VLAN y troncales, lo que se revisa

En un troncal, las tramas de la VLAN nativa viajan sin etiqueta; las demás llevan su número. Si la VLAN nativa coincide con la VLAN de los usuarios, o si un lado del enlace la tiene distinta del otro, la separación se vuelve ambigua: una trama puede terminar en una VLAN que no era la suya. Esa clase de fallo se llama salto de VLAN y, a efectos de una revisión, es un riesgo de configuración: se previene dejando la nativa en una VLAN sin ningún puerto de usuario ni servicios, igual a ambos lados, y fijando el modo del puerto en lugar de dejar que lo negocie con el vecino.

Las listas de VLAN permitidas son la tercera pieza: el troncal solo debe llevar las que el piso al otro extremo usa.

Abre el laboratorio. El conmutador de núcleo registra los avisos de discrepancia que le llegan de sus vecinos por el protocolo de descubrimiento. Un aviso de nativa distinta significa que los dos extremos del troncal no coinciden: lo que sale sin etiqueta por un lado entra en otra VLAN en el otro.

cat /vlan/registro.txt
cat /vlan/troncales.txt

Un puerto puede estar configurado como troncal fijo, como acceso fijo o en un modo dinámico que decide según lo que diga el vecino. El modo dinámico existe por comodidad y es justo lo que una revisión busca: un puerto que acepta convertirse en troncal por petición de otro equipo ha delegado una decisión de seguridad. Los enlaces entre conmutadores deben ser troncales fijos con la negociación desactivada.

grep -n "mode\|nonegotiate" /vlan/troncales.txt

necesidades.txt dice qué VLAN necesita cada piso. Un troncal con lista de VLAN permitidas escrita debe coincidir con ella. Una VLAN que llega a un piso que no la usa solo amplía lo que ese conmutador tiene que proteger: allí no hay equipos que la necesiten y sí un conmutador que puede configurarse mal.

Compara allowed vlan de cada enlace con la columna vlan_necesarias y fíjate solo en los enlaces que tienen la lista escrita.

cat /vlan/necesidades.txt
grep -n "allowed" /vlan/troncales.txt

La VLAN 1 es la predeterminada de fábrica y la que ocupa un puerto cuando nadie le asignó otra. Una toma en esa VLAN comparte dominio con lo que el conmutador deja allí por defecto, y es difícil de justificar en un informe. En p3-puertos.txt aparece la VLAN de cada puerto de acceso del piso 3.

cat /vlan/p3-puertos.txt