Aislar dos redes en un mismo router: VLAN, firewalls y ACL explicados

Ejecutar dos redes completamente separadas —cada una con acceso a internet pero cero visibilidad en los dispositivos de la otra— es un requisito común para redes de invitados, aislamiento de IoT o separar tráfico laboral y personal. Aquí te mostramos cómo lograrlo usando un solo router o switch de capa 3.

1. Definir subredes distintas

Asigna rangos de IP no superpuestos:

• Red A (ej. LAN): 192.168.10.0/24 (Puerta de enlace: 192.168.10.1)
• Red B (ej. Invitado/IoT): 192.168.20.0/24 (Puerta de enlace: 192.168.20.1)

Cada subred obtiene su propio alcance DHCP en el router.

2. Implementar VLAN (Redes locales virtuales)

Este es el método más limpio y escalable. Tu router/switch debe admitir etiquetado VLAN 802.1Q.

• Crea VLAN 10 para la Red A, VLAN 20 para la Red B.
• Asigna puertos físicos del switch a la VLAN apropiada (puertos de acceso, sin etiquetar).
• Configura las interfaces virtuales del router (SVI) como las puertas de enlace para cada VLAN (192.168.10.1 en VLAN 10, 192.168.20.1 en VLAN 20).
• Habilita Enrutamiento inter-VLAN (Conmutación de capa 3) para que el router pueda pasar tráfico entre VLANs y hacia la WAN.

3. Bloquear tráfico inter-VLAN con reglas de firewall / ACL

Por defecto, el router enrutará entre VLANs. Debes denegarlo explícitamente.

• Firewall con estado (preferido): Crea una regla en la interfaz LAN_IN o VLAN: Origen: subred VLAN 10, Destino: subred VLAN 20, Acción: Descartar. Repite en sentido inverso. Permite tráfico establecido/relacionado de regreso para respuestas WAN.
• ACLs sin estado (en switches de capa 3): Aplica una ACL de entrada en cada interfaz VLAN denegando la subred de la otra VLAN. Ejemplo (estilo Cisco):

  ip access-list extended BLOCK_VLAN20 deny ip 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255 permit ip any any interface vlan 10 ip access-group BLOCK_VLAN20 in

Crítico: Asegúrate de que las reglas permitan que cada VLAN llegue a la IP de su propia puerta de enlace (para DHCP/DNS) y a la interfaz WAN (internet), pero no a la subred de la otra VLAN.

4. Configuración de NAT

Ambas subredes generalmente compartirán la misma IP pública mediante NAT (PAT). La regla NAT del router simplemente traduce cualquier tráfico saliente de 192.168.10.0/24 o 192.168.20.0/24 a la interfaz WAN. No se necesita NAT especial por VLAN a menos que tengas múltiples IP públicas.

5. Aislamiento inalámbrico (si usas el mismo AP)

Si un solo punto de acceso atiende ambas redes mediante múltiples SSID:

• Mapea cada SSID a su VLAN (SSID “Hogar” → VLAN 10, SSID “Invitado” → VLAN 20).
• Habilita Aislamiento de clientes (Aislamiento AP) en el SSID de Invitado para evitar que los clientes inalámbricos se comuniquen entre sí.

Lista de verificación de verificación

• ✅ Los dispositivos en la Red A obtienen 192.168.10.x, la Red B obtiene 192.168.20.x.
• ✅ Ambos pueden hacer ping a 8.8.8.8 y navegar por la web.
• ✅ Un dispositivo en la Red A no puede hacer ping, navegar por recursos compartidos o acceder a servicios en la Red B (y viceversa).
• ✅ Ninguno puede acceder a la IP de la puerta de enlace del otro (opcional pero recomendado).
• ✅ La interfaz de gestión del router es accesible solo desde la Red A (VLAN de administración confiable).

Esta arquitectura se escala: agrega VLAN 30 para cámaras, VLAN 40 para servidores, cada una con políticas de firewall personalizadas. El principio sigue siendo: segmentar en la capa 2 (VLANs), enrutar en la capa 3, filtrar en la capa 3/4 (Firewall/ACL).