VLAN

No confundir con WLAN

Topologa de Red de rea Local Virtual en un edicio de tresplantas.

UnaVLAN (acrnimo de virtual LAN, red de rea localvirtual) es un mtodo para crear redes lgicas indepen-dientes dentro de una misma red fsica.[1] Varias VLANpueden coexistir en un nico conmutador fsico o en unanica red fsica. Son tiles para reducir el tamao deldominio de difusin y ayudan en la administracin de lared, separando segmentos lgicos de una red de rea local(los departamentos de una empresa, por ejemplo) que nodeberan intercambiar datos usando la red local (aunquepodran hacerlo a travs de un enrutador o un conmutadorde capa 3 y 4).Una VLAN consiste en dos redes de ordenadores que secomportan como si estuviesen conectados al mismo PCI,aunque se encuentren fsicamente conectados a diferentessegmentos de una red de rea local. Los administradoresde red conguran las VLANsmediante hardware en lugarde software, lo que las hace extremadamente fuertes.

1 HistoriaA principios de la dcada de 1980 Ethernet ya era unatecnologa consolidada que ofreca una velocidad de 1Mbits/s, mucho mayor que gran parte de las alternativasde la poca. Las redes Ethernet tenan una topologa enbus, donde el medio fsico de transmisin (cable coaxial)era compartido. Ethernet era, por lo tanto, una red de di-fusin y como tal cuando dos estaciones transmiten si-multneamente se producen colisiones y se desperdiciaancho de banda en transmisiones fallidas.

El diseo de Ethernet no ofreca escalabilidad, es decir, alaumentar el tamao de la red disminuyen sus prestacioneso el costo se hace inasumible. CSMA/CD, el protocoloque controla el acceso al medio compartido en Ethernet,impone de por s limitaciones en cuanto al ancho de ban-da mximo y a la mxima distancia entre dos estaciones.Conectar mltiples redes Ethernet era por aquel enton-ces complicado, y aunque se poda utilizar un router parala interconexin, estos eran caros y requera un mayortiempo de procesado por paquete grande, aumentando elretardo.Para solucionar estos problemas, primero W. Kempf in-vent el bridge (puente), dispositivo software para inter-conectar dos LANs. En 1990 Kalpana desarroll el switchEthernet, puente multipuerto implementado en hardware,dispositivo de conmutacin de tramas de nivel 2. Usarswitches para interconectar redes Ethernet permite sepa-rar dominios de colisin, aumentando la eciencia y laescalabilidad de la red. Una red tolerante a fallos y conun nivel alto de disponibilidad requiere que se usen to-pologas redundantes: enlaces mltiples entre switches yequipos redundantes. De esta manera, ante un fallo en unnico punto es posible recuperar de forma automtica yrpida el servicio. Este diseo redundante requiere la ha-bilitacin del protocolo spanning tree (STP) para asegu-rarse de que solo haya activo un camino lgico para ir deun nodo a otro y evitar as el fenmeno conocido comotormentas broadcast. El principal inconveniente de estatopologa lgica de la red es que los switches centrales seconvierten en cuellos de botella, pues la mayor parte deltrco circula a travs de ellos.Sincoskie consigui aliviar la sobrecarga de los switchesinventando LAN virtuales al aadir una etiqueta a las tra-mas Ethernet con la que diferenciar el trco. Al denirvarias LAN virtuales cada una de ellas tendr su propiospanning tree y se podr asignar los distintos puertos deun switch a cada una de las VLAN. Para unir VLAN queestn denidas en varios switches se puede crear un enlaceespecial llamado trunk, por el que uye trco de variasVLAN. Los switches sabrn a qu VLAN pertenece ca-da trama observando la etiqueta VLAN (denida en lanorma IEEE 802.1Q). Aunque hoy en da el uso de LANvirtuales es generalizado en las redes Ethernet modernas,usarlas para el propsito original puede ser un tanto ex-trao, ya que lo habitual es utilizarlas para separar domi-nios de difusin (hosts que pueden ser alcanzados por unatrama broadcast).IEEE 802.1aq2012 - Shortest Path Bridging ofrecemu-cha ms escalabilidad a hasta 16 millones comparado con

1

2 3 PROTOCOLOS

el lmite de 4096 de la VLANs

2 ClasicacinAunque las ms habituales son las VLAN basadas enpuertos (nivel 1), las redes de rea local virtuales se pue-den clasicar en cuatro tipos segn el nivel de la jerarquaOSI en el que operen:

VLAN de nivel 1 (por puerto). Tambin conoci-da como port switching. Se especica qu puertosdel switch pertenecen a la VLAN, los miembros dedicha VLAN son los que se conecten a esos puer-tos. No permite la movilidad de los usuarios, habraque recongurar las VLANs si el usuario se muevefsicamente. Es la ms comn y la que se explica enprofundidad en este artculo.

