Comprenda cómo diseñar una arquitectura de red corporativa con capas, segmentación, redundancia, seguridad, monitoreo, infraestructura y criterios de aceptación.
¡Descúbrelo!
La arquitectura de red es el modelo técnico que organiza cómo se relacionan usuarios, dispositivos, aplicaciones, servicios, enlaces y controles de seguridad. Define las capas de infraestructura, los límites entre dominios, los flujos permitidos, los mecanismos de disponibilidad y la forma en que la red será operada, monitorizada y ampliada.
En una red corporativa, la arquitectura debe responder antes de elegir switches, routers o fabricantes: qué aplicaciones son críticas, quién se comunica con quién, qué indisponibilidad es aceptable, dónde debe inspeccionarse el tráfico y qué evidencias demostrarán que la solución cumple el diseño.
Este artículo explica cómo diseñar una arquitectura de red corporativa escalable, disponible, segura y gestionable. Topologías como estrella, anillo, bus, malla y árbol son decisiones subordinadas a la arquitectura y deben evaluarse según disponibilidad, expansión, dominio de falla y operación.
¿Qué Es la Arquitectura de Red?
La arquitectura de red es la organización lógica y física que transforma requisitos de comunicación en una infraestructura implementable. Describe funciones, capas, módulos, interfaces, protocolos, políticas, servicios de apoyo y criterios de desempeño. También establece cómo será documentada, administrada, protegida y validada la red.
Una arquitectura bien definida permite comprender la red sin depender de la lectura de configuraciones aisladas. El diseño debe mostrar dónde están usuarios, servidores, sistemas cloud, redes industriales, acceso a internet, sucursales, data centers, identidad, monitoreo y seguridad.
Arquitectura, Topología y Diseño de Red No Son Sinónimos
La topología representa cómo nodos y enlaces están conectados física o lógicamente. La arquitectura es más amplia: define la función de cada parte, las fronteras, los servicios, las políticas y los mecanismos utilizados. El diseño de red transforma estas decisiones en documentos, especificaciones, diagramas, cantidades y criterios de prueba.
Una red puede tener topología física en estrella y arquitectura lógica segmentada en decenas de VLAN y VRF. También puede poseer enlaces redundantes y seguir siendo vulnerable porque ambos recorren el mismo camino físico o dependen de la misma alimentación.
Arquitectura Lógica y Arquitectura Física
La arquitectura lógica describe direccionamiento, VLAN, VRF, routing, zonas, políticas, servicios y flujos. La arquitectura física describe equipos, interfaces, fibras, cables, racks, salas técnicas, alimentaciones y rutas. Ambas deben desarrollarse conjuntamente.
La Arquitectura Debe Comenzar por los Requisitos
El método más seguro es comenzar por los objetivos del negocio y las restricciones técnicas, caracterizar la red existente y los flujos de tráfico, desarrollar el diseño lógico y solo después seleccionar tecnologías y equipos.
Aplicaciones, Usuarios y Comunidades de Interés
El levantamiento debe identificar aplicaciones, usuarios, dispositivos y repositorios de datos. Es necesario conocer quién inicia cada comunicación, dónde está el destino, qué protocolo se utiliza, cuánto tráfico se genera y qué impacto ocurre cuando el servicio queda indisponible.
Telefonía IP, videoconferencia, CCTV, control de acceso, bases de datos, backups, virtualización, Wi-Fi, SCADA y cloud poseen patrones diferentes. Algunos exigen baja latencia y bajo jitter; otros demandan gran volumen, multicast, sincronización o disponibilidad continua.
Metas Técnicas y Criterios Medibles
Requisitos como «red rápida» o «alta disponibilidad» deben convertirse en capacidad, utilización máxima, latencia, pérdida, tiempo de convergencia, disponibilidad, retención de logs, cantidad de dispositivos y horizonte de expansión.
- Escalabilidad: crecimiento de usuarios, endpoints, sitios y tráfico.
- Disponibilidad: fallas consideradas y tiempo de recuperación.
- Desempeño: throughput, latencia, jitter, pérdida y colas.
- Seguridad: identidades, zonas, flujos y registros.
- Gestionabilidad: monitoreo, inventario, backup y diagnóstico.
- Adaptabilidad: incorporación de nuevas tecnologías.
