En esta tercera guía de la serie de redes de CLHOME vamos a configurar un switch UniFi para transportar varias VLAN entre el firewall y los dispositivos conectados. Veremos la diferencia entre un puerto trunk y un puerto access/edge, cómo asignar la red de gestión del switch y cómo comprobar la configuración sin perder el acceso a la infraestructura.
El ejemplo se basa en una instalación con un firewall SonicWall TZ670 y un switch UniFi USW Pro 48 PoE. Las capturas proceden de UniFi Network, pero las direcciones IP, los nombres de red y los identificadores visibles son datos de ejemplo de la interfaz: no copies valores sin adaptarlos a tu diseño. La guía utiliza únicamente las redes que forman parte del diseño actual.
Si acabas de llegar: empieza por el tutorial 1, diseño de la red y sus VLAN, y después revisa el tutorial 2, creación de VLAN en SonicWall. Esta guía corresponde al tutorial 3.
Qué vas a aprender
- Identificar las redes VLAN que administra UniFi y distinguirlas de las redes creadas y enrutadas por el firewall.
- Entender la diferencia entre VLAN nativa y VLAN etiquetada (tagged).
- Preparar un puerto trunk entre el firewall y el switch.
- Configurar la red de gestión del switch mediante Network Override cuando el diseño lo requiera.
- Asignar puertos access/edge a una única red para equipos finales.
- Validar la conectividad y resolver los errores más frecuentes con un orden de comprobación claro.
1. Antes de tocar el switch: entiende el recorrido
En esta arquitectura, el SonicWall actúa como gateway de las redes VLAN y aplica las políticas de seguridad entre ellas. UniFi administra el switch y los puntos de acceso, y determina qué VLAN puede transportar cada puerto. Crear una red en UniFi no significa necesariamente que UniFi vaya a proporcionar el gateway o el DHCP: en una red con gateway de terceros, esos servicios pueden residir en el firewall.
El recorrido típico es: dispositivo final → puerto del switch → enlace trunk (si debe cruzar varias VLAN) → interfaz VLAN correspondiente del firewall. Para que funcione, el VLAN ID debe coincidir en todo el recorrido y cada enlace debe permitir las VLAN necesarias.
2. Comprueba las redes en UniFi Network
En UniFi Network, abre Settings → Networks (la ruta puede variar ligeramente según la versión). Revisa los nombres de las redes y sus VLAN ID antes de asignarlas a puertos. En una instalación con un gateway de terceros, la red puede aparecer con un router externo/third-party gateway; el enrutamiento y las políticas se mantienen en el firewall.
Haz una tabla de trabajo con, al menos, el nombre de cada red, su VLAN ID, su propósito y los puertos que deben transportarla. Mantén la documentación alineada con las redes que existen actualmente y no reutilices capturas antiguas que muestren redes obsoletas.
| Tipo de red | Uso habitual | Qué comprobar |
|---|---|---|
| Gestión | Administración del switch y otros equipos de infraestructura | Que el switch tenga una IP alcanzable desde los equipos administrativos autorizados |
| Servicios | Servidores, contenedores y aplicaciones | Que los puertos de servidor estén en la VLAN prevista y que las reglas del firewall permitan solo lo necesario |
| Usuarios / Home | Ordenadores y dispositivos domésticos | Que cada puerto cableado o SSID esté asociado a la red correcta |
| IoT | Dispositivos inteligentes | Que permanezca separada de las redes internas, salvo excepciones justificadas |
| Invitados | Dispositivos de visitantes | Que no obtengan acceso a las redes privadas |
3. Diferencia entre trunk y access/edge
Puerto trunk
Un trunk transporta varias VLAN por un mismo enlace, normalmente mediante etiquetas IEEE 802.1Q. Es lo habitual para el enlace entre el switch y el firewall cuando ese enlace debe llevar tráfico de varias VLAN, y también puede ser necesario entre switches o hacia un punto de acceso que gestione varios SSID asociados a distintas VLAN.
Puerto access/edge
Un puerto access/edge se destina normalmente a un dispositivo final que pertenece a una sola VLAN, por ejemplo un ordenador, una impresora o un equipo IoT. Se selecciona una red para el tráfico sin etiqueta y no se permiten VLAN adicionales salvo que exista una necesidad concreta. No asignes un perfil access a un enlace que deba transportar varias VLAN.
| Conexión | Configuración habitual | Motivo |
|---|---|---|
| Firewall ↔ switch | Trunk | Transportar las VLAN necesarias entre ambos equipos |
| Switch ↔ otro switch | Trunk, si deben pasar varias VLAN | Mantener las redes necesarias a través del enlace |
| Switch ↔ punto de acceso | Trunk cuando el AP anuncia SSID en varias VLAN | Asociar cada SSID a su VLAN |
| Switch ↔ ordenador o impresora | Access/edge | Asignar el dispositivo a una red concreta |
4. Configura el enlace trunk hacia el firewall
Primero identifica físicamente el puerto que conecta con el SonicWall. No te guíes solo por el número de puerto de este ejemplo: comprueba el cableado, el nombre asignado en UniFi y el estado del enlace. En la captura original de esta instalación el puerto aparece etiquetado como “Trunk FW”; usa un nombre descriptivo equivalente en tu propia documentación, sin publicar nombres internos innecesarios.
Abre el dispositivo switch en UniFi Network, entra en Ports y selecciona el puerto conectado al firewall. En sus ajustes, comprueba el modo de operación y los parámetros de VLAN. En una configuración trunk, revisa:
- Estado: el puerto debe estar activo y el enlace físico debe estar levantado.
- VLAN nativa / Native VLAN: define cómo se trata el tráfico sin etiqueta. Debe concordar con lo que espera el otro extremo y no debe cambiarse por intuición.
- VLAN etiquetadas / Tagged VLAN Management: permite únicamente las VLAN que deben cruzar el enlace. “Allow All” puede funcionar, pero amplía las VLAN permitidas; si el diseño lo permite, considera una lista explícita de las VLAN necesarias.
- Velocidad y negociación: normalmente deja la negociación automática salvo que exista una razón técnica documentada para fijarla.
- Perfil de puerto: si utilizas perfiles, confirma que el perfil aplicado corresponde realmente a un trunk y no a un puerto de usuario.
Importante: la VLAN nativa de la captura no es automáticamente la VLAN de gestión ni la única VLAN que atraviesa el trunk. Son conceptos distintos. Confirma qué tráfico se envía sin etiqueta y cuáles VLAN deben ir etiquetadas, tanto en UniFi como en la interfaz padre del SonicWall.
5. Configura la red de gestión del switch
La dirección de administración permite que UniFi Network y los administradores autorizados se comuniquen con el switch. En los ajustes del dispositivo, la opción Network Override permite seleccionar la red de gestión y, según el equipo y la versión, configurar DHCP o una dirección estática. Úsala solo si tienes claro qué red debe administrar el dispositivo y si esa VLAN llega hasta el switch.
Si eliges una IP estática, verifica que:
- La dirección pertenece a la subred de gestión seleccionada.
- La máscara y el gateway son correctos para esa red.
- La dirección no está dentro de un rango DHCP que pueda asignarla a otro equipo, salvo que esté reservada correctamente.
- El DNS es válido si el switch necesita resolver nombres para las funciones que utilizas.
- Las reglas del firewall permiten la administración desde las redes autorizadas y no exponen la interfaz de gestión a usuarios o invitados.
Un cambio incorrecto de Network Override puede hacer que el switch deje de aparecer como conectado en el controlador. Antes de guardar, confirma que el trunk transporta la VLAN de gestión y que tienes un método local para recuperar el acceso. No cambies la red de gestión mientras dependas de esa misma sesión para recuperarte.
