Guía de segmentación de VLAN: Diseñe, mapee y pruebe su red
Published
Una red puede tener un nombre de WiFi para invitados, una red para el personal y una colección de redes de dispositivos, y aun así dejar que una computadora portátil de un invitado esté a una sola regla permisiva de distancia de un servidor del personal. La lista de VLAN puede parecer ordenada, pero la pregunta útil es si un dispositivo puede alcanzar algo que no debería.
La segmentación por VLAN le ofrece una forma práctica de separar el tráfico en una infraestructura de conmutación compartida. Sin embargo, esto no demuestra que la separación sea segura. Comience identificando los grupos y sus conexiones necesarias, asigne los dispositivos por identidad siempre que sea posible y, a continuación, pruebe las rutas que deben permitirse y bloquearse.
Tabla de contenido
- Un mapa de referencia de VLAN para invitados, personal y dispositivos
- Cómo diseñar segmentos a partir del inventario de sus activos
- Mapeo de identidades a VLAN a través de RADIUS
- Reglas de segmentos que limitan el movimiento lateral
- Mantenga precisas las asignaciones de VLAN a medida que cambian los dispositivos y las personas
- Comprobación de que la segmentación realmente se mantenga
- Confirme el mapa de segmentos y realice una prueba piloto en un sitio
Un mapa de referencia de VLAN para invitados, personal y dispositivos
Una VLAN divide una matriz de conmutación física en dominios de difusión independientes, de modo que los dispositivos de una red lógica no estén automáticamente en otra. IEEE 802.1Q etiqueta las tramas Ethernet con un Identificador de VLAN, o VID, que los switches utilizan para mantener el tráfico asociado con la LAN virtual correcta, como se describe en el estándar IEEE 802.1Q.
A continuación, se presenta un mapa inicial para un recinto con visitantes, personal, dispositivos del edificio, contratistas e inquilinos. Los números de VLAN son asignaciones de ejemplo, no requisitos universales. Los ID de contratista e inquilino se completan como 50 y 60 para mostrar una forma de reservar espacio para los grupos que necesitan su propio segmento.
| Segmento | Red | VLAN | Cómo se unen los dispositivos | Accesible desde esta VLAN |
|---|---|---|---|---|
| Invitados y BYOD | Abierta | 10 | Portal cautivo o Passpoint, con consentimiento registrado | Solo Internet, aislamiento de clientes activado |
| Laptops y teléfonos del personal | Segura | 20 | EAP-TLS mediante MDM, o SSO a través de Entra ID, Okta o Google Workspace | Solo servidores internos y impresoras designados |
| Cerraduras, termostatos, sensores de fugas | xPSK | 40 | Una clave vinculada a MAC por dispositivo | Solo nube del proveedor, inaccesible para invitados |
| Contratistas de mantenimiento | xPSK | 50 | Clave con límite de tiempo, no requiere MDM | Solo los sistemas necesarios para el trabajo, el acceso finaliza el último día del trabajo |
| Inquilinos o concesiones | xPSK | 60 | Una clave por inquilino | Su propia VLAN, independiente de compradores y sistemas del centro |
Trate la tabla como un mapa del acceso previsto, no como una prueba de que el acceso funciona según lo escrito. Las VLAN proporcionan separación lógica y pueden facilitar la operación de una red en crecimiento, pero el VID por sí solo no crea una política de seguridad granular. El trunking, la asignación de puertos de acceso, el enrutamiento y las reglas de límite deben coincidir con el diseño.
Las VLAN siguen siendo una base común: en una encuesta de Omdia realizada a 352 líderes de seguridad de los sectores de salud y manufactura, el 64% utilizaba o planeaba utilizar VLAN. La misma encuesta reveló que casi el 50% había experimentado un incidente que involucró movimiento lateral en el año anterior, un recordatorio de que las zonas de red necesitan controles más allá de la etiqueta de VLAN (informe de microsegmentación de Omdia).
Redacte su propia versión de esta tabla, con propietarios y sistemas alcanzables, antes de modificar cualquier configuración de switch.
Cómo diseñar segmentos a partir de su inventario de activos
Comience con la pregunta que los equipos suelen omitir: ¿qué debe comunicarse con qué? Los números de VLAN vienen después. Asignar ID antes de saber qué dispositivos existen y a qué necesitan llegar genera segmentos difíciles de justificar y más difíciles de mantener.