- Costo: inversión, licenciamiento, operación y ciclo de vida.
Caracterización de la Red Existente
Los proyectos corporativos raramente comienzan desde cero. El diagnóstico debe reconstruir la topología actual e identificar equipos, versiones, enlaces, direccionamiento, VLAN, rutas, servicios y dependencias. Métricas de utilización, errores, descartes, CPU, memoria, latencia y disponibilidad ayudan a distinguir limitaciones de arquitectura de problemas de configuración.
Antes de definir la arquitectura objetivo, consolide una baseline confiable de la red existente.
Inventario, flujos, dependencias, capacidad, fallas recurrentes y restricciones brownfield deben conocerse para dimensionar la modernización con base en evidencias.
Modelos Jerárquicos y Modulares
La jerarquía divide una red compleja en capas con funciones claras. La modularidad separa partes que pueden diseñarse, protegerse, operarse y ampliarse con menor impacto sobre el resto. Estos principios reducen dependencias innecesarias, facilitan el diagnóstico y permiten replicar patrones entre edificios, plantas o sucursales.
Capa de Acceso
La capa de acceso conecta usuarios, teléfonos, access points, cámaras, controladoras, sensores, servidores locales y otros dispositivos. En ella se aplican funciones como VLAN de acceso, autenticación 802.1X o MAB, PoE, protección contra loops, marcado de QoS y controles de borde.
El dimensionamiento considera cantidad y tipo de puertos, velocidad, uplinks, potencia PoE, stacking, condiciones ambientales, redundancia de fuente y posibilidad de expansión. En áreas industriales también se consideran temperatura, vibración, alimentación en corriente continua y protocolos específicos.
Capa de Distribución
La distribución agrega switches de acceso y concentra políticas. Puede delimitar dominios Layer 2, realizar routing entre VLAN, aplicar ACL, sumarizar rutas, implementar redundancia de gateway y controlar el acceso al core o a los servicios centrales.
Una distribución bien definida evita extender VLAN indiscriminadamente y reduce el alcance de las fallas. También crea puntos previsibles para inspección, QoS, filtrado, observabilidad y transición entre áreas de la red.
Capa de Core
El core interconecta módulos de alta importancia como distribución, data center, WAN, internet edge y entornos de gestión. Su función principal es transportar tráfico de forma previsible, disponible y con baja latencia. Políticas excesivamente complejas en el core pueden aumentar dependencias y dificultar la convergencia.
Collapsed Core
En redes pequeñas y medianas, distribución y core pueden combinarse en una capa de collapsed core. Esta simplificación reduce equipos y costo, siempre que se analicen capacidad, redundancia y crecimiento. El error es adoptar el modelo simplificado sin prever cuándo el entorno superará sus límites.
Módulos Funcionales
Además de las capas, la arquitectura puede organizarse en módulos: campus, data center, internet edge, WAN, sucursales, acceso remoto, redes inalámbricas, gestión, seguridad, servicios compartidos y entornos OT. Cada módulo posee requisitos y fronteras propios, pero debe validarse como parte del conjunto.
Modelos de Referencia Cisco Aplicados a la Arquitectura de Redes
Los modelos de arquitectura difundidos por Cisco ayudan a organizar redes corporativas e industriales en capas y módulos con responsabilidades definidas. El objetivo no es vincular la arquitectura a una marca, sino utilizar una referencia consolidada para reducir acoplamiento, limitar dominios de falla, facilitar la expansión e incorporar seguridad y operación al diseño.
