LAN, WAN y WiFi: conectar plantas y sedes de varios países

Qué vas a conseguir

Que una planta en otro país se conecte igual que la de al lado de la central: mismo diseño de switches, mismas VLAN con el mismo significado, misma WiFi y una WAN con respaldo que aguanta la caída de un circuito sin parar la línea de producción. En una multinacional industrial el problema no es montar una red, es montar veinte iguales con operadores, idiomas y plazos distintos, y poder diagnosticarlas desde lejos cuando allí no hay nadie de IT.

Antes de empezar

• El inventario de sedes: país, tipo (planta, oficina, almacén), número de usuarios, horario de turnos y quién es el contacto local (a menudo el responsable de mantenimiento, no alguien de IT).
• Dónde viven los servicios centrales: el ERP en el centro de datos o en la nube, el directorio, la impresión y los servidores de planta (MES, SCADA) que deben quedarse en la propia planta.
• Quién es dueño de la red OT: ingeniería o mantenimiento suele gestionar autómatas y HMI. IT da la red y el cortafuegos; los equipos de OT no se tocan sin ellos.
• El plano de la nave con los armarios de comunicaciones y las distancias: en una planta, 90 metros de cobre se quedan cortos enseguida y hace falta fibra entre armarios.

1. La sede tipo

Un diseño de referencia, documentado una vez y aplicado en todas las sedes, evita que cada planta sea un caso especial.

Plan de VLAN con el mismo número para el mismo uso en todas las sedes, y un rango por sede:

La red OT no se enruta en el core con el resto: su puerta de enlace es el cortafuegos, y solo pasan los flujos acordados con ingeniería (por ejemplo, el MES hacia el ERP, o el acceso remoto del fabricante a través de un servicio controlado). Un ransomware en un portátil de oficina no debe ver un autómata.

2. La WAN: MPLS o SD-WAN

Lo habitual hoy es SD-WAN con túneles IPsec hacia el centro de datos (o un concentrador en la nube), dos circuitos de operadores diferentes y un router 4G/5G como último recurso. En el FortiGate eso se traduce en una zona SD-WAN con sus miembros, un SLA de rendimiento que mide la latencia y la pérdida hacia el ERP, y una regla que manda el tráfico del ERP por el miembro que cumple.

Que los dos circuitos lleguen por caminos físicos distintos. Dos operadores que entran por la misma zanja del polígono caen juntos con la misma excavadora.

3. La WiFi de planta y oficina

• Corporativa: WPA2/WPA3-Enterprise con 802.1X, preferiblemente EAP-TLS con certificado de equipo desplegado por Intune. El usuario no escribe contraseñas y un equipo que sale de la empresa pierde su certificado.
• Invitados: SSID aparte en la VLAN 40, aislamiento entre clientes, portal cautivo y salida solo a internet. Es la de los técnicos del fabricante y los transportistas.
• Terminales de almacén y carretillas: muchos modelos solo admiten clave compartida (PSK). SSID propio, oculto o no, en su VLAN OT, clave larga que se rota en cada cambio de proveedor.
• La nave no es una oficina: estanterías metálicas, techos altos y máquinas que generan interferencias. El estudio de cobertura se hace con el almacén lleno, no vacío.

4. Operadores locales y plazos

En cada país el circuito lo da un operador local o el socio local del operador global, y los plazos mandan sobre cualquier fecha de proyecto.

• Pide los circuitos en cuanto se decide abrir la sede: son lo primero que llega tarde.
• Cada circuito con su ficha: operador, identificador de servicio, teléfono de averías en el idioma del país y horario de soporte. A las seis de la mañana de un turno de noche no es momento de buscarlo.
• La filial local suele ser quien firma el contrato: conviene que el contrato marco defina SLA y escalado igual en todos los países.

5. El ticket: "la planta de otro país va lenta al ERP"

Lunes, 07:30 hora local. El jefe de turno de la planta 14 dice que las transacciones del ERP tardan muchísimo en abrir. En la central va bien.

1. ¿Es la red o la aplicación? Si las demás plantas y la central van bien, es la sede. Si van lentas todas, es el ERP: escala al equipo del ERP.
2. Desde un PC de la planta, mide hacia el servidor de aplicaciones del ERP:

›Test-NetConnection srv-erp-app01.contoso.local -Port 3200ComputerName     : srv-erp-app01.contoso.localRemoteAddress    : 10.1.50.21RemotePort       : 3200SourceAddress    : 10.14.10.57TcpTestSucceeded : True›ping -n 20 10.1.50.21Paquetes: enviados = 20, recibidos = 18, perdidos = 2 (10% perdidos)Mínimo = 182ms, Máximo = 412ms, Media = 236ms

Conecta, pero con un 10 % de pérdida y una latencia muy por encima de lo normal para esa ruta.

1. En el FortiGate de la planta, mira por qué miembro va el tráfico y cómo están los circuitos:

›diagnose sys sdwan health-check ERP-DCHealth Check(ERP-DC):Seq(1 wan1): state(alive), packet-loss(9.000%) latency(231.402), jitter(48.117), sla_map=0x0Seq(2 wan2): state(alive), packet-loss(0.000%) latency(64.880), jitter(1.902), sla_map=0x1Seq(3 lte1): state(alive), packet-loss(0.000%) latency(96.310), jitter(6.405), sla_map=0x1›diagnose sys sdwan serviceService(1): Address Mode(IPV4) flags=0x200 use-shortcut-sla  Gen(4), TOS(0x0/0x0), Protocol(0): src(1->10.14.0.0-10.14.255.255): dst(1->10.1.50.0-10.1.50.255)  Members(3):    1: Seq_num(1 wan1), alive, selected    2: Seq_num(2 wan2), alive, sla(0x1), selected    3: Seq_num(3 lte1), alive, sla(0x1), selected

El circuito principal no cumple el SLA (sla_map=0x0), pero la regla sigue usándolo: está en modo de prioridad manual y no en modo SLA, así que solo cambia de miembro cuando el principal cae del todo.

1. Corrige y deja constancia: cambia la regla del ERP a modo SLA con el SLA ERP-DC (umbrales de latencia y de pérdida), comprueba que el tráfico pasa por wan2 y abre la avería con el operador de wan1 con los datos del health-check y la hora de inicio.
2. Cierra el ticket cuando el jefe de turno confirme, y apunta la causa en la ficha de la sede: si el mismo circuito vuelve a degradarse, es una conversación de contrato, no de soporte.

6. Documentación y revisión periódica

• Por sede: diagrama, plan de IP y VLAN, circuitos con su ficha, ubicación de armarios y contacto local. En la misma herramienta para todos los países.
• Cada mes: el informe de SLA de cada circuito, las caídas y su duración, y las veces que el tráfico pasó al 4G.
• Cada trimestre: una prueba de respaldo programada con la planta (desconectar el principal en una parada) para comprobar que el ERP sigue funcionando por el segundo circuito.
• Firmware de switches, AP y cortafuegos en ventanas acordadas con producción, nunca en mitad de un turno.

Siguientes pasos

• La guía de Cisco: switches y routers cubre VLAN, troncales y la configuración de puertos de la sede tipo.
• La guía de Fortinet FortiGate explica las zonas SD-WAN, los SLA y las políticas entre la red de oficina y la OT.
• La guía de NDES y Cloud PKI sirve para los certificados de la WiFi con 802.1X.
• La guía de SolarWinds ayuda a vigilar circuitos y switches de todas las sedes desde un solo panel.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.