Interconectividad - VLAN

INTERCONECTIVIDAD VLAN · ENCAPSULAMIENTO 802.1Q · SEGURIDAD DE PUERTOS E-BOOK DE SÍNTESIS · REDES CONMUTADAS

Material de consolidación para cursos de redes e interconectividad Nivel universitario · Basado en documentación oficial de Cisco

LUIS CARLOS CASTIBLANCO YATE MAGÍSTER EN INFORMÁTICA EDUCATIVA · INSTRUCTOR CISCO NETWORKING ACADEMY Bogotá D.C. · 2026

PRESENTACIÓN

Cómo usar este e-book Este e-book consolida tres temáticas centrales de la conmutación en capa 2: la creación de VLAN, el encapsulamiento IEEE 802.1Q y la seguridad de puertos (port security). Cada capítulo reúne un resumen ejecutivo, los conceptos clave, los comandos de Cisco IOS listos para practicar en Packet Tracer o en equipos reales, y cierra con una autoevaluación.

En la versión interactiva (Issuu) puede hojear las páginas, hacer zoom sobre los diagramas y navegar el índice. Se recomienda tener a mano un switch (físico o simulado) para replicar cada bloque de comandos a medida que avanza la lectura.

CONTENIDO 01

VLAN: segmentación lógica de la red

3

02

Encapsulamiento IEEE 802.1Q y enlaces troncales

5

03

Seguridad de puertos en el switch

7

—

Mapa conceptual integrador

9

—

Autoevaluación

10

—

Glosario y clave de respuestas

11

—

Referencias (APA 7)

12

—2—

Interconectividad · E-book de síntesis

CAPÍTULO 01

VLAN: segmentación lógica Una VLAN (Virtual Local Area Network) divide un switch físico en varios dominios de difusión lógicos e independientes. Los dispositivos de una VLAN se comunican como si compartieran un switch propio, sin importar su ubicación física. Esta segmentación reduce el tráfico de difusión (broadcast), mejora la seguridad al aislar grupos de usuarios y simplifica la administración de la red (Cisco Systems, 2019).

Tipos de VLAN Tipo

Función

Datos

Tráfico generado por los usuarios

Voz

Telefonía IP con prioridad de calidad de servicio (QoS)

Administración

Gestión remota del switch (SSH, SNMP)

Nativa

Tráfico sin etiqueta en los enlaces troncales 802.1Q

Por defecto

VLAN 1: todos los puertos al inicio; evitar su uso en producción

Rangos de VLAN en switches Catalyst Rango

Detalle

Normal: 1 – 1005

Se guarda en vlan.dat; 1002-1005 reservadas (Token Ring/FDDI)

Extendido: 1006 – 4094

Para proveedores y redes de gran escala

Dato clave: el campo VID de 802.1Q usa 12 bits, por eso el límite teórico es 4094 VLANs.

—3—

Interconectividad · E-book de síntesis

CAPÍTULO 01

VLAN: configuración y verificación CLI · Crear una VLAN y asignar un puerto de acceso

S1(config)# vlan 10 S1(config-vlan)# name VENTAS S1(config-vlan)# exit S1(config)# interface fastethernet 0/6 S1(config-if)# switchport mode access S1(config-if)# switchport access vlan 10 ! El puerto f0/6 queda asignado a la VLAN 10 (VENTAS)

CLI · VLAN de voz

S1(config-if)# mls qos trust cos S1(config-if)# switchport voice vlan 150 ! VLAN de voz para telefonía IP en el mismo puerto

CLI · Verificación

S1# show vlan brief S1# show interfaces f0/6 switchport S1# show mac address-table ! Verifican VLANs creadas, modo del puerto y MAC aprendidas

Buenas prácticas · No usar la VLAN 1 para datos, voz ni administración. · Crear una VLAN «agujero negro» (blackhole) y asignar allí los puertos sin uso, apagados. · Documentar el nombre y propósito de cada VLAN en la bitácora de red.

—4—

Interconectividad · E-book de síntesis

CAPÍTULO 02

Encapsulamiento IEEE 802.1Q Un enlace troncal (trunk) es un enlace punto a punto que transporta el tráfico de varias VLAN entre switches. Para distinguir a qué VLAN pertenece cada trama, el estándar IEEE 802.1Q inserta una etiqueta de 4 bytes dentro de la trama Ethernet, entre la dirección MAC de origen y el campo Tipo/Longitud (Cisco Systems, 2019).

