Los entornos de tecnología operativa (OT) y sistemas ciberfísicos (CPS), que abarcan la automatización industrial, el sector energético y las infraestructuras críticas, exigen altos niveles de seguridad, escalabilidad y eficiencia en sus comunicaciones de red. Un reto importante es garantizar un flujo de tráfico aislado, controlado y estructurado entre los diferentes segmentos de red, al tiempo que se permite una comunicación fluida a través de múltiples VLAN. El etiquetado doble de VLAN, también conocido como Q-in-Q, 802.1ad o túnel Q-in-Q, ofrece una solución eficaz al encapsular las VLAN de los clientes dentro de una VLAN del proveedor de servicios. Esto mantiene la segmentación y garantiza una transmisión de datos fiable.
Comprender el etiquetado doble de VLAN (Q-in-Q)
La VLAN doble encapsula una etiqueta de VLAN dentro de otra, lo que permite a las organizaciones ampliar las VLAN más allá de los límites de la red sin interferir en las configuraciones internas de las VLAN. Esta técnica resulta especialmente útil en entornos industriales en los que es necesaria la segmentación de la red para aislar los sistemas de control, los PLC, los entornos SCADA y los datos operativos.
Componentes clave del etiquetado doble de VLAN:
- VLAN externa (VLAN de servicio): gestionada por el proveedor de servicios, esta VLAN facilita el transporte del tráfico a través de una infraestructura de red compartida, garantizando que los datos de los clientes permanezcan encapsulados y aislados.
- VLAN interna (VLAN del cliente): la etiqueta VLAN original asignada por la empresa. Se mantiene intacta y se restaura en el destino.
Gracias a Q-in-Q, las empresas industriales pueden ampliar sus redes de manera eficiente, al tiempo que preservan la integridad de las VLAN y reducen la complejidad operativa.
Cómo funciona el etiquetado doble de VLAN en Industrial
Este flujo de tráfico estructurado permite a las redes industriales extender las VLAN a múltiples ubicaciones, al tiempo que se garantiza la facilidad de gestión de cada segmento.
Ventajas de la doble VLAN (Q-in-Q) en redes OT
Separación del tráfico
La doble VLAN permite segregar el tráfico entre las distintas partes de una red OT. De este modo, se garantiza que el tráfico de control crítico procedente de los PLC permanezca aislado del resto del tráfico no esencial, lo que mejora la fiabilidad y minimiza las interferencias.
Escalabilidad
A medida que se amplían las redes OT, Q-in-Q ofrece una solución para gestionar de forma eficiente un número cada vez mayor de VLAN. Evita el agotamiento de los identificadores de VLAN, lo que resulta especialmente beneficioso para grandes plantas industriales con múltiples PLC y sistemas de control.
Seguridad
Al aislar diferentes VLAN dentro de una red industrial, Q-in-Q puede mejorar y simplificar ciertos controles de seguridad de la red. Sin embargo, las VLAN no constituyen una solución de seguridad completa. Son relativamente fáciles de eludir mediante técnicas como el «VLAN hopping».
Gestión simplificada de la red
Q-in-Q permite crear una jerarquía estructurada de VLAN en redes industriales. Esto simplifica la configuración de la red, reduce la complejidad operativa y hace que la resolución de problemas sea más eficaz.
Independencia respecto a los proveedores
Como parte del estándar IEEE 802.1Q (2011), ampliamente adoptado, Q-in-Q es compatible con múltiples proveedores de redes. Esto permite a los operadores industriales integrar diferentes equipos y, aun así, mantener una segmentación y gestión uniformes del tráfico.
Casos de uso del etiquetado doble de VLAN (Q-n-Q) en entornos de tecnología operativa
- Conexión entre proveedores de servicios: Q-in-Q permite la comunicación entre diferentes instalaciones industriales mediante la ampliación de las VPN de capa 2 a redes OT a gran escala.
