Recursos técnicos de fibra óptica y redes

Detalles

Categoría: Redes y Routing

Las VLAN dividen una red conmutada en redes lógicas separadas, cada una con su propio dominio de broadcast y su propia subred. Es justo lo que se busca, pero tiene una consecuencia: dos equipos de VLAN distintas no pueden comunicarse si no hay un dispositivo de capa 3 que enrute entre ellas. En este artículo se explican los métodos que existen, con el ejemplo de tres VLAN y cómo configurarlos.

Por qué hace falta enrutar entre VLAN

Un switch de capa 2 solo reenvía tramas dentro de cada VLAN. Para pasar de una VLAN a otra, el tráfico debe llegar a un router o a un switch de capa 3, que lo reenvíe según las direcciones IP. Esa función también permite controlar quién habla con quién, con listas de control de acceso entre VLAN. La segmentación en VLAN se explica en el artículo de VLAN Trunk 802.1Q.

Métodos para enrutar entre VLAN

El ejemplo: tres VLAN y su plan de direcciones

Se utiliza el plan de direcciones del artículo de Subnetting: tres VLAN dentro de 192.168.10.0/24, con la primera dirección útil de cada subred como puerta de enlace:

Router-on-a-stick

El router se conecta al switch con un solo enlace trunk 802.1Q. En el router, ese puerto se divide en subinterfaces, una por VLAN, cada una con su etiqueta y con la IP que actúa de puerta de enlace.

En el switch, el puerto hacia el router debe ser un trunk que permita esas VLAN:

Si se usa una VLAN nativa en el trunk (sin etiquetar), debe coincidir en los dos extremos, y en el router se declara con encapsulation dot1Q 99 native. Lo más sencillo es no usar la VLAN 1 como nativa y dejar una VLAN sin uso para ese fin.

Switch de capa 3 con SVI

Un switch de capa 3 puede enrutar internamente. Para cada VLAN se crea una SVI (Switch Virtual Interface), una interfaz virtual con la IP de la puerta de enlace. En Cisco hay que activar el enrutamiento con ip routing; en Huawei, estas interfaces se llaman Vlanif.

Una SVI solo pasa al estado up si la VLAN existe en el switch y hay al menos un puerto activo en ella, o un trunk que la transporte. Si aparece caída, es lo primero que hay que revisar.

Comparación entre los dos métodos

En una red pequeña con un router y un switch de capa 2, router-on-a-stick es una solución válida y barata. Cuando crece el tráfico entre VLAN, un switch de capa 3 es la opción habitual, porque evita que todo el tráfico pase dos veces por un único enlace.

Salida a Internet y otras redes

El equipo que enruta entre las VLAN suele ser también el que sale a otras redes. Para eso necesita una ruta por defecto (consulta el artículo de Enrutamiento estático) o aprender las rutas con un protocolo como OSPF. Si la red sale a Internet con direcciones privadas, hay que traducirlas con NAT y PAT en el equipo de salida.

DHCP en varias VLAN

Cada VLAN necesita su propio rango de direcciones. Si el servidor DHCP está en otra VLAN, los equipos no lo alcanzan con sus peticiones de broadcast, y el equipo que enruta debe reenviarlas con un relé DHCP: ip helper-address en la SVI o subinterfaz de Cisco, o dhcp select relay en Huawei. El funcionamiento de DHCP se explica en el artículo de DHCP, DNS y ARP.

Controlar el tráfico entre VLAN con ACL

Una ventaja del enrutamiento entre VLAN es poder filtrar. Ejemplo en Cisco IOS: impedir que Ventas (VLAN 10) acceda a Administración (VLAN 20), y permitir el resto:

• ip access-list extended VENTAS_ENTRADA
• deny ip 192.168.10.0 0.0.0.127 192.168.10.128 0.0.0.63
• permit ip any any
• En la interfaz de la VLAN 10: ip access-group VENTAS_ENTRADA in

Las máscaras wildcard son las del plan de direcciones (0.0.0.127 y 0.0.0.63), explicadas en el artículo de Subnetting. Aplica la ACL lo más cerca posible del origen del tráfico.

