Los switches gestionables del fabricante QNAP, nos permiten segmentar el tráfico de la red local cableada en diferentes VLAN, con el objetivo de proporcionar seguridad entre diferentes segmentos de la red. QNAP ofrece dos gamas de switches gestionables claramente diferenciadas: los modelos «L2 Lite» tienen funciones básicas de capa 2 como creación de VLAN, agregación de enlaces y QoS; y los modelos «L2 completos» incluyen RSTP (para evitar bucles de capa de enlace), ACL (listas de control de acceso para filtrar tráfico) y otras funciones avanzadas. Hoy os vamos a enseñar cómo crear una VLAN en un switch QSW-M2108R-2C, un modelo «L2» realmente interesante al tener todos los puertos Multigigabit.
Este modelo de switch está dentro de la gama alta de los switches gestionables de QNAP, ya que incorpora un total de 8 puertos 2.5G Multigigabit, y también tenemos dos puertos 10G Combo, por lo que tenemos tanto RJ-45 como SFP+. De esta forma, este switch tiene un total de 10 puertos Multigigabit. Otras características importantes son que dispone de una capacidad de conmutación de 80Gbps, tiene un rendimiento sin bloqueo total de 40Gbps, así como una tabla de direcciones MAC de 16K de longitud, y es compatible con Jumbo Frames hasta 9K de longitud. Este modelo cuenta con dos pequeños ventiladores que ajustan su velocidad dependiendo de la temperatura interna.
En cuanto al sistema operativo QSS, este modelo tiene todas las opciones de gestión de puertos, VLAN, agregación de enlaces, RSTP para evitar bucles a nivel de capa de enlace, tiene LLDP, así como IGMP Snooping y también ACL para permitir o denegar el tráfico, así como un avanzado QoS para priorizar el tráfico. Este equipo permite ser administrado vía web fácilmente, además, podemos integrarlo en Home Assistant para monitorizar su temperatura, velocidad de los ventiladores y otros parámetros como el tráfico de los puertos, errores etc.
Ahora que ya sabéis las principales características de este switch gestionable, os vamos a explicar qué es una VLAN, y también cómo configurarlas en el switch.
¿Qué es una VLAN y cómo funcionan?
Las VLAN nos permiten crear redes lógicas dentro de una red física, con el uso de switches gestionables y routers que soporten estas VLAN para comunicarlas entre sí, podemos segmentar la red muy fácilmente. Todos los routers profesionales, e incluso domésticos con soporte de VLAN en la red local LAN soportan esta tecnología, por supuesto, si usas un sistema operativo orientados a firewall/router como pfSense o OPNsense soportan VLAN porque es un estándar hoy en día, y también los modelos Qhora del fabricante QNAP.
El motivo de implementar VLAN en una red local, es que añadirá una capa de seguridad para crear redes que son lógicamente independientes, para aislarlas entre sí y que solamente el router se encargue de permitir la comunicación o no entre los equipos de las VLAN. Otro motivo es porque la segmentación en VLAN nos permitirá gestionar de forma más eficiente todos los dispositivos, lo más habitual es crear una red principal, otra red para IoT o domótica, una red para videovigilancia, y otra para invitados. Además, tener la red segmentada en VLANs nos proporcionará una gran flexibilidad para aplicar reglas de permitir o denegar el tráfico de red.
Para poder comunicar dos o más VLAN, es necesario «ascender» a nivel de red, esto significa que el router o firewall debe soportarlo, aunque si tenemos un switch gestionable L3 también las podremos comunicar sin problemas, y posteriormente aplicar ACL (Listas de Control de Acceso) para permitir o denegar el tráfico. Cuando usamos el estándar 802.1Q o también conocido como VLAN, debemos conocer dos términos muy importantes:
- VLAN tagged o «con etiqueta»: significa que en las tramas Ethernet se incorpora la etiqueta del VLAN ID correspondiente. Esta etiqueta solamente la «entienden» los dispositivos como switches gestionables, puntos de acceso profesionales, y también los routers. Un mismo puerto puede tener varias VLAN ID con etiqueta. Lo más habitual, es que los enlaces troncales tengan varias VLAN etiquetadas, o todas ellas si es que se utilizan.
- VLAN untagged o «sin etiqueta»: significa que en las tramas Ethernet no se incorpora la etiqueta, sino que se retira en el puerto que lo hayamos configurado como tal. Este modo es el que se usa de cara a dispositivos finales como ordenadores, portátiles, impresoras, cámaras IP y otros dispositivos similares. Un puerto de red solamente puede tener una VLAN como untagged, no es posible tener dos o más.
