Por qué no debe etiquetar la VLAN 1 en los uplinks
Los riesgos ocultos de la VLAN por defecto
1. Un poco de historia
Cuando se introdujo el etiquetado de VLAN IEEE 802.1Q, los switches tuvieron que gestionar dos tipos de tramas:
Tráfico sin etiquetar: tramas Ethernet normales sin etiqueta de VLAN
Tráfico etiquetado: tramas que incluyen un identificador de VLAN en su cabecera
Para procesar las tramas sin etiquetar, los fabricantes adoptaron una convención:
→ la VLAN 1 sería la VLAN por defecto del tráfico sin etiquetar.
Muy pronto la VLAN 1 lo transportaba todo: protocolos del plano de control (STP, CDP, LLDP), tráfico de gestión y, a veces, incluso datos de usuario.
Con el tiempo, los ingenieros de red comprendieron el riesgo y empezaron a aislar el tráfico de gestión y de control en VLAN separadas.
Aun así, la VLAN 1 seguía presente en todas partes, y algunos administradores optaron por etiquetar la VLAN 1 en los troncales «por coherencia».
Técnicamente es posible, pero en la operación diaria resulta peligroso.
2. Por qué etiquetar la VLAN 1 es una mala idea
Etiquetar la VLAN 1 puede introducir varios problemas de red y de seguridad:
⚠️ Comportamiento desigual según el fabricante: algunos equipos descartan por completo las tramas de la VLAN 1 etiquetadas.
⚠️ Confusión con la VLAN nativa: la VLAN nativa suele ir sin etiquetar; etiquetarla rompe el tráfico sin etiquetar.
⚠️ Exposición de seguridad: la VLAN 1 transporta a menudo tráfico de gestión o de control, que no debería mezclarse con los datos de usuario.
⚠️ Diagnóstico complicado: las configuraciones discordantes entre switches provocan pérdidas de tráfico silenciosas.
La regla de oro:
No etiquete nunca la VLAN 1.
Si necesita utilizarla, manténgala como su VLAN nativa (sin etiquetar).
3. Aruba CX y las VLAN nativas etiquetadas
Los switches Aruba CX (AOS-CX) aportan una flexibilidad interesante: permiten elegir si la VLAN nativa de un troncal va etiquetada o sin etiquetar.
▸ VLAN nativa (modo sin etiquetar)
Comportamiento por defecto en casi todos los switches
Las tramas sin etiquetar se asignan a la VLAN nativa (normalmente la VLAN 1)
Todas las demás VLAN se etiquetan explícitamente
▸ VLAN nativa etiquetada
Aruba permite etiquetar la VLAN nativa para que todo el tráfico vaya etiquetado de forma uniforme
Ambos extremos del troncal deben admitir esta configuración
Si un lado etiqueta la VLAN 1 y el otro la espera sin etiquetar → pérdida de conectividad
📘 Referencia:
Guía de configuración de VLAN de Aruba Networks AOS-CX
4. Buenas prácticas para redes reales
Siga estas recomendaciones contrastadas para mantener su red estable y coherente:
Utilice una VLAN de gestión dedicada
No deje la VLAN 1 activa en todos los puertos
Utilice una VLAN de descarte (trash VLAN) como VLAN sin etiquetar en los uplinks
Verifique el etiquetado de la VLAN nativa en cada troncal
5. Conclusión
La VLAN 1 puede parecer un valor por defecto inofensivo, pero a menudo es la VLAN más peligrosa de su red.
Etiquetarla puede provocar cortes invisibles, comportamientos propios de cada fabricante y exposición de seguridad.
Si utiliza Aruba CX, la opción de VLAN nativa etiquetada ofrece flexibilidad, pero exige disciplina.
Diseñe siempre con claridad, coherencia y verificación.
En la gestión de VLAN, la etiqueta más pequeña puede causar el mayor corte.
