Cómo configurar VLANs y separar VoIP de datos en switches

Por qué segmentar la red con VLANs en la práctica

Cuando una empresa crece, la red de ordenadores suele convertirse en una plaza concurrida donde todos gritan al mismo tiempo. En la práctica, esto significa que impresoras, equipos de empleados, cámaras de seguridad y teléfonos IP comparten el mismo cable de red, generando lentitud y brechas graves de seguridad. La solución para organizar este desorden digital se llama VLAN, que divide una red física en varias redes virtuales independientes.

Imagina que el edificio de tu empresa es una gran oficina de planta abierta. Sin divisiones, el ruido del departamento financiero se mezcla con atención al cliente y las pruebas de soporte técnico. Las VLANs funcionan como paredes acústicas invisibles que colocan a cada grupo en su propia sala aislada. Para mantener todo funcionando bien bajo alta demanda, muchos equipos combinan esta organización física con buenas prácticas de infraestructura, como cómo configurar el QoS en el router para priorizar VoIP, garantizando llamadas nítidas y sin retrasos.

Entendiendo la diferencia entre puertos Access y Trunk

Para hacer esta magia en switches gestionables, que son equipos de red inteligentes donde podemos alterar configuraciones avanzadas, usamos dos tipos principales de puertos: Access y Trunk. El puerto Access es el final de la línea, diseñado para conectar dispositivos comunes como PCs, impresoras y teléfonos IP tradicionales. Elimina cualquier etiqueta de red antes de entregar el dato al aparato, el cual ni siquiera necesita saber qué es una VLAN.

Por otro lado, el puerto Trunk es la autopista rápida que conecta un switch con otro o con el router principal. Transporta paquetes de varias VLANs diferentes mezclados en el mismo cable físico, pegando una pequeña etiqueta de color en cada paquete para que el otro extremo sepa exactamente a dónde debe ir. Este mecanismo de etiquetado es el secreto que permite expandir la red corporativa sin necesidad de pasar nuevos cables físicos por las paredes ante cada nueva sala o departamento.

Paso a paso para configurar VLANs de datos y VoIP

Pongamos manos a la obra configurando un switch gestionable típico de mercado para separar ordenadores de datos (VLAN 10) de dispositivos de telefonía IP (VLAN 20). El primer paso es acceder a la interfaz de gestión del switch mediante cable consola o navegador web y crear las dos redes virtuales necesarias. En el modo de configuración global del equipo, ejecutamos los comandos para registrar formalmente estas VLANs en el sistema.

A continuación, configuramos los puertos que conectan teléfonos y ordenadores en modo access y determinamos qué VLAN atenderá cada uno. Abajo tienes un ejemplo práctico de configuración en un switch con sintaxis de línea de comandos estándar similar a Cisco:

configure terminal
vlan 10
name DATOS
vlan 20
name VOIP
interface range GigabitEthernet 0/1 - 10
switchport mode access
switchport access vlan 10
voice vlan 20
end
writ

Nota que muchos teléfonos IP modernos tienen dos puertos traseros, permitiendo que el ordenador del usuario se conecte directamente al teléfono. El comando 'voice vlan' avisa al switch que el tráfico de voz de ese aparato debe encapsularse automáticamente en la VLAN 20, mientras los datos del ordenador continúan en la VLAN 10, aun pasando por el mismo cable físico que llega al escritorio.

Configurando el puerto Trunk para interconectar los switches

Una vez configurados los puertos finales donde se conectan los aparatos, debemos asegurar que el tráfico de ambas VLANs pueda viajar entre los switches de la empresa hasta llegar al router principal. Para ello, elegimos el puerto que interconecta los switches y lo convertimos en un puerto trunk. Esta etapa es indispensable para que un teléfono en la sala del fondo pueda hablar con la central telefónica instalada en el rack principal.

En la terminal del switch, configurar esta autopista de datos es bastante directo y exige solo unos pocos comandos de autorización de tráfico. Mira el ejemplo para configurar el puerto GigabitEthernet 0/24 como trunk:

configure terminal
interface GigabitEthernet 0/24
switchport mode trunk
switchport trunk allowed vlan 10,20
end
writ

Con este comando activo, el puerto comienza a aceptar y transmitir exclusivamente paquetes etiquetados con los números 10 y 20, bloqueando cualquier otro intento de acceso no autorizado. Si experimentas fallas intermitentes de conectividad o caídas de enlace durante la operación, revisar rutinas de redundancia como cómo configurar conmutación por error automática en systemd-networkd puede ayudar a mantener tu infraestructura siempre en pie.

Buenas prácticas de seguridad y validación de la configuración

Terminada la configuración, el trabajo aún no ha concluido. El paso final y más importante es validar si la separación realmente funcionó y si los teléfonos siguen marcando sin ruidos mientras los ordenadores navegan con normalidad en internet. Una excelente práctica de seguridad en redes corporativas es desactivar todos los puertos libres del switch que no se estén utilizando, asignándolos a una VLAN fantasma y apagándolos administrativamente para evitar intrusos.

Además, documenta siempre qué puerto físico atiende a cada departamento y mantén copias de seguridad regulares de los archivos de configuración de los switches en un lugar seguro. En caso de un apagón o fallo de hardware, tener esta copia guardada ahorra valiosas horas de trabajo al reconstruir la infraestructura de red de la empresa. Para profundizar en estos conceptos arquitectónicos en producción, consulte también nuestro análisis técnico sobre Cómo probar MOSFETs en la placa con multímetro de forma segura.

Consideraciones finales

Aprender a configurar VLANs y separar el tráfico de datos y VoIP transforma la estabilidad de cualquier entorno corporativo pequeño o mediano. Al aislar sectores y priorizar la voz, eliminamos cuellos de botella invisibles que solían perjudicar la productividad diaria de los colaboradores. Con planificación, comandos precisos y pruebas rigurosas en banco, tu red gana la robustez necesaria para crecer de forma segura y organizada.