VLANs e inter-VLAN routing en Cisco paso a paso (CCNA)

Las VLANs y el enrutamiento entre VLANs (inter-VLAN routing) son de los temas que más aparecen en el CCNA y en el trabajo diario con switches Cisco. En esta guía creas VLANs, configuras puertos de acceso y trunk, y haces que las VLANs se comuniquen de las dos formas que pide el examen: router-on-a-stick y switch de capa 3 con SVI.

El escenario

El switch se conecta al router (o al switch de capa 3) por su puerto G0/1.

Paso 1: crear las VLANs

SW1(config)# vlan 10
SW1(config-vlan)# name VENTAS
SW1(config-vlan)# vlan 20
SW1(config-vlan)# name RRHH
SW1(config-vlan)# vlan 99
SW1(config-vlan)# name NATIVA

Paso 2: puertos de acceso

Un puerto de acceso pertenece a una sola VLAN y no etiqueta el tráfico. Es donde se conectan las PCs:

SW1(config)# interface range fa0/1 - 10
SW1(config-if-range)# switchport mode access
SW1(config-if-range)# switchport access vlan 10
SW1(config-if-range)# interface range fa0/11 - 20
SW1(config-if-range)# switchport mode access
SW1(config-if-range)# switchport access vlan 20

Fijar el modo con switchport mode access evita que el puerto negocie un trunk por DTP con lo que se conecte, una buena práctica de seguridad.

Paso 3: el puerto trunk

El trunk transporta varias VLANs por un mismo cable, etiquetando cada trama con el estándar 802.1Q:

SW1(config)# interface g0/1
SW1(config-if)# switchport mode trunk
SW1(config-if)# switchport trunk native vlan 99
SW1(config-if)# switchport trunk allowed vlan 10,20,99
SW1(config-if)# switchport nonegotiate

• En algunos switches que soportan también el antiguo ISL, antes de switchport mode trunk hay que indicar switchport trunk encapsulation dot1q.
• Cambiar la VLAN nativa a una VLAN sin uso (en lugar de la VLAN 1) y permitir solo las VLAN necesarias reduce el riesgo de ataques de VLAN hopping.
• La VLAN nativa debe ser la misma en los dos extremos del trunk; si no, el switch avisará de un native VLAN mismatch.

Paso 4A: inter-VLAN con router-on-a-stick

Un router con una sola interfaz física enruta entre VLANs usando subinterfaces, una por VLAN:

R1(config)# interface g0/0
R1(config-if)# no shutdown
R1(config-if)# interface g0/0.10
R1(config-subif)# encapsulation dot1Q 10
R1(config-subif)# ip address 192.168.10.1 255.255.255.0
R1(config-subif)# interface g0/0.20
R1(config-subif)# encapsulation dot1Q 20
R1(config-subif)# ip address 192.168.20.1 255.255.255.0
R1(config-subif)# interface g0/0.99
R1(config-subif)# encapsulation dot1Q 99 native

La interfaz física debe estar encendida (no shutdown); las subinterfaces heredan ese estado. Es una solución económica, pero todo el tráfico entre VLANs pasa por un único enlace, que puede convertirse en un cuello de botella.

Paso 4B: inter-VLAN con un switch de capa 3

Un switch multicapa enruta entre VLANs internamente con SVI (Switch Virtual Interfaces), sin pasar por un router externo y a velocidad de hardware:

SW-L3(config)# ip routing
SW-L3(config)# interface vlan 10
SW-L3(config-if)# ip address 192.168.10.1 255.255.255.0
SW-L3(config-if)# no shutdown
SW-L3(config-if)# interface vlan 20
SW-L3(config-if)# ip address 192.168.20.1 255.255.255.0
SW-L3(config-if)# no shutdown

No olvides ip routing: sin él, el switch tiene IP en cada VLAN pero no enruta entre ellas. Una SVI solo se levanta si la VLAN existe y hay al menos un puerto activo en ella (de acceso o trunk que la permita).

Paso 5: verificar

Por último, desde una PC de la VLAN 10 (con gateway 192.168.10.1) haz ping a una PC de la VLAN 20: si responde, el inter-VLAN funciona.

Problemas típicos

• Las PCs no llegan a su gateway: el puerto está en la VLAN equivocada, o la VLAN no está permitida en el trunk.
• La SVI aparece "down": la VLAN no existe en el switch o no hay puertos activos en ella.
• Router-on-a-stick sin respuesta: la interfaz física está apagada, o el número de encapsulation dot1Q no coincide con la VLAN.
• Las PCs tienen mal el gateway por defecto: debe ser la IP de la subinterfaz o de la SVI de su VLAN.

Preguntas frecuentes

¿Router-on-a-stick o switch de capa 3?

En redes pequeñas o laboratorios, router-on-a-stick es suficiente. En empresas con mucho tráfico entre VLANs, el switch de capa 3 es la opción profesional: más rendimiento y menos puntos de fallo.

¿Por qué no usar la VLAN 1?

Es la VLAN por defecto de todos los puertos y la nativa de los trunks. Dejar equipos o la administración en ella facilita errores y ataques; lo recomendable es moverlo todo a VLANs propias.

Prepárate para el CCNA

VLANs, trunks, inter-VLAN, STP, EtherChannel y mucho más: practícalo con laboratorios en el curso de Cisco CCNA desde cero a avanzado. Para calcular las redes de cada VLAN, repasa nuestra guía de subnetting paso a paso, y si trabajas también con MikroTik, compara con cómo se configuran las VLANs en RouterOS.