VLAN
Una VLAN (Red de Área Local Virtual) es una segmentación lógica de una red física, definida por IEEE 802.1Q, que aísla grupos de dispositivos -como usuarios de WiFi invitados y sistemas de personal- entre sí mientras comparten los mismos switches y cables.
Una VLAN (Red Local Virtual) es una forma de dividir una red física en varias redes lógicas aisladas. Los dispositivos en diferentes VLANs no pueden comunicarse entre sí a menos que un router o cortafuegos lo permita explícitamente, aunque compartan los mismos switches y cableado. Las VLANs se definen por el estándar IEEE 802.1Q, que añade una pequeña etiqueta que lleva un ID de VLAN (1 a 4094) a cada trama Ethernet para que los switches sepan a qué red virtual pertenece el tráfico.
Por qué el WiFi de invitados tiene su propia VLAN
Los dispositivos de invitados son desconocidos y no se pueden confiar. Ponerlos en la misma red que terminales de tarjetas, CCTV o el PC de la oficina da a cualquier teléfono comprometido una vía hacia sistemas que importan. Una VLAN dedicada a invitados, protegida por un firewall para acceder solo a internet, elimina esa ruta por completo y mantiene el tráfico de invitados fuera del alcance PCI DSS para la red de pago. Por eso, cada despliegue serio de WiFi para invitados separa a invitados y personal a nivel de VLAN, no solo con contraseñas diferentes.
Cómo está configurado
- Cada SSID en el punto de acceso se asigna a un ID de VLAN (por ejemplo, SSID invitado a VLAN 40).
- Los puertos de los switches que transportan múltiples VLANs están configurados como puertos troncals (etiquetados).
- El router o cortafuegos asigna a cada VLAN su propia subred y rango DHCP, y las reglas bloquean el tráfico entre invitados y empleados.
- El aislamiento del cliente suele estar activado en la VLAN invitada, por lo que los dispositivos invitados tampoco pueden verse entre sí.
Una distribución típica de un recinto
- VLAN 10 - gestión (puntos de acceso, switches, controlador).
- VLAN 20 - dispositivos de personal y oficina trasera.
- VLAN 30 - Terminales de POS y pago.
- VLAN 40 - WiFi de invitados, solo internet, aislamiento del cliente activado.
Términos relacionados
SSID
Un SSID (Identificador de Conjunto de Servicios) es el nombre público de una red WiFi: una etiqueta de hasta 32 bytes que los puntos de acceso emiten para que los dispositivos cercanos puedan encontrarlos y unirse a la red.
WiFi para invitados
El WiFi para invitados es una red WiFi pública y exclusiva de internet que una empresa ofrece a sus clientes, separada de su red privada de back-office, normalmente asegurada por un portal cautivo que requiere iniciar sesión.
Punto de acceso
Un punto de acceso (AP) es un dispositivo de red que emite una o más redes WiFi y conecta dispositivos inalámbricos a una red cableada, normalmente montados en techo y alimentados por Ethernet en despliegues empresariales.
Autenticación RADIUS
RADIUS (Servicio de Usuario por Conexión Remota de Autenticación) es un protocolo de red que proporciona autenticación, autorización y contabilidad centralizadas (AAA), definido en RFC 2865y utilizado por WiFi empresarial, VPNs y portales cautivos para controlar el acceso a la red.
Prueba CaptiFi gratis durante 30 días
Captura correos de invitados, ejecuta campañas automáticas de correo/SMS y haz crecer las reseñas de Google, todo desde tu WiFi actual.