Qué vas a conseguir
Que una planta en otro país se conecte igual que la de al lado de la central: mismo diseño de switches, mismas VLAN con el mismo significado, misma WiFi y una WAN con respaldo que aguanta la caída de un circuito sin parar la línea de producción. En una multinacional industrial el problema no es montar una red, es montar veinte iguales con operadores, idiomas y plazos distintos, y poder diagnosticarlas desde lejos cuando allí no hay nadie de IT.
Antes de empezar
- El inventario de sedes: país, tipo (planta, oficina, almacén), número de usuarios, horario de turnos y quién es el contacto local (a menudo el responsable de mantenimiento, no alguien de IT).
- Dónde viven los servicios centrales: el ERP en el centro de datos o en la nube, el directorio, la impresión y los servidores de planta (MES, SCADA) que deben quedarse en la propia planta.
- Quién es dueño de la red OT: ingeniería o mantenimiento suele gestionar autómatas y HMI. IT da la red y el cortafuegos; los equipos de OT no se tocan sin ellos.
- El plano de la nave con los armarios de comunicaciones y las distancias: en una planta, 90 metros de cobre se quedan cortos enseguida y hace falta fibra entre armarios.
1. La sede tipo
Un diseño de referencia, documentado una vez y aplicado en todas las sedes, evita que cada planta sea un caso especial.
| Elemento | Planta | Oficina pequeña |
|---|---|---|
| Cortafuegos | Dos FortiGate en HA | Uno |
| Core | Pareja de switches apilados o con enlaces redundantes | El propio switch de acceso |
| Acceso | Un switch por armario, con fibra al core | Uno o dos switches PoE |
| WAN | Circuito principal + respaldo de otro operador o 4G/5G | Internet + 4G |
| WiFi | Puntos de acceso gestionados en la nave y oficinas | Igual, menos puntos |
Plan de VLAN con el mismo número para el mismo uso en todas las sedes, y un rango por sede:
| VLAN | Uso | Rango (sede 14) |
|---|---|---|
| 10 | Usuarios de oficina | 10.14.10.0/24 |
| 20 | Voz e impresoras | 10.14.20.0/24 |
| 30 | WiFi corporativa | 10.14.30.0/23 |
| 40 | Invitados (solo internet) | 10.14.40.0/24 |
| 100 | OT: autómatas, HMI, SCADA | 10.14.100.0/24 |
| 110 | OT: terminales de radiofrecuencia del almacén | 10.14.110.0/24 |
| 99 | Gestión de switches y AP | 10.14.99.0/24 |
La red OT no se enruta en el core con el resto: su puerta de enlace es el cortafuegos, y solo pasan los flujos acordados con ingeniería (por ejemplo, el MES hacia el ERP, o el acceso remoto del fabricante a través de un servicio controlado). Un ransomware en un portátil de oficina no debe ver un autómata.
2. La WAN: MPLS o SD-WAN
| MPLS de un operador global | SD-WAN sobre internet | |
|---|---|---|
| Calidad | Latencia y pérdida acordadas por contrato | Depende de cada circuito local; el equipo elige el mejor en cada momento |
| Plazo de alta | Largo en países donde el operador no tiene red propia | Corto si hay fibra local disponible |
| Coste relativo | Alto por megabit | Bajo por megabit, más equipos y gestión |
| Respaldo | Otro circuito, a menudo del mismo operador | Dos operadores distintos + 4G/5G |
Lo habitual hoy es SD-WAN con túneles IPsec hacia el centro de datos (o un concentrador en la nube), dos circuitos de operadores diferentes y un router 4G/5G como último recurso. En el FortiGate eso se traduce en una zona SD-WAN con sus miembros, un SLA de rendimiento que mide la latencia y la pérdida hacia el ERP, y una regla que manda el tráfico del ERP por el miembro que cumple.
Que los dos circuitos lleguen por caminos físicos distintos. Dos operadores que entran por la misma zanja del polígono caen juntos con la misma excavadora.
3. La WiFi de planta y oficina
- Corporativa: WPA2/WPA3-Enterprise con 802.1X, preferiblemente EAP-TLS con certificado de equipo desplegado por Intune. El usuario no escribe contraseñas y un equipo que sale de la empresa pierde su certificado.
- Invitados: SSID aparte en la VLAN 40, aislamiento entre clientes, portal cautivo y salida solo a internet. Es la de los técnicos del fabricante y los transportistas.