La guía de CISA para asegurar la infraestructura de red recomienda agrupar dispositivos con propósitos similares y separar componentes con diferentes requisitos de seguridad. Para entornos de mayor riesgo, esto puede significar VLAN independientes de TI y de tecnología operativa, con controles de acceso de Capa 3 y firewalls con reconocimiento de aplicaciones.
Utilice esta secuencia para transformar el inventario en un diseño funcional:
Realice un inventario de dispositivos y propietarios. Liste puntos de enlace, sistemas e interfaces de administración, incluidas cámaras, cajas registradoras, controles de edificios y equipos de red. Registre quién es el propietario de cada activo y quién puede aprobar su acceso. Los dispositivos desconocidos tienden a terminar donde sea que alguien pueda conectarlos a Internet, y así es como heredan accesos que nadie tenía previstos.
Agrupe por propósito y riesgo. Separe los dispositivos de invitados, los puntos de enlace de empleados, los sistemas de pago, las cámaras, los controles de edificios, los servidores y la administración de la red. Las funciones empresariales similares pueden compartir una zona cuando sus necesidades de acceso y su nivel de riesgo sean comparables.
Registre los flujos legítimos mínimos. Para cada conexión requerida, capture el origen, el destino, el protocolo y el puerto. Si el equipo no puede justificar por qué se necesita un flujo, considérelo un candidato para eliminar en lugar de una excepción para permitir.
Cree una VLAN y una subred IP por grupo. Mantenga la tecnología operativa de mayor riesgo separada de la TI cuando el entorno lo requiera. Elija los límites para reflejar las necesidades operativas y de seguridad, no la ubicación física de un switch.
Coloque el enrutamiento entre VLAN en un límite controlado. Enrute a través de un firewall o un punto de control de Capa 3 donde el equipo pueda aplicar políticas. No deje el enrutamiento abierto solo porque las VLAN tengan nombres diferentes.
Deniegue primero y luego agregue excepciones específicas. Limite cada regla aprobada al protocolo, puerto, dirección y destino requeridos. Registre la aprobación de un propietario para cada excepción.
Registre las decisiones de los límites desde el principio. Visibilice los flujos permitidos y denegados para que los equipos puedan revisar lo que hacen las reglas.
Por ejemplo, un grupo de restaurantes podría separar las terminales de punto de venta de las pantallas de la cocina. Si la única interacción requerida es que un sistema POS envíe una transacción a una terminal de tarjeta en un puerto específico, permita únicamente esa ruta en lugar de habilitar un acceso general entre ambas VLAN.
Un esquema de numeración puede facilitar la lectura de la política. Un ejemplo es reservar rangos por zona, como 10 para invitados, 20 para el personal y 40 para dispositivos, dejando espacios libres para grupos posteriores. Hacer coincidir el tercer octeto de una subred con su ID de VLAN también puede simplificar la revisión de las reglas del firewall, siempre que el esquema se adapte al plan de direccionamiento existente.
Para evaluar una regla hoy mismo, pregunte: ¿Puedo nombrar al propietario y el flujo de negocio detrás de ella? Si no es así, no la incluya en el diseño aprobado.
Mapeo de identidades a VLANs a través de RADIUS
Un dispositivo no tiene por qué unirse a la misma VLAN que el resto de los dispositivos de una red inalámbrica compartida. Con la asignación basada en la identidad, la autenticación determina la ubicación en la red.
Qué sucede durante una incorporación
Una incorporación 802.1X típica sigue una secuencia clara. El dispositivo envía una solicitud de autenticación a través del punto de acceso o switch, y la red la reenvía a RADIUS. RADIUS verifica la identidad y, si acepta la solicitud, devuelve los atributos de la VLAN. A continuación, el switch o punto de acceso asigna esa sesión a la VLAN correspondiente.
Los atributos utilizados comúnmente para identificar la VLAN son Tunnel-Type configurado en VLAN, Tunnel-Medium-Type configurado en 802 y Tunnel-Private-Group-ID configurado en el número de VLAN. Esos valores deben coincidir con los ID configurados en la red; una identidad correcta vinculada con un atributo incorrecto puede colocar un dispositivo en el segmento equivocado.
Aplique el mapeo a personas y dispositivos
Para el personal, la EAP-TLS puede utilizar certificados emitidos mediante la gestión de dispositivos móviles. Una computadora portátil corporativa gestionada presenta su certificado durante la autenticación, y la política de identidad puede ubicarla en la VLAN del personal. Esto evita depender de una contraseña compartida de WiFi como base para el acceso.
