NetLabCisco / Redes

Arquitectura replicable

Topologías segmentadas.

Elige un escenario empresarial, revisa sus segmentos y replica el workflow en Packet Tracer, GNS3 o equipos Cisco IOS.

Topología seleccionada

Oficina corporativa

1 router · 2 switches · AP corporativo

Configurar paso a paso
Segmentación + control de acceso

Vista rápida

Así se conectan los dispositivos

InternetWAN / ISP
Router / FWGateway
SwitchVLANs / trunk
Usuarios
Wi-Fi
Servidores
DMZ / MGMT

Los clientes se conectan al switch; el router enruta entre VLANs y aplica las reglas de seguridad.

1VLAN 10 · Administración · 192.168.10.0/24
2VLAN 20 · Ventas · 192.168.20.0/24
3VLAN 30 · Servidores · 192.168.30.0/24
4VLAN 99 · Gestión · 192.168.99.0/24

Inventario visible

Router / Core

Switch access 1

Switch access 2

Access point 1

Access point 2

Servidor

Mapa de ejecución

Si hay varios switches, no repitas todo en todos: ejecuta cada bloque únicamente en el equipo indicado.

SWITCH-CORE

VLANs, puertos de acceso y trunk

ROUTER-EDGE

Subinterfaces y gateways inter-VLAN

Workflow por pasos

Cada paso indica el equipo exacto donde debes abrir la CLI. En topologías con varios switches, configura ACCESS-SW-1, ACCESS-SW-2 y distribución por separado; los uplinks deben coincidir en ambos extremos.

1SWITCH-CORE — crear VLANs y trunk hacia el routerCORE L3
enable
configure terminal
vlan 10
 name ADMINISTRACION
vlan 20
 name VENTAS
vlan 30
 name SERVIDORES
vlan 99
 name GESTION
interface GigabitEthernet0/1
 description TRUNK-HACIA-ROUTER
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30,99
end
show vlan brief
show interfaces trunk
copy running-config startup-config
2ROUTER-EDGE — gateways por subinterfazROUTER / FIREWALL
configure terminal
interface GigabitEthernet0/0
 no shutdown
interface GigabitEthernet0/0.10
 encapsulation dot1Q 10
 ip address 192.168.10.1 255.255.255.0
interface GigabitEthernet0/0.20
 encapsulation dot1Q 20
 ip address 192.168.20.1 255.255.255.0
interface GigabitEthernet0/0.30
 encapsulation dot1Q 30
 ip address 192.168.30.1 255.255.255.0
interface GigabitEthernet0/0.99
 encapsulation dot1Q 99 native
 ip address 192.168.99.1 255.255.255.0
end
show ip interface brief
show ip route
copy running-config startup-config

Configuraciones adicionales

Servicios para completar la segmentación

Después del workflow principal, aplica estos bloques en el equipo indicado. Incluyen DHCP por VLAN, DNS, NTP, Syslog, Wi-Fi y controles de seguridad.

3 flujos extra

DHCP por VLAN

Entrega IP, gateway y DNS automáticamente a Administración y Ventas.

ROUTER-EDGE
enable
configure terminal
ip dhcp excluded-address 192.168.10.1 192.168.10.20
ip dhcp excluded-address 192.168.20.1 192.168.20.20
ip dhcp pool VLAN10-ADMIN
 network 192.168.10.0 255.255.255.0
 default-router 192.168.10.1
 dns-server 1.1.1.1 8.8.8.8
 domain-name empresa.local
ip dhcp pool VLAN20-VENTAS
 network 192.168.20.0 255.255.255.0
 default-router 192.168.20.1
 dns-server 1.1.1.1 8.8.8.8
 domain-name empresa.local
end
show ip dhcp binding
show ip dhcp pool

DNS y NTP del router

Configura resolución DNS y sincronización horaria para registros consistentes.

ROUTER-EDGE
enable
configure terminal
ip name-server 1.1.1.1 8.8.8.8
ip domain lookup
ntp server time.google.com
clock timezone UTC 0 0
service timestamps log datetime msec
end
show clock
show ntp associations

DHCP Snooping y confianza

Protege las VLAN frente a servidores DHCP no autorizados; confía únicamente en el trunk hacia el router.

SWITCH-CORE
enable
configure terminal
ip dhcp snooping
ip dhcp snooping vlan 10,20,30,99
interface GigabitEthernet0/1
 description TRUNK-HACIA-ROUTER-DHCP
 ip dhcp snooping trust
interface range GigabitEthernet0/2-24
 ip dhcp snooping limit rate 15
end
show ip dhcp snooping
show ip dhcp snooping binding

Configuración completa sugerida

ACL, firewall y verificación para esta topología

Estos bloques se generan con las VLAN y gateways actuales. Revisa el dispositivo, interfaz, direcciónamiento y política antes de aplicarlos en laboratorio.

4 bloques

ACL inter-VLAN sugerida

Permite únicamente las relaciones seleccionadas arriba y bloquea el resto. Aplica la ACL en la SVI o subinterfaz de entrada.

ROUTER / CORE L3
Pegar, verificar y guardar solo al final
enable
configure terminal
ip access-list extended ACL-EMPRESA-INTERVLAN
 permit ip 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255 ! Administración -> Ventas
 deny ip any any log
exit
interface Vlan10
 ip access-group ACL-EMPRESA-INTERVLAN in
end
show access-lists ACL-EMPRESA-INTERVLAN
show ip interface Vlan10
! Rollback: configure terminal / interface Vlan10 / no ip access-group ACL-EMPRESA-INTERVLAN in

Firewall: política entre zonas

Sugerencia para permitir solo tráfico de usuarios hacia servidores y bloquear invitados hacia redes internas. Ajusta interfaces y servicios antes de pegar.

ROUTER-FW
Pegar, verificar y guardar solo al final
enable
configure terminal
zone security INSIDE
zone security SERVERS
zone security GUESTS
ip access-list extended ACL-INSIDE-SERVERS
 permit tcp 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255 eq 443
 permit udp 192.168.10.0 0.0.0.255 any eq 53
 deny ip any any log
exit
class-map type inspect match-any CM-INSIDE-SERVERS
 match access-group name ACL-INSIDE-SERVERS
exit
policy-map type inspect PM-INSIDE-SERVERS
 class type inspect CM-INSIDE-SERVERS
  inspect
 class class-default
  drop log
exit
zone-pair security INSIDE-SERVERS source INSIDE destination SERVERS
 service-policy type inspect PM-INSIDE-SERVERS
end
show policy-map type inspect zone-pair sessions
show policy-map type inspect zone-pair statistics
! Rollback: no zone-pair security INSIDE-SERVERS

NAT + exclusión de VPN

Traduce las VLAN hacia Internet y deja sin NAT las redes que cruzan un túnel VPN. Ejecuta la prueba antes de guardar.

ROUTER-EDGE / ROUTER-FW
Pegar, verificar y guardar solo al final
enable
configure terminal
ip access-list extended NAT-INSIDE
 permit ip 192.168.10.0 0.0.0.255 any
exit
ip nat inside source list NAT-INSIDE interface GigabitEthernet0/0 overload
interface GigabitEthernet0/1
 ip nat inside
interface GigabitEthernet0/0
 ip nat outside
end
show ip nat translations
show ip nat statistics
ping 8.8.8.8 repeat 3
! Rollback: no ip nat inside source list NAT-INSIDE interface GigabitEthernet0/0 overload

Verificación y rollback

Comprueba gateways, trunks, DHCP, ACL y conectividad antes de persistir la configuración.