- Terminales de almacén y carretillas: muchos modelos solo admiten clave compartida (PSK). SSID propio, oculto o no, en su VLAN OT, clave larga que se rota en cada cambio de proveedor.
- La nave no es una oficina: estanterías metálicas, techos altos y máquinas que generan interferencias. El estudio de cobertura se hace con el almacén lleno, no vacío.
4. Operadores locales y plazos
En cada país el circuito lo da un operador local o el socio local del operador global, y los plazos mandan sobre cualquier fecha de proyecto.
| Qué pides | Plazo típico | Lo que suele retrasarlo |
|---|---|---|
| Fibra nueva a un polígono | 60 a 120 días | Obra civil, permisos municipales |
| Fibra donde ya hay red | 20 a 45 días | Visita técnica, cita con el contacto local |
| Router 4G/5G con SIM de datos | 1 a 2 semanas | Alta de la línea a nombre de la filial local |
- Pide los circuitos en cuanto se decide abrir la sede: son lo primero que llega tarde.
- Cada circuito con su ficha: operador, identificador de servicio, teléfono de averías en el idioma del país y horario de soporte. A las seis de la mañana de un turno de noche no es momento de buscarlo.
- La filial local suele ser quien firma el contrato: conviene que el contrato marco defina SLA y escalado igual en todos los países.
5. El ticket: "la planta de otro país va lenta al ERP"
Lunes, 07:30 hora local. El jefe de turno de la planta 14 dice que las transacciones del ERP tardan muchísimo en abrir. En la central va bien.
- ¿Es la red o la aplicación? Si las demás plantas y la central van bien, es la sede. Si van lentas todas, es el ERP: escala al equipo del ERP.
- Desde un PC de la planta, mide hacia el servidor de aplicaciones del ERP:
Test-NetConnection srv-erp-app01.contoso.local -Port 3200ComputerName : srv-erp-app01.contoso.localRemoteAddress : 10.1.50.21RemotePort : 3200SourceAddress : 10.14.10.57TcpTestSucceeded : Trueping -n 20 10.1.50.21Paquetes: enviados = 20, recibidos = 18, perdidos = 2 (10% perdidos)Mínimo = 182ms, Máximo = 412ms, Media = 236msConecta, pero con un 10 % de pérdida y una latencia muy por encima de lo normal para esa ruta.
- En el FortiGate de la planta, mira por qué miembro va el tráfico y cómo están los circuitos:
diagnose sys sdwan health-check ERP-DCHealth Check(ERP-DC):Seq(1 wan1): state(alive), packet-loss(9.000%) latency(231.402), jitter(48.117), sla_map=0x0Seq(2 wan2): state(alive), packet-loss(0.000%) latency(64.880), jitter(1.902), sla_map=0x1Seq(3 lte1): state(alive), packet-loss(0.000%) latency(96.310), jitter(6.405), sla_map=0x1diagnose sys sdwan serviceService(1): Address Mode(IPV4) flags=0x200 use-shortcut-sla Gen(4), TOS(0x0/0x0), Protocol(0): src(1->10.14.0.0-10.14.255.255): dst(1->10.1.50.0-10.1.50.255) Members(3): 1: Seq_num(1 wan1), alive, selected 2: Seq_num(2 wan2), alive, sla(0x1), selected 3: Seq_num(3 lte1), alive, sla(0x1), selectedEl circuito principal no cumple el SLA (sla_map=0x0), pero la regla sigue usándolo: está en modo de prioridad manual y no en modo SLA, así que solo cambia de miembro cuando el principal cae del todo.
- Corrige y deja constancia: cambia la regla del ERP a modo SLA con el SLA
ERP-DC(umbrales de latencia y de pérdida), comprueba que el tráfico pasa porwan2y abre la avería con el operador dewan1con los datos del health-check y la hora de inicio. - Cierra el ticket cuando el jefe de turno confirme, y apunta la causa en la ficha de la sede: si el mismo circuito vuelve a degradarse, es una conversación de contrato, no de soporte.
6. Documentación y revisión periódica
- Por sede: diagrama, plan de IP y VLAN, circuitos con su ficha, ubicación de armarios y contacto local. En la misma herramienta para todos los países.
- Cada mes: el informe de SLA de cada circuito, las caídas y su duración, y las veces que el tráfico pasó al 4G.
- Cada trimestre: una prueba de respaldo programada con la planta (desconectar el principal en una parada) para comprobar que el ERP sigue funcionando por el segundo circuito.
