Las redes cableadas e inalámbricas cada vez soportan más tipos de servicios (Empleados, Invitados, CCTV, VoIP...etc) cuyos requisitos son muy distintos. Por esta razón una buena práctica es segmentar la red en distintos direccionamientos IP, cada uno con una política o permisos distintos. Para poder utilizar distintas redes lógicas sobre una misma red o infraestructura física utilizamos las VLAN o redes de área local virtuales.
En este artículo explicaremos paso a paso como crear una red completa con varias VLANs para distintos servicios y también la creación de reglas de control de acceso para bloquear/permitir el tráfico entre ciertas subredes o dispositivos. Partimos de la siguiente topología formada por un router Ruijie, un Switch Reyee y un AP Reyee:
En primer lugar deberemos realizar el diseño de red a nivel lógico donde contemplemos la segmentación por servicio, los direccionamientos y los requisitos de comunicación.
Red de Gestión - VLAN Nativa - 192.168.121.1/24 - DHCP: 192.168.121.2-200
Red Empleados - VLAN 122 - 192.168.122.1/24 - DHCP: 192.168.122.2-200
Red Invitados - VLAN 123 - 192.168.123.1/24 - DHCP: 192.168.123.2-200
La red de invitados no tendrá acceso a la red de empleados y tampoco a la red de gestión.
Comenzamos creando dichas VLAN en el router Ruijie, para ello deberemos acceder a la interfaz web (EWEB) desde la plataforma Cloud de Ruijie o también podemos hacerlo en local desde su IP por defecto 192.168.1.1
Desde la plataforma Cloud se deben seguir estos pasos:
En local se deberá acceder a la IP de la LAN (Por defecto será 192.168.1.1 con usuario/contraseña admin/admin)
Desde el apartado Network -> Interface pestaña Interface Conversion se comprueba que el interfaz del router que se va a utilizar este configurado como LAN. Este interfaz será el downlink es decir, el interfaz que comunicará el router con el switch y por lo tanto con la LAN. En nuestro caso será el interfaz 1.
Ahora desde la pestaña Basic Settings se selecciona el interfaz 1 (Gi0/1) y se hace click en Sub Interface:
Se crean la VLAN 122 para Empleados y la VLAN 123 para Invitados
Ahora desde el apartado Network-> DHCP se añaden dos DHCP uno para la VLAN de Empleados y otro para la VLAN de Invitados:
En cuanto a la configuración de VLANs en el switch Reyee, no se detallará ya que no es el objeto de este artículo y existen otros artículos donde se explica esto detalladamente. A modo de resumen, el puerto de uplink del switch hacia el router Ruijie se configurará como Trunk permitiendo la VLAN nativa, la VLAN 122 y la VLAN 123. Además se configurarán un grupo de puertos de acceso a la VLAN 122 y otro grupo para la VLAN 123.
En este punto se comienza la configuración de Access Control List, en el apartado Security -> ACL se deberá pulsar ACL y para los requisitos propuestos se necesitarán Extended ACL. Para las Extended ACL se debe seleccionar un ID de estos rangos 100-109 o 111-196 o 2000-2699. Para el ejemplo se escogerá el 100.
Ahora dentro de esta ACL es necesario añadir reglas, para ello se debe hacer click en Add ACE. Por defecto en estos equipos Ruijie cuando se asignan ACL, todo el tráfico es bloqueado por defecto. Como la red de invitados va a tener salida a Internet y solo se va a bloquear el tráfico hacia las redes de empleados y gestión, deberemos crear una primera regla en la que se permita el tráfico con cualquier origen y destino.
Ahora se procede a crear la regla para bloquear el tráfico desde la red de invitados a la red de empleados.
Ahora se procede a crear la regla para bloquear el tráfico desde la red de invitados a la red de gestión.
Para que el funcionamiento sea correcto, se deberán ordenar todas las reglas para que el tráfico no caiga en la primera regla en la que se permite el tráfico con cualquier origen a cualquier destino. Para ello se pulsa el botón move y se les asigna el orden correcto.
Las reglas deberían tener un orden similar al siguiente:
Ahora habrá que asociar la ACL 100 creada (con todas sus reglas) a un interfaz. Esto se realiza desde el apartado Security -> Interface Access Control. Existen múltiples formas de alcanzar los objetivos de bloqueo de tráfico propuestos al principio de este artículo, en este caso se asociarán las reglas al interfaz de la VLAN 123 (Interfaz red de invitados).
La dirección del tráfico será Inbound (de entrada) debido a que en las reglas creadas se ha indicado como Source IP Address la red de invitados. Es decir, es tráfico entrante por el interfaz de la VLAN 123 con origen 192.168.123.x
Comprobamos el correcto funcionamiento de la regla conectados a la red de invitados: