Un cable, dos redes
Contabilidad y las visitas comparten el mismo switch y el mismo cable. Al terminar podrás explicar por qué aun así no se ven, y configurarlo como en Packet Tracer.
Primero, la idea completa
Mira el video entero o salta a la parte que quieras repasar. Después, cada idea tiene su propia escena para tocarla.
Un switch nuevo es un salón sin paredes
Para entregar una trama, una computadora necesita la dirección física (MAC) del destino. Si no la conoce, grita: envía una trama de difusión (broadcast) que dice “¿quién tiene la IP 192.168.10.11?”. Así funciona ARP, y DHCP hace algo parecido cuando un equipo pide dirección.
Un switch recién sacado de la caja pone todos sus puertos en la misma red local (la VLAN 1). Por eso una difusión sale por todos los puertos, menos por el que entró. Todos la escuchan, incluida la PC donde se pagan los sueldos.
Toca cualquier equipo para que grite una difusión. Cuenta quién la escucha.
Ese grito no lleva datos de la nómina, pero revela qué equipos existen y sus direcciones. Y desde una red compartida es más fácil intentar ataques como el envenenamiento ARP. La solución no es comprar otro switch para cada área: es dividir lógicamente el que ya tienes.
02 · La ideaPulseras de colores
En un concierto con zonas, en la entrada te ponen una pulsera. Desde ese momento solo puedes pasar a las zonas de tu color, aunque todos caminen por los mismos pasillos.
Una VLAN (LAN virtual) hace lo mismo con los puertos del switch: crea redes lógicamente independientes dentro de la misma red física. Cada VLAN se identifica con un número: aquí usaremos VLAN 10 · Contabilidad y VLAN 20 · Visitas.
03 · El mecanismo, parte 1Puerto de acceso: la entrada que pone la pulsera
Un puerto en modo acceso pertenece a una sola VLAN y es el que usamos para conectar dispositivos finales. Las tramas que entran y salen por él no llevan etiqueta: la PC no sabe nada de VLAN. Es el switch el que recuerda “todo lo que entra por Fa0/3 es de la VLAN 20”.
Desde ese momento, el switch solo reenvía una trama a los puertos de la misma VLAN. La difusión de una visita se queda entre las visitas.
Toca los puertos del switch para cambiar su VLAN (1 → 10 → 20). Luego haz gritar a una visita.
interface fa0/3switchport mode accessswitchport access vlan 20Troncal: muchas VLAN por un solo cable
Ahora hay dos pisos y cada uno tiene su switch. Podrías tender un cable por VLAN entre ellos, pero con 10 áreas serían 10 cables. Lo que se hace es configurar el enlace entre switches como troncal (trunk): un puerto que deja pasar el tráfico de varias VLAN.
Para que el switch del otro lado sepa de qué color es cada trama, al salir por el troncal se le inserta una etiqueta 802.1Q de 4 bytes entre las direcciones y el campo de tipo. Dentro de ella, el número de VLAN (VID) ocupa 12 bits. Al llegar, el otro switch lee la etiqueta, la quita y entrega la trama solo a los puertos de esa VLAN.
Cambia por dónde sale la trama y mueve el número de VLAN. Observa qué cambia en la trama y en los 12 bits.
El troncal también tiene una lista de VLAN permitidas. Por defecto lo deja pasar todo; la buena práctica es permitir solo las necesarias:
switchport mode trunkswitchport trunk allowed vlan 10,20
El cable está perfecto y aun así no hay red
Casi todos los problemas de VLAN se ven igual: “no hay conexión”. Antes de leer la respuesta, predice.
06 · ¿Y si sí necesitan hablar?Entre VLAN solo se pasa por capa 3
Cada VLAN es su propia red, normalmente con su propia subred IP: 192.168.10.0/24 y 192.168.20.0/24. Un switch de capa 2 nunca pasa una trama de una VLAN a otra. Si contabilidad necesita imprimir en una impresora de otra VLAN, hace falta un router o un switch de capa 3 que haga enrutamiento entre VLAN (intervlan). Se activa con ip routing y una interfaz interface vlan 10 con su IP, que es la puerta de enlace de esa VLAN. Y ahí sí puedes decidir con reglas quién pasa y quién no.
En Packet Tracer,
show vlan brief te dice en qué VLAN está cada puerto de acceso, y show interfaces trunk qué VLAN deja pasar cada troncal. Con esos dos comandos se diagnostica casi cualquier avería de esta lección. En el laboratorio de abajo funcionan igual.Tu turno: dos pisos, dos switches, un troncal
Todo empieza como sale de fábrica: todos los puertos en VLAN 1. Configura tocando los puertos o escribiendo comandos de Cisco en la consola (acepta abreviaturas como int fa0/3 o sw mo tr). Cada clic escribe en la consola el comando equivalente. Envía con Difusión o con Unicast (elige origen y destino).
Comprueba lo que entendiste
Cada respuesta incorrecta explica por qué parece correcta y en qué falla.