10/100, como
se muestra en la figura. Los puertos proporcionan conexiones dedicadas para
estos dispositivos:
- El puerto 1 se conecta al switch o a otro dispositivo de voz sobre IP (VoIP).
- El puerto 2 es una interfaz interna 10/100 que envía el tráfico del teléfono IP.
- El puerto 3 (puerto de acceso) se conecta a una PC u otro dispositivo.
- La figura muestra una manera de conectar un teléfono IP.
La
función de la VLAN de voz permite que los puertos de switch envíen el tráfico
de voz IP desde un teléfono IP. Cuando se conecta el switch a un teléfono IP,
el switch envía mensajes que indican al teléfono IP conectado que envíe el
tráfico de voz etiquetado con el ID 150 de VLAN de voz. El tráfico de la PC
conectada al teléfono IP pasa por el teléfono IP sin etiquetar. Cuando se
configuró el puerto del switch con una VLAN de voz, el enlace entre el switch y
el teléfono IP funciona como un enlace troncal para enviar tanto el tráfico de
voz etiquetado como el tráfico de datos no etiquetado.
Ejemplo
de configuración
La figura
muestra el resultado del ejemplo. Un análisis de los comandos IOS de Cisco está
más allá del alcance de este curso pero puede observar que las áreas destacadas
en el resultado del ejemplo muestran la interfaz F0/18 configurada con una VLAN
configurada para datos (VLAN 20) y una VLAN configurada para voz (VLAN 150).
Tipos de
tráfico de red
En CCNA
Exploration: En Aspectos básicos de redes, aprendió sobre los diferentes tipos de
tráfico que puede manejar una LAN. Debido a que una VLAN tiene todas las
características de una LAN, una VLAN debe incorporar el mismo tráfico de red
que una LAN.
Administración
de red y tráfico de control
Muchos
tipos diferentes de tráfico de administración de red y de control pueden estar
presentes en la red, como las actualizaciones de Cisco Discovery Protocol
(CDP), Simple Network Management Protocol (SNMP) y tráfico de Remote Monitoring
(RMON).
Telefonía
IP
Los tipos
de tráfico de telefonía IP son el tráfico de señalización y el tráfico de voz.
El tráfico de señalización es responsable de la configuración de la llamada, el
progreso y la desconexión y atraviesa la red de extremo a extremo. El otro tipo
de tráfico de telefonía consiste en paquetes de datos de la conversación de voz
existente. Como acaba de ver, en una red configurada con VLAN, se recomienda
con énfasis asignar una VLAN diferente a la VLAN 1 como VLAN de administración.
El tráfico de datos debe asociarse con una VLAN de datos (diferente a la VLAN
1) y el tráfico de voz se asocia con una VLAN de voz.
IP
Multicast
El
tráfico IP multicast se envía desde una dirección de origen particular a un
grupo multicast que se identifica mediante un único IP y un par de direcciones
MAC de grupo de destino. Broadcasts Cisco IP/TV son ejemplos de aplicaciones
que genera este tipo de tráfico. El tráfico multicast puede producir una gran
cantidad de datos que se transmiten a través de la red. Cuando la red debe admitir
tráfico multicast, las VLAN deben configurarse para asegurarse de que el
tráfico multicast se dirija sólo a aquellos dispositivos de usuario que
utilizan el servicio proporcionado, como aplicaciones de audio o video remoto.
Los routers se deben configurar para asegurar que el tráfico multicast se envíe
a las áreas de red cuando se le solicita.
Datos
normales
El
tráfico de datos normales se relaciona con el almacenamiento y creación de
archivos, servicios de impresión, acceso a la base de datos del correo
electrónico y otras aplicaciones de red compartidas que son comunes para usos
comerciales. Las VLAN son una solución natural para este tipo de tráfico, ya
que pueden segmentar a los usuarios por sus funciones o área geográfica para
administrar de manera más fácil las necesidades específicas.
Clase
Scavenger
Se
pretende que la clase Scavenger proporcione servicios less-than-best-effort a
ciertas aplicaciones. Las aplicaciones que se asignan a esta clase contribuyen
poco o nada a los objetivos organizativos de la empresa y están generalmente
orientadas, por su naturaleza, al entretenimiento. Esto incluye aplicaciones
compartidas de medios entre pares (KaZaa, Morpheus, Groekster, Napster, iMesh,
y demás), aplicaciones de juegos (Doom, Quake, Unreal Tournament, y demás) y
cualquier aplicación de video de entretenimiento.
Protocolos
Durante
todo el proceso de configuración y funcionamiento de una VLAN es necesaria la
participación de una serie de protocolos entre los que destacan el IEEE 802.1Q,
STP y VTP (cuyo equivalente IEEE es GVRP). El protocolo IEEE 802.1Q se encarga
del etiquetado de las tramas que es asociada inmediatamente con la información
de la VLAN. El cometido principal de Spanning Tree Protocol (STP) es evitar la
aparición de bucles lógicos para que haya un sólo camino entre dos nodos. VTP
(VLAN Trunking Protocol) es un protocolo propietario de Cisco que permite una
gestión centralizada de todas las VLAN.
El
protocolo de etiquetado IEEE 802.1Q es el más común para el etiquetado de las
VLAN. Antes de su introducción existían varios protocolos propietarios, como el
ISL (Inter-Switch Link) de Cisco, una variante del IEEE 802.1Q, y el VLT
(Virtual LAN Trunk) de 3Com. El IEEE 802.1Q se caracteriza por utilizar un
formato de trama similar a 802.3 (Ethernet) donde solo cambia el valor del
campo Ethertype, que en las tramas 802.1Q vale 0x8100, y se añaden dos bytes
para codificar la prioridad, el CFI y el VLAN ID. Este protocolo es un estándar
internacional y por lo dicho anteriormente es compatible con bridges y switches
sin capacidad de VLAN.
VLANs y
Protocolos de Arbol de Expansión. Para evitar la saturación de los switches
debido a las tormentas broadcast, una red con topología redundante tiene que
tener habilitado el protocolo STP. Los switches intercambian mensajes STP BPDU
entre sí, Bridge Protocol Data Units) para lograr que la topología de la red
sea un árbol (no tenga enlaces redundantes) y solo haya activo un camino para
ir de un nodo a otro. El protocolo STP/RSTP es agnóstico a las VLAN, MSTP (IEEE
802.1Q) permite crear árboles de expansión diferentes y asignarlos a grupos de
VLANs mediante configuración. Esto permite utilizar enlaces en un árbol que
están bloqueados en otro árbol.
En los
dispositivos Cisco, VTP (VLAN trunking protocol) se encarga de mantener la
coherencia de la configuración VLAN por toda la red. VTP utiliza tramas de
nivel 2 para gestionar la creación, borrado y renombrado de VLANs en una red
sincronizando todos los dispositivos entre sí y evitar tener que configurarlos
uno a uno. Para eso hay que establecer primero un dominio de administración
VTP. Un dominio VTP para una red es un conjunto contiguo de switches unidos con
enlaces trunk que tienen el mismo nombre de dominio VTP.
Los
switches pueden estar en uno de los siguientes modos: servidor, cliente o
transparente. «Servidor» es el modo por defecto, anuncia su configuración al
resto de equipos y se sincroniza con otros servidores VTP. Un switch en modo
cliente no puede modificar la configuración VLAN, simplemente sincroniza la
configuración en base a la información que le envían los servidores. Por
último, un switch está en modo transparente cuando solo se puede configurar
localmente pues ignora el contenido de los mensajes VTP.
VTP
también permite «podar» (función VTP prunning), lo que significa dirigir
tráfico VLAN específico solo a los conmutadores que tienen puertos en la VLAN
destino. Con lo que se ahorra ancho de banda en los posiblemente saturados
enlaces trunk.
Gestión de la pertenencia a una
VLAN
Las dos
aproximaciones más habituales para la asignación de miembros de una VLAN son
las siguientes: VLAN estáticas y VLAN dinámicas.
