Qué es una VLAN y cómo segmentar la red con el cortafuegos

Una VLAN (Virtual LAN, red local virtual) permite que un solo switch lleve varias redes separadas, como si fueran varios switches. Así puedes tener los ordenadores en una red, los servidores en otra y las impresoras en otra, por los mismos cables y sin comprar más aparatos.

Separar no es filtrar. Para que una VLAN hable con otra, el tráfico tiene que pasar por un cortafuegos o un router, y es ahí donde decides qué se permite.

Para qué sirve separar la red

El motivo principal es frenar a un atacante que ya está dentro. La NSA explica que suelen empezar por los equipos más fáciles de explotar, como una impresora, y usan ese acceso para saltar a los demás. Segmentar bien reduce mucho esa posibilidad y, además, hace más fácil gestionar y vigilar los permisos entre grupos de equipos.

Por eso recomienda aislar los sistemas parecidos en subredes o VLAN distintas: puestos de trabajo, servidores, impresoras, telefonía y otros periféricos, cada uno por su lado.

Cómo funciona

Cada VLAN tiene un número, entre 1 y 4094. El estándar que lo define se llama 802.1Q: añade al tráfico una etiqueta de 4 bytes con ese número, y así el equipo que lo recibe sabe a qué VLAN pertenece.

Hay dos tipos de puerto, y entender la diferencia es casi todo lo que necesitas:

Gracias a los troncales, dos equipos de la misma VLAN pueden estar en switches distintos. Y por el mismo motivo, un solo cable entre el switch y el cortafuegos puede llevar todas las VLAN.

Qué necesitas: un switch gestionable compatible con 802.1Q. La documentación de pfSense avisa de que las VLAN no se pueden usar con un switch no gestionable, de los que se conectan y funcionan sin configurar nada.

Dónde entra el cortafuegos

Un equipo de una VLAN no llega a otra por sí solo. El cortafuegos se conecta al switch por un puerto troncal y tiene una interfaz virtual por cada VLAN. En pfSense, por ejemplo, la VLAN 20 sobre la interfaz igb0 se llama igb0.20.

A partir de ahí, cada VLAN se trata como una red más, y puedes escribir reglas entre ellas. La NSA pide permitir solo los puertos y protocolos necesarios, y eso encaja con lo que hace un cortafuegos configurado para denegar por defecto: la red de invitados no llega a nada interno, y los ordenadores llegan a la impresora solo por los puertos de impresión.

La NSA también admite otra opción: aplicar listas de control de acceso (ACL) directamente en los switches, o en los routers donde se enruta entre subredes.

Los pasos, a grandes rasgos

La documentación de pfSense los resume así, con la advertencia de que es la configuración mínima para que funcione, no la más segura:

1. Crear las VLAN en el switch.
2. Configurar como troncal el puerto al que va el cortafuegos, con las VLAN que vaya a llevar, etiquetadas.
3. Configurar los puertos de acceso para los equipos, cada uno en su VLAN y sin etiqueta.
4. Configurar el PVID de los puertos de acceso, si tu switch lo pide: indica a qué VLAN va lo que entra por ese puerto.

En el cortafuegos falta crear las interfaces, dar a cada una su subred y escribir las reglas. Un truco que recoge la misma documentación es usar como número de VLAN el tercer número de su subred: 10.0.10.0/24 sería la VLAN 10, 10.0.20.0/24 la VLAN 20, y así es más fácil de recordar.

Un ejemplo para una oficina pequeña

Este reparto es solo una propuesta de esta web, basada en los grupos que separa la NSA. Adáptalo a lo que tengas:

Si tienes servidores que dan servicio hacia internet, lo que necesitas es una DMZ, que puede ser una VLAN más o ir en un switch aparte, según el riesgo, como se explica a continuación.

Ten en cuenta que todo lo que pasa de una VLAN a otra atraviesa el cortafuegos. Si entre ordenadores y servidores mueves muchos datos, ese tráfico depende de la velocidad del cortafuegos con sus funciones activadas y de la del cable troncal.

Una VLAN no es una barrera por sí sola

Netgate lo plantea así: las VLAN no son inseguras por naturaleza, pero una mala configuración puede dejar la red vulnerable. La NSA y Netgate coinciden en buena parte de lo que hay que hacer.

Lo que tiene distinto nivel de confianza, en switches distintos

Un error de configuración en el switch puede juntar lo que creías separado. Netgate pone el ejemplo claro: si el mismo switch lleva con VLAN la red interna y el lado de internet, un fallo puede meter tráfico de internet sin filtrar en la red interna. Pide, como mínimo, dos switches: uno fuera del cortafuegos y otro dentro. Según el caso, una DMZ puede ir en un tercero.

La NSA va en la misma línea: recomienda varios switches para separar distintos niveles de seguridad, y explica que la separación física protege más, porque el atacante tendría que comprometer el aparato que hay en medio. Las redes industriales, por ejemplo, suelen necesitar aislarse de las demás.

Lo que hay que configurar en el switch

Si tu organización está obligada al ENS

El Esquema Nacional de Seguridad trata esto en la medida mp.com.4, separación de flujos en la red, cuyo primer refuerzo pide redes virtuales con subredes separadas al menos para usuarios, servicios y administración. Los demás refuerzos llegan hasta la segmentación física y el control de lo que entra y sale de cada segmento. Tienes el detalle en la guía del ENS y los cortafuegos.

Cómo empezar, si te compensa

Este orden es criterio de esta web, no de las fuentes citadas:

1. Dibuja la red actual: qué equipos hay, qué hablan entre ellos y por qué puertos. Sin eso, las reglas romperán algo.
2. Comprueba el material: si el switch es gestionable y si el cortafuegos admite VLAN y da la velocidad que necesitas.
3. Empieza por lo que menos riesgo tiene: la wifi de invitados es un buen primer paso, porque no toca lo que ya funciona.
4. Separa la administración, para que los switches y los puntos de acceso no se gestionen desde cualquier puesto.
5. Mueve los grupos de uno en uno, y cierra las reglas cuando sepas qué tráfico es necesario.
6. Revisa la configuración del switch con la tabla de arriba y guarda una copia antes de cada cambio.