Cisco: VLANs, troncales, el router de la sede y un puerto que no da red

Qué vas a conseguir

Moverte con soltura en la red de una sede con switches Catalyst y un router ISR: entender qué hay antes de cambiar nada, dar de alta puestos y teléfonos en su VLAN, ampliar una troncal sin dejar a nadie sin red, que el router cambie solo al circuito de respaldo, y resolver el ticket de red más habitual en minutos.

Antes de empezar

• Acceso por SSH (nunca Telnet) o consola, con usuario nominal (TACACS+ o RADIUS si existe; cuenta local solo de emergencia).
• Una copia de la configuración de cada equipo antes de la ventana de cambio, y el cambio aprobado.
• El plano de la sede: qué switch da servicio a qué planta, qué VLAN es qué, dónde está el uplink al core y qué IP tiene cada circuito.

1. Leer el switch antes de tocarlo

›show version | include uptime|Software›show vlan brief›show interfaces status›show interfaces trunk›show cdp neighborsSW-P2-01 uptime is 41 weeks, 2 days, 3 hours, 12 minutesCisco IOS XE Software, Version 17.09.04aVLAN Name                             Status    Ports---- -------------------------------- --------- -------------------------------10   GESTION                          active20   USUARIOS                         active    Gi1/0/1, Gi1/0/2, ... Gi1/0/4030   VOZ                              active99   IMPRESORAS                       active    Gi1/0/41, Gi1/0/42Port      Mode     Encapsulation  Status        Native vlanTe1/1/1   on       802.1q         trunking      999Port      Vlans allowed on trunkTe1/1/1   10,20,30,99Device ID        Local Intrfce     Holdtme    Capability  Platform  Port IDCORE-01          Ten 1/1/1         141             R S I  C9500     Ten 1/0/7

Con esto sabes la versión, qué VLAN existe y dónde, qué troncales hay y qué VLAN dejan pasar, y quién está al otro lado de cada enlace (CDP). Si una VLAN no aparece en Vlans allowed on trunk, esa VLAN no llega a esta planta.

2. Un puesto con teléfono: puerto de acceso

›configure terminal›interface GigabitEthernet1/0/12› description PUESTO 2.14› switchport mode access› switchport access vlan 20› switchport voice vlan 30› spanning-tree portfast› spanning-tree bpduguard enable› no shutdown›end›copy running-config startup-config

• switchport voice vlan 30: el teléfono IP marca su tráfico en la VLAN de voz y el PC que cuelga de él sigue en la 20. Un solo cable, dos redes.
• portfast hace que el puerto pase a reenviar al instante (el PC coge IP sin esperar 30 segundos) y bpduguard lo apaga si alguien conecta un switch. Siempre van juntos en los puertos de usuario.
• Sin copy running-config startup-config, el cambio se pierde en el siguiente reinicio.

3. La troncal: añadir una VLAN sin cortar la planta

›show interfaces Te1/1/1 trunk›configure terminal›interface TenGigabitEthernet1/1/1› switchport trunk allowed vlan add 40›end

switchport trunk allowed vlan 40 (sin add) sustituye la lista entera: la troncal deja pasar solo la VLAN 40 y la planta se queda sin red de usuarios, voz y gestión, incluida tu sesión SSH. Es el error de red más caro y más repetido. Siempre add o remove, y la lista completa revisada con show interfaces trunk antes y después.

La VLAN 40 también tiene que existir en el switch (vlan 40, name INVITADOS) y estar permitida en el otro extremo, en el core. Y la VLAN nativa de las troncales es una que no use nadie (aquí la 999), no la 1.

4. El router de la sede: salida y circuito de respaldo

La sede tiene un circuito principal y uno de respaldo. El router sale por el principal mientras el proveedor responda, y cambia solo al respaldo cuando deja de hacerlo.