6. Asigna un puerto access/edge
Para conectar un dispositivo final, abre el puerto correspondiente en UniFi Network y selecciona el perfil o la red que corresponde a ese dispositivo. En el modo access/edge, asigna una sola red sin etiqueta, salvo que exista una necesidad especial bien entendida. El equipo conectado debe obtener una dirección del ámbito DHCP de esa VLAN o utilizar una dirección estática válida dentro de ella.
Ejemplo de laboratorio con valores ficticios: si un ordenador debe pertenecer a la red Home, selecciona la red Home como red del puerto y conecta solo ese equipo. No uses el mismo perfil para el enlace al firewall ni para un punto de acceso que deba transportar varias VLAN.
7. Comprueba la configuración paso a paso
- Confirma que el enlace físico entre firewall y switch está activo en ambos extremos.
- Comprueba que cada VLAN necesaria está definida con el mismo ID en el firewall y en UniFi.
- Verifica que el trunk permite las VLAN necesarias y que la VLAN nativa coincide en ambos extremos.
- Conecta un equipo de prueba a un puerto access/edge configurado para una VLAN concreta.
- Comprueba que el cliente recibe una IP, máscara, gateway y DNS de la subred esperada.
- Prueba la conectividad con el gateway. Después prueba DNS e Internet si la política de esa red lo permite.
- Prueba los servicios internos autorizados y confirma también que los destinos que deben estar bloqueados siguen inaccesibles.
- Comprueba que el switch sigue conectado al controlador y que puedes acceder a su gestión desde una red administrativa autorizada.
- Guarda una copia de la configuración validada y documenta los cambios realizados.
8. Errores habituales y cómo diagnosticarlos
| Síntoma | Causas probables | Primera comprobación |
|---|---|---|
| El cliente recibe una IP de otra red | Puerto access mal asignado o VLAN nativa incorrecta | Revisar la red del puerto y si el tráfico llega etiquetado o sin etiqueta |
| El cliente no recibe IP | VLAN ausente del trunk, DHCP no disponible o puerto en VLAN equivocada | Comprobar el ID de VLAN a lo largo del recorrido y el ámbito DHCP del firewall |
| El gateway responde, pero no hay Internet | Reglas de firewall, NAT o política de salida | Revisar la política de esa VLAN en SonicWall; no cambies el trunk sin evidencias |
| El switch desaparece del controlador | Network Override incorrecto, gateway equivocado o VLAN de gestión no transportada | Verificar la red de gestión y utilizar el método de recuperación preparado |
| Un SSID conecta, pero el cliente cae en otra VLAN | VLAN del SSID o transporte en el puerto del AP incorrectos | Comparar el VLAN ID del SSID con las VLAN permitidas en el enlace al AP |
| Un dispositivo se descubre, pero el servicio no funciona | El descubrimiento y el acceso al servicio requieren tráfico distinto | Revisar reglas inter-VLAN, servicio, puertos y requisitos de multicast/mDNS |
9. Buenas prácticas de seguridad
- Aplica el principio de mínimo privilegio: permite solo las VLAN que un enlace necesita transportar.
- Restringe el acceso a la gestión del switch y del controlador a equipos administrativos autorizados.
- No confundas la separación de VLAN con las reglas del firewall: el tráfico entre redes debe controlarse por separado.
- Etiqueta los puertos con una descripción útil y mantenla actualizada, sin publicar nombres o direcciones internas en capturas públicas.
- Antes de modificar un trunk de producción, guarda la configuración y prepara una vía de recuperación local.
- Elimina de la documentación redes que ya no existen. Mantén la documentación actualizada y elimina de ella las redes que ya no existan.
Referencias oficiales
Nota de seguridad: este tutorial explica el procedimiento con fines educativos. Antes de aplicar cambios en una red real, revisa la versión de UniFi Network, comprueba la configuración del firewall, conserva una vía de recuperación local y valida cada modificación antes de continuar.
Siguiente tutorial: configurar las redes Wi-Fi UniFi
En el tutorial 4 asociaremos cada red Wi-Fi a su VLAN y comprobaremos que los clientes reciben la dirección correcta y solo acceden a los recursos permitidos.