Así puedes configurar la red local desde cero en un colegio o academia

Configuración general de la red local

Tener una visión global de la configuración general de la red local es crítico, para saber si estamos cubriendo todas las necesidades, tanto a nivel de funcionamiento de la red como también de cara a la seguridad que tengamos en la red. Es posible que algunos de los protocolos que os vamos a explicar no sepas que existían, o que no sepas exactamente para qué sirven. A continuación, os vamos a explicar todo lo que debería tener la red local de cualquier colegio o academia, tanto a nivel de equipamiento de hardware como la configuración básica que deberías incorporar.

Router profesional y configuración

El router es el dispositivo más importante de la red, es el encargado de proporcionarnos conectividad a Internet y también de conectividad en la red local profesional. Es muy importante comprar un router profesional que tenga las suficientes opciones de configuración para satisfacer nuestras necesidades. Por ejemplo, uno de los modelos que os recomendamos si usáis switches y APs de D-Link es el DSR-1000AC, un modelo de gama alta que tiene un firmware de configuración realmente avanzado. Este router dispone de todos los puertos Gigabit Ethernet, con posibilidad de configurar dos conexiones a Internet simultáneamente (Dual-WAN) para tener una conexión redundante.

Algunas de las configuraciones que podríamos hacer a este router son las siguientes:

• Dual WAN: podemos configurar dos conexiones a Internet simultáneamente, con el objetivo de que si una conexión se cae entre en funcionamiento la segunda, y tener failover de la conexión. También podríamos utilizar balanceo de carga, de esta forma, los clientes tendrán una velocidad de conexión a Internet mayor, cierto tráfico irá por la primera WAN y otro tráfico irá por la segunda WAN.
• VLAN: es totalmente necesario que en un colegio o academia, segmentemos la red adecuadamente con VLANs. Podemos crear una VLAN de administración, otra de profesores y finalmente otra de alumnos. Las VLANs nos permiten aislar el tráfico dentro de ellas, para que un alumno no se pueda conectar a la red de los profesores, ya sea a través de la red cableada o inalámbrica.

• Firewall: gracias al firewall que tenemos incorporado, vamos a poder crear reglas avanzadas para permitir o denegar el tráfico de cara a Internet.
• ACL: podemos crear listas de control de acceso para bloquear o permitir el tráfico en las VLANs. Esta característica es muy importante para gestionar correctamente qué tráfico se permite o deniega.
• VPN: podemos configurar servidores VPN para conectarnos a la red del colegio de forma remota. Esto es fundamental para acceder a los recursos compartidos del colegio de forma remota y segura, ya que todo el tráfico de red irá cifrado y autenticado.

• VPN Site-to-Site: si un colegio tiene varias sedes, podemos interconectarlas a través de Internet usando VPN site-to-site, de esta forma, ambos colegios podrían comunicarse entre ellos.

Tal y como podéis ver, teniendo un router profesional en nuestra organización, vamos a tener una gran versatilidad a la hora de configurar la red de forma segura.

Switches gestionables y configuración

Los switches son una parte importantísima de un colegio o academia, gracias a estos dispositivos podemos conectar decenas de dispositivos vía cable a la red, y también podemos alimentar los puntos de acceso Wi-Fi siempre y cuando tengamos un switch PoE (Power over Ethernet). Estos switches PoE nos permiten alimentar los puntos de acceso WiFi o cámaras IP con tan solo el cable de red Ethernet, sin necesidad de que haya un enchufe cercano, además, podemos alimentar equipos a una gran distancia, mucho mayor que los típicos transformadores de corriente.

A la hora de configurar el switch, debemos asegurarnos de que tenga algunas características muy importantes:

• VLAN: cualquier switch gestionable es capaz de gestionar VLAN para segmentar el tráfico adecuadamente, de esta forma, podemos separar las redes de profesores, administración y los alumnos que están en las aulas. No solamente es fundamental que el router profesional soporte VLANs para intercomunicarse si fuera necesario, los switches también deben tener esta opción de configuración si queremos que funcione correctamente.

• ACL: en los switches también podemos implementar las listas de control de acceso, ya que podemos bloquear el tráfico de ciertos dispositivos conectados a otros, ya que todos deben pasar por el switch. Para aislar las VLAN entre ellas, lo normal es hacerlo en el dispositivo que se encarga del enrutamiento inter-VLAN. Hay switches L3 que permiten comunicar las VLANs entre ellas, en estos casos las ACL deben colocarse en el propio switch, de lo contrario, las VLAN podrán comunicarse entre ellas.
• Port Security: esta función permite bloquear un determinado puerto o directamente apagarlo en caso de que se detecte un ordenador no permitido. Un switch puede tener puertos sin usar pero conectados y disponibles para ciertos equipos en base a su MAC, si configuramos esta opción de Port Security estaremos haciendo un filtrado por MAC de qué equipos pueden o no conectarse.
• IP-MAC Binding: esta función permite «unir» una dirección IP en concreto a una dirección MAC. Tiene como objetivo proteger los equipos que hay en la red local a nivel de switches, para que un determinado equipo con una MAC en concreto no pueda cambiar de dirección IP para intentar hacerse pasar por otro equipo.
• ARP Spoofing Prevention: esta característica bloquea cualquier intento de realizar un ataque ARP Spoofing, normalmente se configura en los switches de acceso (los que están más cerca del usuario final). Esta función es crítica para mantener la seguridad de la red local.
• Link Aggregation: si necesitamos un mayor ancho de banda entre dos switches, podemos crear un enlace lógico de dos enlaces físicos. De esta forma, si nuestros switches tienen puertos 1Gbps pero necesitamos pasarle un ancho de banda de hasta 2Gbps a otro switch, podemos unir dos cables de red virtualmente y aumentar el ancho de banda disponible. En este caso, es importante contar con un switch gestionable que permita modificar el algoritmo de balanceo de carga disponible, cuanta mayor granularidad tenga mejor será el balanceo de carga disponible.

• QoS: esta característica nos permite priorizar cierto tráfico por encima de otro, además, también podríamos configurar un limitador de ancho de banda por puerto, para evitar que un determinado equipo consuma todo el ancho de banda de la red, ya sea de Internet o de la red local.
• PoE: como hemos explicado antes, si tenemos APs WiFi podemos comprar switches PoE para gestionar la alimentación de estos puntos de acceso. Una característica interesante es la posibilidad de apagar los puntos de acceso en un horario determinado, con el objetivo de dejar sin conectividad WiFi a todo el colegio por las noches o los fines de semana, cuando no se vaya a utilizar. De esta forma, podremos ahorrar bastante energía.
• Gestión: actualmente la gran mayoría de switches son con gestión local vía web, no obstante, también podemos comprar switches que se gestionan de forma centralizada, tanto con Nuclias Connect como con Nuclias Cloud. Esto nos permitirá configurar de forma mucho más sencilla los switches sin necesidad de ir uno por uno.

AP profesionales con gestión centralizada

Todos los puntos de acceso WiFi profesionales disponen de la posibilidad de crear varias redes WiFi (SSID) de forma simultánea, además, permiten asignar un determinado SSID a una determinada VLAN para segmentar adecuadamente el tráfico inalámbrico de los diferentes clientes. Dependiendo del nombre de red WiFi que tengamos, los clientes se conectarán a una VLAN u otra de forma inalámbrica, como si estuviéramos en la parte de los switches. En lo que debemos fijarnos a la hora de comprar AP WiFi es:

• Características WiFi: es fundamental que sean doble banda simultánea con el nuevo estándar Wi-Fi 6. Dependiendo del número de clientes simultáneos, tendremos que elegir entre equipos que tengan dos antenas 2×2, tres antenas 3×3 o bien cuatro antenas 4×4 para que funcione adecuadamente y sin que la red WiFi se sature.
• Conectividad por cable: si vamos a instalar un AP Wi-Fi 6 de gama alta, es muy importante que tenga un puerto 2.5G Multigigabit o superior, de lo contrario, tendremos cuello de botella en la red cableada. Por supuesto, también es muy importante que el switch disponga de puertos 2.5G Multigigabit con PoE, para alimentar adecuadamente los AP y les proporcione la máxima velocidad posible.

A nivel de software, es muy importante saber qué forma de gestión tiene este punto de acceso WiFi:

• Gestión con controlador local: se trata de un ordenador con un software que se encarga de monitorizar y administrar de forma centralizada todos los puntos de acceso WiFi. También puede ser un dispositivo hardware que internamente dispone de este mismo software. En el caso del fabricante D-Link, hablamos de Nuclias Connect, tanto en la versión software como con el DNH-100 que integra Nuclias Connect. Debemos saber que esto no tiene ningún tipo de coste a nivel de licencia, solamente necesitamos instalar el software o comprar el DNH-100 para gestionar de forma centralizada los APs de la gama DAP del fabricante.

• Gestión con controlador Cloud: en este caso la monitorización y administración se hará a través de la nube, no tenemos ningún ordenador ni tampoco ningún dispositivo hardware, todo está en la nube. En el caso de D-Link se llama Nuclias Cloud, y es una de las plataformas de gestión de APs y switches más avanzadas que existen actualmente. En un aspecto importante es que funciona con licencias por cada dispositivo, es algo que debes tener en cuenta.

Otros equipos que debes valorar

En el caso de querer una gestión de switches compatibles y APs, un dispositivo que debes comprar es el DNH-100 que incorpora Nuclias Connect. Esto te permitirá gestionar y monitorizar de forma centralizada todos los switches y APs que tengamos instalados, y forzar actualizaciones de forma simultánea a todos ellos. En el caso de tener Nuclias Cloud no lo vas a necesitar debido a que el controlador está en la nube. Si no quieres comprar este dispositivo, siempre vas a poder usar un ordenador cualquiera como «servidor» para instalar el software de Nuclias Connect, no obstante, debes tener en cuenta que tendrá que estar permanentemente encendido.

Otros equipos que deberías valorar de instalar en la red de tu colegio o academia es un servidor NAS, este tipo de dispositivos nos permiten tener un almacenamiento conectado en red y accesible tanto desde la red local como desde Internet. Podemos crear un conjunto de carpetas con diferentes permisos para la administración del colegio, los profesores e incluso también los alumnos. Además, con un servidor NAS potente podríamos virtualizar un sistema operativo como Windows e instalar Nuclias Connect para tener el control completo de los switches y APs sin necesidad de nada más.

Tal y como habéis visto, para montar la red de un colegio o academia hay que tener en cuenta muchas cosas, tanto a nivel de características técnicas de routers, switches y APs, como también qué opciones de configuración disponen y sus posibilidades.