Cómo verificar

La secuencia de comprobación más útil es: ping desde un equipo a su puerta de enlace, después a un equipo de otra VLAN y, por último, a un destino externo. Consulta el artículo de ICMP para interpretar el resultado.

Diagnóstico de problemas

Errores frecuentes

• Olvidar ip routing en un switch de capa 3 de Cisco.
• No permitir la VLAN en el trunk hacia el router.
• Poner en un equipo una puerta de enlace que no pertenece a su subred.
• Solapar subredes entre VLAN al planificar las direcciones.
• Dejar la VLAN 1 como nativa y como VLAN de usuarios.
• No filtrar el tráfico entre VLAN que no deberían comunicarse.
• Olvidar el relé DHCP cuando el servidor está en otra VLAN.

Preguntas frecuentes

¿Router-on-a-stick o switch de capa 3?

Router-on-a-stick sirve para redes pequeñas con poco tráfico entre VLAN. Un switch de capa 3 es mejor cuando hay mucho tráfico entre VLAN o cuando la red va a crecer.

¿Hace falta una subinterfaz o una SVI por cada VLAN?

Sí, una por cada VLAN que deba enrutarse, y cada una con su IP, que actúa de puerta de enlace de esa VLAN.

¿Qué es un puerto enrutado?

Es un puerto de un switch de capa 3 con no switchport y su propia IP, como si fuera un puerto de router. Se usa en enlaces punto a punto entre equipos de capa 3.

Siguientes pasos

• VLAN Trunk 802.1Q: cómo se segmenta la red y se transportan las VLAN.
• OSPF y Enrutamiento estático: cómo se comunican esas redes con el resto.
• Redes LAN: el diseño completo con las tres VLAN.
• STP y Seguridad de puertos: estabilidad y protección de la red conmutada.

Los contenidos tienen carácter técnico e informativo. Un cambio en el trunk o en el direccionamiento puede interrumpir el servicio: planifícalo, pruébalo en un entorno controlado y guarda una copia de la configuración antes de modificarla.

Detalles

Categoría: Redes y Routing

OSPF (Open Shortest Path First) es el protocolo de enrutamiento dinámico más utilizado en las redes de empresa. Los routers que lo ejecutan se descubren entre sí, intercambian información sobre sus enlaces y calculan por su cuenta el mejor camino hacia cada red. Si un enlace falla, las rutas se recalculan sin intervención del administrador. En este artículo se explica cómo funciona y cómo se configura, con un ejemplo completo.

Qué es OSPF

OSPF es un protocolo de estado de enlace, estándar y abierto (RFC 2328 para IPv4), por lo que funciona entre equipos de fabricantes distintos. A diferencia de los protocolos de vector de distancia como RIP, cada router conoce la topología completa de su área y calcula las rutas con el algoritmo SPF de Dijkstra. Para IPv6 existe OSPFv3. Su distancia administrativa es 110.

• Convergencia rápida: detecta los cambios y recalcula en pocos segundos.
• Escalable: se divide en áreas para limitar el tamaño de las bases de datos.
• Sin bucles dentro de un área, porque todos los routers comparten la misma visión.
• Métrica basada en el ancho de banda de los enlaces.

Cómo funciona, paso a paso

1. Descubrimiento de vecinos: los routers envían paquetes Hello por sus interfaces OSPF, a la dirección multicast 224.0.0.5.
2. Adyacencias: si los parámetros coinciden, los vecinos intercambian sus bases de datos y llegan al estado Full.
3. Base de datos de estado de enlace (LSDB): cada router anuncia sus enlaces con mensajes LSA, que se propagan por el área. Al final, todos los routers del área tienen la misma LSDB.
4. Cálculo SPF: cada router calcula el árbol de caminos más cortos con él mismo como raíz.
5. Tabla de rutas: los mejores caminos se instalan en la tabla de enrutamiento.

Los paquetes OSPF viajan directamente sobre IP, con el número de protocolo 89, y son de cinco tipos: Hello, descripción de la base de datos (DBD), petición de estado de enlace (LSR), actualización (LSU) y confirmación (LSAck).

El router ID

Cada router OSPF se identifica con un router ID de 32 bits, con formato de dirección IPv4, que debe ser único. Si no se configura, el router elige la dirección IP más alta de sus interfaces de loopback y, si no hay, la más alta de sus interfaces activas. Lo recomendable es configurarlo a mano, para que no cambie si se modifica una dirección.

