VLAN de administracion

[sebamegot]

Buenas tardes.

Cuando defino una VLAN, luego habilito su interfaz SVI y la coloco en el mismo rango del default gateway definiendo una ip y encendiendo la SVI.

Mi consulta es, debo asignar esta VLAN de administración a un puerto en desuso con fines de administración?

Ya que no debe ser seguro que una de las VLANs de producción cumpla al mismo tiempo con el rol de administración.

[M02@rt37]

Holà,

Asignar una VLAN de administración dedicada para fines administrativos es una buena práctica en el diseño de redes, ya que puede mejorar la seguridad de la red y facilitar la administración de su infraestructura de red. Crear una VLAN separada para la administración es un enfoque común. Esto le permite aislar el tráfico administrativo del tráfico de producción, lo que facilita el control y seguridad del acceso a los dispositivos de administración de red. Habilitar la interfaz virtual del conmutador (SVI) en la VLAN de administración también es una práctica estándar. Este SVI sirve como puerta de enlace para dispositivos en la VLAN de administración, permitiéndoles comunicarse con otras VLAN y redes externas. 

Debe asignar la VLAN de administración a los puertos del conmutador que se conectan a los dispositivos involucrados en la administración de la red, como conmutadores, enrutadores, firewalls y estaciones de trabajo de administración. Esta VLAN no debería quedar obsoleta; debe utilizarse activamente con fines de gestión.

Generalmente es una buena idea separar la VLAN de administración de las VLAN de producción para evitar el acceso accidental o no autorizado. Combinar el tráfico de gestión y producción puede crear riesgos de seguridad y hacer que la resolución de problemas sea más compleja. Si bien otras VLAN pueden tener sus propias funciones administrativas, es esencial mantener el tráfico de administración separado para mantener la seguridad y el control. También es posible tener varias VLAN para diferentes fines administrativos, según la complejidad y los requisitos de seguridad de su red.

[sebamegot]

Hola, gracias por tu respuesta.

Tengo algunas dudas!

En cuanto a esta parte

"Debe asignar la VLAN de administración a los puertos del conmutador que se conectan a los dispositivos involucrados en la administración de la red, como conmutadores, enrutadores, firewalls y estaciones de trabajo de administración. Esta VLAN no debería quedar obsoleta; debe utilizarse activamente con fines de gestión."

Si bien dices que la VLAN definida para administracion debe estar asignada para los dispositivos mencionados en el texto, que sucede si por requisitos de la compañia esos equipos deben estar en sus respectivas VLANS definidas y no asi en la de administracion, es por eso mi pregunta de asignar la VLAN en un puerto no utilizado de produccion.

La configuracion que haria es la siguiente:

# VLAN 100

# name ADMINISTRACION

#interface vlan 100

# description ADMINISTRACION

# ip address 172.16.100.10 255.255.255.0

# no shut

# ip default-gateway 172.16.100.1 (aqui se establece el gateway en el mismo segmento que la vlan de administracion no entiendo por qué)

# interface 1/48

# sw mode access

# sw access vlan 100

# exit

Es correcto o no del todo? Si ud lo hace de otra manera me gustaria saber como.

Saludos!

[M02@rt37 · Accepted solution]

@sebamegot 

La asignación de VLAN para administración en un puerto no utilizado de producción es una práctica común y sensata cuando no es posible colocar los dispositivos de gestión en la VLAN de administración por requisitos de la compañía o por motivos de seguridad.

La configuración que has proporcionado para asignar la VLAN 100 (ADMINISTRACION) en un puerto (por ejemplo, 1/48) es correcta y se alinea con el objetivo de separar la gestión de dispositivos en una VLAN dedicada.

Esta configuración permite que el puerto 1/48 esté en la VLAN de administración (VLAN 100) y, por lo tanto, tenga acceso a los dispositivos de gestión. El comando `ip default-gateway` se utiliza para establecer la puerta de enlace predeterminada para la VLAN. Sin embargo, este comando es relevante solo si el switch actúa como una puerta de enlace para la VLAN de administración. Si tu switch no es la puerta de enlace, puedes omitir ese comando.

[Javier Acuña]

Saludos @sebamegot gracias por comunicarte con la comunidad de cisco, la recomendación es utilizar la vlan de gestión para administrar el dispositivo.

 Mi consulta es, debo asignar esta VLAN de administración a un puerto en desuso con fines de administración?  respuesta = NO, para eso los dispositivos disponen de un loopback la cual configuras sin necesidad de utilizar un puerto.

a continuación te dejo la documentacion

https://www.sapalomera.cat/moodlecf/RS/2/course/module4/4.1.3.4/4.1.3.4.html

recuerda es muy importante que le des like a esta publicación y si esto solventa tu duda selecciona como respuesta solucionada.

[sebamegot]

Hola Javier, agradezco tu respuesta.

He leido la documentacion que proporcionaste, comprendí la finalidad de una loopback, aunque menciona que puede usarse para fines administrativos, no entendí como puede utilizarse para ese fin.

[arbeytovar]

El pto debe estar en uso, y si no como la administra?