VLAN en la empresa: segmentación de red para seguridad y orden

Una VLAN (LAN virtual) es una red lógicamente separada dentro de la misma infraestructura física. En lugar de cables y switches separados para cada segmento, configuramos VLAN que los switches gestionados separan mediante etiquetas 802.1Q. Resultado: menos cables, más seguridad y una gestión más sencilla.

TL;DR — puntos clave

• La VLAN separa los dominios de broadcast: menos ruido, mejor rendimiento
• La VLAN es la base de una red Zero Trust: el acceso entre VLAN se controla explícitamente
• Para una VLAN necesita un switch gestionado y un router con soporte 802.1Q
• Los errores en el diseño de VLAN suelen quedar expuestos por dispositivos IoT y WiFi de invitados

Por qué usar VLAN y no una red física separada

En la práctica, las redes físicas separadas implicarían duplicar hardware y cableado, lo que no solo es caro, sino también complejo de mantener. Las VLAN aportan la misma aislación lógica, permitiendo que varias redes fluyan a través del mismo switch. Para entornos verdaderamente críticos (ej. infraestructuras críticas), ambos enfoques pueden ser complementarios.

Diseño VLAN recomendado para PYMES

Qué necesita para una VLAN

• Switch gestionado con soporte 802.1Q (mínimo): HPE Aruba, MikroTik, Cisco, Ubiquiti UniFi, TP-Link Omada
• Router / Firewall con soporte para interfaces VLAN (ej. pfSense)
• Puntos de acceso con múltiples SSID mapeados a VLAN
• Plan de direccionamiento IP y documentación

Errores típicos en la implementación

1. Todos los puertos son trunk: el puerto hacia la estación de trabajo debe ser de acceso (access), no trunk.
2. Falta la VLAN nativa o VLAN nativa incorrecta entre trunks (dejar la VLAN 1 por defecto).
3. Todas las VLAN pueden comunicarse entre sí: se omite la configuración de reglas en el router.
4. Los puntos de acceso no separan los SSID por VLAN (invitados y personal en la misma VLAN).
5. La VLAN IoT tiene acceso total a Internet: las cámaras envían tráfico a donde desean.

VLAN y WiFi

Los puntos de acceso modernos permiten que cada SSID pertenezca a su propia VLAN. Esto significa: SSID interno → VLAN 10, SSID invitados → VLAN 30, SSID IoT → VLAN 40. Los usuarios no lo perciben; solo ven la lista de redes Wi-Fi, pero en realidad están en segmentos lógicos separados. Esta es la forma más rápida de limitar la exposición frente a invitados y dispositivos IoT.

Medición y documentación

Documente cada VLAN: propósito, ID de VLAN, subred, rango DHCP, comunicaciones permitidas y persona responsable. Una buena documentación es la mejor protección ante cambios en el equipo o ante un incidente.

Zero Trust: qué sigue a las VLAN

Las VLAN son una base excelente, pero no el objetivo final. El siguiente paso es la microsegmentación y el Zero Trust, donde la identidad se verifica en cada acceso, no solo al entrar en la red. En la práctica, esto se implementa mediante Entra Private Access, Azure Application Gateway o soluciones ZTNA especializadas. Lea más sobre este enfoque en nuestro artículo sobre phishing y seguridad de identidad.

¿Necesito VLAN si solo tengo 10 ordenadores?

Sí, al menos una segmentación mínima: una VLAN separada para invitados e IoT. Solo esto ya reduce el riesgo de movimiento lateral de un atacante.

¿Qué switches recomienda para PYMES?

Para entornos básicos, Ubiquiti UniFi y TP-Link Omada por su facilidad de gestión; para entornos más exigentes, HPE Aruba o MikroTik. Compruebe siempre el soporte de IGMP snooping (para VoIP y multicast).

¿Afecta la VLAN al rendimiento de la red?

Insignificante. Las ventajas (dominios de broadcast más pequeños, mejor aislamiento) superan con creces los pocos microsegundos de procesamiento.

¿Cómo realizo el enrutamiento inter-VLAN?

A través de un router (pfSense, MikroTik) o un switch L3. Defina siempre reglas de firewall explícitas entre las VLAN: por defecto deny (denegar).