El costo y el ancho de banda de referencia

OSPF elige el camino de menor costo total, que es la suma de los costos de las interfaces de salida. El costo de cada interfaz se calcula como el ancho de banda de referencia dividido entre el de la interfaz. Por defecto, la referencia es de 100 Mbps en Cisco y en Huawei, de modo que una interfaz de 1 Gbps y una de 10 Gbps tienen el mismo costo que una de 100 Mbps. Para distinguirlas hay que aumentar la referencia en todos los routers (por ejemplo, a 10 Gbps), o fijar el costo a mano en las interfaces.

Vecinos y adyacencias

Dos routers solo forman una adyacencia si coinciden varios parámetros. Los estados por los que pasa una relación entre vecinos son:

Los parámetros que deben coincidir son el área, la máscara de la red (en redes multiacceso), los temporizadores hello y dead (10 y 40 segundos por defecto en Ethernet), el tipo de área y la autenticación. Además, el router ID debe ser único y la MTU de ambos extremos, igual.

DR y BDR en redes multiacceso

En una red Ethernet con varios routers, no tendría sentido que todos se hicieran adyacentes entre sí. Por eso se elige un router designado (DR) y un router designado de respaldo (BDR): los demás (DROther) solo intercambian información completa con ellos, a través de la dirección 224.0.0.6. Gana la elección el router con mayor prioridad (1 por defecto; 0 significa que nunca será DR) y, si hay empate, el de mayor router ID. La elección no es expulsiva: un router con mejor prioridad que se conecte después no sustituye al DR actual.

En un enlace Ethernet entre solo dos routers no hace falta esa elección. Se evita configurando la interfaz como red punto a punto.

Áreas y tipos de router

Para que OSPF escale, la red se divide en áreas. El área 0 es el backbone, y todas las demás áreas deben conectarse a ella. Los routers se clasifican según su papel:

• Router interno: todas sus interfaces están en la misma área.
• ABR (Area Border Router): conecta varias áreas y resume la información entre ellas.
• ASBR (Autonomous System Boundary Router): introduce rutas externas, de otro protocolo, de rutas estáticas o de BGP.

La información se transporta en distintos tipos de LSA:

Y las áreas pueden ser de varios tipos, según lo que reciban:

Cómo configurarlo

Con la topología de ejemplo: R1 tiene la red 192.168.10.0/24 y dos enlaces, hacia R2 (10.0.12.0/30) y hacia R3 (10.0.13.0/30). Todo el dominio va en el área 0. El comando network usa una máscara wildcard, la inversa de la máscara de subred, que se explica en el artículo de Subnetting. La interfaz hacia la LAN se declara pasiva para anunciar la red sin enviar Hello a los usuarios.

Con ajustes habituales por interfaz:

En MikroTik, la sintaxis cambió entre RouterOS 6 y 7: la tabla corresponde a la versión 7. En todos los routers, usa el mismo ancho de banda de referencia.

Cómo verificar

Comprueba que todos los vecinos están en estado Full (o 2-Way entre DROther), que las redes remotas aparecen en la tabla con el código O y que el costo coincide con el esperado. En Cisco, una ruta OSPF aparece como O 192.168.30.0/24 [110/21] via 10.0.12.2: 110 es la distancia administrativa y 21 el costo total.

Diagnóstico de problemas

Seguridad

Un router no autorizado que hable OSPF puede inyectar rutas falsas en toda la red. Para evitarlo, se activa la autenticación en las interfaces (mejor con HMAC-SHA que con MD5, cuando el equipo lo permita), se declaran pasivas las interfaces hacia los usuarios y se filtra OSPF en los puertos de acceso. Para las interfaces conectadas a usuarios, ver el artículo de Seguridad de puertos.

Errores frecuentes

• No unificar el ancho de banda de referencia y obtener costos incoherentes.
• Olvidar el modo pasivo en las interfaces hacia usuarios.
• Escribir mal la wildcard del comando network y dejar interfaces fuera.
• Duplicar el router ID, por ejemplo al clonar la configuración de un equipo.
• Crear áreas que no se conectan al área 0.
• Dejar la elección de DR al azar en lugar de fijar las prioridades en redes con varios routers.
• Mezclar la configuración de interfaz y el comando network sin tener claro cuál se aplica.