- Firmware de switches, AP y cortafuegos en ventanas acordadas con producción, nunca en mitad de un turno.
Siguientes pasos
- La guía de Cisco: switches y routers cubre VLAN, troncales y la configuración de puertos de la sede tipo.
- La guía de Fortinet FortiGate explica las zonas SD-WAN, los SLA y las políticas entre la red de oficina y la OT.
- La guía de NDES y Cloud PKI sirve para los certificados de la WiFi con 802.1X.
- La guía de SolarWinds ayuda a vigilar circuitos y switches de todas las sedes desde un solo panel.
¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.
What you'll get
A plant in another country connected exactly like the one next to headquarters: the same switch design, the same VLANs with the same meaning, the same Wi-Fi and a WAN with a backup that survives a circuit failure without stopping the production line. In an industrial multinational the problem isn't building a network, it's building twenty identical ones with different carriers, languages and lead times, and being able to diagnose them remotely when there is nobody from IT on site.
Before you start
- The site inventory: country, type (plant, office, warehouse), number of users, shift pattern and who the local contact is (often the maintenance manager, not someone from IT).
- Where central services live: the ERP in the data centre or the cloud, the directory, printing and the plant servers (MES, SCADA) that must stay at the plant itself.
- Who owns the OT network: engineering or maintenance usually manages PLCs and HMIs. IT provides the network and the firewall; OT devices are not touched without them.
- The floor plan of the building with the comms cabinets and distances: in a plant, 90 metres of copper runs out quickly and you need fibre between cabinets.
1. The standard site
A reference design, documented once and applied at every site, stops each plant from becoming a special case.
| Element | Plant | Small office |
|---|---|---|
| Firewall | Two FortiGates in HA | One |
| Core | Pair of stacked switches or with redundant links | The access switch itself |
| Access | One switch per cabinet, with fibre to the core | One or two PoE switches |
| WAN | Primary circuit + backup from another carrier or 4G/5G | Internet + 4G |
| Wi-Fi | Managed access points on the shop floor and offices | Same, fewer points |
A VLAN plan with the same number for the same use at every site, and one range per site:
| VLAN | Use | Range (site 14) |
|---|---|---|
| 10 | Office users | 10.14.10.0/24 |
| 20 | Voice and printers | 10.14.20.0/24 |
| 30 | Corporate Wi-Fi | 10.14.30.0/23 |
| 40 | Guests (internet only) | 10.14.40.0/24 |
| 100 | OT: PLCs, HMIs, SCADA | 10.14.100.0/24 |
| 110 | OT: warehouse RF handhelds | 10.14.110.0/24 |
| 99 | Switch and AP management | 10.14.99.0/24 |
The OT network is not routed on the core with everything else: its gateway is the firewall, and only the flows agreed with engineering pass (for example, the MES to the ERP, or the manufacturer's remote access through a controlled service). Ransomware on an office laptop must not see a PLC.
2. The WAN: MPLS or SD-WAN
| MPLS from a global carrier | SD-WAN over internet | |
|---|---|---|
| Quality | Latency and loss agreed by contract | Depends on each local circuit; the device picks the best one at any moment |
| Lead time | Long in countries where the carrier has no network of its own | Short if local fibre is available |
| Relative cost | High per megabit | Low per megabit, more devices and management |
| Backup | Another circuit, often from the same carrier | Two different carriers + 4G/5G |
The usual choice today is SD-WAN with IPsec tunnels to the data centre (or a hub in the cloud), two circuits from different carriers and a 4G/5G router as the last resort. On the FortiGate that becomes an SD-WAN zone with its members, a performance SLA that measures latency and loss to the ERP, and a rule that sends ERP traffic through the member that meets it.
Make sure both circuits arrive over different physical paths. Two carriers coming in through the same trench on the industrial estate go down together with the same digger.
3. Plant and office Wi-Fi
- Corporate: WPA2/WPA3-Enterprise with 802.1X, preferably EAP-TLS with a device certificate deployed by Intune. Users type no passwords and a device that leaves the company loses its certificate.
- Guests: a separate SSID on VLAN 40, client isolation, a captive portal and internet-only access. It's the one for the manufacturer's technicians and hauliers.
- Warehouse handhelds and forklifts: many models only support a pre-shared key (PSK). Their own SSID, hidden or not, on their OT VLAN, with a long key rotated whenever the supplier changes.
- The shop floor is not an office: metal racking, high ceilings and machines that cause interference. The coverage survey is done with the warehouse full, not empty.