VLAN de nivel 2 por direcciones MAC. Se asig-nan hosts a una VLAN en funcin de su direccinMAC. Tiene la ventaja de que no hay que recon-gurar el dispositivo de conmutacin si el usuariocambia su localizacin, es decir, se conecta a otropuerto de ese u otro dispositivo. El principal incon-veniente es que si hay cientos de usuarios habra queasignar los miembros uno a uno.

VLAN de nivel 2 por tipo de protocolo. La VLANqueda determinada por el contenido del campo ti-po de protocolo de la trama MAC. Por ejemplo, seasociara VLAN 1 al protocolo IPv4, VLAN 2 alprotocolo IPv6, VLAN 3 a AppleTalk, VLAN 4 aIPX...

VLAN de nivel 3 por direcciones de subred (su-bred virtual). La cabecera de nivel 3 se utiliza paramapear la VLAN a la que pertenece. En este tipo deVLAN son los paquetes, y no las estaciones, quie-nes pertenecen a la VLAN. Estaciones con mlti-ples protocolos de red (nivel 3) estarn en mltiplesVLANs.

VLAN de niveles superiores. Se crea una VLANpara cada aplicacin: FTP, ujos multimedia,correo electrnico... La pertenencia a una VLANpuede basarse en una combinacin de factores co-mo puertos, direcciones MAC, subred, hora del da,forma de acceso, condiciones de seguridad del equi-po...

3 ProtocolosDurante todo el proceso de conguracin y funciona-miento de una VLAN es necesaria la participacin deuna serie de protocolos entre los que destacan el IEEE802.1Q, STP y VTP (cuyo equivalente IEEE es GVRP).

El protocolo IEEE 802.1Q se encarga del etiquetado delas tramas que es asociada inmediatamente con la infor-macin de la VLAN. El cometido principal de SpanningTree Protocol (STP) es evitar la aparicin de bucles lgi-cos para que haya un slo camino entre dos nodos. VTP(VLAN Trunking Protocol) es un protocolo propietariode Cisco que permite una gestin centralizada de todaslas VLAN.El protocolo de etiquetado IEEE 802.1Q es el ms co-mn para el etiquetado de las VLAN. Antes de su intro-duccin existan varios protocolos propietarios, como elISL (Inter-Switch Link) de Cisco, una variante del IEEE802.1Q, y el VLT (Virtual LAN Trunk) de 3Com. ElIEEE 802.1Q se caracteriza por utilizar un formato detrama similar a 802.3 (Ethernet) donde solo cambia el va-lor del campo Ethertype, que en las tramas 802.1Q vale0x8100, y se aaden dos bytes para codicar la priori-dad, el CFI y el VLAN ID. Este protocolo es un estndarinternacional y por lo dicho anteriormente es compatiblecon bridges y switches sin capacidad de VLAN.VLANs y Protocolos de Arbol de Expansin. Para evi-tar la saturacin de los switches debido a las tormentasbroadcast, una red con topologa redundante tiene quetener habilitado el protocolo STP. Los switches intercam-bian mensajes STP BPDU entre s, Bridge Protocol DataUnits) para lograr que la topologa de la red sea un rbol(no tenga enlaces redundantes) y solo haya activo un ca-mino para ir de un nodo a otro. El protocolo STP/RSTPes agnstico a las VLAN, MSTP (IEEE 802.1Q) permitecrear rboles de expansin diferentes y asignarlos a gru-pos de VLANs mediante conguracin. Esto permite uti-lizar enlaces en un rbol que estn bloqueados en otrorbol.En los dispositivos Cisco, VTP (VLAN trunking proto-col) se encarga de mantener la coherencia de la con-guracin VLAN por toda la red. VTP utiliza tramas denivel 2 para gestionar la creacin, borrado y renombradode VLANs en una red sincronizando todos los disposi-tivos entre s y evitar tener que congurarlos uno a uno.Para eso hay que establecer primero un dominio de ad-ministracin VTP. Un dominio VTP para una red es unconjunto contiguo de switches unidos con enlaces trunkque tienen el mismo nombre de dominio VTP.Los switches pueden estar en uno de los siguientes modos:servidor, cliente o transparente. Servidor es el modopor defecto, anuncia su conguracin al resto de equiposy se sincroniza con otros servidores VTP. Un switch enmodo cliente no puedemodicar la conguracin VLAN,simplemente sincroniza la conguracin en base a la in-formacin que le envan los servidores. Por ltimo, unswitch est en modo transparente cuando solo se pue-de congurar localmente pues ignora el contenido de losmensajes VTP.VTP tambin permite podar (funcin VTP prunning),lo que signica dirigir trco VLAN especco solo a losconmutadores que tienen puertos en la VLAN destino.