Preguntas frecuentes

¿Cuándo usar OSPF y cuándo rutas estáticas?

Las estáticas bastan en redes pequeñas o con una única salida. OSPF compensa cuando hay varios routers o caminos redundantes, porque se adapta solo a los cambios. Lo habitual es combinarlos: OSPF dentro de la red y una ruta estática por defecto hacia Internet, anunciada con default-information originate.

¿Qué diferencia hay entre OSPF y RIP?

RIP es de vector de distancia, usa los saltos como métrica y converge despacio. OSPF es de estado de enlace, usa el costo y converge mucho más rápido, por lo que escala mejor.

¿Hace falta OSPFv3 para IPv6?

Sí: OSPFv2 solo transporta rutas IPv4. OSPFv3 funciona de forma muy parecida y soporta IPv6. Se explica el direccionamiento en el artículo de IPv6.

Siguientes pasos

• Enrutamiento estático: rutas manuales, por defecto y de respaldo.
• Enrutamiento en redes: los conceptos comunes a todos los protocolos.
• Enrutamiento en VLAN: cómo se comunican las VLAN entre sí con un router o un switch de capa 3.
• Subnetting: las máscaras y wildcards que usa OSPF.

Los contenidos tienen carácter técnico e informativo. Un cambio en el enrutamiento puede interrumpir el servicio: planifícalo, pruébalo en un entorno controlado y guarda una copia de la configuración antes de modificarla.

Detalles

Categoría: Redes y Routing

Un router solo sabe llegar a las redes que tiene conectadas. Para alcanzar cualquier otra necesita una ruta en su tabla de enrutamiento. En el enrutamiento estático esas rutas las escribe a mano el administrador. Es el método más sencillo y el más usado en redes pequeñas, en salidas hacia Internet y como respaldo de otros protocolos. En este artículo se explica cómo funciona, cómo se configura y cómo se diagnostica.

Qué es una ruta estática

Una ruta estática indica al router: «para llegar a esta red de destino, envía los paquetes a este siguiente salto o por esta interfaz». Como no se actualiza sola, no cambia aunque el camino falle. Frente al enrutamiento dinámico (OSPF y otros protocolos), tiene estas ventajas y limitaciones:

• Ventajas: es simple, predecible, no consume ancho de banda ni CPU en intercambiar rutas y es fácil de auditar.
• Limitaciones: no se adapta a fallos por sí sola, exige configurar cada router a mano y no escala bien en redes grandes.

Es adecuado en redes pequeñas, en redes con una sola salida (stub), para la ruta por defecto hacia el operador, para enlaces punto a punto y para rutas de respaldo. Los conceptos generales, como la tabla de rutas o la métrica, se explican en el artículo Enrutamiento en redes.

Cómo elige el router entre varias rutas

Cuando un paquete llega, el router busca en su tabla la ruta que mejor coincide con la dirección de destino, siguiendo este orden:

La distancia administrativa mide la fiabilidad de cada origen de ruta: cuanto menor, más se prefiere. Una ruta estática (1) gana frente a OSPF (110), y por eso, subiendo su distancia, se pueden crear rutas de respaldo.

Los valores son los de fábrica y se pueden modificar. En Huawei se llama «preferencia», y funciona igual: gana la menor.

Tipos de rutas estáticas

Una ruta estática puede indicar el siguiente salto (la dirección IP del router vecino), la interfaz de salida o ambos. En enlaces Ethernet conviene indicar el siguiente salto (o ambos): si solo se indica la interfaz, el router tiene que preguntar con ARP por cada destino y consume más recursos.

Ejemplo: dos routers y dos redes

R1 conecta la red 192.168.10.0/24 y R2 la red 192.168.20.0/24. Ambos se unen por un enlace 10.0.0.0/30, con R1 en 10.0.0.1 y R2 en 10.0.0.2. Cada router solo conoce sus redes conectadas, así que necesita una ruta hacia la red del otro:

En Cisco IOS:

• En R1: ip route 192.168.20.0 255.255.255.0 10.0.0.2
• En R2: ip route 192.168.10.0 255.255.255.0 10.0.0.1

El error más habitual es configurar solo una dirección: el paquete llega, pero la respuesta no encuentra camino de vuelta.

