Diagrama de topología de red: LAN de oficina, VPN de sitio a sitio y una VPC en la nube

Pide el diagrama de red a tres personas y obtendrás tres imágenes distintas: una foto del rack, una hoja de cálculo con direcciones IP y una captura de la consola de la nube. Ninguna responde a las preguntas que surgen en una revisión o durante una caída: qué segmentos existen, qué puede hablar con qué y cómo viaja el tráfico entre la oficina y la nube.

Esta guía construye un diagrama de topología de red lógica para una pequeña empresa típica, una LAN de oficina con Wi-Fi y una VPN de sitio a sitio hacia una VPC en la nube, y repasa las convenciones que mantienen legible un diagrama así.

Topología física o lógica

La mayoría de las conversaciones necesitan la vista lógica. Deja la física para quienes trabajan en el rack y no mezcles ambas en una misma página: los números de puerto junto a la política del cortafuegos hacen que las dos cuesten más de leer.

Topologías comunes, en breve

• Estrella. Cada dispositivo se conecta a un conmutador central. Casi todas las LAN de oficina son una estrella o un árbol de estrellas.
• Malla. Los nodos se conectan con varios otros, así que el tráfico tiene más de un camino. Es habitual entre conmutadores de núcleo, en los fabrics de centros de datos y en los sistemas Wi-Fi en malla.
• Híbrida. Las redes reales combinan ambas: estrellas en el borde, enlaces redundantes en el núcleo y túneles entre sedes.

Las topologías en bus y en anillo son, sobre todo, historia en las LAN modernas.

El ejemplo: una oficina y una VPC en la nube

Una empresa de 40 personas tiene una oficina con portátiles para el personal, Wi-Fi para invitados, un servidor de archivos e impresoras. Su aplicación interna se ejecuta en una VPC en la nube, y el personal accede a ella mediante una VPN de sitio a sitio en lugar de por internet público.

Primero va el plan de direcciones, porque el diagrama se construye a partir de él. Todos los rangos internos salen de los bloques privados del RFC 1918, y la dirección pública usa un rango de documentación del RFC 5737:

Dos reglas guían este plan. Primero, la oficina (10.10.0.0/16) y la VPC (10.20.0.0/16) no deben solaparse, o la VPN no podrá enrutar entre ellas. Segundo, evita 192.168.0.0/24 y 192.168.1.0/24 en la oficina: muchos routers domésticos los usan, y el personal que teletrabaja chocaría con ellos en una VPN de cliente.

El cortafuegos enruta entre las VLAN, así que también es donde vive la política:

La VPN de sitio a sitio en un párrafo

Una VPN IPsec usa IKE, en el puerto UDP 500, para autenticar a los extremos y acordar las claves, y ESP, protocolo IP 50, para transportar el tráfico cifrado; cuando hay un NAT en el camino se usa UDP 4500. En AWS, cada conexión de Site-to-Site VPN tiene dos túneles con direcciones IP públicas distintas, que terminan en una puerta de enlace privada virtual o en una puerta de enlace de tránsito; configura los dos en tu cortafuegos para que el mantenimiento de un túnel no deje a la oficina sin conexión. El lado de la oficina necesita una IP pública fija. El enrutamiento es estático o dinámico con BGP, y las tablas de rutas de la VPC necesitan rutas de vuelta a 10.10.0.0/16, propagadas desde la puerta de enlace privada virtual o añadidas a mano.

El diagrama

Cómo leerlo:

• Arriba a la izquierda, el borde. El cortafuegos de la oficina tiene la dirección pública fija y es el extremo IPsec. Enruta entre las tres VLAN y aplica la tabla de políticas de arriba.
• En el centro, la LAN de la oficina. El conmutador central lleva las VLAN 10, 20 y 30 por un trunk. El punto de acceso recibe alimentación y un trunk del conmutador, y asigna el SSID del personal a la VLAN 10 y el SSID de invitados a la VLAN 20.
• A la derecha, la nube. El enlace discontinuo es la VPN IPsec, con dos túneles, hacia la VPC. El servidor de aplicaciones y la base de datos administrada están en una subred privada sin ruta desde internet.
• La leyenda explica los estilos de línea: Ethernet, Wi-Fi, alimentación por Ethernet y WAN.