3Con lo que se ahorra ancho de banda en los posiblementesaturados enlaces trunk.

4 Gestin de la pertenencia a unaVLAN

Las dos aproximaciones ms habituales para la asignacinde miembros de una VLAN son las siguientes: VLANestticas y VLAN dinmicas.Las VLAN estticas tambin se denominan VLAN ba-sadas en el puerto. Las asignaciones en una VLAN est-tica se crean mediante la asignacin de los puertos de unswitch o conmutador a dicha VLAN. Cuando un disposi-tivo entra en la red, automticamente asume su pertenen-cia a la VLAN a la que ha sido asignado el puerto. Si elusuario cambia de puerto de entrada y necesita acceder ala misma VLAN, el administrador de la red debe cambiarmanualmente la asignacin a la VLAN del nuevo puertode conexin en el switch.En ella se crean unidades virtuales no estticas en las quese guardan los archivos y componentes del sistema de ar-chivos mundialEn las VLAN dinmicas, la asignacin se realiza me-diante paquetes de software tales como el CiscoWorks2000. Con el VMPS (acrnimo en ingls deVLANMana-gement Policy Server o Servidor de Gestin de Directivasde la VLAN), el administrador de la red puede asignarlos puertos que pertenecen a una VLAN de manera au-tomtica basndose en informacin tal como la direccinMAC del dispositivo que se conecta al puerto o el nom-bre de usuario utilizado para acceder al dispositivo. Eneste procedimiento, el dispositivo que accede a la red,hace una consulta a la base de datos de miembros de laVLAN. Se puede consultar el software FreeNAC para verun ejemplo de implementacin de un servidor VMPS.

5 VLAN basadas en el puerto deconexin

Con las VLAN de nivel 1 (basadas en puertos), el puertoasignado a la VLAN es independiente del usuario o dis-positivo conectado en el puerto. Esto signica que todoslos usuarios que se conectan al puerto sern miembros dela misma VLAN. Habitualmente es el administrador dela red el que realiza las asignaciones a la VLAN. Despusde que un puerto ha sido asignado a una VLAN, a travsde ese puerto no se puede enviar ni recibir datos desdedispositivos incluidos en otra VLAN sin la intervencinde algn dispositivo de capa 3.Los puertos de un switch pueden ser de dos tipos, en loque respecta a las caractersticas VLAN: puertos de ac-ceso y puertos trunk. Un puerto de acceso (switchport

mode access) pertenece nicamente a una VLAN asig-nada de forma esttica (VLAN nativa). La conguracinpor defecto suele ser que todos los puertos sean de accesode la VLAN 1. En cambio, un puerto trunk (switchportmode trunk) puede ser miembro de mltiples VLANs.Por defecto es miembro de todas, pero la lista de VLANspermitidas es congurable.El dispositivo que se conecta a un puerto, posiblementeno tenga conocimiento de la existencia de la VLAN a laque pertenece dicho puerto. El dispositivo simplementesabe que es miembro de una subred y que puede ser capazde hablar con otros miembros de la subred simplementeenviando informacin al segmento cableado. El switch esresponsable de identicar que la informacin viene de unaVLAN determinada y de asegurarse de que esa informa-cin llega a todos los dems miembros de la VLAN. Elswitch tambin se asegura de que el resto de puertos queno estn en dicha VLAN no reciben dicha informacin.Este planteamiento es sencillo, rpido y fcil de adminis-trar, dado que no hay complejas tablas en las que mirarpara congurar la segmentacin de la VLAN. Si la aso-ciacin de puerto a VLAN se hace con un ASIC (acrni-mo en ingls de Application-Specic Integrated Circuit oCircuito integrado para una aplicacin especca), el ren-dimiento es muy bueno. Un ASIC permite que el mapeode puerto a VLAN sea hecho a nivel hardware.

6 Diseo de VLANsLos primeros diseadores de redes solan congurar lasVLANs con el objetivo de reducir el tamao del dominiode colisin en un segmento Ethernet y mejorar su rendi-miento. Cuando los switches lograron esto, porque cadapuerto es un dominio de colisin, su prioridad fue redu-cir el tamao del dominio de difusin. Ya que, si aumentael nmero de terminales, aumenta el trco difusin y elconsumo de CPU por procesado de trco broadcast nodeseado. Una de las maneras ms ecientes de lograr re-ducir el domino de difusin es con la divisin de una redgrande en varias VLANs.

Red institucional

Actualmente, las redes institucionales y corporativas mo-dernas suelen estar conguradas de forma jerrquica di-vidindose en varios grupos de trabajo. Razones de se-guridad y condencialidad aconsejan tambin limitar elmbito del trco de difusin para que un usuario no au-

4 8 VASE TAMBIN

torizado no pueda acceder a recursos o a informacinque no le corresponde. Por ejemplo, la red institucionalde un campus universitario suele separar los usuarios entres grupos: alumnos, profesores y administracin. Cadauno de estos grupos constituye un dominio de difusin,una VLAN, y se suele corresponder asimismo con unasubred IP diferente. De esta manera la comunicacin en-tre miembros del mismo grupo se puede hacer en nivel 2,y los grupos estn aislados entre s, slo se pueden comu-nicar a travs de un router.La denicin de mltiples VLANs y el uso de enlacestrunk, frente a las redes LAN interconectadas con un rou-ter, es una solucin escalable. Si se deciden crear nue-vos grupos se pueden acomodar fcilmente las nuevasVLANs haciendo una redistribucin de los puertos de losswitches. Adems, la pertenencia de unmiembro de la co-munidad universitaria a una VLAN es independiente desu ubicacin fsica. E incluso se puede lograr que un equi-po pertenezca a varias VLANs (mediante el uso de unatarjeta de red que soporte trunk).Imagine que la universidad tiene una red con un rango dedirecciones IP del tipo 172.16.XXX.0/24, cada VLAN,denida en la capa de enlace de datos (nivel 2 de OSI), secorresponder con una subred IP distinta: VLAN 10. Ad-ministracin. Subred IP 172.16.10.0/24 VLAN 20. Pro-fesores. Subred IP 172.16.20.0/24 VLAN 30. Alumnos.Subred IP 172.16.30.0/24En cada edicio de la universidad hay un switch denomi-nado de acceso, porque a l se conectan directamente lossistemas nales. Los switches de acceso estn conectadoscon enlaces trunk (enlace que transporta trco de las tresVLANs) a un switch troncal, de grandes prestaciones, t-picamente Gigabit Ethernet o 10-Gigabit Ethernet. Esteswitch est unido a un router tambin con un enlace trunk,el router es el encargado de llevar el trco de una VLANa otra.

7 Comandos IOSA continuacin se presentan a modo de ejemplo loscomandos IOS para congurar los switches y routeres delescenario anterior.Creamos las VLANs en el switch troncal, suponemos queeste switch acta de servidor y se sincroniza con el resto:Switch-troncal> enable Switch-troncal# congureterminal Switch-troncal(cong)# vlan database Switch-troncal(cong-vlan)# vlan 10 name administracionSwitch-troncal(cong-vlan)# vlan 20 name profesoresSwitch-troncal(cong-vlan)# vlan 30 name alumnosSwitch-troncal(cong-vlan)# exitDenimos como puertos trunk los cuatro del switch tron-cal:Switch-troncal(cong)# interface range g0/0 3Switch-troncal(cong-if-range)# switchport Switch-

troncal(cong-if-range)# switchport mode trunk Switch-troncal(cong-if-range)# switchport trunk native vlan10 Switch-troncal(cong-if-range)# switchport trunkallowed vlan 20, 30 Switch-troncal(cong-if-range)# exitAhora habra que denir en cada switch de acceso qurango de puertos dedicamos a cada VLAN. Vamos a su-poner que se utilizan las interfaces f0/0-15 para la vlanadminstracion, f0/16,31 para vlan profesores y f0/32-47para la vlan alumnos.Switch-1(cong)# interface range f0/0 15 Switch-1(cong-if-range)# switchport Switch-1(cong-if-range)# switchport mode access Switch-1(cong-if-range)# switchport access vlan 10 Switch-1(cong-if-range)# exit Switch-1(cong)# interface rangef0/16 31 Switch-1(cong-if-range)# switchportSwitch-1(cong-if-range)# switchport mode accessSwitch-1(cong-if-range)# switchport access vlan 20Switch-1(cong-if-range)# exit Switch-1(cong)# in-terface range f0/32 47 Switch-1(cong-if-range)#switchport Switch-1(cong-if-range)# switchport modeaccess Switch-1(cong-if-range)# switchport access vlan30 Switch-1(cong-if-range)# exitDenimos como trunk el puerto que conecta cada switchde acceso con el troncal:Switch-1(cong)# interface g0/0 Switch-1(cong-if)#switchport Switch-1(cong-if)# switchport mode trunkSwitch-1(cong-if)# switchport trunk native vlan 10Switch-1(cong-if)# switchport trunk allowed vlan 20,30Switch-1(cong-if)# exitEn el router creamos una subinterfaz por cada VLANtransportada en el enlace trunk:Router(cong)# interface f2 Router(cong-if)# noip address Router(cong-if)# exit Router(cong)#interface f2.1 Router(cong-if)# encapsulation dot1q10 native Router(cong-if)# ip address 172.16.10.1255.255.255.0 Router(cong-if)# exit Router(cong)#interface f2.2 Router(cong-if)# encapsulationdot1q 20 Router(cong-if)# ip address 172.16.20.1255.255.255.0 Router(cong-if)# exit Router(cong)#interface f2.3 Router(cong-if)# encapsulation dot1q 30Router(cong-if)# ip address 172.16.30.1 255.255.255.0Router(cong-if)# exitEsta sera la conguracin relativa a la creacin de lasVLANs, se omite la conguracin de otros elementos co-mo los hosts, routers y otros dispositivos de red.

