VLAN y Segmentacion de Redes en Capa 2

Capa de enlace de datos

La capa 2 es conocida como la capa de enlace de datos y se encuentra en el segundo nivel del modelo de red de siete capas de la OSI. La capa 2 es la equivalente a la capa de enlace (la más baja) en el modelo TCP/IP.

La capa 2 es la capa de red usada para transferir datos entre nodos de red adyacentes en una WAN o entre nodos de una misma LAN.

Comparación de los modelos OSI Y TCP/IP

Una trama es una unidad de datos para el protocolo, la mínima unidad de bits en una red capa 2. Las tramas con emitidas y recibidas por dispositivos en una misma red de área local LAN. A diferencia de los bits, las tramas tienen una estructura interna que permite aplicar técnicas de detección de error, control de conexión y otras más. Algunas tramas no transportan datos sino que son usadas para controlar la conexion de datos misma. 

En capa 2, se identifican varios tipos de emisión: unicast es el envío de tramas de un nodo a otro, multicast es el envío de tramas de un  nodo a múltiples nodos y broadcast es la emisión de tramas a todos los nodos de la red. Un dominio de broadcast es una división lógica de una red en la cual todos los nodos de esa red pueden ser alcanzados en capa 2 por un broadcast.

Los segmentos de una LAN, pueden pueden ser enlazados al nivel de tramas usando bridges (puentes). El bridging crea dominios de broadcast separados en la LAN. Crear VLANS, que son redes lógicas independientes que agrupan elementos similares en segmentos de red separados.  El agrupamiento de elementos en una VLAN es independiente de la ubicación física en la LAN.

Sin el bridging y las VLAN todos los dispositivos en una LAN estarían en un mismo dominio broadcast y todos los dispositivos detectarían todos los paquetes en la VLAN. 

forwarding es la entrega de paquetes de un segmento de red hacia otro por nodos en la red. En una VLAN, una trama cuyo origen y destino están dentro de la misma VLAN son entregados sólo dentro de la misma VLAN. Un segmento de red, es una porcion de una red de computadores en la que cada dispositivo se comunica usando la misma capa física.

En la capa 2 se hace distinción de dos subcapas:

1. La subcapa de control de enlace: (LLC Logical Link Control) Administra los enlaces de comunicación y el tráfico de las tramas.
2. La subcapa de control de acceso al Medio: (MAC Media Access Control) Administra el acceso de los protocolos al medio físico de la red. Utiliza las direcciones MAC asignadas a todos los puertos de un switch, para que múltiples dispositivos en el mismo enlace físico puedan identificarse uno al otro. 

Los puertos en un switch operan ya sea en access mode (modo acceso), Tagged access mode (modo acceso etiquetado), o trunk mode (modo troncal).

Los puertos en modo acceso conectan dispositivos de red tales como computadores de usuario final, telefonos IP, una impresora, un servidor de archivos o una cámara de seguridad. El puerto mismo pertenece a una sola VLAN.  Las tramas transmitidas por una interface de acceso son tramas de Ethernet normales. Por defecto, todos los puertos en un switch están en modo acceso. 

Control de acceso granular por VLAN

Los puertos en modo acceso etiquetado se conectan a dispositivos de red como computadores de usuario final, teléfonos IP, impresoras, o cámaras IP. El puerto mismo pertenece a una sola VLAN. El modo de acceso etiquetado se acomoda a la computación en la nube, específicamente escenarios donde se incluyen máquinas virtuales o computadores virtuales. Dado que varios computadores virtuales pueden estar incluidos en un servidor físico, los paquetes generados por un servidor pueden contener una agregación de paquetes de VLAN de diferentes máquinas virtuales en ese servidor. Para resolver esta situación, el modo de acceso etiquetado refleja los paquetes de vuelta al servidor físico en el mismo puerto de salida cuando la dirección de destino del paquete fue detectada en ese puerto de salida. Los paquetes son reflejados de vuelta al servidor físico en el puerto de salida cuando el destino no ha sido detectado. Por lo tanto, el tercer modo de interfaz, tiene algunas características del modo de acceso y algunas características del modo troncal.

Los puertos en modo troncal manejan tráficos para múltiples VLAN, multiplexando el tráfico para todas aquellas VLANs sobre la misma conexión física. Las interfaces troncales son usadas generalmente para interconectar switches a otros dispositivos o a otros switches.

Estructura de etiquetas VLAN

Con las VLANs nativas configuradas, las tramas que no traen etiquetas VLAN son enviadas por la interface troncal. Si se tiene una situación donde los paquetes pasan de un dispositivo a un switch en modo acceso, y se quiere enviar después esos paquetes desde el switch por medio de un puerto troncal, se utiliza el modo VLAN nativo. Se configura la sola VLAN en el puerto del switch (que está en modo acceso) como VLAN nativa. El puerto troncal del switch tratará entonces esas tramas diferentemente a los otros paquetes etiquetados. Por ejemplo si un puerto troncal tiene tres VLANs 10, 20 y 30 asignadas a el con la VLAN 10 como la VLAN nativa, las tramas en VLAN 10 que salen del puerto troncal en la otra parte no tienen encabezado 802.1Q (etiqueta). Hay otra opción de VLAN nativa. Se puede hacer que el switch ponga y quite etiquetas para paquetes no etiquetados. Para esto se configura una VLAN como VLAN nativa en un puerto conectado a un dispositivo periférico. Luego, se asigna una etiqueta VLAN ID de la VLAN nativa del puerto conectado al dispositivo. Finalmente, se agrega el VLAN ID al puerto troncal. Ahora, cuando el switch recibe el paquete no etiquetado, le agrega el ID que fue especificado y envía y recibe los paquetes etiquetados a los puertos troncales configurados para aceptar esa VLAN.