Qué vas a configurar
Una VLAN separa lógicamente el tráfico de una red. En SonicWall, cada VLAN que el firewall deba gestionar se representa mediante una subinterfaz VLAN asociada a una interfaz física. El switch debe transportar esa misma VLAN por el enlace entre ambos equipos. Crear la subinterfaz no configura automáticamente el switch ni decide por sí solo qué comunicaciones estarán permitidas.
| Concepto | Qué significa |
|---|---|
| VLAN ID | Identificador numérico de la red, que debe coincidir en SonicWall y en el switch. |
| Interfaz física / interfaz padre | Puerto físico por el que el SonicWall recibe el tráfico etiquetado. |
| Subinterfaz VLAN | Interfaz lógica del firewall asociada a un VLAN ID. |
| Zona | Grupo de seguridad de SonicWall al que pertenece la interfaz; influye en las políticas aplicables. |
| Gateway | Dirección IP del SonicWall que usarán los dispositivos para salir de su subred. |
| DHCP | Servicio que entrega automáticamente IP, máscara, gateway y DNS a los clientes. |
| Trunk | Enlace que puede transportar varias VLAN etiquetadas entre dispositivos de red. |
Antes de empezar: lista de seguridad
- Guarda una copia de seguridad de la configuración actual del SonicWall y comprueba que sabes dónde se guarda.
- Prepara una vía de recuperación local: acceso físico al equipo y una forma conocida de conectarte si pierdes el acceso por red. No dependas únicamente de la sesión que estás a punto de modificar.
- Haz los cambios en una ventana en la que una interrupción sea asumible. Si es una red de trabajo o compartida, acuerda antes el mantenimiento.
- Identifica con certeza el puerto del SonicWall conectado al switch. No cambies la interfaz WAN ni la interfaz que mantiene tu acceso administrativo.
- Comprueba la configuración del puerto correspondiente en UniFi y confirma qué VLAN nativa y qué VLAN etiquetadas transporta.
- No cambies la dirección IP de la red que ya funciona ni elimines interfaces existentes como parte de este tutorial.
Paso 1. Planifica una VLAN de ejemplo
Antes de abrir el panel de administración, anota el identificador, el propósito, la subred, el gateway y el rango DHCP. Para este ejemplo utilizaremos una red de pruebas independiente:
| Campo | Valor ficticio | Para qué sirve |
|---|---|---|
| Nombre | LAB-Pruebas | Ayuda a reconocer la finalidad de la red. |
| VLAN ID | 110 | Etiqueta que debe coincidir en ambos extremos del enlace. |
| Subred | 192.168.110.0/24 | Rango de direcciones de esta red. |
| Gateway del SonicWall | 192.168.110.1 | Dirección de la subinterfaz del firewall. |
| DHCP inicial | 192.168.110.100–192.168.110.199 | Direcciones que se entregarán automáticamente a clientes. |
| DNS | Servidor DNS aprobado para tu red | Permite resolver nombres de dominio. |
La subred de ejemplo debe estar libre y no solaparse con otras redes locales, VPN o redes remotas. El gateway queda fuera del rango DHCP para evitar asignarlo por error a un cliente. Si no puedes confirmar estos requisitos, detente y termina primero el plan de direccionamiento.
Paso 2. Comprueba el enlace físico y el switch UniFi
En SonicOS, abre Network → System → Interfaces y localiza la interfaz física que conecta con el switch. Comprueba el nombre de la interfaz y el estado del enlace; no asumas que el puerto tiene el mismo nombre que en otro modelo o instalación.
En UniFi Network, identifica el puerto que conecta con el SonicWall. Para transportar VLAN etiquetadas, ese puerto debe permitir el VLAN ID de prueba. La VLAN nativa gestiona el tráfico sin etiqueta; no la cambies por intuición ni la confundas con la VLAN de prueba. Si el enlace ya transporta redes en producción, un cambio incorrecto puede interrumpirlas.
Si no sabes con seguridad qué VLAN están permitidas o qué red mantiene la administración del switch, no apliques cambios todavía. El tutorial siguiente de esta serie explica los puertos trunk/access de UniFi con más detalle.
Paso 3. Crea la subinterfaz VLAN en SonicOS
En SonicOS 7, entra en Network → System → Interfaces. En el apartado de interfaces, busca la opción + Add Interface y selecciona Virtual Interface (interfaz virtual). Los nombres pueden variar ligeramente entre versiones.
- Zona: selecciona la zona que corresponda al diseño de seguridad de esta red. No elijas una zona al azar: revisa sus propiedades y las reglas asociadas. Si no entiendes qué permisos aplica, no continúes con una VLAN que vaya a transportar dispositivos reales.
- VLAN Tag: introduce el identificador planificado, en este ejemplo
110. - Parent Interface: selecciona la interfaz física identificada en el paso anterior y conectada al switch.
- IP Assignment / Mode: selecciona el modo de dirección estática si esta subinterfaz actuará como gateway de la subred.
- IP Address: introduce la dirección de gateway de ejemplo
192.168.110.1. - Subnet Mask: para el ejemplo
255.255.255.0, equivalente a una red /24. - Comment: escribe una descripción breve, sin incluir contraseñas ni información interna sensible.
- Revisa dos veces la zona, el VLAN ID, la interfaz padre y la dirección IP. Guarda solo cuando todos los valores coincidan con tu plan.