| Principio | Aplicación en la arquitectura | Contenido relacionado |
|---|---|---|
| Modelo jerárquico | Separación entre acceso, distribución y core, con funciones y límites claros. | Capas detalladas en este artículo. |
| Arquitectura modular | División por campus, data center, WAN, internet edge, seguridad y entornos industriales. | Módulos funcionales y arquitecturas híbridas. |
| Collapsed core | Combinación de distribución y core cuando la escala y la criticidad lo permiten. | Sección específica sobre collapsed core. |
| Dominios de falla | Limitación del impacto de fallas, cambios, loops e indisponibilidades. | Disponibilidad y redundancia. |
| Redundancia | Links, dispositivos, fuentes, uplinks y caminos alternativos con convergencia prevista. | Spanning Tree y LACP y EtherChannel. |
| Segmentación | VLAN, VRF, zonas, ACL y políticas entre comunidades de interés. | Red Lógica. |
| Control de acceso | Identidad, 802.1X, NAC, AAA y autorización dinámica. | Cisco ISE. |
| Operación segura | Hardening, gestión protegida, telemetría, SNMPv3, logs y estandarización. | Hardening de Switches Cisco. |
| Arquitectura industrial | Segmentación TI/OT, requisitos ambientales, redundancia y visibilidad de activos. | Switch Industrial Cisco y Cisco Cyber Vision. |
La selección de tecnologías Cisco o equivalentes debe realizarse después de definir requisitos, módulos, fronteras, capacidad, disponibilidad y políticas. El Diseño de Red transforma estas decisiones en diagramas, especificaciones, matrices, listas, estándares de configuración y criterios de aceptación.
La arquitectura lógica debe especificarse mediante requisitos de desempeño, disponibilidad, segmentación y operación, no mediante una lista de modelos.
El diseño consolida topología, direccionamiento, VLAN, VRF, routing, uplinks, redundancia, seguridad y criterios de aceptación en una base técnica implementable y auditable.
Conozca el Servicio de Diseño de Red Lógica y Redes Corporativas
Fronteras entre Layer 2 y Layer 3
Una de las decisiones más relevantes es determinar dónde termina la conmutación Layer 2 y comienza el routing Layer 3. Dominios Layer 2 extensos simplifican algunos movimientos de dispositivos, pero amplían broadcast, dependencia de spanning tree y alcance de fallas. Fronteras Layer 3 menores favorecen contención, convergencia y políticas más previsibles.
| Decisión de arquitectura | Implicación técnica | Criterio de diseño |
|---|---|---|
| Layer 2 extendido | Amplía el dominio de broadcast y la dependencia de mecanismos de prevención de loops. | Usar solo cuando exista un requisito funcional claro de continuidad del dominio L2. |
| Gateway en distribución | Centraliza el routing entre VLAN y las políticas en una frontera previsible. | Adecuado cuando el acceso permanece predominantemente Layer 2 y la distribución concentra el control. |
| Routing en acceso | Reduce dominios Layer 2 y aproxima la frontera L3 a los endpoints. | Evaluar escala, convergencia, operación, movilidad y capacidades de los switches de acceso. |
| VLAN por función | Organiza dominios locales y facilita la asociación entre direccionamiento, política y responsabilidad. | Definir propósito, gateway, subred, alcance y comunicación autorizada para cada VLAN. |
| Redundancia de camino | Permite continuidad después de una falla, siempre que los caminos sean realmente independientes. | Validar topología física, convergencia y capacidad remanente en contingencia. |
Dominios de Broadcast y Extensión de VLAN
Cada VLAN constituye un dominio de broadcast. La arquitectura debe definir su propósito, alcance, gateway, subred, política y responsable. Extender una VLAN entre muchos switches, edificios o sitios aumenta la complejidad y puede hacer que una falla local produzca un impacto amplio.
Routing en Acceso o Distribución
En algunos diseños, los uplinks de acceso son Layer 2 y el routing ocurre en distribución. En otros, los switches de acceso participan en el routing. La elección depende de escala, convergencia, operación, capacidades de los activos, necesidad de movilidad y modelo de seguridad.
Spanning Tree como Protección, No como Diseño Improvisado
STP, RSTP y MSTP evitan loops en redes conmutadas, pero no sustituyen una arquitectura intencional. Raíz, prioridades, instancias, puertos de borde y mecanismos de protección deben definirse. El artículo sobre Spanning Tree — STP, RSTP y MSTP profundiza la prevención de loops, elección de raíz y convergencia.
Segmentación y Arquitectura de Seguridad
La segmentación no debe añadirse después de que la red esté terminada. Debe formar parte de la arquitectura y reflejar funciones, criticidad, exposición y flujos autorizados. Las VLAN aíslan dominios Layer 2, pero por sí solas no constituyen una política completa de seguridad.
VLAN, VRF, Zonas y Conductos
Las VLAN separan dominios locales; las VRF crean tablas de routing independientes; firewalls y ACL controlan el tráfico entre zonas. En entornos industriales, el concepto de zonas y conductos ayuda a agrupar activos con requisitos similares y controlar comunicaciones entre áreas.