4. Local carriers and lead times
In each country the circuit comes from a local carrier or the global carrier's local partner, and lead times override any project date.
| What you order | Typical lead time | What usually delays it |
|---|---|---|
| New fibre to an industrial estate | 60 to 120 days | Civil works, municipal permits |
| Fibre where there is already a network | 20 to 45 days | Site survey, appointment with the local contact |
| 4G/5G router with a data SIM | 1 to 2 weeks | Setting up the line in the local subsidiary's name |
- Order circuits as soon as the site is approved: they are the first thing to arrive late.
- Each circuit has its record: carrier, service ID, fault line in the country's language and support hours. Six in the morning on a night shift is not the time to look for it.
- The local subsidiary usually signs the contract: the framework agreement should define SLA and escalation the same way in every country.
5. The ticket: "the plant in another country is slow to reach the ERP"
Monday, 07:30 local time. The shift supervisor at plant 14 says ERP transactions take ages to open. At headquarters it's fine.
- Network or application? If the other plants and headquarters are fine, it's the site. If they're all slow, it's the ERP: escalate to the ERP team.
- From a PC at the plant, measure to the ERP application server:
Test-NetConnection srv-erp-app01.contoso.local -Port 3200ComputerName : srv-erp-app01.contoso.localRemoteAddress : 10.1.50.21RemotePort : 3200SourceAddress : 10.14.10.57TcpTestSucceeded : Trueping -n 20 10.1.50.21Packets: Sent = 20, Received = 18, Lost = 2 (10% loss)Minimum = 182ms, Maximum = 412ms, Average = 236msIt connects, but with 10% loss and latency far above normal for that route.
- On the plant's FortiGate, check which member the traffic uses and the state of the circuits:
diagnose sys sdwan health-check ERP-DCHealth Check(ERP-DC):Seq(1 wan1): state(alive), packet-loss(9.000%) latency(231.402), jitter(48.117), sla_map=0x0Seq(2 wan2): state(alive), packet-loss(0.000%) latency(64.880), jitter(1.902), sla_map=0x1Seq(3 lte1): state(alive), packet-loss(0.000%) latency(96.310), jitter(6.405), sla_map=0x1diagnose sys sdwan serviceService(1): Address Mode(IPV4) flags=0x200 use-shortcut-sla Gen(4), TOS(0x0/0x0), Protocol(0): src(1->10.14.0.0-10.14.255.255): dst(1->10.1.50.0-10.1.50.255) Members(3): 1: Seq_num(1 wan1), alive, selected 2: Seq_num(2 wan2), alive, sla(0x1), selected 3: Seq_num(3 lte1), alive, sla(0x1), selectedThe primary circuit fails the SLA (sla_map=0x0), but the rule keeps using it: it's in manual priority mode, not SLA mode, so it only switches member when the primary goes down completely.
- Fix it and record it: change the ERP rule to SLA mode with the
ERP-DCSLA (latency and loss thresholds), check that traffic now goes overwan2and open a fault with thewan1carrier, with the health-check data and the start time. - Close the ticket once the shift supervisor confirms, and note the cause in the site record: if the same circuit degrades again, it's a contract conversation, not a support one.
6. Documentation and regular review
- Per site: diagram, IP and VLAN plan, circuits with their record, cabinet locations and local contact. In the same tool for every country.
- Every month: the SLA report for each circuit, outages and their duration, and how often traffic failed over to 4G.
- Every quarter: a scheduled failover test with the plant (disconnect the primary during a stoppage) to confirm the ERP keeps working over the second circuit.
- Switch, AP and firewall firmware in windows agreed with production, never in the middle of a shift.
Next steps
- The Cisco: switches and routers guide covers VLANs, trunks and port configuration for the standard site.
- The Fortinet FortiGate guide explains SD-WAN zones, SLAs and policies between the office network and OT.
- The NDES and Cloud PKI guide covers the certificates for Wi-Fi with 802.1X.
- The SolarWinds guide helps you watch circuits and switches across all sites from a single dashboard.
Is something missing, or different in your environment? Get in touch and I'll fix it.
Tech Career Lab · newsletter
¿Te ha servido? Cada dos semanas envío una idea práctica para perfiles IT: LinkedIn, proyectos, networking y procesos de selección.Found this useful? Every two weeks I send one practical idea for IT professionals: LinkedIn, projects, networking and hiring processes.
Apúntate y llévate las 33 ideasSign up and get the 33 ideas →