Segmentación de red con VLAN:

contener el movimiento lateral antes de que ocurra

Redes y sistemas  |  unfantasmaenelsistema.com

Cuando un atacante consigue ejecutar código en un equipo de la red —un portátil con una macro maliciosa, una cámara IP sin actualizar, un servidor con una versión vulnerable— el primer compromiso rara vez es el objetivo final. A partir de ahí empieza el movimiento lateral: saltar de una máquina a otra hasta llegar a lo que de verdad interesa (el controlador de dominio, el servidor de ficheros, la base de datos de clientes). Lo que determina si ese salto es trivial o casi imposible no es el antivirus: es cómo está dividida la red.

Una red plana —todos los dispositivos en el mismo segmento, viéndose entre sí sin restricciones— es el mejor regalo que se le puede hacer a quien acaba de entrar. La segmentación con VLAN es la forma más extendida de romper esa planitud sin tirar cable nuevo. En este artículo vemos qué es una VLAN, cómo se diseña una red por zonas, qué ataques específicos existen contra las propias VLAN y cómo se cierran.

1. Qué es una VLAN, sin rodeos

Una VLAN (Virtual LAN) es una red de nivel 2 —un dominio de difusión— definida por software en el switch en lugar de por el cableado físico. Dos equipos conectados al mismo switch pueden estar en VLAN distintas y comportarse como si estuvieran en edificios diferentes: no se ven, no se envían ARP, no pueden hablarse sin pasar por un router o un firewall que enrute (y filtre) entre ambas.

1.1 802.1Q, el estándar que lo hace posible

El estándar IEEE 802.1Q define cómo se marca cada trama Ethernet con la VLAN a la que pertenece: se inserta una etiqueta de 4 bytes en la cabecera (el tag) que incluye un identificador de VLAN (VID) de 12 bits — de ahí el rango teórico de 1 a 4094 VLAN. El switch usa ese número para decidir por qué puertos puede salir la trama y por cuáles no.

1.2 Puerto de acceso vs. puerto trunk

• Puerto de acceso (access): pertenece a una sola VLAN. El dispositivo final (un PC, una impresora) no sabe nada de VLAN; el switch añade la etiqueta al entrar y la quita al salir. Es lo que se conecta al usuario.
• Puerto trunk: transporta varias VLAN a la vez entre switches, o entre un switch y el firewall/router. Las tramas viajan etiquetadas para que el otro extremo sepa a qué VLAN pertenece cada una.
• VLAN nativa: la VLAN que en un trunk viaja SIN etiqueta. Es un detalle histórico y, como veremos, una de las causas del VLAN hopping si se deja mal configurada.

2. Por qué una red plana es un problema

En una red sin segmentar, cualquier equipo comprometido tiene visibilidad de nivel 2 sobre todos los demás. Eso habilita, sin necesidad de vulnerar nada más, toda una familia de técnicas:

• Descubrimiento gratis: un barrido ARP o un escaneo de la /24 revela en segundos todos los hosts vivos, sus sistemas operativos y sus servicios expuestos.
• Envenenamiento ARP y man-in-the-middle: en el mismo dominio de difusión, un atacante puede interponerse entre dos equipos y capturar o modificar su tráfico.
• Protocolos de resolución de nombres de respaldo (LLMNR, NBT-NS, mDNS): envenenables por cualquiera en el segmento, entregan autenticaciones NTLM que se llevan a crackeo offline.
• Propagación de ransomware y gusanos: el cifrado masivo de recursos compartidos SMB y la explotación de fallos de servicio se benefician directamente de que todo sea alcanzable.

La segmentación no impide el primer compromiso, pero convierte cada uno de esos saltos en una frontera que el atacante tiene que cruzar explícitamente — y cada frontera es un punto donde se le puede filtrar y detectar.

3. Diseño por zonas: qué VLAN crear

No hay un número mágico de VLAN. La regla práctica es agrupar por nivel de confianza y función, de forma que entre dos grupos que no necesitan hablarse haya un firewall en medio. Un diseño de referencia para una pyme o un laboratorio serio suele parecerse a esto:

4. El firewall entre VLAN: un solo sitio donde mirar

Las VLAN por sí solas solo separan a nivel 2. Para que dos zonas puedan intercambiar el tráfico legítimo que necesitan, algo tiene que enrutar entre ellas, y ese algo debería ser un firewall (un cortafuegos dedicado, o un switch de capa 3 con listas de control de acceso). Ese punto de cruce tiene dos funciones que van juntas:

• Control: aplica la política «quién puede hablar con quién y por qué puerto». Un puesto de usuario llega al servidor de ficheros por SMB (445), pero no a su interfaz de gestión ni por RDP.
• Registro: cada conexión entre zonas queda logueada. Un intento de la VLAN de IoT de abrir una sesión hacia la VLAN de servidores es, por definición, una anomalía — y ahora la ves.