La matriz de flujos debe indicar origen, destino, servicio, dirección, justificación y responsable. Esta documentación permite configurar firewalls, ACL y políticas de acceso según lo necesario, en lugar de liberar redes completas por conveniencia.
Identidad y Control de Acceso a la Red
Las arquitecturas modernas relacionan conectividad e identidad. Soluciones como Cisco ISE, RADIUS, TACACS+, 802.1X, MAB y certificados permiten autenticar usuarios y dispositivos, asignar políticas y controlar la administración de los equipos.
Plano de Gestión
Interfaces administrativas, SSH, SNMP, APIs, consolas, backups y plataformas de gestión necesitan una arquitectura propia. El plano de gestión puede utilizar una red dedicada, VRF de gestión, bastion host, autenticación centralizada y acceso restringido a estaciones administrativas.
Hardening y Defensa en Profundidad
El hardening de los switches debe seguir la función de cada dispositivo. Servicios innecesarios, protocolos inseguros, cuentas predeterminadas, acceso administrativo amplio y ausencia de logs aumentan la superficie de ataque. La baseline debe probarse y mantenerse durante todo el ciclo de vida.
Direccionamiento, Routing y Servicios de Red
El direccionamiento y el routing deben reflejar la jerarquía organizacional y geográfica. Los planes improvisados dificultan la sumarización, expansión, troubleshooting y control de acceso. La arquitectura debe reservar rangos, establecer criterios de asignación y contemplar IPv4, IPv6, redes de gestión, servicios, usuarios, sistemas y entornos temporales.
Subredes y Sumarización
Las subredes deben dimensionarse con un margen coherente y agruparse de forma que las rutas puedan sumarizarse. La sumarización reduce tablas, actualizaciones y propagación de inestabilidades, pero depende de asignación contigua y planificación previa. El artículo sobre Subnetting IPv4 profundiza el dimensionamiento, la división de bloques y los criterios para ampliar el plan de direccionamiento.
Routing Estático y Dinámico
Las rutas estáticas son adecuadas cuando el entorno es simple y previsible. Los protocolos dinámicos resultan útiles cuando existen caminos redundantes, múltiples sitios y necesidad de convergencia automática. La decisión debe considerar escala, tiempo de recuperación, conocimiento del equipo y fronteras administrativas. En redes internas, OSPF permite estructurar dominios de routing por estado de enlace; cuando entran sistemas autónomos, múltiples proveedores o políticas de peering, BGP pasa a ser la referencia arquitectónica.
DNS, DHCP, NTP y Servicios Compartidos
Los servicios de nombres, direccionamiento, sincronización y autenticación son dependencias de la red. La arquitectura debe definir ubicación, redundancia, forwarding, acceso, logs y contingencia. En particular, la sincronización mediante NTP es necesaria para correlacionar eventos, investigar incidentes y validar secuencias operacionales.
Disponibilidad y Redundancia
La redundancia debe eliminar puntos únicos de falla relevantes, no solo duplicar equipos. Dos switches alimentados por el mismo circuito, dos fibras en el mismo ducto o dos enlaces de operadores que comparten la misma ruta física pueden aparentar resiliencia sin ofrecer independencia real.
Dominios de Falla
El diseño debe mapear qué usuarios, aplicaciones y áreas son afectados por la falla de cada componente. Capas y módulos bien definidos contienen el impacto. Las arquitecturas planas y excesivamente interdependientes tienden a ampliar el dominio de falla.
Redundancia de Dispositivos, Enlaces y Energía
La disponibilidad puede exigir equipos en pares, uplinks dobles, fuentes redundantes, rutas físicas distintas, UPS, grupos electrógenos y contingencia de operador. El nivel adoptado debe ser proporcional a la criticidad y al costo de la indisponibilidad.
Convergencia y Capacidad durante Fallas
No basta con que exista un camino alternativo. Es necesario saber cuánto tarda la red en utilizarlo y si su capacidad soporta el tráfico remanente. Las pruebas de failover deben verificar pérdida, reconvergencia, sesiones, rutas, gateways, agregaciones y comportamiento de las aplicaciones.
