Las VLAN y las subredes sirven para dividir una red en trozos más pequeños, de ahí que se confundan tanto. Pero están en capas diferentes y no hacen lo mismo:
- Una VLAN separa la red a nivel de switch: marca qué puertos y qué aparatos se «ven» entre sí.
- Una subred separa la red a nivel de direcciones IP: decide qué rango usa cada grupo y por dónde se enruta el tráfico de uno a otro.
Van juntas casi siempre, ya que cada VLAN lleva su propia subred. En casa es habitual repartir la red en tres VLAN: una para los aparatos de confianza (ordenadores y móviles), otra para los aparatos IoT (cámaras, enchufes, bombillas o la tele) y otra para los invitados.
Conviene tener claro un matiz desde el principio, ya que es donde más gente se equivoca: una subred por sí sola no aísla nada. Para separar de verdad hace falta la VLAN.
Qué es una VLAN
VLAN son las siglas de Virtual Local Area Network, o red de área local virtual. Sirve para dividir uno o varios switches en redes separadas como si fueran aparatos físicos distintos sin comprar más hardware. Solo el router decide si el tráfico de una VLAN llega a otra.
El estándar IEEE 802.1Q la define de una forma muy sencilla: cada trama Ethernet lleva una etiqueta de 4 bytes con el número de la VLAN. Ese número tiene 12 bits, así que las 4.094 VLAN utilizables van de la 1 a la 4094, sin contar la 0 ni la 4095.
Una VLAN no separa por direcciones MAC, aunque se lea a menudo. Lo habitual es separar por puerto y por etiqueta:
- Un puerto de acceso (access) pertenece a una sola VLAN. Lo que conectes ahí —un PC, una cámara— queda dentro de esa VLAN sin enterarse de nada: no ve etiquetas.
- Un puerto troncal (trunk) transporta varias VLAN a la vez, cada trama con su etiqueta. Es el que une el switch con el router o con otro switch, o el que llega a un punto de acceso Wi-Fi que emite varias redes.
Para qué sirve
- Seguridad. Si una cámara IP barata o un enchufe inteligente se ve comprometido, desde su VLAN no puede llegar a tu ordenador. Es la razón número uno para usarlas en casa.
- Menos tráfico de difusión. Los mensajes broadcast —los que un aparato envía a todos los demás— no salen de su VLAN. En redes con muchos dispositivos eso descarga bastante.
- Orden. Se puede reorganizar la red por funciones sin tirar cables nuevos: cambiar un aparato de VLAN es cambiar la configuración de un puerto.
Lo que necesitas
Para montar esto vas a necesitar un switch gestionable compatible con el 802.1Q, algo que no ofrecen los domésticos básicos ni los no gestionables, y un router que también las soporte, el que decide qué tráfico pasa de una VLAN a otra. Si quieres varias redes Wi-Fi separadas, hará falta un punto de acceso que asigne cada SSID a una VLAN.
Si no tienes claro qué hace exactamente un switch y en qué se diferencia de un hub, lo explicamos en switch vs hub.
Qué es una subred
Una subred es una subdivisión de una red IP. Se define mediante una máscara, que indica qué parte de la dirección identifica a la red y qué parte corresponde a cada dispositivo. En la notación habitual, se escribe utilizando una barra: 192.168.1.0/24.
Todo depende del número que va después de la barra, porque marca cuántas direcciones caben:
| Máscara | Notación | Direcciones utilizables |
| 255.255.255.0 | /24 | 254 |
| 255.255.254.0 | /23 | 510 |
| 255.255.252.0 | /22 | 1.022 |
| 255.255.248.0 | /21 | 2.046 |
| 255.255.0.0 | /16 | 65.534 |
Un ejemplo que suele estar mal planteado
Pongamos el ejemplo clásico: una empresa que tiene dos oficinas, de mil personas cada una, y a las que se pone 192.168.0.x y 192.168.1.x. No cabe, porque un rango x.x.x.0/24 solo tiene 254 direcciones utilizables, mientras que mil personas necesitan varios miles entre ordenadores, móviles y teléfonos de sobremesa.
Lo suyo es reservar a cada oficina una /22 mínimo —1.022 direcciones— o, mejor aún, una /21 para tener margen de crecimiento. Por ejemplo, 10.0.0.0/21 para una y 10.0.8.0/21 para la otra. Con ese tamaño, además, tiene sentido partir cada oficina en varias subredes según el departamento o el tipo de aparato.