Qué etiquetar

• El rango y el ID de VLAN de cada segmento. Una caja llamada «Red del personal» sin 10.10.10.0/24 no se puede contrastar con nada.
• Las puertas de enlace y los extremos de la VPN. Qué dispositivo enruta cada segmento y qué direcciones públicas forman el túnel.
• Qué puede cruzar una frontera. Pon la política en los enlaces o en una tabla junto al diagrama, no solo en la configuración del cortafuegos.
• La asignación de SSID a VLAN de cada red inalámbrica.
• El sentido de inicio donde importe, por ejemplo que la subred de la nube solo responde.

Qué dejar fuera

• Cada portátil y cada teléfono. Basta con un nodo por tipo de dispositivo y segmento.
• Los colores de cable y los números de puerto en un diagrama lógico. Van en el físico.
• Los detalles internos del proveedor de nube. Los extremos de la VPN pertenecen a la puerta de enlace privada virtual; no hace falta dibujar el lado de AWS del túnel.

Usa una leyenda

Los estilos de línea tienen significado en un diagrama de red, así que explícalos. Una pequeña leyenda con Ethernet, Wi-Fi, alimentación por Ethernet, WAN y VPN se añade en un minuto y le ahorra a cada lector nuevo tener que adivinar. Si coloreas los segmentos, explica también qué significan los colores.

Mantenlo al día

Los diagramas de red se quedan obsoletos con el primer cambio no anunciado. Haz que el diagrama forme parte del cambio: cuando alguien añade una VLAN, cambia una regla del cortafuegos o añade un túnel, el ticket del cambio enlaza al diagrama actualizado y un revisor comprueba ambos. Diagramas de arquitectura que no se quedan obsoletos describe un flujo de trabajo justo para eso. Para el lado de la nube con más detalle, consulta la guía del diagrama de VPC de AWS, y para sustituir la red plana de la oficina por un acceso basado en la identidad, el diagrama de arquitectura de confianza cero.

Constrúyelo en Archboard

1. Inicia sesión con Google o GitHub y crea un diagrama.
2. Del pack Red, añade nodos Internet, Cortafuegos, Conmutador e Inalámbrico para el borde y la LAN de la oficina.
3. Añade tres marcos Subred del pack Red para las VLAN 10, 20 y 30, cada uno con su rango en el campo CIDR del marco, y coloca dentro de cada uno un nodo Dispositivo o Servidor: portátiles del personal, dispositivos de invitados, el servidor de archivos.
4. Añade un marco VPC del pack Red con un marco Subred dentro, y coloca en la subred un nodo Instancia de cómputo y un nodo Base de datos administrada del pack Nube.
5. Conecta los nodos y define el tipo de enlace de cada conexión (Ethernet, Wi-Fi, PoE o WAN). Dibuja la VPN como un enlace discontinuo del cortafuegos a la VPC.
6. Añade una Leyenda de red del pack Red para los tipos de enlace.

El ejemplo usa 15 nodos de diagrama, dentro del plan Free. La página del caso de uso de redes muestra qué más cubre el pack Red.

Preguntas frecuentes

¿Qué diferencia hay entre un diagrama de red y un diagrama de topología de red? Los términos se usan a menudo como sinónimos. Un diagrama de topología pone el foco en cómo se conectan los segmentos y los dispositivos; un diagrama de topología lógica añade rangos de direcciones, enrutamiento y políticas.

¿Debe el diagrama mostrar direcciones IP? Muestra los rangos de cada segmento y las direcciones de las puertas de enlace y de los extremos de la VPN. Las direcciones de cada host van en una herramienta de gestión de direcciones IP.

¿Por qué poner a los invitados en una VLAN aparte? Para que el cortafuegos pueda darles internet y nada más. En un segmento compartido, un dispositivo invitado puede llegar a las impresoras, a las carpetas compartidas y a todo lo que confía en la red local.

¿Necesito dos túneles VPN? En AWS, cada conexión incluye dos túneles, y los dos deberían estar configurados en tu equipo, para que uno lleve el tráfico mientras el otro está en mantenimiento.

¿Con qué frecuencia hay que actualizar un diagrama de red? Con cada cambio que afecte al direccionamiento, al enrutamiento o a las reglas del cortafuegos. Vincula el diagrama al proceso de cambios y no a un calendario.

Empieza gratis — un puesto, sin tarjeta de crédito.