Tema 11
La red local suele percibirse como un entorno interno y controlado, pero muchas brechas comienzan precisamente allí. La seguridad de switching busca endurecer la capa 2, limitar comportamientos no autorizados y reducir riesgos que aparecen antes incluso de que el tráfico llegue al firewall.
Cuando se habla de seguridad de red, la atención suele concentrarse en el perímetro, los firewalls o los servicios expuestos. Sin embargo, la red LAN también tiene una superficie de ataque importante. Un dispositivo conectado físicamente, un puerto mal configurado o un servicio local sin protección pueden convertirse en punto de entrada o de propagación.
El switching seguro busca reducir esos riesgos mediante controles en la capa de enlace. Es decir, antes de que el tráfico se enrute entre redes o llegue a políticas de capa superior, el switch ya puede aplicar restricciones, validaciones y límites.
En este tema veremos cómo VLAN, STP, DHCP snooping y port security forman parte de ese endurecimiento, junto con una visión más general de qué significa proteger una red LAN.
En muchas organizaciones, la red local es el lugar donde conviven usuarios, impresoras, teléfonos IP, puntos de acceso, cámaras, dispositivos IoT y sistemas de administración. Esa convivencia puede volverse peligrosa si no existen controles de capa 2 adecuados.
Algunos riesgos frecuentes en LAN son:
La seguridad en switching busca proteger el comportamiento local de la red y el acceso inmediato al medio. Eso incluye:
Una VLAN, o Virtual LAN, permite separar lógicamente dominios de broadcast dentro de una misma infraestructura de switching. De esa forma, equipos físicamente conectados a los mismos switches pueden pertenecer a redes lógicas distintas.
Desde el punto de vista de seguridad, las VLAN ayudan a:
Sin embargo, como ya vimos en temas anteriores, una VLAN no garantiza seguridad por sí sola. La protección real depende también de cómo se controlan los flujos entre esas VLANs.
| Problema | Qué implica | Impacto posible |
|---|---|---|
| VLAN por defecto excesivamente usada | Muchos dispositivos comparten el mismo dominio | Mayor exposición lateral |
| Trunks mal definidos | Transporte de VLANs innecesarias | Exposición entre segmentos |
| Asignaciones incorrectas | Un dispositivo queda en una red no prevista | Acceso indebido a recursos |
| Inter-VLAN demasiado permisivo | La separación lógica pierde valor real | Movimiento lateral simple |
STP es un protocolo diseñado para evitar bucles de capa 2 en topologías con enlaces redundantes. Sin STP, un bucle puede provocar tormentas de broadcast, inestabilidad MAC y caída severa de la red local.
Aunque su objetivo principal es la estabilidad, también tiene impacto en seguridad, porque un comportamiento malicioso o una mala conexión física pueden desencadenar cambios topológicos perjudiciales.
Por eso, el endurecimiento del comportamiento STP forma parte del switching seguro.
La idea es evitar que dispositivos finales o enlaces no previstos alteren la topología de switching.
DHCP snooping es un mecanismo de seguridad que ayuda a proteger la red contra servidores DHCP no autorizados. El switch distingue entre puertos confiables y no confiables, y solo permite respuestas DHCP válidas desde los puertos marcados como autorizados.
Esto es importante porque un servidor DHCP malicioso o accidental puede entregar configuración de red incorrecta a los clientes y redirigir tráfico, provocar indisponibilidad o facilitar ataques de interceptación.
Port security es un conjunto de funciones que limita qué dispositivos pueden usar un puerto de switch. Una de sus aplicaciones más conocidas es restringir la cantidad o las direcciones MAC permitidas en un puerto determinado.
Su utilidad es directa: si un puerto está destinado a un único equipo, no debería aceptar múltiples dispositivos o cambios inesperados sin control.
Por sí solo no sustituye 802.1X, pero puede ser un complemento útil, especialmente en entornos donde no todo puede autenticarse dinámicamente.
Desde el punto de vista de seguridad, no todos los puertos del switch deben tratarse igual. Un puerto de acceso para un endpoint final no tiene las mismas necesidades ni riesgos que un trunk entre switches o hacia infraestructura de virtualización.
| Tipo de puerto | Uso típico | Riesgo de seguridad |
|---|---|---|
| Acceso | Conectar endpoint final | Ingreso no autorizado o cambio de dispositivo |
| Troncal | Transportar múltiples VLANs | Exposición entre segmentos si está mal configurado |
| Uplink | Interconectar capas de switching | Impacto alto si hay error o manipulación |
Endurecer la configuración según el tipo de puerto es una práctica básica de switching seguro.
Aunque este tema se concentra en algunos mecanismos clave, la seguridad en switching suele incluir otros controles relacionados de capa 2:
La seguridad de switching no reemplaza la segmentación ni el control de acceso, pero los complementa. Las VLAN organizan el dominio local, 802.1X decide quién entra, y los firewalls o ACL deciden qué puede cruzar entre zonas. Cada capa suma una barrera distinta.
Si falla la seguridad en capa 2, la red queda expuesta antes incluso de llegar a controles superiores. Por eso endurecer la LAN forma parte del enfoque de defensa en profundidad.
La seguridad en switching y LAN es fundamental porque actúa en una etapa muy temprana de la comunicación. Si la capa 2 queda desprotegida, un atacante puede ganar posición, observar servicios locales o preparar ataques que luego se expanden al resto de la red. VLAN, STP, DHCP snooping y port security son herramientas concretas para reducir esa exposición y fortalecer la base sobre la que opera toda la infraestructura.
En el próximo tema estudiaremos la seguridad en redes Wi-Fi, incluyendo WPA2, WPA3, rogue access points y endurecimiento del entorno inalámbrico.