Para qué sirve
- Enrutar. Los routers deciden por dónde mandar el tráfico mirando la subred de destino. Sin subredes no hay forma de organizar una red grande.
- Controlar el tráfico entre grupos. Como el tráfico entre subredes tiene que pasar por un router, ahí se pueden poner reglas: quién puede hablar con quién.
- Ordenar el direccionamiento. Saber que las cámaras están en
192.168.20.xy los ordenadores en192.168.10.xsimplifica muchísimo la gestión.
En qué se diferencian, y la trampa de las subredes sin VLAN
| VLAN | Subred | |
| Capa | 2 (enlace de datos) | 3 (red) |
| Qué separa | Dominios de difusión | Rangos de direcciones IP |
| Cómo lo hace | Puertos y etiquetas 802.1Q | Máscaras de subred |
| Quién la aplica | El switch | El router |
| ¿Aísla por sí sola? | Sí, a nivel de switch | No: sin VLAN se puede saltar cambiando la IP |
| ¿Se comunica con las demás? | Solo a través de un router | Sí, a través de un router |
| Límite | 4.094 VLAN por red | Depende de la máscara |
Una subred sola no aísla
Este es el error más común. Muchas personas creen que basta con asignar las cámaras a la red 192.168.20.x y los ordenadores a la 192.168.10.x para haberlos separado. No es así, siempre que todos sigan conectados al mismo switch sin VLAN:
- Siguen dentro del mismo dominio de difusión: los broadcast que manda un aparato llegan también a los demás.
- Cualquier dispositivo puede cambiarse la IP a mano y colocarse en la otra subred. Un aparato comprometido lo hará sin pedir permiso.
Una subred no deja de ser una convención de direcciones. En la VLAN hay una separación física simulada que el switch hace cumplir: por eso, si buscas seguridad, lo correcto es VLAN + subred + reglas en el router.
Y una VLAN sola no se comunica
El caso contrario: entre dos VLAN no hay comunicación aunque quieras, ya que el switch impide que el tráfico pase de una a otra. Para que se comuniquen hace falta un router —o un switch de capa 3— que haga el llamado enrutamiento entre VLAN.
Las reglas del cortafuegos del router marcan, justo en ese punto, qué VLAN puede abrir conexiones hacia cuál: ahí se decide la seguridad de toda la red.
Cómo se monta en casa una red con tres VLAN
En una casa con muchos aparatos, este es el reparto más lógico y también el más frecuente:
| VLAN | Para qué | Subred de ejemplo | Qué puede hacer |
| 10 | Confianza: ordenadores y móviles | 192.168.10.0/24 | Todo, incluido llegar al IoT |
| 20 | IoT: cámaras, enchufes, tele, robot aspirador | 192.168.20.0/24 | Salir a internet; no iniciar conexiones a la VLAN 10 |
| 30 | Invitados | 192.168.30.0/24 | Solo internet |
Lo que hace falta
- Un router o cortafuegos que gestione VLAN. El router que te da la operadora casi nunca lo permite. Lo hacen los que llevan firmwares como OpenWrt, los sistemas OPNsense o pfSense, y equipos de gama prosumer como UniFi o MikroTik.
- Un switch gestionable con soporte 802.1Q. Los hay por menos de 40 euros.
- Un punto de acceso que asigne cada red Wi-Fi a una VLAN. Así, conectarse a la red «Casa-IoT» mete el aparato automáticamente en la VLAN 20.
Las reglas que importan
- Los dispositivos de confianza pueden abrir conexiones hacia los IoT. Es lo que permite ver la cámara, por ejemplo.
- Los IoT no pueden iniciar conexiones con los de confianza. Solo contestar a las que reciben.
- Los invitados solo salen a internet. Del resto de la red no ven nada.
El problema que surge siempre al separar el IoT: dispositivos como Chromecast, AirPlay, las impresoras y muchos aparatos inteligentes se descubren entre sí con mDNS, un protocolo que por diseño no atraviesa VLAN. Por ello, al separarlos, el móvil deja de «ver» la tele.
Para solucionarlo, debes activar en el router un repetidor mDNS —denominado mDNS Repeater en OPNsense y pfSense, y Multicast DNS en UniFi— que se encarga de reenviar esos anuncios entre las VLAN que elijas. Sin esta función, la separación de redes funciona, pero algunos servicios dejan de operar correctamente.
Aprovecha también para revisar dos ajustes relacionados que suelen dejar la puerta abierta: el UPnP, que permite que cualquier aparato de la red abra puertos en el router por su cuenta, y si tu router sigue teniendo activado el WPS.
