Tanto las VLAN como las subredes dividen una red en partes menores, y de ahí viene la confusión habitual. No obstante, funcionan en capas diferentes y su cometido tampoco coincide:
- Una VLAN divide la red en el switch: define qué puertos y qué aparatos se «ven» mutuamente.
- Una subred divide la red en las direcciones IP: fija el rango de cada grupo y la ruta que el tráfico sigue entre ellos.
En casa lo normal es repartir la red en tres VLAN, porque toda VLAN trae su propia subred y casi siempre van de la mano: una para los equipos de confianza (móviles y ordenadores), otra para los aparatos IoT (cámaras, enchufes, bombillas o la tele) y la última para los invitados.
Conviene aclarar un detalle desde el principio, ya que aquí se equivoca mucha gente: por sí sola, una subred no aísla nada. Para lograr un aislamiento real hace falta la VLAN.
Qué es una VLAN
VLAN viene de Virtual Local Area Network, o red local virtual. Divide uno o varios switches en redes separadas que actúan como aparatos físicos distintos, sin adquirir hardware extra. Solo el router deja pasar el tráfico entre VLAN.
IEEE 802.1Q es el estándar que la define y su mecánica resulta muy simple: en cada trama Ethernet se inserta la etiqueta de 4 bytes que señala a qué VLAN pertenece. Esa cifra ocupa 12 bits, así que hay 4.094 VLAN utilizables, desde la 1 hasta la 4094; quedan fuera la 0 y también la 4095, ambas reservadas.
La VLAN no se separa por direcciones MAC, pese a lo que se lee. Normalmente se hace por etiqueta y por puerto:
- Cada puerto de acceso (access) queda asignado a una única VLAN. Lo que enchufes en él —un PC, una cámara— vive ahí sin notar nada: las etiquetas no le llegan.
- Un puerto troncal (trunk) lleva varias VLAN simultáneas, y cada trama conserva su etiqueta. Suele enlazar el router con el switch o dos switches entre sí, o bien llega a algún punto de acceso con Wi-Fi que difunde varias redes distintas.
Para qué sirve
- Seguridad. Cualquier cámara IP económica o enchufe inteligente que se vea comprometido no alcanza tu ordenador desde su VLAN. Es el motivo principal para emplearlas en casa.
- Tráfico de difusión más bajo. Los mensajes broadcast —aquellos que un aparato manda a todos los restantes— no abandonan su VLAN. En una red con muchos dispositivos, eso alivia bastante.
- Orden. La red se puede reordenar por funciones sin tender cables nuevos: mover un aparato de VLAN equivale a modificar la configuración del puerto.
Lo que necesitas
Hace falta un switch gestionable compatible con 802.1Q —los domésticos sencillos, los no gestionables, no sirven— y un router que las soporte también, pues es quien decide qué tráfico pasa entre VLAN. Si además buscas varias redes Wi-Fi independientes, hará falta un punto de acceso capaz de reservar una VLAN para cada SSID.
Si todavía no tienes claro para qué sirve un switch ni cómo se distingue de un hub, lo contamos en switch vs hub.
Qué es una subred
La subred es una porción de una red IP. La delimita una máscara: ella señala qué tramo de la dirección identifica la red y cuál va con cada equipo. Se representa mediante una barra, por ejemplo 192.168.1.0/24.
De cuántas direcciones dispone la subred depende del número que sigue a la barra:
| Máscara | Notación | Direcciones utilizables |
| 255.255.255.0 | /24 | 254 |
| 255.255.254.0 | /23 | 510 |
| 255.255.252.0 | /22 | 1.022 |
| 255.255.248.0 | /21 | 2.046 |
| 255.255.0.0 | /16 | 65.534 |
Un ejemplo que suele estar mal planteado
Pensemos en el caso típico: una empresa con dos sedes de mil personas, y a cada sede se le da 192.168.0.x en un caso; en el otro, 192.168.1.x. No cabe, porque un bloque x.x.x.0/24 dispone solo de 254 direcciones utilizables; mil personas, entre ordenadores, móviles y teléfonos de sobremesa, suman varios miles.
Cada sede necesitaría como mínimo una /22, que son 1.022 direcciones; mejor todavía, una /21 que deje sitio para crecer. Por ejemplo, a la primera le pondría 10.0.0.0/21; a la segunda, 10.0.8.0/21. En una red así, además, tendría sentido dividir cada sede en varias subredes según el departamento o el tipo de dispositivo.