Una segunda ruta comienza con un proveedor de identidad del personal. La pertenencia a grupos de Entra ID o Okta se puede transmitir a través de SAML y SCIM para que, por ejemplo, un miembro del grupo de Finanzas reciba la VLAN del personal, mientras que un grupo de contratistas reciba su propia VLAN. Para ver más a fondo la parte del control de acceso de esta configuración, consulte WiFi control de acceso y acceso basado en identidad.
Algunos dispositivos no pueden ejecutar 802.1X. Para ellos, una clave vinculada a la dirección MAC puede proporcionar una credencial individual y una asignación de VLAN definida. Utilice una clave por dispositivo cuando necesite revocar un dispositivo sin cambiar el acceso de otros dispositivos que utilizan la misma red.
El acceso condicional y la postura del dispositivo deben formar parte de la decisión de unirse cuando el entorno lo requiera. Si un dispositivo no cumple con una regla requerida, rechácelo en la autenticación en lugar de colocarlo en una VLAN supuestamente más segura y asumir que el riesgo está contenido.
Escriba el mapeo de grupo a atributo a VLAN en una tabla antes de configurar RADIUS. Incluya también el comportamiento de respaldo: si no se puede acceder a RADIUS, una sesión existente permanece conectada, pero los nuevos accesos fallan cerrándose en lugar de terminar en la VLAN del personal. Una cuenta deshabilitada debe ser rechazada en su próximo inicio de sesión, y los registros de autenticación deben registrar cuándo y por qué. La asignación de VLAN se realiza al iniciar sesión; no se reevalúa automáticamente durante la sesión a menos que agregue una política para hacerlo.
Reglas de segmento que limitan el movimiento lateral
Un dispositivo en una VLAN de confianza no es confiable solo por el lugar desde donde se conectó. El NIST distingue la segmentación de red de Zero Trust: las VLAN crean zonas a nivel de subred, mientras que las políticas de acceso a menudo se aplican en los gateways para grupos de hosts. Zero Trust no otorga acceso implícito según la ubicación en la red (NIST Special Publication 800-215).
Utilice una matriz de flujo como política de trabajo. Las condiciones importan tanto como la decisión de permitir o denegar.
| Origen | Destino | Regla | Condición |
|---|---|---|---|
| Invitados (VLAN 10) | Internet | Permitir | El aislamiento de clientes bloquea dispositivos de pares |
| Invitados (VLAN 10) | Personal (VLAN 20) | Denegar | Sin ruta, denegar por defecto |
| Personal (VLAN 20) | Invitados (VLAN 10) | Denegar | Sin ruta, denegar por defecto |
| Personal (VLAN 20) | Servidor de archivos designado | Permitir | Solo los puertos requeridos |
| Dispositivos (VLAN 40) | Nube del proveedor | Permitir | Solo saliente, a destinos fijos |
| Dispositivos (VLAN 40) | Personal (VLAN 20) | Denegar | Controlador alcanzado a través de una puerta de enlace aprobada |
| Contratistas | Controles del edificio | Permitir solo por excepción | Se requiere la aprobación del propietario y una fecha de finalización |
La regla de invitados permite el acceso a internet y, al mismo tiempo, evita que los dispositivos de los invitados inicien conexiones entre sí. Las dos reglas de invitados a personal deniegan el acceso en ambas direcciones en lugar de confiar en la política de una de las partes para proteger a la otra. El personal solo puede acceder a un servidor de archivos designado a través de los puertos que requiere su servicio. Un dispositivo puede contactar de forma saliente el servicio en la nube de su proveedor, pero la conexión del proveedor no debe convertirse en una vía de acceso hacia los dispositivos del personal. Si un contratista necesita acceder a los controles del edificio, otorgue acceso únicamente para el trabajo aprobado y retírelo en la fecha de finalización acordada.
Los controles dentro de una VLAN también son importantes. Por lo general, los dispositivos en la misma VLAN pueden comunicarse entre sí a menos que otro control lo impida. Utilice el aislamiento de clientes en las redes de invitados y de dispositivos donde no se requiera la comunicación entre pares, y configure firewalls de host en los puntos de conexión del personal para limitar las conexiones locales.
Mantenga activas estas salvaguardas a nivel de segmento:
- Remove default access: Coloque los puertos del switch no utilizados fuera de la VLAN predeterminada y desactívelos donde sea práctico.