›configure terminal›ip sla 1› icmp-echo 203.0.113.1 source-interface GigabitEthernet0/0/0› frequency 10›ip sla schedule 1 life forever start-time now›track 1 ip sla 1 reachability›ip route 0.0.0.0 0.0.0.0 203.0.113.1 track 1›ip route 0.0.0.0 0.0.0.0 198.51.100.1 250›end›show track 1Track 1  IP SLA 1 reachability  Reachability is Up    2 changes, last change 3d04h

• IP SLA hace ping cada 10 segundos a la puerta de enlace del proveedor principal; el track sigue ese resultado.
• La ruta por defecto principal depende del track. Cuando el ping falla, desaparece y queda la de respaldo, que tiene distancia administrativa 250 (ruta flotante).
• Para comprobarlo sin esperar a una avería: show ip route 0.0.0.0 dice qué ruta está activa; en una ventana de cambio, se apaga la interfaz del principal y se mira cuánto tarda en cambiar.

En la interfaz de cada VLAN de usuarios del core, ip helper-address 10.20.1.10 reenvía las peticiones de DHCP al servidor: sin ella, los puestos de una VLAN nueva se quedan con una IP 169.254.x.x.

5. El ticket: "el puesto 2.14 no tiene red"

›show interfaces Gi1/0/12 status›show logging | include Gi1/0/12Port      Name          Status       Vlan  Duplex  Speed TypeGi1/0/12  PUESTO 2.14   err-disabled 20    auto    auto  10/100/1000BaseTX%SPANTREE-2-BLOCK_BPDUGUARD: Received BPDU on port Gi1/0/12 with BPDU Guard enabled. Disabling port.%PM-4-ERR_DISABLE: bpduguard error detected on Gi1/0/12, putting Gi1/0/12 in err-disable state

El estado del puerto dice casi todo:

Aquí alguien conectó un switch pequeño en su mesa para tener más puertos. Se retira el aparato y se reactiva el puerto:

›configure terminal›interface Gi1/0/12› shutdown› no shutdown›end

Si en show interfaces Gi1/0/12 aparecen errores de CRC o input errors que suben, el problema es físico: el cable o la roseta.

6. Cambios en remoto con red de seguridad

›reload in 10›configure terminal# ... el cambio ...›end# si sigues conectado y todo va bien:›reload cancel›copy running-config startup-config

reload in 10 programa un reinicio dentro de 10 minutos. Si el cambio te deja fuera, el equipo arranca con la configuración guardada (la anterior) y vuelves a entrar. Si todo va bien, reload cancel y se guarda. Es la diferencia entre una corrección en dos minutos y un viaje a la sede.

7. Lo que revisas cada mes

• Copias de configuración automáticas (Oxidized, RANCID o el propio archive de IOS) y que el último cambio está en el repositorio.
• Versiones de IOS XE frente a los avisos de seguridad de Cisco: los equipos con un aviso crítico tienen fecha de actualización.
• Puertos err-disabled y puertos sin uso en más de 90 días (show interfaces | include line protocol|Last input): los que no se usan se apagan y se dejan en una VLAN sin servicio.
• Que el track del router ha cambiado tantas veces como averías ha tenido el circuito. Si cambia sin avería, el ping se está perdiendo y hay que hablar con el proveedor.

Siguientes pasos

• 802.1X con Cisco ISE o NPS: el puerto da la VLAN según quién se conecta, no según el puerto.
• NetBox como fuente de verdad (qué puerto va a qué roseta) y Ansible con la colección cisco.ios para cambios repetibles (guía de Ansible del Nivel 3).
• SD-WAN cuando las sedes son muchas y los circuitos, variados.
• La guía de Fortinet FortiGate cubre el cortafuegos que suele estar entre este router y el resto del mundo.

¿Quieres practicarlo? Resuelve los tickets «El puerto del puesto que se apagó solo» y «La impresora de Ventas cambió de sitio y nadie puede imprimir» en SysAdmin Desks, gratis y en el navegador.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.