Para qué sirve
- Enrutar. Para saber hacia dónde enviar cada paquete, los routers consultan la subred de destino. Una red grande resulta imposible de organizar sin subredes.
- Controlar el tráfico entre subredes. Al colocar un router en medio, se pueden aplicar reglas: decidir quién habla con quién y quién no.
- Ordenar el direccionamiento. Las cámaras van por
192.168.20.x; los ordenadores, por192.168.10.x. Así la gestión se simplifica muchísimo.
En qué se diferencian, y la trampa de las subredes sin VLAN
| VLAN | Subred | |
| Capa | 2 (enlace de datos) | 3 (red) |
| Qué separa | Dominios de difusión | Rangos de direcciones IP |
| Cómo lo hace | Puertos y etiquetas 802.1Q | Máscaras de subred |
| Quién la aplica | El switch | El router |
| ¿Aísla por sí sola? | Sí, a nivel de switch | No: sin VLAN se puede saltar cambiando la IP |
| ¿Se comunica con las demás? | Solo a través de un router | Sí, a través de un router |
| Límite | 4.094 VLAN por red | Depende de la máscara |
Una subred sola no aísla
Es el fallo más frecuente. Muchos piensan que poner los ordenadores en la red 192.168.10.x y las cámaras en la 192.168.20.x ya los separa. No es así, siempre que todos sigan conectados al mismo switch y sin VLAN:
- Comparten el dominio de difusión, y los broadcast de un aparato llegan a los demás.
- Cualquier aparato puede cambiarse la IP manualmente y saltar a la otra subred; uno comprometido lo hará y no pedirá permiso.
La subred es solo una convención de direcciones, mientras que la separación física simulada la aplica el switch mediante la VLAN. Por eso, si buscas seguridad, lo correcto pasa por VLAN + subred + reglas en el router.
Y una VLAN sola no se comunica
Justo lo contrario: dos VLAN no se hablan aunque quieras, ya que el switch impide que el tráfico salte de una hacia otra. Para conectarlas se necesita un router o, si no, un switch de capa 3 con el denominado enrutamiento entre VLAN.
Ahí se juega la seguridad de la red entera: las reglas del cortafuegos que aplica el router fijan qué VLAN puede abrir conexiones hacia cuál.
Cómo se monta en casa una red con tres VLAN
En un hogar con muchos dispositivos, esta distribución resulta la más lógica y, además, la más común:
| VLAN | Para qué | Subred de ejemplo | Qué puede hacer |
| 10 | Confianza: ordenadores y móviles | 192.168.10.0/24 | Todo, incluido llegar al IoT |
| 20 | IoT: cámaras, enchufes, tele, robot aspirador | 192.168.20.0/24 | Salir a internet; no iniciar conexiones a la VLAN 10 |
| 30 | Invitados | 192.168.30.0/24 | Solo internet |
Lo que hace falta
- Un cortafuegos o router que gestione VLAN. El de la operadora no lo permite casi nunca. Lo permiten los equipos con firmware tipo OpenWrt, las plataformas OPNsense o pfSense y los modelos prosumer de UniFi o MikroTik.
- Un switch gestionable que soporte 802.1Q. Cuesta desde menos de 40 euros.
- Un punto de acceso encargado de asignar a qué VLAN va cada red Wi-Fi. Al conectar el aparato a «Casa-IoT», queda en la VLAN 20 automáticamente.
Las reglas que importan
- Los dispositivos de confianza sí pueden abrir conexiones hacia los IoT, por ejemplo para ver la cámara desde la app.
- Los IoT no pueden lanzar conexiones hacia los equipos de confianza. Solo responden a las recibidas.
- Los invitados solo van a internet. De la red no ven nada.
La pega que aparece siempre que separas el IoT: AirPlay, Chromecast, impresoras y muchos equipos inteligentes se detectan entre sí con mDNS, el protocolo que de por sí no atraviesa VLAN. Al dividirlos, el móvil ya no alcanza a «ver» la tele.
Para ello, activa en tu router un repetidor mDNS —mDNS Repeater, en OPNsense y pfSense; Multicast DNS, en UniFi— que reenvíe entre las VLAN que escojas esos anuncios. Sin ese repetidor, la separación funciona, aunque se rompen cosas.
Aprovecha también para revisar otros dos ajustes que suelen dejar abierta la puerta: el servicio UPnP, que deja que cualquier equipo de la red abra puertos del router por su cuenta. Comprueba si el mecanismo WPS sigue activo en tu router.
