Sistemas · Proyecto 04

Diseño de red para una oficina de 50+ usuarios

Topología segmentada por VLANs, direccionamiento VLSM sin desperdiciar direcciones y una política de firewall de mínimo privilegio. Explora el mapa, calcula subredes y comprueba qué tráfico deja pasar el firewall.

Rol: Administración de sistemas y redes
Stack: VLANs · VLSM · Firewall · Linux/Windows Server
Tipo: Herramienta interactiva

ⓘ Diseño de ejemplo con direccionamiento ficticio, inspirado en la gestión de una red real de más de 50 usuarios.

Herramienta 1

Mapa de topología

Pasa el ratón o toca cualquier equipo o VLAN para ver su IP, su función y sus reglas de seguridad.

Desliza el mapa horizontalmente →

Herramienta 2

Calculadora de subredes VLSM

Reparte un bloque de direcciones entre departamentos asignando a cada uno la subred más pequeña que cubre sus equipos, de mayor a menor.

Departamento	Hosts	Red	Máscara	Primera útil	Última útil	Broadcast	Útiles	Sobrantes

Calculadora de una IP

Dirección IP / prefijo

Herramienta 3

Matriz de reglas del firewall

Elige origen, destino y servicio: el firewall evalúa las reglas en orden y aplica la primera que coincide. Si ninguna coincide, se descarta.

Origen Destino Servicio / puerto

Matriz entre zonas (filas = origen · columnas = destino)

Todo permitido Solo algunos servicios Bloqueado Misma VLAN (capa 2)

Reglas (cadena forward, política drop)

Cómo funciona

Segmentación por VLANs

Cada departamento vive en su propia VLAN (802.1Q). Los switches de acceso etiquetan los puertos y suben por trunks al core; el firewall enruta entre VLANs, así ningún tráfico cruza de un segmento a otro sin pasar por una regla. Invitados y gestión quedan totalmente aislados.

Direccionamiento VLSM

Partiendo de un /22, se asigna primero la subred más grande y después las siguientes, cada una con el prefijo mínimo que cubre sus hosts más red y broadcast. Las subredes quedan alineadas, sin solapes, y sobra espacio contiguo para crecer. El DHCP de Windows Server sirve los ámbitos internos mediante relay.

Seguridad y operación

Firewall stateful con política por defecto drop, ACLs y port-security en los switches, DHCP snooping, copias de seguridad 3-2-1 con réplica cifrada fuera de la oficina y monitorización SNMPv3 con alertas: una caída se detecta antes de que llame el primer usuario.

Código destacado

SW-P2 · running-config (Cisco IOS)

! Switch de acceso planta 2: Desarrollo + WiFi invitados
vlan 20
 name DESARROLLO
vlan 30
 name INVITADOS
vlan 99
 name GESTION
vlan 999
 name NATIVA_SIN_USO
!
interface range GigabitEthernet1/0/1 - 22
 description Puestos Desarrollo
 switchport mode access
 switchport access vlan 20
 switchport nonegotiate
 switchport port-security
 switchport port-security maximum 2
 switchport port-security violation restrict
 spanning-tree portfast
 spanning-tree bpduguard enable
!
interface GigabitEthernet1/0/23
 description AP-2 (SSID invitados, gestion sin etiquetar)
 switchport mode trunk
 switchport trunk native vlan 99
 switchport trunk allowed vlan 30,99
!
interface GigabitEthernet1/0/24
 description Uplink a SW-CORE
 switchport mode trunk
 switchport trunk native vlan 999
 switchport trunk allowed vlan 20,30,99
 switchport nonegotiate
 ip dhcp snooping trust
!
ip dhcp snooping vlan 20,30
ip dhcp snooping
! IP de gestión solo en la VLAN 99
interface Vlan99
 ip address 192.168.1.116 255.255.255.240
 no shutdown
ip default-gateway 192.168.1.113

/etc/nftables.conf (FW-EDGE)

#!/usr/sbin/nft -f
flush ruleset

define WAN        = "eth0"
define INVITADOS  = 192.168.0.0/24
define DESARROLLO = 192.168.1.0/26
define ADMIN      = 192.168.1.64/27
define SERVIDORES = 192.168.1.96/28
define GESTION    = 192.168.1.112/28

table inet filtro {
  chain forward {
    type filter hook forward priority filter; policy drop;

    ct state established,related accept
    ct state invalid drop

    # R1 · La VLAN de gestión administra toda la red
    ip saddr $GESTION accept
    # R2 · Ningún otro segmento entra en gestión
    ip daddr $GESTION drop

    # R3/R4 · Invitados: solo DNS y web hacia Internet
    ip saddr $INVITADOS oifname $WAN udp dport 53 accept
    ip saddr $INVITADOS oifname $WAN tcp dport { 80, 443 } accept
    ip saddr $INVITADOS drop

    # R5 · Puestos → dominio, DNS, ficheros y hora
    ip saddr { $ADMIN, $DESARROLLO } ip daddr $SERVIDORES tcp dport { 88, 389, 445 } accept
    ip saddr { $ADMIN, $DESARROLLO } ip daddr $SERVIDORES udp dport { 53, 88, 123 } accept

    # R6 · Desarrollo imprime en la impresora de planta 1
    ip saddr $DESARROLLO ip daddr 192.168.1.70 tcp dport 9100 accept

    # R7/R8 · Navegación de los puestos y Git por SSH
    ip saddr { $ADMIN, $DESARROLLO } oifname $WAN tcp dport { 80, 443 } accept
    ip saddr { $ADMIN, $DESARROLLO } oifname $WAN udp dport 53 accept
    ip saddr $DESARROLLO oifname $WAN tcp dport 22 accept

    # R9 · Servidores: actualizaciones, NTP y copia off-site
    ip saddr $SERVIDORES oifname $WAN tcp dport 443 accept
    ip saddr $SERVIDORES oifname $WAN udp dport { 53, 123 } accept

    # R10 · Desde Internet no se inicia nada; el resto cae en "policy drop"
    iifname $WAN log prefix "fw-wan-drop: " drop
  }
}

table ip nat {
  chain postrouting {
    type nat hook postrouting priority srcnat; policy accept;
    oifname $WAN masquerade
  }
}