Otro aspecto importante, es que un mismo puerto puede tener una VLAN untagged, y varias VLAN tagged sin ningún problema. La única regla es que un mismo puerto no puede tener dos VLAN sin etiqueta. El PVID (Port VLAN ID) es también muy importante, ya que este parámetro define la VLAN a la que pertenece el tráfico entrante sin etiqueta, en el switch de QNAP el PVID será el mismo que la VLAN no etiquetada. Un error común es olvidar configurar el PVID en puertos «untagged», lo que provoca que el tráfico se asigne a la VLAN nativa o VLAN 1 por defecto, en lugar de la VLAN deseada.
Estado y configuración de los puertos de red
El acceso al switch gestionable de QNAP se realiza a través de la dirección IP que le proporciona el servidor DHCP del router, en el caso de no usar servidor DHCP, entonces la IP predeterminada es la 169.254.100.101, por lo que tendremos que poner una IP fija en nuestro PC que tenga el mismo rango que esta subred. La primera vez que accedemos, tendremos que poner el nombre de usuario «admin» y la contraseña que tenemos en la pegatina de debajo del switch, después nos pedirá cambiar la contraseña por una robusta para evitar problemas de seguridad. Una vez que hayamos introducido la clave nueva, accederemos al menú principal de configuración del equipo.
En el menú principal podemos ver la información general del equipo, como los puertos ocupados con su velocidad actual, así como también el nombre del modelo de switch, la IP de gestión, la MAC, la versión del firmware, así como la temperatura y la velocidad de los ventiladores que incorpora el equipo. Por supuesto, también podemos ver el tráfico de los diferentes puertos en tiempo real.
En la sección de «Gestión de puertos» es donde veremos el estado de todos los puertos, si hay un equipo conectado, cuántos puertos hay conectados y desconectados, así como la velocidad negociada y si tenemos habilitado el control de flujo o no.
Si pinchamos en «Información del dispositivo» y elegimos «Estado de VLAN«, podemos ver un resumen de la configuración de las VLAN que tengamos en el switch. Por ejemplo, la VLAN 1 la tenemos en dos puertos, la VLAN 12 en otros dos puertos, y la VLAN 13 en un total de 7 puertos. Este conteo es tanto con VLAN con etiqueta como sin etiqueta.
En la pestaña de «Estadísticas del puerto» es donde podemos ver el tráfico intercambiado en los diferentes puertos. En nuestro caso, el puerto «troncal» es el puerto 10 que es el 10GBASE-T Multigigabit. Por este motivo, es el que tiene todo el tráfico del switch, porque es por donde pasa todo el tráfico de red.
En la pestaña de «Configuración del puerto» es donde podemos habilitar o no los diferentes puertos disponibles, también tenemos la posibilidad de configurar la velocidad de sincronización (por defecto, está en automático, y deberíamos dejarlo así), y también podemos ajustar el control de flujo.
Como podéis ver, en el menú de «Gestión de puertos» es donde podemos ver el estado de todos los puertos, y también realizar ciertos ajustes en la configuración.
Configurar una VLAN y asignarla a diferentes puertos
En el menú de «VLAN» es donde podemos configurar las diferentes VLAN, tanto crearlas, asignarlas a los diferentes puertos (con etiqueta «T» o bien sin etiqueta «U»), y también borrarla definitivamente. Un aspecto importante, es que podemos asignar VLAN tanto a los puertos físicos, como también a los LAG (agregación de enlaces) que creemos. Si configuras LACP para combinar varios puertos físicos en un puerto lógico, entonces la VLAN se aplicará a todo el grupo LAG, no a cada puerto por separado.
Para crear una nueva VLAN, lo primero que debemos hacer es pinchar en «Añadir«, añadiremos el ID de la VLAN, y luego elegiremos qué puertos queremos usar, ya sean puertos físicos o bien los diferentes LAG que podemos crear. Además, tenemos que decidir si queremos que la VLAN esté con etiqueta o sin etiqueta.
En nuestra configuración de laboratorio, hemos elegido la VLAN 12 para la videovigilancia donde tenemos todas las cámaras IP y también el NVR. En nuestro caso, la VLAN ID 12 es el segmento de videovigilancia, y lo hemos configurado de la siguiente forma:
- Puerto 8: es el puerto donde está la cámara IP cableada, debemos elegir «Sin etiquetar» para que la cámara pueda acceder a la red correctamente.
- Puerto 10: es el puerto troncal que se conecta a un router Qhora que gestiona el DHCP y el firewall entre VLANs, en este caso, debemos elegir «Etiquetados», para que el router pueda «entender» que es el enlace troncal donde tendremos todas las VLAN.
Por ejemplo, la VLAN 13 es donde tenemos toda la parte de «smart home«, es decir, la Smart TV, consola y otros dispositivos. En este caso, tenemos varios puertos sin etiqueta, donde se conectan los diferentes dispositivos, y el puerto 10 lo tenemos con etiqueta ya que es el puerto troncal de conexión al router principal con soporte para VLANs.
En el caso de la VLAN 15, marcamos el puerto 9 como «Sin etiquetar«, y faltaría por poner el puerto 10 «Etiquetado«, porque es el puerto troncal.
