COLEGIO HORIZONTE / INFRAESTRUCTURA DE RED
Una red que distingue quién necesita acceder a qué.
Educación privada
Diagnóstico + propuesta LAN
01 / EL PUNTO DE PARTIDA
Institución de educación privada con un aula de cómputo, oficinas administrativas, servicio de impresión, acceso de visitantes y videovigilancia.
Inventario propuesto: 16 computadoras, 10 dispositivos de visitantes, 1 impresora, 1 servidor, 4 cámaras y 1 NVR. Además: router/firewall, switch y punto de acceso. Las cifras son supuestos de diseño, no mediciones de una instalación real.
Las cámaras envían video a un grabador conectado por un enlace compartido de 100 Mb/s. Las descargas de visitantes compiten por la salida a Internet con las aplicaciones escolares. En horas de clase aparecen demoras.
Interrupciones en actividades y lentitud en la gestión. Debe confirmarse midiendo uso de puertos y de Internet.
Cámaras y NVR en VLAN 50, enlaces Gigabit y límite agregado de 10 Mb/s para invitados en el equipo perimetral compatible. Separar VLANs por sí solo no crea más ancho de banda.
Visitantes, alumnos y personal administrativo utilizan el mismo segmento. Sin reglas de acceso, un dispositivo de invitados puede intentar contactar las computadoras y carpetas de Administración.
Exposición innecesaria de expedientes y servicios privados. Tener contraseña Wi-Fi no aísla a los usuarios conectados.
VLANs independientes y reglas en el router que bloquean las redes privadas desde invitados. Solo los flujos explícitamente autorizados pueden cruzar entre áreas.
La impresora está detrás de un router doméstico de Administración, en una subred diferente. El aula carece de una ruta y permisos definidos para llegar a ella, y su IP dinámica cambia.
El docente debe trasladar archivos manualmente. Se pierde tiempo y se dificulta compartir recursos de forma controlada.
Impresora con IP fija en VLAN 40. Aula y Administración pueden usar TCP 9100 y las pruebas ICMP autorizadas, sin obtener acceso general a las otras áreas.
Acceso mínimo necesario. Rutas claras. Recursos compartidos con límites.
02 / ARQUITECTURA PROPUESTA
Selecciona un equipo o un área para conocer su función. En celular puedes deslizar el diagrama.
| VLAN / área | Subred IPv4 | Máscara | Gateway | Asignación propuesta |
|---|---|---|---|---|
| 10 Administración | 192.168.10.0/24 | 255.255.255.0 | 192.168.10.1 | 3 PC: DHCP .100–.199; PC TI reservado .10 |
| 20 Aula | 192.168.20.0/24 | 255.255.255.0 | 192.168.20.1 | 13 PC: DHCP .100–.199 |
| 30 Invitados | 192.168.30.0/24 | 255.255.255.0 | 192.168.30.1 | Hasta 10 clientes: DHCP .100–.199 |
| 40 Servicios | 192.168.40.0/24 | 255.255.255.0 | 192.168.40.1 | Servidor .10 · Impresora .20 (fijas) |
| 50 CCTV | 192.168.50.0/24 | 255.255.255.0 | 192.168.50.1 | NVR .10 · Cámaras .11–.14 (fijas) |
| 99 Gestión | 192.168.99.0/24 | 255.255.255.0 | 192.168.99.1 | Switch .2 · AP .3 (fijas) |
Las subredes /24 facilitan la lectura y dejan crecimiento; no se justifican por agotamiento de direcciones. En producción se revisan conflictos con la red existente. El laboratorio usa direcciones estáticas representativas; su configuración no incluye DHCP ni Internet.
El video entre cámaras y NVR permanece en VLAN 50. Un switch Gigabit de 48 puertos soporta los enlaces de acceso; el router debe dimensionarse para el tráfico entre VLANs. Se priorizan servicios escolares y se limita a invitados en un equipo compatible.
Ejemplo de dimensionamiento: 4 cámaras × 4 Mb/s = 16 Mb/s de video, antes de sobrecarga. Es un supuesto, no un resultado medido. Una VLAN no reserva capacidad por sí sola.
El switch transporta VLANs y el router aplica ACLs. Invitados no accede a redes privadas; Aula no accede a Administración ni CCTV. La gestión por SSH se limita al equipo TI autorizado.
El aislamiento de clientes en el AP complementa las ACLs. Equipos de una misma VLAN pueden comunicarse sin pasar por el router: también se requieren controles del AP, del switch y de los equipos.
Servidor e impresora se ubican en VLAN 40 con direcciones estables. Aula y Administración tienen permiso para HTTPS al servidor, impresión TCP 9100 e ICMP de diagnóstico hacia esos dos destinos.
Ping verifica alcance IP; no demuestra por sí mismo que una aplicación o una impresión funcione. También se prueban HTTPS y un trabajo de impresión autorizado.
23 equipos cableados + 1 AP + 1 router = 25 puertos usados; un switch de 48 deja 23 libres. Los 10 visitantes se conectan al AP. Se prevén 24 enlaces fijos y 49 latiguillos. Las cantidades se ajustan al levantamiento.
Precios de ejemplo, no cotización. No incluye IVA, instalación, certificación, computadoras, cámaras, NVR, servidor ni servicio de Internet. El UPS se dimensiona para el equipo de red; no respalda todas las computadoras.
Gabinete cerrado y ventilado · Cat 6 de cobre · Canaletas y separación de potencia · Tomas y panel etiquetados · Hasta 90 m de enlace permanente y 100 m de canal completo · Verificación del cableado y respaldo de configuración.
03 / DEMOSTRACIÓN Y CONCLUSIONES
Esta demostración evalúa las reglas propuestas en JavaScript. No ejecuta ping real ni sustituye las capturas del simulador de redes.
Acceso entre áreas controlado en el router. Los recorridos dentro de una VLAN no atraviesan su ACL de entrada.
No se han incorporado capturas de Packet Tracer ni un video del laboratorio. Los siguientes son casos de prueba con resultados esperados, no resultados obtenidos.
Topología del laboratorio y configuración ↓ping 192.168.40.20Desde PC Aula (192.168.20.100), se espera respuesta de la impresora. Repetir tras resolver ARP.
Captura pendienteping 192.168.10.100Desde PC Invitados (192.168.30.100), se espera bloqueo. Revisar el paquete descartado y el contador de la ACL.
Captura pendienteping 192.168.10.100Desde PC Aula se espera bloqueo. Confirmar antes que su gateway responde para descartar una falla de cableado.
Captura pendienteping 192.168.50.10Desde el equipo que representa la cámara (.11), se espera respuesta del NVR en su propia VLAN, sin pasar por el router.
Captura pendienteConsidero que una infraestructura útil no es la que permite todo, sino la que facilita el trabajo sin exponer recursos innecesarios. Esta propuesta separa el acceso de visitantes, protege Administración y permite compartir servicios de forma controlada.
La segmentación reduce el alcance de algunos incidentes, mientras el cableado organizado facilita el mantenimiento. Sin embargo, el router y el switch siguen siendo puntos únicos de falla: el UPS, los respaldos y un plan de sustitución reducen el tiempo de recuperación, pero no crean redundancia.
El diseño debe validarse con las pruebas del laboratorio antes de afirmar que funciona. Las evidencias pendientes son el paso que convierte esta propuesta en una solución comprobada.