Atención: una zona no es simplemente una etiqueta. Puede influir en las reglas que se aplican al tráfico. La creación de la interfaz no sustituye la revisión de las políticas entre zonas, que se trata en el tutorial específico de reglas de firewall.
Paso 4. Configura el ámbito DHCP
Si quieres que los equipos de esta VLAN reciban la configuración automáticamente, crea o revisa un ámbito DHCP asociado a la subinterfaz. En SonicOS, la ubicación exacta del apartado DHCP puede variar según la versión; utiliza la sección de DHCP Server de la interfaz de administración y confirma que el ámbito pertenece a la interfaz VLAN correcta.
- Habilitación: comprueba que el ámbito DHCP esté activado.
- Rango inicial y final: para el ejemplo, de
192.168.110.100a192.168.110.199. - Gateway predeterminado:
192.168.110.1, la IP de la subinterfaz. - Máscara:
255.255.255.0. - DNS: indica los servidores DNS que deban utilizar los clientes según la política de tu red.
No permitas que el rango DHCP incluya la dirección del gateway ni direcciones reservadas para equipos con IP fija. Si ya existe otro servidor DHCP en esa VLAN, resuelve primero cuál debe prestar el servicio: dos servidores no coordinados pueden entregar datos incompatibles.
Paso 5. Verifica la VLAN antes de darla por terminada
Con la subinterfaz creada y el puerto UniFi preparado para transportar la VLAN, conecta un dispositivo de prueba a un puerto configurado para esa red. No utilices para esta prueba un puerto del que dependa tu acceso de administración.
- Comprueba en SonicOS que la subinterfaz aparece habilitada y con los valores planificados.
- En UniFi, confirma que el VLAN ID de prueba está permitido en todos los puertos por los que debe pasar el tráfico.
- En el dispositivo de prueba, renueva la conexión de red o vuelve a conectarte y comprueba que recibe una dirección del rango esperado.
- Verifica que la dirección IP, máscara, gateway y DNS son correctos. Si el equipo no recibe IP, no sigas añadiendo reglas al azar.
- Comprueba el acceso al gateway y después realiza una prueba de DNS y de acceso a Internet, si esa salida está prevista para la VLAN.
- Comprueba las reglas de seguridad y confirma que el dispositivo solo puede acceder a los destinos autorizados.
- Guarda una copia de la configuración validada y anota los resultados de la prueba.
Paso 6. Si algo falla, sigue este orden
| Síntoma | Qué comprobar primero |
|---|---|
| El cliente no recibe una dirección IP | Que el ámbito DHCP esté habilitado, que corresponda a la subinterfaz correcta y que la VLAN esté permitida en el camino entre cliente, switch y firewall. |
| El cliente recibe una IP de otra subred | La VLAN nativa del puerto, el perfil de puerto y si el dispositivo está conectado al puerto de prueba correcto. |
| El cliente recibe IP, pero no alcanza el gateway | VLAN ID, subred y máscara, estado de la interfaz y transporte de la VLAN en el trunk. |
| Alcanza el gateway, pero no resuelve nombres | La configuración DNS del cliente y la disponibilidad del servidor DNS. |
| Hay Internet, pero no funciona un servicio interno | Las reglas de acceso entre zonas y el servicio/puerto concreto requerido. |
| Has perdido el acceso al firewall o al switch | Detén los cambios y utiliza la vía de recuperación local preparada antes de empezar. No sigas cambiando perfiles a ciegas. |
Paso 7. Añade las VLAN restantes de una en una
Cuando la VLAN de prueba funcione, repite el proceso para las demás redes planificadas: una subinterfaz por VLAN que deba gestionar el SonicWall, con su propio identificador, zona, gateway y configuración DHCP cuando corresponda. Verifica cada red antes de continuar con la siguiente y documenta los cambios.
No copies automáticamente la misma zona ni las mismas reglas a todas las VLAN. Una red de gestión, una red doméstica, IoT y una red de invitados pueden necesitar políticas distintas. La configuración de las reglas entre VLAN se desarrolla en el tutorial 5 de esta serie.
Qué no cubre este tutorial
- La configuración detallada de puertos trunk/access en UniFi: se desarrolla en el tutorial 3.
- La creación de reglas completas entre zonas y su orden: se desarrolla en el tutorial 5.
- El aislamiento específico de IoT e invitados y las excepciones para servicios domésticos: se desarrolla en los tutoriales posteriores.
- La recuperación avanzada de una configuración dañada: consulta el tutorial dedicado a preparar un acceso de recuperación antes de realizar cambios críticos.
Referencias oficiales
- SonicWall: documentación de subinterfaces VLAN en SonicOS 7.
- Ubiquiti: asignación de VLAN a puertos trunk y access.
- Ubiquiti: diagnóstico de problemas de VLAN.
Antes de pasar al siguiente tutorial: asegúrate de que la VLAN de prueba entrega la dirección correcta, llega a su gateway y tiene únicamente los accesos previstos. Si no puedes confirmar estos tres puntos, no extiendas todavía los cambios al resto de la red.
Siguiente paso: configurar el switch UniFi
Una vez entendido qué espera el SonicWall del enlace, continúa con el tutorial de configuración de puertos trunk y access en UniFi. Allí se explica cómo permitir las VLAN necesarias sin interrumpir la conectividad de administración.
Siguiente tutorial: configurar el switch UniFi
En el tutorial 3 configuraremos los puertos trunk y access del switch UniFi para transportar las VLAN necesarias y mantener la conectividad de administración.