Como podéis ver, la creación de VLAN en un switch gestionable de QNAP es muy sencillo, lo único a tener en cuenta es si las VLAN son con etiqueta o sin etiqueta, con el objetivo de que puedas segmentar adecuadamente la red. Recuerda la «regla» fundamental de las VLAN: un mismo puerto puede tener muchas VLAN con etiqueta, pero solamente podrá tener una VLAN sin etiqueta. Esto se debe a que el tráfico sin etiqueta debe asociarse inequívocamente a una única VLAN cuando entra al switch.
| VLAN ID | Propósito | Puertos Untagged | Puertos Tagged (Trunk) | Notas |
|---|---|---|---|---|
| VLAN 1 | Red principal/Gestión | Puertos 1, 10 | VLAN por defecto, mantener para gestión | |
| VLAN 12 | Videovigilancia | Puerto 8 | Puerto 10 | Cámara IP aislada del resto de la red. |
| VLAN 13 | Smart Home/IoT | Puertos 2 a 7 | Puerto 10 | Smart TV, consola, dispositivos IoT. |
| VLAN 15 | Invitados/Acceso temporal | Puerto 9 | Puerto 10 | Acceso limitado, sin acceso a red local. |
El fabricante QNAP con el sistema operativo QSS que tenemos en sus switches gestionables, permiten configurar las VLAN para segmentar la red local de manera muy sencilla a través del panel de administración vía web. Lo que hay que tener en cuenta a la hora de crear VLAN, es que el router que tengamos lo soporte. Si es un modelo profesional como los routers Qhora de QNAP, sí lo soporta sin problemas, además, tendremos una interfaz gráfica de usuario muy similar, así que es perfecto para segmentar la red adecuadamente. En el caso de los modelos domésticos, lo normal es que no soporten VLAN en la red local o LAN, así que debes tenerlo en cuenta antes de empezar a crear VLAN en tu red local, porque podría no funcionarte.
Errores comunes en la configuración de VLAN
Es posible que te encuentres con algunos problemas a la hora de crear y configurar VLANs en tu red, a continuación, os vamos a explicar los principales problemas que podemos tener a la hora de realizar esta configuración avanzada para nuestra red local.
Puerto troncal no configurado como «Tagged»
Si el switch gestionable no puede comunicarse con el router de QNAP, ni los dispositivos conectados a los puertos «untagged» no obtienen IP del rango DHCP de la VLAN creada, debes mirar lo siguiente:
- El puerto que conecta el switch al router debe estar configurado con todas las VLAN en modo «Tagged» excepto la VLAN 1 que es la de administración. Al tener todas las VLAN con etiqueta, tendremos múltiples VLAN que transiten por esa conexión.
Una vez configurado correctamente, deberías tener DHCP sin problemas, y también conexión a Internet y a otras VLAN si el router lo permite.
PVID (Port VLAN ID) no asignado correctamente a los puertos
En los switches de QNAP, el PVID siempre es la VLAN que hayamos configurado como «sin etiqueta». Si usas otros switches de otras marcas, es posible que debas configurar correctamente el PVID con el objetivo de que el tráfico entrante no etiquetado se asigne a una VLAN en concreto. Generalmente todo el tráfico está etiquetado entre routers y switches, y switches y APs profesionales.
Puertos vinculados a VLAN ID 1 (VLAN por defecto)
Si has creado la VLAN 10 y has asignado puertos a esta VLAN, pero los dispositivos reciben IPs del rango de la VLAN 1, y no del rango configurado de la VLAN 10, entonces debes revisar el puerto troncal y cómo tenemos las VLAN configuradas. Recuerda que un mismo puerto puede pertenecer a varias VLAN con etiqueta simultáneamente, pero solamente podemos tener una VLAN sin etiqueta en el puerto.
Router QNAP sin rango DHCP o interfaz de VLAN no configurada
Este caso es bastante habitual, hemos realizado toda la configuración en el switch, pero no hemos configurado el router adecuadamente. Es muy importante que el router de QNAP tenga definida la VLAN correspondiente, y activado el servidor DHCP para que los clientes obtengan una IP local correctamente. También deberás establecer la puerta de enlace, e incluso configurar el puerto «troncal» del router correctamente, poniendo las VLAN etiquetadas correctamente.
Intentar conectar dispositivos finales directamente a puertos del router
El router de QNAP también permite conectar dispositivos finales directamente al propio router, sin necesidad de que todos ellos estén conectados al switch. Lo que sí debes asegurarte, es configurar ese puerto con la VLAN Untagged correspondiente. Debemos tener en cuenta que, los dispositivos finales como ordenadores, NAS, o cámaras IP, siempre debemos ponerlos como «sin etiqueta».
Como podéis ver, estos son algunos de los principales fallos o problemas que nos encontraremos al configurar VLANs en un switch de QNAP, y también en nuestra red local.