Una VLAN es una forma de dividir una red física en varias redes lógicas que no se ven entre sí, usando el mismo cableado. Separar las cámaras del resto importa porque cambia la consecuencia de un incidente: en una red plana, comprometer la cámara del parqueadero permite alcanzar el computador de contabilidad; con segmentación, el intruso queda encerrado donde entró.
Qué es una VLAN, sin tecnicismos
Imagine un edificio de oficinas con un solo pasillo: todo el mundo puede caminar hasta cualquier puerta. Ahora imagine el mismo edificio dividido en alas independientes, cada una con su acceso. Sigue siendo el mismo edificio, la misma estructura y los mismos pasillos físicos, pero quien está en un ala no puede pasar a la otra.
Eso es una VLAN. No hay que tender cable nuevo ni comprar switches adicionales para cada grupo: se configura el switch para que ciertos puertos pertenezcan a una red y otros a otra, aunque compartan el mismo equipo y el mismo cableado.
Segmentar no es cuestión de comprar más equipos. En la mayoría de instalaciones que ya tienen cableado estructurado, es cuestión de configurar el switch que ya está instalado.
El problema de la red plana
Una red plana es aquella donde todo está junto: computadores, cámaras, grabador, control de acceso, impresoras, el WiFi de los empleados y el WiFi de los visitantes. Todos se ven entre sí.
Funciona perfectamente. El problema aparece cuando algo falla:
- Una cámara comprometida permite escanear y alcanzar cualquier computador de la empresa.
- Un visitante conectado al WiFi puede ver los equipos internos.
- Un computador infectado puede propagarse a todo lo demás.
- El tráfico de video de las cámaras compite con el trabajo diario y satura la red en las horas de más movimiento.
Los equipos de seguridad electrónica son especialmente sensibles aquí, porque suelen ser los menos actualizados de toda la instalación. Nadie actualiza el firmware de una cámara, mientras que un computador recibe parches automáticamente.
Qué cambia al segmentar
| Situación | Red plana | Red segmentada |
|---|---|---|
| Comprometen una cámara | Se alcanza cualquier equipo | El intruso queda aislado |
| Visitante en el WiFi | Ve los equipos internos | Solo tiene salida a internet |
| Un PC se infecta | Se propaga a todo | Queda contenido en su segmento |
| Tráfico de video | Satura la red de trabajo | Va por su propio segmento |
| Diagnóstico de fallas | Difícil aislar el origen | Se acota de inmediato |
| Control de quién ve qué | Prácticamente nulo | Se define por reglas |
Cómo se reparte una red típica
En una empresa mediana, un esquema razonable queda así:
- Segmento de trabajo: computadores, impresoras, servidor. Es el que más se protege.
- Segmento de seguridad: cámaras, grabador y control de acceso. Sin salida a internet salvo lo estrictamente necesario.
- Segmento de visitantes: WiFi para clientes, con salida a internet y nada más.
- Segmento de administración: acceso a la configuración de switches y equipos, restringido a quien administra.
Y luego se definen las excepciones necesarias: por ejemplo, que el computador de portería sí pueda ver el grabador, pero solo ese y solo hacia ese equipo.
Segmentar y luego dejar una regla que permite todo entre segmentos «para que no dé problemas». Es más común de lo que parece y anula por completo el trabajo. La segmentación sirve en la medida en que las excepciones sean pocas y explícitas.
Qué cuesta implementarlo
Depende de un solo factor: si su switch es administrable o no.
Los switches económicos, de los que se compran para «tener más puertos», no permiten configuración. Si ese es su caso, hay que reemplazarlo, y ese es el costo real del proyecto. Si ya tiene un switch administrable —habitual en instalaciones hechas con criterio— entonces la segmentación es trabajo de configuración, no de compra.
Por eso, cuando hacemos un cableado nuevo, recomendamos switch administrable aunque no se vaya a segmentar de inmediato: la diferencia de precio es moderada y deja la puerta abierta.
Preguntas frecuentes
¿Hay que volver a cablear para segmentar?
No. Ese es justamente el sentido de una VLAN: usa el cableado existente. Lo que se necesita es un switch que permita configurarla.
¿Voy a seguir viendo las cámaras desde el celular?
Sí. Se define explícitamente esa ruta como parte del diseño. Segmentar no significa aislar hasta volver inútil el sistema: significa que solo pase lo que debe pasar.
¿Sirve para una casa?
En vivienda el beneficio es menor y el equipo necesario rara vez está. Donde sí tiene sentido en casa es separar la red de invitados, cosa que muchos routers domésticos ya permiten con un botón. La segmentación completa es un tema de empresas y copropiedades.
¿Es lo mismo que poner las cámaras en otro router?
Se parece en el efecto y a veces se usa como solución económica, pero es más difícil de administrar y suele complicar el acceso remoto y la grabación. Con un switch administrable el resultado es más limpio y más fácil de mantener.
En la visita técnica revisamos los equipos reales, qué está expuesto hacia internet y qué credenciales siguen siendo las de fábrica. La visita cuesta \.000 y es abonable al proyecto.
Ver el servicio de auditoría de red y seguridad de cámaras en Bogotá