VLAN nativa: el error más común en switches

¿Conoces uno de los errores más comunes al conectar un switch?
¿Sabías que si no modificas la VLAN nativa puedes abrir la puerta a ataques a servicios críticos o incluso permitir acceso a toda la red?

¿Qué es la VLAN nativa?

La VLAN nativa es aquella que transporta tráfico no etiquetado en un enlace trunk.
En dispositivos Cisco, por defecto es la VLAN 1, aunque puede modificarse a otro número.

Esto significa que todo el tráfico que llegue al switch sin etiqueta de VLAN será tratado como parte de la VLAN nativa. Por este motivo, todos los dispositivos finales (PCs, portátiles, servidores) quedan asociados inicialmente a esa VLAN.

De ahí la importancia de segmentar cada dispositivo en su VLAN correspondiente o, directamente, cambiar la VLAN nativa a una sin uso, como la 999, para reducir riesgos y evitar ataques.

Ejemplo real

Imagina que conectas dos switches con un enlace trunk 802.1Q:

• En el primer switch cambias la VLAN nativa a la 20.
• En el segundo no la modificas, por lo que se queda con la VLAN 1 por defecto.

¿Qué ocurre?
El primer switch recibe un paquete sin etiqueta y lo mete en la VLAN 20. Cuando ese paquete llega al segundo switch, también lo analiza y, al ver que no lleva etiqueta, lo manda a su VLAN nativa… que sigue siendo la 1.

Resultado: inconsistencia entre switches → tráfico no autorizado puede acabar en VLAN con servicios críticos.

Por ello, siempre debe existir consistencia en la configuración de la VLAN nativa en todos los switches de la red.

Beneficios de cambiar la VLAN nativa

• Evitar fugas de tráfico: impedir accesos indebidos a servicios críticos.
• Aumentar seguridad: inutilizar la VLAN nativa para obligar a segmentar correctamente.
• Consistencia entre switches: mantener paridad y evitar errores.
• Mejor organización: cada VLAN cumple un propósito y facilita detectar tráfico inusual.

Conclusión

Cuando un switch se inicia, debes entender el impacto de la VLAN nativa.
Si no la configuras correctamente, no solo puede comprometer un equipo, sino toda la red que interconectes.