Ese registro alimenta directamente la detección: reglas Sigma sobre los logs del firewall, alertas en el SIEM por tráfico este-oeste inesperado, correlación con la telemetría de endpoint. Sin segmentación no hay «tráfico entre zonas» que vigilar porque no hay zonas.

5. Ataques contra las propias VLAN: VLAN hopping

Segmentar con VLAN traslada parte de la seguridad al switch, así que conviene conocer las dos técnicas clásicas con las que un atacante en un puerto de acceso intenta «saltar» a otra VLAN. Ambas son conocidas desde hace más de veinte años y ambas se mitigan con configuración.

5.1 Switch spoofing

Muchos switches traen la negociación automática de trunk activada de fábrica (protocolos tipo DTP en el mundo Cisco). Un equipo conectado a un puerto de acceso puede hacerse pasar por un switch y negociar un trunk: si lo consigue, empieza a recibir el tráfico etiquetado de todas las VLAN que ese trunk transportaría.

• Mitigación: desactivar la negociación dinámica de trunk en todos los puertos de usuario (`switchport mode access` explícito, `nonegotiate` en el trunk).
• Poner en modo access todo puerto que no sea un enlace entre switches o hacia el firewall.
• Deshabilitar administrativamente los puertos sin usar y dejarlos en una VLAN ‘agujero negro’.

5.2 Double tagging (doble etiquetado)

El atacante envía una trama con dos etiquetas 802.1Q: la exterior coincide con la VLAN nativa del trunk, la interior apunta a la VLAN víctima. El primer switch quita la etiqueta exterior (por ser la nativa, que viaja sin marcar) y reenvía por el trunk una trama que aún lleva la etiqueta interior; el siguiente switch la entrega a la VLAN víctima. Es un ataque de un solo sentido (no hay respuesta) y solo funciona si la VLAN nativa del trunk coincide con la VLAN de acceso del atacante.

• Mitigación principal: que la VLAN nativa del trunk sea una VLAN dedicada y sin uso, distinta de cualquier VLAN de acceso.
• Mejor aún: forzar el etiquetado de la VLAN nativa (`vlan dot1q tag native`) para que nada viaje sin etiqueta por el trunk.
• Restringir cada trunk a la lista mínima de VLAN que realmente debe transportar (`switchport trunk allowed vlan …`).

6. Endurecer el switch más allá del hopping

No todos los switches domésticos o de gama de entrada soportan estas funciones. Para un laboratorio sirve un switch gestionable de segunda mano con soporte 802.1Q y ACL, un router con OpenWrt/VyOS, o directamente máquinas virtuales con interfaces en distintas redes internas del hipervisor.

7. Cuando la VLAN se queda corta: microsegmentación

La segmentación por VLAN divide la red en zonas, pero dentro de una zona los equipos siguen viéndose. Si un atacante compromete un puesto de la VLAN de usuarios, puede moverse hacia los demás puestos de esa misma VLAN sin cruzar el firewall. La microsegmentación lleva la frontera hasta el propio host:

• Firewall de host: reglas en cada equipo que, por ejemplo, impiden que un portátil de usuario acepte conexiones entrantes de otro portátil de usuario (bloquear SMB/RPC este-oeste entre estaciones de trabajo corta ransomware y herramientas de administración remota abusadas).
• Políticas de identidad: en lugar de «la IP X puede hablar con la IP Y», «el usuario/servicio X autenticado puede acceder al recurso Y». Es la base de los modelos Zero Trust.
• 802.1X y NAC: el puerto no da acceso a ninguna VLAN hasta que el dispositivo se autentica; según quién sea, se le asigna dinámicamente su VLAN (y un equipo desconocido va a una VLAN de cuarentena).

VLAN y microsegmentación no compiten: la VLAN es la primera línea, barata y universal; la microsegmentación es la capa siguiente para los entornos donde el movimiento lateral dentro de una zona también es un riesgo asumible que hay que reducir.

Conclusión

El movimiento lateral es la fase donde un incidente pequeño se convierte en una brecha grave, y es también la fase más fácil de encarecer para el atacante. La segmentación con VLAN no necesita presupuesto nuevo ni cableado: reordena lo que ya tienes en zonas por confianza y función, y pone un firewall —que además registra— en cada cruce entre ellas.

Hazlo con deny por defecto, cuida especialmente la VLAN de gestión, cierra el VLAN hopping con cuatro líneas de configuración en el switch y, cuando el riesgo lo justifique, baja la frontera hasta el propio host con microsegmentación. Cada frontera que añades es un sitio menos por el que el atacante pasa sin que lo veas.

unfantasmaenelsistema.com | Seguridad, sistemas y todo lo que no debería funcionar (pero funciona)