Infraestructura de Red — Don Manolo

Aplicación de Variable Length Subnet Mask sobre el bloque privado contiguo 192.168.0.0/16, subdividido de mayor a menor según los hosts requeridos por VLAN. Los enlaces punto a punto entre routers usan el segmento 172.16.1.0/16 con máscaras /30 (2 hosts útiles por enlace). El segmento público asignado por el ISP es 200.10.10.0/30.

Segmento privado interno — 192.168.0.0/16

Enlaces punto a punto — 172.16.1.0/16

Red externa — Casa del propietario

La segmentación lógica se aplica en los 4 switches de acceso (SW1–SW4) según el rol funcional del área que atienden. Todos los switches incluyen VLAN 90 (voz) en tagged trunk hacia la distribución, permitiendo telefonía IP en cualquier puerto del edificio.

Diseño jerárquico con un backbone (Area 0) que conecta routers y multilayer switches, y dos áreas stub (Area 1 y Area 51) que aíslan las VLANs de usuario para reducir el tráfico de LSA y la tabla de enrutamiento. Cada ABR (DIST1 / DIST2) inyecta rutas inter-área hacia el backbone.

Router-IDs

• RT1: 1.1.1.1
• RT2: 2.2.2.2
• DIST1: 3.3.3.3
• DIST2: 4.4.4.4

Configuración DIST1 (ABR Area 1)

router ospf 1
 router-id 3.3.3.3
 network 172.16.1.12 0.0.0.3 area 0
 network 172.16.1.24 0.0.0.3 area 0
 network 172.16.1.28 0.0.0.3 area 0
 network 192.168.0.0 0.0.0.127 area 1
 network 192.168.1.0 0.0.0.127 area 1
 network 192.168.1.224 0.0.0.31 area 1
 passive-interface Vlan10
 passive-interface Vlan20
 passive-interface Vlan40

Configuración DIST2 (ABR Area 51)

router ospf 1
 router-id 4.4.4.4
 network 172.16.1.16 0.0.0.3 area 0
 network 172.16.1.20 0.0.0.3 area 0
 network 172.16.1.28 0.0.0.3 area 0
 network 192.168.1.128 0.0.0.63 area 51
 network 192.168.1.192 0.0.0.31 area 51
 network 192.168.2.0 0.0.0.31 area 51
 network 192.168.2.32 0.0.0.15 area 51
 network 192.168.0.128 0.0.0.127 area 51
 passive-interface Vlan50
 passive-interface Vlan60
 passive-interface Vlan70
 passive-interface Vlan80
 passive-interface Vlan90

RT1 / RT2 con default-information originate

# RT1
router ospf 1
 router-id 1.1.1.1
 network 172.16.1.4 0.0.0.3 area 0
 network 172.16.1.12 0.0.0.3 area 0
 network 172.16.1.16 0.0.0.3 area 0
ip route 0.0.0.0 0.0.0.0 172.16.1.5
router ospf 1
 default-information originate

# RT2
router ospf 1
 router-id 2.2.2.2
 network 172.16.1.8 0.0.0.3 area 0
 network 172.16.1.20 0.0.0.3 area 0
 network 172.16.1.24 0.0.0.3 area 0
ip route 0.0.0.0 0.0.0.0 172.16.1.9
router ospf 1
 default-information originate

Agregación de enlaces entre los switches de acceso SW3/SW4 y la distribución DIST2 usando LACP (802.3ad). Cada port-channel suma 2×1 Gbps con balanceo de tráfico y failover automático si un enlace falla.

Configuración SW3 / SW4

interface range GigabitEthernet0/1 - 2
 channel-group 1 mode active
interface Port-channel1
 switchport mode trunk
 switchport trunk allowed vlan 50,60,90

Configuración DIST2 (lado SW3 - Po1)

interface range GigabitEthernet1/0/3 - 4
 channel-group 1 mode active
interface Port-channel1
 switchport mode trunk
 switchport trunk allowed vlan 50,60,90

Configuración DIST2 (lado SW4 - Po2)

interface range GigabitEthernet1/0/1 - 2
 channel-group 2 mode active
interface Port-channel2
 switchport mode trunk
 switchport trunk allowed vlan 70,80,90

Se utiliza Rapid-PVST+ (Per-VLAN Spanning Tree) para tener convergencia rápida y balanceo de carga distribuyendo el rol de root bridge entre DIST1 y DIST2 según el grupo de VLANs, evitando que un solo switch concentre todo el tráfico.

Configuración

# DIST1
spanning-tree mode rapid-pvst
spanning-tree vlan 10,20 root primary
spanning-tree vlan 40 root secondary

# DIST2
spanning-tree mode rapid-pvst
spanning-tree vlan 50,60,70,80,90 root primary

# SW1-SW4
spanning-tree mode rapid-pvst

Estrategia: Solo DHCP dinámico en VLANs con dispositivos móviles o numerosos. El servicio se hospeda en el WIN SERVER (192.168.2.2) y los SVIs de DIST1 y DIST2 actúan como DHCP relay con ip helper-address.

Pools configurados en WIN SERVER

DHCP en casa del propietario

ip dhcp pool CASA
 network 10.0.0.0 255.255.255.0
 default-router 10.0.0.1
 dns-server 8.8.8.8

Implementación de DNS Split-Horizon: el mismo FQDN www.donmanolo.cl resuelve a una IP interna desde la LAN corporativa y a la IP pública del firewall desde Internet. Permite que los empleados accedan directo sin atravesar el NAT, y que el propietario desde su casa llegue por NAT estático.

Red inalámbrica corporativa con autenticación por usuario via 802.1X contra un servidor FreeRADIUS, en lugar de una pre-shared key compartida. Los APs son Lightweight (CAPWAP) gestionados centralmente por el WLC.

Central telefónica IP Issabel (basada en Asterisk) hospedada en VLAN 70 (servidores). El tráfico RTP de voz fluye por la VLAN 90, dedicada a teléfonos Cisco 7960G. El gateway de voz (SVI VLAN 90 en DIST2) ofrece QoS preferente.

Plan de anexos

Ring Groups

• 10 → 1001-1005 (Operarios general)
• 11 → 1010-1015 (Cajas)
• 20 → 2001-2002 (Guardia)
• 30 → 3001-3006 (Admin)
• 40 → 4001-4002 (Capacitación)
• 50 → 5001-5003 (TI)
• 99 → Todos (Emergencia)

IVR

Menú de bienvenida → opciones por departamento → sin respuesta deriva a Secretaría (3006) → buzón (9200).

Dominio donmanolo.local con OUs por departamento, grupos globales con sufijo GG_ y GPOs aplicadas según OU. El sistema de archivos distribuido (DFS) ofrece recursos compartidos con ACLs alineadas a los grupos de seguridad.

Estructura de OUs

donmanolo.local
├── OU=Usuarios
│   ├── OU=Operarios (120)
│   ├── OU=Capacitación (25)
│   ├── OU=Administración (30)
│   └── OU=Soporte_TI (10)
├── OU=Equipos
│   ├── OU=PCs (por departamento)
│   └── OU=Servidores
└── OU=Grupos
    ├── GG_Operarios
    ├── GG_Capacitacion
    ├── GG_Administracion
    ├── GG_Soporte_TI
    └── GG_Admins_Dominio

GPOs por OU

Estructura DFS

\\donmanolo.local\DFS
├── Operarios       (GG_Operarios: Lectura)
├── Capacitacion    (GG_Capacitacion: L/E)
├── Administracion  (GG_Administracion: L/E)
├── Soporte_TI      (GG_Soporte_TI: Control Total)
├── CCTV            (GG_Soporte_TI: Lectura)
├── Gerencia        (GG_Admins_Dominio: Control Total)
└── Compartido      (Todos: L/E)

Subred dedicada al circuito cerrado de televisión y sensores IoT en VLAN 40. El monitoreo local se hace desde el PC Guardia y el propietario accede remotamente a través de la IP pública del firewall.