Las VLAN
estáticas también se denominan VLAN basadas en el puerto. Las asignaciones en
una VLAN estática se crean mediante la asignación de los puertos de un switch o
conmutador a dicha VLAN. Cuando un dispositivo entra en la red, automáticamente
asume su pertenencia a la VLAN a la que ha sido asignado el puerto. Si el
usuario cambia de puerto de entrada y necesita acceder a la misma VLAN, el
administrador de la red debe cambiar manualmente la asignación a la VLAN del
nuevo puerto de conexión en el switch.
En ella
se crean unidades virtuales no estáticas en las que se guardan los archivos y
componentes del sistema de archivos mundial
En las
VLAN dinámicas, la asignación se realiza mediante paquetes de software tales
como el CiscoWorks 2000. Con el VMPS (acrónimo en inglés de VLAN Management
Policy Server o Servidor de Gestión de Directivas de la VLAN), el administrador
de la red puede asignar los puertos que pertenecen a una VLAN de manera
automática basándose en información tal como la dirección MAC del dispositivo
que se conecta al puerto o el nombre de usuario utilizado para acceder al
dispositivo. En este procedimiento, el dispositivo que accede a la red, hace
una consulta a la base de datos de miembros de la VLAN. Se puede consultar el
software FreeNAC para ver un ejemplo de implementación de un servidor VMPS.
Diseño de VLANs
Los primeros diseñadores de redes solían configurar las
VLANs con el objetivo de reducir el tamaño del dominio de colisión en un
segmento Ethernet y mejorar su rendimiento. Cuando los switches lograron esto,
porque cada puerto es un dominio de colisión, su prioridad fue reducir el
tamaño del dominio de difusión. Ya que, si aumenta el número de terminales,
aumenta el tráfico difusión y el consumo de CPU por procesado de tráfico
broadcast no deseado. Una de las maneras más eficientes de lograr reducir el
domino de difusión es con la división de una red grande en varias VLANs.
Red
institucional
Actualmente, las redes institucionales y corporativas
modernas suelen estar configuradas de forma jerárquica dividiéndose en varios
grupos de trabajo. Razones de seguridad y confidencialidad aconsejan también
limitar el ámbito del tráfico de difusión para que un usuario no autorizado no
pueda acceder a recursos o a información que no le corresponde. Por ejemplo, la
red institucional de un campus universitario suele separar los usuarios en tres
grupos: alumnos, profesores y administración. Cada uno de estos grupos
constituye un dominio de difusión, una VLAN, y se suele corresponder asimismo
con una subred IP diferente. De esta manera la comunicación entre miembros del
mismo grupo se puede hacer en nivel 2, y los grupos están aislados entre sí,
sólo se pueden comunicar a través de un router.
La definición de múltiples VLANs y el uso de enlaces
trunk, frente a las redes LAN interconectadas con un router, es una solución
escalable. Si se deciden crear nuevos grupos se pueden acomodar fácilmente las
nuevas VLANs haciendo una redistribución de los puertos de los switches.
Además, la pertenencia de un miembro de la comunidad universitaria a una VLAN
es independiente de su ubicación física. E incluso se puede lograr que un
equipo pertenezca a varias VLANs (mediante el uso de una tarjeta de red que soporte
trunk).
Imagine que la universidad tiene una red con un rango de
direcciones IP del tipo 172.16.XXX.0/24, cada VLAN, definida en la capa de
enlace de datos (nivel 2 de OSI), se corresponderá con una subred IP distinta:
VLAN 10. Administración. Subred IP 172.16.10.0/24 VLAN 20. Profesores. Subred
IP 172.16.20.0/24 VLAN 30. Alumnos. Subred IP 172.16.30.0/24
En cada edificio de la universidad hay un switch
denominado de acceso, porque a él se conectan directamente los sistemas
finales. Los switches de acceso están conectados con enlaces trunk (enlace que
transporta tráfico de las tres VLANs) a un switch troncal, de grandes
prestaciones, típicamente Gigabit Ethernet o 10-Gigabit Ethernet. Este switch
está unido a un router también con un enlace trunk, el router es el encargado
de llevar el tráfico de una VLAN a otra.