- Industrial : Las plantas de fabricación y las redes eléctricas utilizan Q-in-Q para segregar el tráfico entre los dispositivos de automatización y los sistemas de control, lo que garantiza un funcionamiento fluido.
- Redes inteligentes: Q-in-Q ayuda a gestionar el tráfico entre subestaciones y centros de control, garantizando una comunicación eficiente en las implementaciones de redes inteligentes.
- Sistemas de gestión de edificios (BMS): Industrial utilizan Q-in-Q para aislar el tráfico de los sistemas de climatización, iluminación y seguridad, garantizando así su correcto funcionamiento.
- Sistemas de transporte: Q-in-Q permite la transmisión de datos a través de diversas redes de transporte, incluidos los sistemas de control ferroviario, garantizando un funcionamiento ininterrumpido.
Ejemplo de topología de red
Imaginemos una fábrica con la siguiente configuración:
1. Dispositivos: PLC (servidor),Firewall Industrial y clientes en la red B.
2. Segmentación de la red:
- Red A: VLAN 100 (el PLC se encuentra aquí) - 192.168.10.0/24
- Red B: VLAN 200.100 (HMI o dispositivo externo) - 10.10.10.0/24
- FirewallIndustrial : Interfaces en ambas redes, que traducen el tráfico entre ellas.
3. Flujo de tráfico:
- Los dispositivos de la red B envían tráfico etiquetado con la VLAN 100.
- El cortafuegos o el conmutador del proveedor de servicios añade una etiqueta VLAN externa (VLAN 200).
- El paquete recorre la red manteniendo intacta la separación entre VLAN.
- Al llegar a la red A, se elimina la etiqueta VLAN externa, restableciéndose así la VLAN 100.
- Ahora el PLC puede comunicarse con dispositivos externos sin necesidad de modificar la VLAN interna.
Conclusión
El etiquetado VLAN doble es una técnica muy eficaz para aquellas organizaciones que necesitan escalabilidad de VLAN, aislamiento y transferencia de datos a través de infraestructuras compartidas. En entornos industriales y de tecnología operativa (OT), Q-in-Q garantiza una gestión de VLAN fluida y eficiente, lo que permite implementar soluciones de red flexibles y rentables.
Industrial Firewall™
Consigue una comunicación OT/ICS segura y segmentada con Q-in-Q, sin sacrificar el rendimiento. Descubre cómo MetaDefender Industrial Firewall reforzar tu red industrial.
Preguntas frecuentes (FAQ)
P:¿Qué es el etiquetado doble de VLAN (Q-n-Q)?
R: El etiquetado VLAN doble, también conocido como Q-in-Q, encapsula una etiqueta VLAN dentro de otra para ampliar las VLAN a través de las redes, al tiempo que se mantiene la segmentación. Resulta especialmente útil en entornos industriales, donde la segmentación de la red es fundamental para aislar los sistemas de control, los PLC, los entornos SCADA y los datos operativos.
P:¿ Secure las VLAN?
R: Las VLAN pueden mejorar la seguridad de la red al segmentar lógicamente el tráfico y limitar los dominios de difusión, lo que ayuda a reducir el riesgo de accesos no autorizados entre segmentos. Sin embargo, las VLAN no son seguras por naturaleza. Requieren una configuración cuidadosa para prevenir de manera eficaz ataques como el «VLAN hopping» o los accesos no autorizados.
P:¿Qué es el salto de VLAN?
R: El «VLAN hopping» es una vulnerabilidad de seguridad de red en la que un atacante aprovecha las debilidades del sistema para obtener acceso no autorizado a una VLAN y, a continuación, pasar a otras dentro de la misma red. Las VLAN están diseñadas para mejorar la seguridad y el rendimiento mediante el aislamiento del tráfico entre diferentes segmentos. El «VLAN hopping» socava esta separación, lo que permite a los atacantes eludir los controles y, potencialmente, acceder a sistemas y datos confidenciales que deberían permanecer protegidos y aislados.
