Enrutamiento entre VLAN: router-on-a-stick, SVI y switch de capa 3

Las VLAN dividen una red conmutada en redes lógicas separadas, cada una con su propio dominio de broadcast y su propia subred. Es justo lo que se busca, pero tiene una consecuencia: dos equipos de VLAN distintas no pueden comunicarse si no hay un dispositivo de capa 3 que enrute entre ellas. En este artículo se explican los métodos que existen, con el ejemplo de tres VLAN y cómo configurarlos.

Por qué hace falta enrutar entre VLAN

Un switch de capa 2 solo reenvía tramas dentro de cada VLAN. Para pasar de una VLAN a otra, el tráfico debe llegar a un router o a un switch de capa 3, que lo reenvíe según las direcciones IP. Esa función también permite controlar quién habla con quién, con listas de control de acceso entre VLAN. La segmentación en VLAN se explica en el artículo de VLAN Trunk 802.1Q.

Métodos para enrutar entre VLAN

El ejemplo: tres VLAN y su plan de direcciones

Se utiliza el plan de direcciones del artículo de Subnetting: tres VLAN dentro de 192.168.10.0/24, con la primera dirección útil de cada subred como puerta de enlace:

Router-on-a-stick

El router se conecta al switch con un solo enlace trunk 802.1Q. En el router, ese puerto se divide en subinterfaces, una por VLAN, cada una con su etiqueta y con la IP que actúa de puerta de enlace.

En el switch, el puerto hacia el router debe ser un trunk que permita esas VLAN:

Si se usa una VLAN nativa en el trunk (sin etiquetar), debe coincidir en los dos extremos, y en el router se declara con encapsulation dot1Q 99 native. Lo más sencillo es no usar la VLAN 1 como nativa y dejar una VLAN sin uso para ese fin.

Switch de capa 3 con SVI

Un switch de capa 3 puede enrutar internamente. Para cada VLAN se crea una SVI (Switch Virtual Interface), una interfaz virtual con la IP de la puerta de enlace. En Cisco hay que activar el enrutamiento con ip routing; en Huawei, estas interfaces se llaman Vlanif.

Una SVI solo pasa al estado up si la VLAN existe en el switch y hay al menos un puerto activo en ella, o un trunk que la transporte. Si aparece caída, es lo primero que hay que revisar.

Comparación entre los dos métodos

En una red pequeña con un router y un switch de capa 2, router-on-a-stick es una solución válida y barata. Cuando crece el tráfico entre VLAN, un switch de capa 3 es la opción habitual, porque evita que todo el tráfico pase dos veces por un único enlace.

Salida a Internet y otras redes

El equipo que enruta entre las VLAN suele ser también el que sale a otras redes. Para eso necesita una ruta por defecto (consulta el artículo de Enrutamiento estático) o aprender las rutas con un protocolo como OSPF. Si la red sale a Internet con direcciones privadas, hay que traducirlas con NAT y PAT en el equipo de salida.

DHCP en varias VLAN

Cada VLAN necesita su propio rango de direcciones. Si el servidor DHCP está en otra VLAN, los equipos no lo alcanzan con sus peticiones de broadcast, y el equipo que enruta debe reenviarlas con un relé DHCP: ip helper-address en la SVI o subinterfaz de Cisco, o dhcp select relay en Huawei. El funcionamiento de DHCP se explica en el artículo de DHCP, DNS y ARP.

Controlar el tráfico entre VLAN con ACL

Una ventaja del enrutamiento entre VLAN es poder filtrar. Ejemplo en Cisco IOS: impedir que Ventas (VLAN 10) acceda a Administración (VLAN 20), y permitir el resto:

• ip access-list extended VENTAS_ENTRADA
• deny ip 192.168.10.0 0.0.0.127 192.168.10.128 0.0.0.63
• permit ip any any
• En la interfaz de la VLAN 10: ip access-group VENTAS_ENTRADA in

Las máscaras wildcard son las del plan de direcciones (0.0.0.127 y 0.0.0.63), explicadas en el artículo de Subnetting. Aplica la ACL lo más cerca posible del origen del tráfico.

Cómo verificar

La secuencia de comprobación más útil es: ping desde un equipo a su puerta de enlace, después a un equipo de otra VLAN y, por último, a un destino externo. Consulta el artículo de ICMP para interpretar el resultado.

Diagnóstico de problemas

Errores frecuentes

• Olvidar ip routing en un switch de capa 3 de Cisco.
• No permitir la VLAN en el trunk hacia el router.
• Poner en un equipo una puerta de enlace que no pertenece a su subred.
• Solapar subredes entre VLAN al planificar las direcciones.
• Dejar la VLAN 1 como nativa y como VLAN de usuarios.
• No filtrar el tráfico entre VLAN que no deberían comunicarse.
• Olvidar el relé DHCP cuando el servidor está en otra VLAN.

Preguntas frecuentes

¿Router-on-a-stick o switch de capa 3?

Router-on-a-stick sirve para redes pequeñas con poco tráfico entre VLAN. Un switch de capa 3 es mejor cuando hay mucho tráfico entre VLAN o cuando la red va a crecer.

¿Hace falta una subinterfaz o una SVI por cada VLAN?

Sí, una por cada VLAN que deba enrutarse, y cada una con su IP, que actúa de puerta de enlace de esa VLAN.

¿Qué es un puerto enrutado?

Es un puerto de un switch de capa 3 con no switchport y su propia IP, como si fuera un puerto de router. Se usa en enlaces punto a punto entre equipos de capa 3.

Siguientes pasos

• VLAN Trunk 802.1Q: cómo se segmenta la red y se transportan las VLAN.
• OSPF y Enrutamiento estático: cómo se comunican esas redes con el resto.
• Redes LAN: el diseño completo con las tres VLAN.
• STP y Seguridad de puertos: estabilidad y protección de la red conmutada.

Los contenidos tienen carácter técnico e informativo. Un cambio en el trunk o en el direccionamiento puede interrumpir el servicio: planifícalo, pruébalo en un entorno controlado y guarda una copia de la configuración antes de modificarla.