Agregación de Enlaces
LACP y link aggregation combinan interfaces físicas en un enlace lógico, aumentando capacidad y tolerancia a fallas de puerto o cable. La distribución no es necesariamente uniforme y depende del algoritmo hash. El artículo sobre LACP, Link Aggregation y EtherChannel profundiza criterios de arquitectura, capacidad, compatibilidad, hashing y pruebas.
Capacidad, Tráfico y Calidad de Servicio
La capacidad debe calcularse a partir de los flujos, no únicamente de la suma nominal de los puertos. Los uplinks agregan tráfico de muchos dispositivos y los picos pueden ocurrir simultáneamente. Backups, cámaras, actualizaciones, replicación y aplicaciones cloud pueden producir ráfagas que no aparecen en promedios diarios. La caracterización del tráfico de red ayuda a identificar orígenes, destinos, patrones de comunicación, simultaneidad y períodos críticos; en redes existentes, NetFlow puede proporcionar evidencias adicionales sobre conversaciones y volúmenes.
Oversubscription
Oversubscription es la relación entre la capacidad potencial de los puertos de acceso y la capacidad de los uplinks. Puede ser aceptable cuando los usuarios no transmiten simultáneamente, pero debe documentarse. Los entornos de video, storage, virtualización y automatización pueden exigir relaciones más conservadoras.
Latencia, Jitter y Pérdida
Las aplicaciones interactivas, voz, video y control dependen de un retraso previsible. La arquitectura influye en el número de saltos, colas, caminos, inspecciones y capacidad. Una utilización elevada aumenta las colas de forma no lineal, haciendo relevantes los márgenes de diseño y QoS.
QoS y Clasificación
QoS no crea ancho de banda, pero permite clasificar, marcar, poner en cola y priorizar tráfico según criticidad. La política debe ser extremo a extremo y coherente entre acceso, distribución, core y WAN. Los marcados no confiables deben validarse o reclasificarse en el borde.
Multicast
Video, descubrimiento, automatización y algunos sistemas críticos utilizan multicast. IGMP Snooping, querier, routing multicast y límites de dominio deben considerarse. Tratar multicast como broadcast puede generar tráfico excesivo y comportamiento imprevisible.
Los Criterios de Arquitectura Deben Transformarse en Pruebas Verificables
Throughput, latencia, jitter, pérdida, QoS, multicast, convergencia y comportamiento bajo falla deben medirse cuando sean requisitos del diseño, evitando una aceptación basada únicamente en conectividad básica.
Monitoreo, Observabilidad y Gestión
La capacidad de operar la red debe diseñarse desde el inicio. Un monitoreo añadido posteriormente puede encontrar dispositivos sin soporte, direccionamiento inconsistente, ausencia de logs y falta de acceso seguro. La arquitectura de gestión debe definir qué será monitorizado, mediante qué protocolo, con qué intervalo y con qué retención.
SNMPv3, Telemetría, Syslog y Flujos
SNMPv3 permite recopilar estados y contadores con autenticación y privacidad. Syslog registra eventos; NetFlow o tecnologías equivalentes caracterizan conversaciones; la telemetría proporciona series temporales con mayor granularidad. Cada fuente responde a preguntas diferentes y debe integrarse al proceso operacional. El artículo sobre Monitoreo de Red organiza métricas y observabilidad, mientras Gestión de Redes amplía la visión hacia fallas, configuración, contabilización, desempeño y seguridad mediante el modelo FCAPS.
Gestión In-Band y Out-of-Band
En la gestión in-band, el acceso administrativo utiliza la propia red de producción. En la gestión out-of-band, utiliza infraestructura independiente o dedicada. OOB aumenta la resiliencia de diagnóstico, pero exige costo, protección y diseño específicos. Las soluciones híbridas son comunes.
Fuente de Verdad y Documentación Viva
Inventario, IPAM, VLAN, racks, circuitos, interfaces y cables deben contar con una fuente confiable. Herramientas como NetBox ayudan a relacionar infraestructura física y lógica, pero necesitan un proceso de actualización. Una plataforma desactualizada solo centraliza inconsistencias.
Infraestructura Física que Sustenta la Arquitectura
La arquitectura lógica depende de una infraestructura de red capaz de soportar capacidad, distancia, alimentación, ambiente y expansión. Cableado estructurado, fibra, racks, caminos, espacios, energía y equipotencialización deben compatibilizarse con el diseño lógico.
Cableado Horizontal y Backbone
El cableado horizontal conecta áreas de trabajo y dispositivos con los distribuidores. El backbone interconecta salas, plantas, edificios y áreas. Cantidad de fibras, clases de desempeño, distancias, conectores, reservas, rutas e independencia física deben acompañar el horizonte de crecimiento.
Racks y Salas Técnicas
Layout, ocupación, disipación, acceso, organización, identificación y capacidad eléctrica afectan la mantenibilidad. Concentrar equipos sin evaluar espacio, calor, peso o acceso a los cables puede inviabilizar expansiones y aumentar el riesgo operacional.
PoE y Alimentación
Cámaras, teléfonos, access points y controladores pueden depender de Power over Ethernet. El diseño debe calcular potencia por puerto, presupuesto total, pérdidas, simultaneidad, redundancia y autonomía de la UPS. La cantidad de puertos PoE no significa capacidad para alimentar todos a potencia máxima.
Puesta a Tierra, Equipotencialización y Ambiente
Racks, caminos metálicos, blindajes y equipos deben integrarse a las medidas de equipotencialización previstas para telecomunicaciones. Temperatura, humedad, polvo, vibración, interferencia electromagnética y exposición a sobretensiones también influyen en la selección e instalación.
Arquitecturas Corporativas, Industriales e Híbridas
Campus Corporativo
Las redes de campus conectan usuarios, Wi-Fi, voz, video y sistemas prediales en uno o más edificios. Normalmente utilizan acceso, distribución y core o collapsed core, con backbone óptico, segmentación, autenticación y gestión centralizada.
Data Center y Servicios Centrales
Los data centers poseen alta densidad, tráfico este-oeste, virtualización, storage, automatización y requisitos rigurosos de disponibilidad. La arquitectura debe considerar redundancia, dominio de falla, balanceo, seguridad entre aplicaciones e integración con campus, cloud y recuperación ante desastres.
Sucursales, WAN e Internet Edge
Las sucursales pueden conectarse mediante redes privadas, internet, VPN o SD-WAN. La arquitectura define redundancia de operador, routing, priorización, acceso local a internet, seguridad y operación cuando la conexión central queda indisponible.
Redes Industriales y OT
Los entornos OT conectan PLC, IED, RTU, HMI, SCADA, historians y estaciones de ingeniería. La arquitectura debe considerar protocolos industriales, disponibilidad, determinismo, sincronización, equipos robustos, segmentación y ventanas restringidas de cambio. El hub de redes industriales profundiza estas interfaces.
Integración entre TI, OT y Cloud
Convergencia no significa eliminar fronteras. Las integraciones deben utilizar zonas, DMZ, proxies, gateways, APIs y flujos explícitamente autorizados. Los servicios cloud deben incorporarse a los requisitos de disponibilidad, identidad, logs, latencia y continuidad.
Migración y Modernización de la Red
Una arquitectura objetivo solo es útil cuando existe un camino seguro para alcanzarla. El plan de migración debe considerar compatibilidad, licencias, transceptores, direccionamiento, dependencias, ventanas, comunicación, rollback y criterios de go/no-go.
Implementación por Oleadas
Dividir la migración por edificio, sitio, capa o servicio reduce riesgos y permite incorporar aprendizajes. Cada oleada debe tener prerrequisitos, responsables, runbook, validación y contingencia.
Coexistencia con Legado
Los equipos y aplicaciones legacy pueden exigir VLAN temporales, protocolos específicos, gateways o controles compensatorios. Estas excepciones deben documentarse, tener responsable y contar con un plan de eliminación o revisión.
Staging y Validación Previa
Configuraciones, versiones, templates, autenticación, routing e integraciones pueden prepararse en staging. Las pruebas previas reducen el tiempo de ventana e identifican incompatibilidades antes de afectar producción.
Las Migraciones de Red Exigen Gobernanza Técnica sobre Alcance, Riesgos, Cambios y Aceptación
En modernizaciones críticas, la supervisión independiente ayuda a controlar equivalencias, interfaces, ventanas, rollback, pendientes, pruebas y documentación hasta la entrega de la arquitectura efectivamente implantada.
Documentación y Criterios de Aceptación
La documentación debe permitir contratar, implementar, probar, operar y modificar la red. Los diagramas conceptuales son importantes, pero deben complementarse con información suficiente para ejecución y validación. El artículo sobre Diagrama de Red detalla cómo separar y relacionar las vistas lógica, física y de arquitectura.
| Criterio de aceptación | Evidencia esperada | Falla que la prueba busca revelar |
|---|---|---|
| Segmentación | VLAN, gateways, rutas y políticas compatibles con la matriz de comunicación. | Comunicación indebida, aislamiento incorrecto o dependencia no documentada. |
| Redundancia | Prueba controlada de falla de enlace, equipo o gateway con registro de la recuperación. | Punto único de falla, reconvergencia excesiva o camino alternativo insuficiente. |
| Capacidad | Mediciones de throughput, utilización, colas y comportamiento en la condición pico definida en el diseño. | Uplink subdimensionado, oversubscription inadecuada o cuello de botella de arquitectura. |
| Observabilidad | Recopilación de estados, eventos, logs, métricas y flujos conforme al plan de gestión. | Activos sin visibilidad, lagunas de diagnóstico o retención insuficiente. |
| Documentación | Diagramas, direccionamiento, puertos, circuitos, configuraciones y documentación as-built consistentes con la implantación. | Divergencia entre diseño, configuración y condición real de la red. |
Entregables de Arquitectura y Diseño
- bases y criterios de diseño;
- inventario y diagnóstico de la situación existente;
- matriz de aplicaciones, usuarios, flujos y criticidad;
- arquitectura conceptual, lógica y física;
- diagramas de campus, data center, WAN, internet edge y gestión;
- plan de direccionamiento, VLAN, VRF y routing;
- matriz de zonas, flujos y controles;
- dimensionamiento de enlaces, uplinks, PoE e infraestructura;
- especificaciones técnicas, listas y cantidades;
- plan de migración, contingencia y rollback;
- procedimientos de FAT, SAT y commissioning;
- requisitos para documentación as-built.
Pruebas Funcionales, de Desempeño y de Falla
Las pruebas deben verificar conectividad, VLAN, routing, redundancia, convergencia, autenticación, políticas, QoS, multicast, monitoreo, logs y servicios de apoyo. Throughput, latencia, jitter, pérdida y comportamiento en pico deben evaluarse cuando sean relevantes. Las fallas de enlace, equipo, fuente, gateway y servicio deben simularse de forma controlada.
As-Built y Gestión de Cambios
El as-built debe reflejar lo que fue efectivamente implantado. Diagramas, direcciones, puertos, fibras, configuraciones, versiones, licencias y excepciones deben actualizarse. Sin un proceso de cambios, la documentación pierde valor rápidamente.
Una Arquitectura Solo Está Concluida Cuando Puede Validarse y Operarse
Conectividad, segmentación, redundancia, convergencia, desempeño, monitoreo, logs y recuperación deben demostrarse en condición nominal y de contingencia.
Errores Comunes en Arquitectura de Red
- elegir equipos antes de definir requisitos y flujos;
- confundir redundancia lógica con independencia física;
- extender VLAN innecesariamente entre muchos switches o sitios;
- mantener grandes dominios Layer 2 por conveniencia;
- no controlar la raíz y las protecciones de spanning tree;
- dimensionar uplinks únicamente por la cantidad nominal de puertos;
- ignorar tráfico de backup, video, replicación y multicast;
- tratar seguridad y monitoreo como aspectos posteriores;
- adoptar la misma política para usuarios, servidores, cámaras y OT;
- no planificar potencia PoE, UPS, racks y rutas de backbone;
- implantar sin un plan de migración y rollback;
- aceptar la red únicamente mediante prueba de ping;
- no actualizar la documentación después de cambios.
Consideraciones Finales
La arquitectura de red corporativa es una disciplina de diseño, no un dibujo genérico ni una lista de equipos. Comienza por objetivos, aplicaciones, flujos y restricciones; organiza la infraestructura en capas y módulos; define fronteras, segmentación, disponibilidad, capacidad, gestión y seguridad; y termina en documentación, pruebas y criterios de aceptación.
Referencias Técnicas
[1] OPPENHEIMER, Priscilla. Top-Down Network Design. 3.ª ed. Indianapolis: Cisco Press, 2011.
[2] ABNT. ABNT NBR 14565:2019 — Cableado estructurado para edificios comerciales.
[3] ISO; IEC. ISO/IEC 11801-1:2017 — Information technology — Generic cabling for customer premises — Part 1: General requirements. Disponible en: https://www.iso.org/standard/66182.html.
[4] IEEE. IEEE 802.3 — Ethernet. Disponible en: https://standards.ieee.org/ieee/802.3/10422/.
[5] IEEE. IEEE 802.1Q-2022 — Bridges and Bridged Networks. Disponible en: https://standards.ieee.org/ieee/802.1Q/10323/.
[6] CENTER FOR INTERNET SECURITY. CIS Critical Security Controls v8.1. Disponible en: https://www.cisecurity.org/controls/v8-1.
[7] CISA; NSA. Network Infrastructure Security Guidance. 2022. Disponible en: https://www.cisa.gov/news-events/cybersecurity-advisories/aa22-110a.
[8] IEC. IEC 62443 series — Security for industrial automation and control systems. Disponible en: https://www.iec.ch/cyber-security/industrial-cyber-security.
Preguntas Frecuentes
La arquitectura de red es el modelo que organiza capas, módulos, servicios, flujos, políticas, protocolos, equipos e infraestructura para cumplir requisitos de comunicación, seguridad, disponibilidad y operación.
La topología representa cómo nodos y enlaces se conectan física o lógicamente. La arquitectura es más amplia y define funciones, capas, fronteras, servicios, seguridad, gestión y capacidad.
El modelo jerárquico utiliza acceso, distribución y core. En redes menores, distribución y core pueden combinarse en collapsed core.
No. Una VLAN separa dominios Layer 2, pero la seguridad exige políticas entre zonas, routing controlado, ACL o firewalls, identidad, hardening y monitoreo.
Criterios de diseño, diagramas lógicos y físicos, direccionamiento, VLAN, routing, matriz de flujos, dimensionamientos, especificaciones, plan de migración y procedimientos de prueba.
La validación debe demostrar conectividad, routing, segmentación, redundancia, convergencia, autenticación, desempeño, monitoreo, logs y recuperación.
Materiales Técnicos Complementarios
Servicios Relacionados
- Diseño de Red Lógica y Redes Corporativas — arquitectura, segmentación, redundancia, direccionamiento y criterios de diseño.
- Due Diligence Técnica de Ingeniería — levantamiento As-Is, inventario, restricciones, riesgos y baseline para modernización.
- Ensayos y Pruebas Técnicas — validación de desempeño, contingencia y criterios medibles de aceptación.
- Commissioning — verificación de la arquitectura implantada, documentación y evidencias de entrega.
Contenidos Principales sobre el Tema
- Guía Completa sobre Arquitectura de Redes — hub del cluster de arquitectura, topologías, diseño e infraestructura.
- Diseño de Red — etapas, requisitos, documentación, implantación y criterios de validación.
- Diagrama de Red — vistas lógica, física y de arquitectura aplicadas a la documentación técnica.
- Topología de Red — criterios para estrella, anillo, malla, árbol y otras formas de interconexión.
- Red Lógica — VLAN, segmentación, direccionamiento y organización de flujos.
Contenidos Técnicos Relacionados
- Subnetting IPv4 — dimensionamiento y organización de subredes.
- OSPF — áreas, LSA, costos, convergencia y criterios de diseño.
- BGP — ASN, peering y políticas entre sistemas autónomos.
- Tráfico de Red — flujos, carga, broadcast, multicast y capacidad.
- NetFlow — telemetría por flujo para caracterización del tráfico.
- Monitoreo de Red — métricas, disponibilidad, desempeño y observabilidad.
- Gestión de Redes — FCAPS, configuración, desempeño y seguridad operacional.
- Spanning Tree — prevención de loops y convergencia en Layer 2.
- LACP y EtherChannel — agregación, capacidad y redundancia de enlaces.
- Whitepaper: NetBox como Fuente de Verdad — IPAM, DCIM, inventario y documentación viva de la red.
