VLAN

Una VLAN (LAN virtual) hace que un mismo conjunto de cables y switches se comporte como varias redes independientes. Una oficina puede conectar a todos en los mismos switches y, aun así, poner las notebooks del personal en una VLAN, el Wi-Fi de invitados en otra y las cámaras de seguridad en una tercera. Los equipos de una VLAN se ven entre sí como si compartieran una red privada, y a los demás directamente no los ven.

Funciona etiquetando el tráfico. Cada boca del switch se asigna a una VLAN, y cuando las tramas viajan entre switches por un enlace compartido (un trunk), cada una lleva una etiquetita con su número de VLAN, definida por el estándar 802.1Q. La etiqueta tiene lugar para unas 4.000 VLANs distintas, aproximadamente. Un switch nunca entrega una trama a una boca de otra VLAN, así que los broadcasts y el fisgoneo casual quedan dentro de cada grupo.

Para pasar de una VLAN a otra, el tráfico tiene que atravesar un router o un firewall, y esa es la gracia: se vuelve un punto de control donde podés escribir reglas como 'las cámaras solo pueden hablar con el servidor de grabación'. A esto se lo llama segmentación de red. Limita el daño cuando un equipo queda comprometido, contiene el tráfico ruidoso y permite reorganizar quién va dónde sin recablear el edificio.

Las VLANs son una herramienta de separación, no una garantía de seguridad por sí solas. Un trunk mal configurado puede dejar pasar tráfico entre grupos, así que los segmentos sensibles suman reglas de firewall y monitoreo. En la nube la misma idea aparece como redes virtuales y subredes, configuradas enteramente por software.