Anatomía de la trama etiquetada MAC destino

MAC origen

TAG 802.1Q

Tipo/Long

Datos

TPID = 0x8100

PCP

DEI

VID (VLAN ID)

16 bits

3 bits

1 bit

12 bits

FCS

El TPID (Tag Protocol Identifier) con valor 0x8100 anuncia que la trama está etiquetada; el PCP transporta la prioridad de clase de servicio y el VID identifica la VLAN con 12 bits, es decir, hasta 4094 identificadores útiles.

La VLAN nativa viaja SIN etiqueta por el troncal y debe coincidir en ambos extremos.

—5—

Interconectividad · E-book de síntesis

CAPÍTULO 02

Troncales: DTP y configuración El protocolo DTP (Dynamic Trunking Protocol) negocia automáticamente el modo del enlace.

En redes de producción se recomienda fijar el modo de forma manual y desactivar la negociación en los puertos hacia usuarios finales (Cisco Systems, 2014).

Modo del puerto

Comportamiento

dynamic auto

Espera negociación; no inicia (modo por defecto en 2960)

dynamic desirable

Solicita activamente formar troncal

trunk

Troncal permanente

access

Puerto de acceso permanente; nunca negocia troncal

CLI · Configurar el enlace troncal 802.1Q

S1(config)# interface gigabitethernet 0/1 S1(config-if)# switchport mode trunk S1(config-if)# switchport trunk native vlan 99 S1(config-if)# switchport trunk allowed vlan 10,20,99 S1(config-if)# switchport nonegotiate ! Troncal 802.1Q con VLAN nativa 99 y lista de VLANs permitidas

CLI · Verificación del troncal

S1# show interfaces trunk S1# show interfaces g0/1 switchport ! Estado del troncal, encapsulamiento y VLAN nativa

Una VLAN nativa distinta en cada extremo genera fugas de tráfico y bucles de spanning tree.

—6—

Interconectividad · E-book de síntesis

CAPÍTULO 03

Seguridad de puertos (port security) Port security limita cuántas direcciones MAC pueden usar un puerto de acceso y qué ocurre cuando aparece una MAC no autorizada. Mitiga ataques de saturación de la tabla MAC (MAC flooding) y conexiones de equipos no autorizados. El puerto debe configurarse antes como puerto de acceso o troncal estático: no funciona en modo dynamic (Cisco Systems, 2014).

Métodos de aprendizaje de direcciones MAC Método

Detalle

Estático

Se escribe manualmente; se guarda en la running-config

Dinámico

Se aprende del tráfico; se pierde al reiniciar

Sticky

Se aprende del tráfico y se copia a la running-config

Modos de violación Modo

Descarta

Syslog/Contador

Apaga el puerto

protect

Sí

No

No

restrict

Sí

Sí

No

shutdown (defecto)

Sí

Sí

Sí → err-disabled

En modo shutdown el puerto queda en err-disabled y requiere intervención del administrador.

—7—

Interconectividad · E-book de síntesis

CAPÍTULO 03

Port security: configuración CLI · Habilitar port security

S1(config)# interface fastethernet 0/5 S1(config-if)# switchport mode access S1(config-if)# switchport port-security S1(config-if)# switchport port-security maximum 2 S1(config-if)# switchport port-security mac-address sticky S1(config-if)# switchport port-security violation restrict ! Máximo 2 MAC, aprendizaje sticky y violación en modo restrict

CLI · Verificación

S1# show port-security S1# show port-security interface f0/5 S1# show port-security address ! Estado global, detalle por interfaz y MAC seguras aprendidas

CLI · Recuperar un puerto err-disabled

S1# show interfaces f0/5 | include err S1(config)# interface f0/5 S1(config-if)# shutdown S1(config-if)# no shutdown ! Recuperación manual de un puerto en err-disabled

Complementos recomendados: apagar los puertos sin uso, asignarlos a una VLAN blackhole y habilitar la recuperación automática con errdisable recovery cause psecure-violation.

—8—

Interconectividad · E-book de síntesis

SÍNTESIS

Mapa conceptual integrador

Interconectividad en capa 2

se implementa mediante

se protege con

VLAN

segmenta

Dominios de difusión

se clasifica en

Port Security

se extiende entre switches por

Datos · Voz · Nativa · Administración

limita por puerto las responde a violaciones con

Enlaces troncales (trunk)

Direcciones MAC

Protect · Restrict · Shutdown

usan el encapsulamiento

se aprenden de forma

en modo shutdown deja el puerto en

IEEE 802.1Q

Estática · Dinámica · Sticky

Estado err-disabled

inserta en la trama

no etiqueta a la

Etiqueta de 4 bytes

VLAN nativa

contiene

TPID 0x8100 + VID (12 bits)

Mapa conceptual · Interconectividad: VLAN, encapsulamiento 802.1Q y seguridad de puertos

Luis Carlos Castiblanco Yate · Magíster en Informática Educativa · 2026

Lea el mapa siguiendo las proposiciones: cada pareja de conceptos unida por una palabra de enlace forma una afirmación completa (Novak y Cañas, 2008). Por ejemplo: «los enlaces troncales usan el encapsulamiento IEEE 802.1Q», o «Port Security responde a violaciones con protect, restrict o shutdown».