EQUIPO INDICADO
Pegar, verificar y guardar solo al final
show vlan brief
show interfaces trunk
show ip interface brief
show ip route
show ip dhcp binding
show access-lists
ping 192.168.10.1 repeat 3
traceroute 8.8.8.8
copy running-config startup-config
! Si falla: show archive config differences nvram:startup-config
! Recupera el bloque de rollback específico antes de guardar

Laboratorio de segmentación

Crea tus VLANs y genera la topología

Define VLAN, nombre, red, máscara y gateway. Luego marca qué redes pueden comunicarse y copia la configuración separada por Router-Edge y Switch-Access.

Agregar VLANs a la topología actual

Las VLANs base de Oficina corporativa ya están cargadas arriba. Agrega aquí nuevas VLANs y se incorporarán a esta misma topología, router, DHCP y trunks generados.

Comunicación de este laboratorio

Configuración generada

! LABORATORIO DE SEGMENTACION

! ROUTER-EDGE: subinterfaces, gateways y DHCP
! Cada subinterfaz representa una VLAN y su gateway.
enable
configure terminal
interface GigabitEthernet0/1
 no shutdown
! VLAN 10 USUARIOS: gateway para sus clientes
interface GigabitEthernet0/1.10
 encapsulation dot1Q 10
 ip address 192.168.10.1 255.255.255.0
! VLAN 20 SERVIDORES: gateway para sus clientes
interface GigabitEthernet0/1.20
 encapsulation dot1Q 20
 ip address 192.168.20.1 255.255.255.0
! DHCP: entrega IP, gateway y DNS a VLAN 10
ip dhcp excluded-address 192.168.10.1
ip dhcp pool VLAN10-USUARIOS
 network 192.168.10.0 255.255.255.0
 default-router 192.168.10.1
 dns-server 1.1.1.1 8.8.8.8
! DHCP: entrega IP, gateway y DNS a VLAN 20
ip dhcp excluded-address 192.168.20.1
ip dhcp pool VLAN20-SERVIDORES
 network 192.168.20.0 255.255.255.0
 default-router 192.168.20.1
 dns-server 1.1.1.1 8.8.8.8
end
! Verifica que todas las subinterfaces estén up/up y que existan leases.
show ip interface brief
show ip dhcp binding
! Rollback de emergencia: elimina solo la subinterfaz afectada.
! no interface GigabitEthernet0/1.<VLAN>

! SWITCH-ACCESS: crea VLANs y permite el trunk hacia el router/core.
enable
configure terminal
! Crea el dominio de broadcast de USUARIOS
vlan 10
 name USUARIOS
! Crea el dominio de broadcast de SERVIDORES
vlan 20
 name SERVIDORES
interface GigabitEthernet0/1
 description TRUNK-HACIA-ROUTER-O-CORE
 switchport mode trunk
 switchport trunk allowed vlan 10,20
! Observación: el puerto debe coincidir con el trunk del otro extremo.
end
show vlan brief
show interfaces trunk
! Rollback: retira únicamente la VLAN nueva del allowed list.

Políticas de comunicación y ACL

Decide quién puede hablar con quién

Selecciona las comunicaciones inter-VLAN permitidas. Después genera una ACL estándar o extendida para aplicarla en el gateway indicado.

VLANs que pueden comunicarse

Regla resultante: permitir 10-20; bloquear el resto con deny ip any any log.

Generador de ACL

ip access-list extended ACL-DENY-HTTPS
 permit ip 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255 ! Administración -> Ventas
 deny ip any any log
exit
interface Vlan10
 ip access-group ACL-DENY-HTTPS in
end
show access-lists

Pega el bloque en la CLI del gateway que enruta esas VLANs (ROUTER-EDGE o CORE L3), dentro de `configure terminal`; aplícalo en la SVI/subinterfaz de entrada indicada. Prueba primero en laboratorio y verifica contadores antes de guardarla.

1. Diseña

Define VLAN, subred, gateway, función y nivel de confianza antes de cablear.

2. Configura

Crea VLANs, asigna puertos, configura trunks y levanta gateways o SVI.

3. Verifica

Comprueba tablas VLAN, trunks, rutas, vecinos, ACLs y conectividad entre segmentos.