8 Vase tambin

IEEE 802.1Q

Shortest Path Bridging (SPB)

9.1 Bibliografa 5

9 Referencias[1] Virtual local area networks (VLANs). Axis. Consultado

el 21 de enero de 2012.

9.1 Bibliografa James F. Kurose, Keith W. Ross (2012). ComputerNetworking:A Top-Down Approach. Pearson Educa-tion. ISBN 978-0-13-136548-3.

Virtual LANs, a class presentation by Professor ofComputer and Information Sciences in the Ohio Sta-te University Raj Jain

history of bridging, by Varghese Presentacin de clase (Universidad Carlos III deMadrid)

Apuntes de la asignatura RST (Redes e servicios te-lemticos) de la Universidade de Vigo

What is VLAN Routing?

6 10 TEXT AND IMAGE SOURCES, CONTRIBUTORS, AND LICENSES

10 Text and image sources, contributors, and licenses10.1 Text

VLAN Fuente: http://es.wikipedia.org/wiki/VLAN?oldid=82128385 Colaboradores: Vcarceler, Dodo, Barcex, Marnez, NicFit, Rembia-po pohyiete (bot), RobotQuistnix, Vitamine, YurikBot, GermanX, Beto29, Ernesto Graf, Maldoror, Reected God, Chlewbot, Jcarlos77,Akael, Calsbert, BOTpolicia, CEM-bot, Laura Fiorucci, Ranganok~eswiki, MaykelMoya, RoyFocker, TXiKiBoT, Arym, Netito777, Rei-bot, Plux, Kzman, Biasoli, VolkovBot, Snakeyes, Technopat, Manuel Castillo Cagigal, Matdrodes, Lucien leGrey, Barri, Muro Bot, SieBot,PaintBot, Dualidad, Tirithel, AL-X-OR, Nicop, Pan con queso, Poco a poco, Camilo, AVBOT, Diegusjaimes, Luckas-bot, Jmartinequin-tero, Almonacilo, ArthurBot, ChichoHack, SuperBraulio13, Xqbot, Jkbw, SassoBot, Botarel, Jaime olivares zapiain, Solinem, HoLiC,Edgarhz, TobeBot, Omerta-ve, Abece, PatruBOT, KamikazeBot, Nachosan, GrouchoBot, EmausBot, ZroBot, Sergio Andres Segovia,Elas, WikitanvirBot, Ppenaloza, Bibliolotranstornado, Carliitaeliza, Eupiper, Unatecla, DobleP34, Addbot, Pere Orero y Annimos: 153

10.2 Images Archivo:Red_institucional.jpg Fuente: http://upload.wikimedia.org/wikipedia/commons/0/07/Red_institucional.jpg Licencia: GFDL

Colaboradores: Trabajo propio Artista original: Eupiper Archivo:VLAN.svg Fuente: http://upload.wikimedia.org/wikipedia/commons/e/e8/VLAN.svg Licencia: CC BY 3.0 Colaboradores: Tra-

bajo propio Artista original: Rafax

10.3 Content license Creative Commons Attribution-Share Alike 3.0

Historia Clasificacin Protocolos Gestin de la pertenencia a una VLAN VLAN basadas en el puerto de conexin Diseo de VLANs Comandos IOS Vase tambinReferencias Bibliografa

Text and image sources, contributors, and licensesTextImagesContent license