Ejercicio: reconstruya el mapa de memoria y agregue dos conceptos nuevos con sus enlaces.

—9—

Interconectividad · E-book de síntesis

CIERRE

Autoevaluación Responda antes de consultar la clave (página 11).

1. ¿Qué problema resuelve la segmentación con VLANs en una red plana? a) La falta de direcciones MAC b) El exceso de tráfico de difusión y la ausencia de aislamiento entre grupos c) La velocidad de los enlaces de fibra

2. ¿Qué campo de la etiqueta 802.1Q identifica a la VLAN y qué tamaño tiene? a) TPID, 16 bits b) PCP, 3 bits c) VID, 12 bits

3. ¿Qué sucede si la VLAN nativa difiere en los dos extremos de un troncal? a) Nada: DTP la corrige b) Fugas de tráfico entre VLANs y posibles bucles c) El troncal aumenta su velocidad

4. ¿Qué modo de violación descarta tráfico, genera syslog y NO apaga el puerto? a) protect b) restrict c) shutdown

5. ¿Qué comando guarda las MAC aprendidas dinámicamente en la running-config? a) switchport port-security mac-address sticky b) mac address-table static c) switchport port-security maximum

— 10 —

Interconectividad · E-book de síntesis

CIERRE

Glosario y clave de respuestas VLAN

Red de área local virtual: dominio de difusión lógico dentro del switch.

Trunk (troncal)

Enlace punto a punto que transporta varias VLAN etiquetadas.

IEEE 802.1Q

Estándar de etiquetado de tramas para troncales; etiqueta de 4 bytes.

TPID

Identificador de protocolo de la etiqueta (0x8100).

VID

Identificador de VLAN dentro de la etiqueta; 12 bits.

VLAN nativa

VLAN cuyo tráfico viaja sin etiqueta por el troncal.

DTP

Protocolo propietario de Cisco que negocia el modo troncal.

Port security

Función que limita las MAC permitidas por puerto.

Sticky

Aprendizaje dinámico que persiste en la running-config.

err-disabled

Estado de error que inhabilita el puerto tras una violación.

CLAVE DE LA AUTOEVALUACIÓN 1·b

2·c

3·b

4·b

5·a

— 11 —

Interconectividad · E-book de síntesis

REFERENCIAS

Referencias (APA 7) Buzan, T., y Buzan, B. (2017). El libro de los mapas mentales. Urano.

Cisco Systems. (2014). Software configuration guide, Cisco IOS Release 15.2(2)E (Catalyst 2960, 2960-S, 2960-SF and 2960-Plus switches). https://www.cisco.com/c/en/us/t d/docs/switches/lan/catalyst2960/software/release/152_2_e/configuration/guide/b_1522e_2960_2960c_2960s_2960sf_2960p_cg/b_1522e_2960_2960c_29 60s_2960sf_2960p_cg_chapter_01101.html Cisco Systems. (2019). VLAN configuration guide, Cisco IOS Release 15.2(7)Ex (Catalyst 1000 switches): Configuring VLAN trunks. https://www.cisco.com/c/en/us/td/docs/switches/ lan/catalyst1000/software/releases/15_2_7_e/configuration_guides/vlan/b_1527e_vlan_c1000 _cg/configuring_vlan_trunks.html Cisco Systems. (s.f.). Configure 802.1Q trunking between Catalyst switches (Documento 10599). https://www.cisco.com/c/en/us/support/docs/switches/catalyst-6000-seriesswitches/10599-88.html Novak, J. D., y Cañas, A. J. (2008). The theory underlying concept maps and how to construct and use them (Technical Report IHMC CmapTools 2006-01 Rev 01-2008). Florida Institute for Human and Machine Cognition. https://cmap.ihmc.us/Publications/ResearchPapers/TheoryUnderlyingConceptMaps.pdf

LUIS CARLOS CASTIBLANCO YATE DOCTORADO EN TECNOLOGÍA EDUCATIVA · UNIVERSIDAD DAVINCI Material educativo de síntesis · Uso académico · 2026

— 12 —

Interconectividad · E-book de síntesis