Segmentación de redes: Configuración de dispositivos de red II de III

Dispositivos de capa 2.

     Ya vimos la semana pasada como configurar nuestros clientes para trabajar con Vlan´s, y como estos quedaban automáticamente configurados sin necesidad de mucho esfuerzo. Ahora es el momento de configurar nuestros switchs para poder trabajar correctamente.

clip_image001

     Si retomamos la imagen de arriba, ahora nos centramos en las configuraciones correspondientes a la capa 2. Como podéis observar podemos diferenciar dos tipos de enlaces:

  • Los correspondientes a los clientes.
  • Los correspondientes a los dispositivos de capa 3.

     La diferencia de estos dos tipos de enlaces es muy simple, si establecemos una comunicación desde el primer cliente de la izquierda hacia el ultimo cliente, el camino que seguirá contara de 4 saltos:

  • Cliente origen – Switch capa 2.
  • Switch capa 2 – swtich capa 3.
  • Switch capa 3 – switch capa 2.
  • Switch capa 2 – cliente destino.

     Siguiendo los saltos, mirando la imagen y teniendo en cuenta que los clientes conectados al primer switch de la derecha esta cada uno en un Vlan diferente, diferenciamos 3 enlaces:

  • Dos para clientes, de los cuales cada enlace tendrá pertenencia a la Vlan correspondiente.
  • Uno para comunicación con el switch de capa 3, este enlace debe ser capaz de retransmitir tramas sea cual sea el vlan ID que contenga.

     Antes de poder asignar la pertenencia a vlan de una interfaz deberemos realizar unos pasos previos.

Generación de Vlan´s.

     Para poder asignar una interfaz a una vlan, primero debemos contar con las vlan necesarias para ello, deberemos crearlas en nuestro swtich. Este paso es muy sencillo, tan solo deberemos acceder a nuestros dispositivos y generar las vlan que necesitemos. Normalmente podemos hacerlos desde línea de comandos o desde la interfaz gráfica del dispositivo, generando así en cada dispositivo las vlan necesarias.

     En redes amplias puede llegar a ser muy tedioso ir uno a uno por cada switch generando las vlan correspondientes, así que es más que recomendable, a la hora de comprar este tipo de dispositivos, tener en cuenta que este cuenta con algún protocolo de transmisión, como por ejemplo VTP, protocolo propietario de cisco que se encarga de pasar la base de datos de vlan entre dispositivos de red. También es posible “jugar” con los archivos de configuración de los para este propósito, podemos maquetar un switch con todas la vlan necesarias para nuestra infraestructura, exportar la configuración e irla cargando en el resto de switchs, pero tenéis que tener en cuenta todos los parámetros que se pasan con la configuración o editar, si es posible dicho archivo.

     Una vez hemos generado las vlan necesarias en los dispositivos pasaremos al siguiente paso.

Configuración de puertos de acceso.

     Los puertos de acceso, como su nombre indica, son los encargados de dar acceso a nuestros clientes a la red. Deberemos tener en cuenta unas cuantas cosas:

  • Un cliente solo puede pertenecer a una vlan, ya que los puertos configurados para acceso etiquetaran las tramas con el vlan Id que corresponda.
  • Debemos tener en cuenta ciertos dispositivos como servidores o cabinas de datos, si estos solo va a dar servicio a una vlan, podremos configurar los puertos que comuniquen con este como puertos de acceso, en el caso contrario, es decir, que el acceso a estos sea compartido entre las diferentes vlan no podrán ser configurados como puertos de acceso. Particularmente, a mí me gusta tomar una “solución mixta” por diferentes motivos, dicha solución es tener los servidores aislados en una o varias vlan específicas para este tipo de dispositivos, teniendo los dispositivos dedicados a dar servicios en estas, aislándolos un poquito y pudiendo controlar mediante acls entre las diferentes vlan el acceso a los mismos.

     Una vez tenemos estos dos puntos claros, tenemos dos métodos para asignar la pertenencia a vlan en las interfaces del swtich:

  • Asignación de vlan por interface, un método más “cerrado” y menos dinámico, consiste en ir asignando una a una las interfaces del switch a la vlan correspondiente. La realización puede variar dependiente del dispositivo, en cisco por ejemplo deberemos hacer uso del comando swtichport mode Access y la id de la vlan correspondiente desde la configuración del puerto. En dispositivos Netgear deberemos marcar como Untaged los puertos correspondientes. Aunque el método varié la finalidad es la misma, marcar una interfaz con pertenencia a una vlan para que esta etiquete las tramas que pasan con el vlan Id correspondiente. Con este método las tramas de cualquier dispositivo conectado a una interfaz será marcado con el vlan id.
  • Asignación de vlan por MAC, método más dinámico pero más costoso de implementar, consiste en genera en cada swtich una base de datos interna con la MAC de cada dispositivo y la vlan a la que debe pertenecer, de manera que cuando conectemos un dispositivo a uno de nuestros dispositivos este cogerá la MAC, buscara en la base de datos interna y en el caso de encontrar una coincidencia asignara el puerto a la vlan que corresponda, etiquetando las tramas como corresponda.

     El tipo de método de asignación ya depende de vosotros. Pero si os puedo orientar un poquito, para recopilar las MAC podéis hacer uso por ejemplo del servidor dhcp, ya que podréis ver el nombre, la IP concedida y la MAC del equipo en todo momento. Pasemos al último paso en los dispositivos de capa 2.

Configuración de enlaces troncales (802.1q).

     Con los puertos de acceso configurados para que etiqueten las tramas con los vlan Id que corresponda, solo nos queda asegurarnos de que las comunicaciones pueden ser reenviadas entre los dispositivos de red de nuestra infraestructura. Para ello, como podéis observar en la imagen, es necesario que una serie de interfaces sean capaces de reenviar el trafico sea cual sea el vlan id que contengan las tramas.

     Para ello es necesario que activemos el protocolo de enlaces troncales 802.1q en estas interfaces. La activación al igual que con la asignación de los puertos de acceso depende del proveedor del dispositivo. Por ejemplo en cisco deberemos usar el comando switchport mode trunk, mientras que en Netgear deberemos marcar como tagged para todas las vlan necesarias este tipo de puertos. Con esto permitiremos que el puerto deje pasar las tramas sea cual sea el vlan Id que contenga.

     Llegados a este punto ya solo nos queda la configuración de nuestro dispositivo de capa 3, que como podéis recordar será el encargado de re-direccionar, gracias a las funciones de routing, las tramas entre las diferentes vlan´s.

     Como siempre espero os sea útil la información, para cualquier duda, consulta etcétera podéis contactar conmigo. No olvidéis compartir el contenido si os parece interesante y apuntaros al RSS para recibir las ultimas actualizaciones. Nos vemos pronto.

2 comments

  1. […] Después de ver la configuración de los dispositivos de capa 2 y la de los clientes, ya solo nos queda ver las configuraciones necesarias en nuestro dispositivo […]

  2. […] Segmentación de redes: Configuración de dispositivos de red II de III […]

Deja un comentario

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *