VLAN y troncales, leídos en la configuración

En un troncal 802.1Q las tramas de cada VLAN viajan etiquetadas con su número. La VLAN nativa es la excepción: sus tramas viajan sin etiqueta. Si los dos extremos no coinciden en cuál es la nativa, o si la nativa es la misma VLAN en la que hay equipos de usuario, el aislamiento depende de que nadie se equivoque.

La práctica de referencia es fijar como nativa una VLAN que no tenga ningún puerto de acceso ni subred, y mantener la lista de VLAN permitidas lo más corta posible, de modo que un troncal solo lleve lo que el equipo de destino necesita. Por último, la negociación automática del troncal se desactiva: un puerto debe ser troncal porque se configuró así, no porque el otro extremo lo pidió.

Abre el laboratorio y lee los cuatro troncales del conmutador central. Tres comparten un patrón: una nativa que no está en uso, una lista corta de VLAN y la negociación desactivada. Un cuarto se aparta del patrón en las tres columnas, y se nota porque deja de parecerse a sus hermanos.

Un puerto de acceso sin cable pero activo es una puerta abierta: quien conecte un equipo ahí queda dentro de la VLAN a la que pertenece el puerto, sin que nadie lo haya pedido. La práctica de referencia es apagar administrativamente los puertos sin uso y, si el equipo lo permite, moverlos a una VLAN sin subred ni salida.

Lo que se cuenta en el informe son los puertos que tienen las dos condiciones a la vez, no los que están apagados ni los que están conectados.

La VLAN de gestión es la que alcanza las interfaces de administración de los equipos de red. Quien esté ahí puede intentar llegar a ellas. Solo deben estar los equipos de administración y, de ellos, los que lo necesitan. Un puesto de usuario en esa VLAN suele ser un parche de alguien que no podía conectarse y lo resolvió sin pedir permiso.

Una remediación bien escrita dice qué cambia, en qué equipo y qué verifica el cliente después. Para los puertos sin uso la recomendación es corta y barata, y no requiere comprar nada.