- Avoid an active native VLAN: Establezca la VLAN nativa en un ID que no esté en uso.
- Limit trunks: Permita únicamente las VLAN requeridas en cada enlace de switch.
- Protect management: Coloque la administración de red en su propia VLAN y no proporcione ninguna ruta hacia ella desde las redes de invitados.
Un mayor número de VLAN no significa automáticamente una mejor seguridad. La guía del NIST respalda el aislamiento de recursos críticos en zonas de confianza independientes y la división progresiva de la infraestructura donde esto mejore la contención y el monitoreo. Sin embargo, zonas más reducidas y basadas en el riesgo pueden ser más seguras y fáciles de operar que una larga lista de VLAN estrechas, siempre que su cumplimiento considere la identidad y las políticas. En una encuesta de Omdia realizada a líderes de seguridad de los sectores de salud y manufactura, el 99% estaba implementando o planeando la microsegmentación, mientras que solo el 9% la tenía protegiendo sus sistemas críticos (Encuesta de Omdia sobre la brecha de microsegmentación).
Como regla práctica, si dos grupos tienen los mismos requisitos de acceso y riesgo, pueden pertenecer a una misma zona. Para obtener más detalles sobre cómo aislar el acceso de los visitantes, consulte esta guía sobre la seguridad de redes de WiFi para invitados.
Cómo mantener precisas las asignaciones de VLAN a medida que cambian las personas y los dispositivos
Un empleado renuncia, un contratista finaliza un trabajo o se reemplaza una cerradura. Cada cambio puede dejar una credencial desactualizada vinculada a una VLAN, por lo que los registros de acceso deben seguir la identidad y el ciclo de vida de cada persona o dispositivo.
| Evento | Acción | Temporalidad | Efecto en el acceso |
|---|---|---|---|
| El empleado se retira | Desactivar la cuenta; RADIUS rechaza la siguiente conexión | El mismo día | Finaliza el acceso a la VLAN del personal |
| Dispositivo reemplazado | Revocar la clave vinculada a MAC y emitir una nueva | Antes de la instalación | El reemplazo se une a su VLAN de clase de dispositivo |
| El invitado de estancia prolongada realiza el check-out | La clave expira en la fecha de finalización establecida en la emisión | Fecha de finalización | Finaliza el acceso a la VLAN del invitado |
| Concluye el trabajo del contratista | La clave con límite de tiempo expira | Último día del trabajo | Finaliza el acceso a la VLAN del contratista |
| El inquilino se desocupa | Revocar únicamente la clave de ese inquilino | Al momento de la desocupación | Los demás inquilinos permanecen conectados |
Una cerradura de edificio con una clave vinculada a MAC conserva su clave y VLAN durante la rotación de huéspedes. La credencial pertenece al hardware, no al huésped que se retira. Revóquela cuando se reemplace la cerradura, no cuando un huésped haga su check-out.
Para activos de alto riesgo, como controles de edificios y sistemas de pago, exija un control de cambios explícito antes de modificar una asignación de VLAN. Para el acceso de WiFi para invitados u otros accesos temporales, configure una fecha de vencimiento en las credenciales para que el acceso finalice sin depender de una limpieza manual.
En múltiples sitios, mantenga un plan de VLAN compartido y registre en él las diferencias locales legítimas. De lo contrario, las configuraciones de los switches pueden convertirse en el único registro de cómo está establecida una ubicación. Revise regularmente las excepciones y las claves no utilizadas, y elimine aquellas que no tengan un propietario actual. Evalúe el proceso en función de si las identidades aún se mapean a los segmentos previstos y si el acceso finaliza cuando debería, no por la cantidad de VLAN en el mapa.
Pruebas para verificar que la segmentación realmente se mantenga
Pruebe la alcanzabilidad, no la cantidad de VLAN. Para cada ruta prevista, verifique que la conexión permitida funcione y que las rutas prohibidas fallen desde el dispositivo o segmento que iniciaría el tráfico.
| Prueba | Desde | Hasta | Aprobada cuando |
|---|---|---|---|
| Alcance lateral | Invitados VLAN 10 | Personal VLAN 20 | Ninguna conexión tiene éxito |
| Alcance entre pares en invitados VLAN | Dispositivo de invitado A | Dispositivo de invitado B | Bloqueado por aislamiento de cliente |
| Fuga de trunk | Puerto de acceso | Sin usar VLAN | Ningún marco está etiquetado para la no utilizada VLAN |
| Exposición del dispositivo | Invitados VLAN 10 | Controlador de cerradura | Se rechaza la conexión |
| Verificación de excepciones | Personal VLAN 20 | Servidor de archivos designado | Solo el puerto aprobado está abierto |
La separación lógica puede fallar a causa de errores comunes de configuración. Un trunk puede transportar tráfico para VLAN que no corresponden a ese enlace. Una VLAN nativa puede exponer el tráfico de forma imprevista. Un puerto de switch no administrado puede colocar un dispositivo en la VLAN predeterminada, mientras que un enrutamiento permisivo o una regla de firewall demasiado amplia pueden reabrir rutas que el diseño pretendía bloquear.
Utilice tres verificaciones y luego vuelva a probar los cambios
En primer lugar, realice una revisión de configuración autenticada de switches y firewalls. Verifique la pertenencia a la VLAN en los puertos de acceso, las VLAN permitidas en los trunks, la VLAN nativa, las interfaces de enrutamiento y las reglas que permiten el tráfico entre VLAN.
En segundo lugar, ejecute análisis de vulnerabilidades en cada segmento. Un análisis puede revelar sistemas que no deberían estar presentes, servicios expuestos que requieren revisión y diferencias entre el mapa previsto y la red implementada.
En tercer lugar, organice una prueba de penetración que intente el movimiento lateral desde cada VLAN de menor confianza hacia zonas de mayor confianza. Una prueba debe ejercitar rutas realistas, no solo confirmar que la red tiene nombres de VLAN separados. Para obtener orientación sobre cómo verificar la ruta de autenticación en sí, consulte cómo probar la autenticación de RADIUS.
Después de un cambio de firewall para un proveedor de punto de venta, vuelva a probar desde la VLAN de invitados hacia el sistema POS y confirme que el tráfico de invitados siga bloqueado. Luego pruebe la excepción del proveedor desde su origen aprobado y confirme que solo su puerto aprobado esté abierto.
Ejecute estas verificaciones después de cada cambio relevante:
- Verify allowed paths: Confirme que las aplicaciones requeridas aún se conecten.
- Verify denied paths: Intente conexiones que, según las políticas, deban fallar.
- Check port and VLAN assignment: Confirme que los dispositivos de prueba queden en el segmento previsto.
- Review boundary logs: Confirme que las decisiones permitidas y denegadas queden registradas.
- Record approval: Mantenga un propietario y una razón para cada excepción activa.
Considere que una prueba fue aprobada solo cuando las rutas no autorizadas fallen, las decisiones de límite queden registradas en la bitácora y cada excepción tenga un propietario documentado. Cuando una prueba falle, corrija la regla y vuelva a ejecutar la misma prueba antes de cerrar el ticket.
Confirme el mapa de segmentos y realice una prueba piloto en un sitio
Un despliegue confiable comienza con un mapa acordado y un sitio donde el equipo pueda verificar el diseño con dispositivos reales. Utilice esta ruta de decisión:
- Confirme cada grupo con su propietario. Asocie el grupo a una VLAN, a una fuente de identidad y a los sistemas a los que necesita acceder.
- Utilice el planificador. Marque lo que se conecta a la red hoy mismo y verifique dónde quedaría cada grupo en las tres redes.
- Realice una prueba piloto en una ubicación. Ejecute las pruebas de alcanzabilidad con los propietarios del sitio y confirme que los servicios cotidianos sigan funcionando.
- Realice el despliegue únicamente tras aprobar el piloto. Mantenga las excepciones vinculadas a propietarios designados antes de aplicar la configuración en otros lugares.
Purple Access utiliza tres SSID en lugar de siete, donde la identidad determina la VLAN y cada residente, inquilino o grupo de dispositivos se ubica en su propio segmento. Su planificador permite a los equipos mapear lo que se conecta hoy en día a las tres redes, y las sesiones de diseño de expertos permiten revisar el plan antes del despliegue.
Un VLAN es un límite que debe probar, no una etiqueta que asigna.
Ejecute el planificador o reserve una sesión de diseño antes de cambiar la configuración del switch.
Purple Access puede vincular redes abiertas, seguras y de xPSK a asignaciones de VLAN basadas en la identidad en los puntos de acceso existentes, con registro de auditoría y revocación. Utilice el planificador de Purple Access para mapear sus grupos de dispositivos actuales y, a continuación, valide las reglas de accesibilidad antes del despliegue.