En producción se utiliza Cisco Firepower; en la simulación de Packet Tracer se reemplaza por un router Cisco 2911 que cumple las funciones de NAT y ACLs perimetrales (limitación del simulador).

Interfaces

NAT Dinámico (salida a Internet)

interface GigabitEthernet0/0
 ip nat outside
interface GigabitEthernet0/1
 ip nat inside
interface GigabitEthernet0/2
 ip nat inside

access-list 1 permit 192.168.0.0 0.0.255.255
ip nat inside source list 1 interface GigabitEthernet0/0 overload

NAT Estático (publicación de servicios)

ip nat inside source static tcp 192.168.2.2 80 200.10.10.2 80
ip nat inside source static udp 192.168.2.2 53 200.10.10.2 53
ip nat inside source static tcp 192.168.2.5 80 200.10.10.2 8080

ACL Outside

access-list 100 permit tcp any host 200.10.10.2 eq 80
access-list 100 permit tcp any host 200.10.10.2 eq 8080
access-list 100 permit udp any host 200.10.10.2 eq 53
access-list 100 permit icmp any any
access-list 100 deny ip any any

interface GigabitEthernet0/0
 ip access-group 100 in

Solo la VLAN 80 (Soporte TI) puede acceder a la VLAN 40 (CCTV). Cualquier otro segmento queda bloqueado por una ACL extendida aplicada en la SVI VLAN 40 de DIST1.

ip access-list extended ACL_CCTV
 permit ip 192.168.2.32 0.0.0.15 192.168.1.224 0.0.0.31
 permit icmp 192.168.2.32 0.0.0.15 192.168.1.224 0.0.0.31
 permit tcp any 192.168.1.224 0.0.0.31 established
 permit udp any 192.168.1.224 0.0.0.31
 permit icmp any 192.168.1.224 0.0.0.31 echo-reply
 deny ip any 192.168.1.224 0.0.0.31
 permit ip any any

interface Vlan40
 ip access-group ACL_CCTV out

Endurecimiento de la capa de acceso con port-security sticky (un MAC por puerto, dos si hay teléfono encadenado) y shutdown administrativo en los puertos sin uso. En la capa de distribución y core se aplican passwords cifradas, banner MOTD y nombre de dominio.

Port Security

interface FastEthernet0/X
 switchport port-security
 switchport port-security maximum 1   # o 2 si PC+Phone en cadena
 switchport port-security mac-address sticky
 switchport port-security violation restrict

Puertos sin uso → shutdown administrativo.

Hardening (DIST1, DIST2, RT1, RT2, FIREWALL)

enable secret admin1234
service password-encryption

line console 0
 password admin1234
 login

ip domain-name donmanolo.local

banner motd #
=====================================================
  ACCESO RESTRINGIDO - SUPERMERCADO DON MANOLO
  Solo personal autorizado de TI
  Cualquier acceso no autorizado sera registrado
=====================================================
#

Plan de validación end-to-end que verifica cada capa del diseño: acceso a SVIs locales, inter-VLAN cruzando ABRs, adyacencias OSPF, eficacia de ACLs y funcionamiento de NAT en ambos sentidos.

Resumen del equipamiento principal del proyecto. El listado completo con datasheets y descripciones detalladas está disponible en la sección Equipos Desplegados.

Servidor WIN SERVER — HPE ProLiant DL320 Gen11

• Intel Xeon Bronze 3408U (8 cores, 1.8 GHz)
• 32 GB DDR5
• Fuente 500 W
• Precio: $3.952.460 CLP + RAM
• Licencia Windows Server 2022 Standard OEM 16 cores: $976.237 CLP
• Servicios: AD DS · DNS · DHCP · DFS · GPO · IIS

Equipos de usuario final