Ruta por defecto

La ruta por defecto, 0.0.0.0/0, coincide con cualquier destino y es la de menor prioridad, porque tiene el prefijo más corto posible. Se usa para enviar a Internet todo lo que no tenga una ruta más específica. En una red con una sola salida, como R1 del ejemplo, basta con una ruta por defecto hacia R2 en lugar de una por cada red:

• En R1: ip route 0.0.0.0 0.0.0.0 10.0.0.2
• En R2, hacia el operador: ip route 0.0.0.0 0.0.0.0 203.0.113.1

En Cisco, el resultado aparece en show ip route como «Gateway of last resort», y la ruta se marca con S*.

Ruta flotante: respaldo con distancia mayor

Una ruta flotante es una ruta estática con una distancia administrativa mayor que la principal. Mientras la principal está en la tabla, la flotante no se usa; si la principal desaparece, entra en su lugar.

Ojo con un detalle: la ruta principal solo desaparece de la tabla si el router detecta que el enlace está caído. Si el fallo está más allá del siguiente salto, la ruta sigue ahí y el respaldo no entra. Para evitarlo se usa seguimiento del siguiente salto: IP SLA con track en Cisco, NQA en Huawei o check-gateway en MikroTik.

Cómo configurarlas

En un switch de capa 3 de Cisco hay que activar antes el enrutamiento con ip routing. En Linux, el equipo debe tener activado el reenvío de paquetes.

Cómo verificar

En Cisco, una línea típica de la tabla es S 192.168.20.0/24 [1/0] via 10.0.0.2: la «S» indica ruta estática, y [1/0] es la distancia administrativa (1) y la métrica (0). Comprueba también el camino con ping y traceroute, que se explican en el artículo de ICMP.

Diagnóstico de problemas

Rutas estáticas y NAT

En una red con acceso a Internet, la ruta por defecto suele combinarse con NAT y PAT en el router de salida. La ruta por defecto sin NAT permite que el paquete llegue, pero las direcciones privadas no se enrutan en Internet y la respuesta no regresa.

Errores frecuentes

• Configurar la ruta de ida y olvidar la de vuelta.
• Usar una máscara equivocada, de modo que la ruta cubre más o menos redes de las previstas.
• Apuntar a un siguiente salto que no es alcanzable desde ese router.
• Poner rutas por defecto cruzadas entre dos routers, que crean bucles.
• Olvidar la distancia en una ruta de respaldo, de modo que compite con la principal.
• Resumir redes sin una ruta a Null0 y provocar bucles con tráfico a direcciones inexistentes.
• No documentar las rutas, algo que se paga cuando la red crece.

Preguntas frecuentes

¿Cuándo es mejor usar OSPF que rutas estáticas?

Cuando la red tiene varios routers, caminos redundantes o cambia con frecuencia. Con OSPF las rutas se aprenden y se recalculan solas, mientras que las estáticas se mantienen a mano.

¿Se pueden mezclar rutas estáticas y dinámicas?

Sí, es lo habitual: rutas dinámicas dentro de la red y una ruta estática por defecto hacia el operador. La distancia administrativa decide cuál se usa si coinciden.

¿Qué diferencia hay entre indicar el siguiente salto o la interfaz?

Con el siguiente salto, el router sabe a qué dirección entregar el paquete. Con solo la interfaz, en Ethernet debe resolver por ARP cada destino. Lo más fiable es indicar el siguiente salto.

Siguientes pasos

• Enrutamiento en redes: los conceptos que sirven de base a cualquier tabla de rutas.
• OSPF: el protocolo de enrutamiento dinámico más usado en redes de empresa.
• Enrutamiento en VLAN: cómo se comunican entre sí las redes virtuales.
• Subnetting y IPv4: la base del direccionamiento sobre el que se definen las rutas.

Los contenidos tienen carácter técnico e informativo. Un cambio de rutas puede interrumpir el servicio: planifícalo, pruébalo en un entorno controlado y guarda una copia de la configuración antes de modificarla.