Una VLAN de gestión de conmutador que reside en la misma red plana que tu enchufe inteligente es uno de los errores de red doméstica más comunes — y el más explotable. Una vez que un dispositivo IoT se ve comprometido, ese compromiso se convierte en movimiento lateral hacia tu portátil de trabajo, tu NAS y tu teléfono. Segmentar tu red doméstica en VLAN (aislando el tráfico de IoT, invitados, trabajo y gestión) es la actualización de seguridad más barata que puedes hacerte. Estas siete aplicaciones para segmentación VLAN de red doméstica en escritorio son el conjunto de herramientas.

Las selecciones abarcan la pila enrutador-cortafuegos (donde residen las reglas), las herramientas de monitoreo de red (para que puedas ver si funciona) y las herramientas de documentación (para que recuerdes qué hiciste).

Qué buscar en un conjunto de herramientas de segmentación VLAN

Comparación rápida

AplicaciónMejor paraPlan gratuitoPrecio inicialPlataformas
pfSense Community EditionEnrutador/cortafuegos de código abiertoSí, completamenteGratisPC x86, virtual
OPNsenseFork de pfSense de código abiertoSí, completamenteGratisPC x86, virtual
UniFi NetworkMejor UX para configuración VLANSí (con hardware)Software gratuito, hardware varíaCliente Web/Mac/Win/Linux
OpenWrtReutiliza enrutadores de consumo antiguosSí, completamenteGratisEnrutadores compatibles
WiresharkCaptura y análisis de paquetesSí, completamenteGratisWin/Mac/Linux
TailscalePuente VLAN aisladasSí (Personal)Alrededor de $5/usuario/mes (Premium)Win/Mac/Linux/iOS/Android
ZabbixMonitorea tráfico por VLANSí (código abierto)GratisServidor Linux
NetBoxDocumenta asignaciones IP/VLANSí (código abierto)GratisServidor Linux

Las aplicaciones

1. pfSense Community Edition, la base

pfSense Community Edition es el enrutador/cortafuegos de código abierto basado en FreeBSD que ejecuta la mayoría de las redes domésticas que merecen mención. La versión CE es gratuita, completa de funciones, y tiene VLAN en todo: interfaces etiquetadas, reglas de cortafuegos por VLAN, ámbitos DHCP por VLAN, DNS por VLAN.

El asistente de configuración te guía a través de la primera VLAN limpiamente. La interfaz web es antigua pero cada función que necesitas está ahí. Los dispositivos comerciales mantenidos por Netgate comienzan alrededor de $200, pero la mayoría de los usuarios domésticos ejecutan pfSense en una mini-PC Protectli o una PC comercial rescatada.

Dónde se queda corta: La interfaz es de 2014 y se ve así. El ecosistema de paquetes se está reduciendo en comparación con OPNsense. Los cambios de licencia recientes de Netgate alrededor de CE han puesto nervioso a algunos miembros de la comunidad.

Precios:

Plataformas: PC x86, máquinas virtuales, dispositivos Netgate.

Descargar: pfSense Community Edition en pfsense.org

Conclusión: Elige esto si quieres el enrutador/cortafuegos doméstico más probado en batalla y puedes tolerar una interfaz de era 2014.

2. OPNsense, el fork moderno

OPNsense se bifurcó de pfSense en 2015 y la brecha se ha ampliado desde entonces. La interfaz es más limpia, el ritmo de lanzamiento es más rápido y el ecosistema de paquetes ahora supera a pfSense. La configuración VLAN es el área donde OPNsense lidera más claramente: el asistente de interfaz y reglas es uno de los más limpios en cualquier enrutador/cortafuegos.

El sistema de complementos hace que agregar funciones (Wazuh, CrowdSec, Wireguard, AdGuard) sea casi trivial. La Business Edition de Deciso agrega GeoIP y otras funciones empresariales, pero la Community Edition tiene todo lo que un usuario doméstico necesita.

Dónde se queda corta: Algunos paquetes de pfSense no tienen equivalentes en OPNsense. La capacidad de respuesta de la interfaz web puede rezagarse en hardware más bajo (menos de 2 GB de RAM). La documentación es más delgada que pfSense.

Precios:

Plataformas: PC x86, máquinas virtuales, dispositivos Deciso.

Descargar: OPNsense en opnsense.org

Conclusión: Elige esto si quieres la UX de configuración VLAN más limpia en el espacio del enrutador de código abierto.

3. UniFi Network, la mejor UX

UniFi Network es la gestión web y de aplicaciones de Ubiquiti para su hardware. Si compras una puerta de enlace UniFi y conmutadores, la configuración VLAN es punto y clic en la interfaz web: crea una red, elige un ID de VLAN, adjunta puntos de acceso, arrastra reglas. La vista Site Manager te muestra qué dispositivos están en qué VLAN de un vistazo.

El problema es el bloqueo de hardware. UniFi Network solo funciona con hardware UniFi. Una configuración de inicio (Dream Machine + un par de conmutadores y AP) cuesta entre $600 y $1000. Dentro de ese ecosistema, la experiencia es la mejor en el espacio de red doméstica.

Dónde se queda corta: Bloqueo de hardware. El software tiene apagones periódicos cuando el ciclo de actualización de Ubiquiti envía errores. Las reglas de cortafuegos avanzadas requieren CLI, que la mayoría de los usuarios no tocarán.

Precios:

Plataformas: Se requiere hardware UniFi. La interfaz de gestión está basada en navegador y también tiene aplicaciones Win/Mac/Linux/iOS/Android.

Descargar: UniFi Network en ui.com

Conclusión: Elige esto si quieres la mejor UX de red doméstica y no te importa el costo del hardware.

4. OpenWrt, reutiliza enrutadores antiguos

OpenWrt se instala en enrutadores de consumo y los convierte en cajas Linux con VLAN en todas partes. Si tienes un Archer TP-Link o Linksys WRT sin usar, OpenWrt puede darle una segunda vida como conmutador compatible con VLAN para un segmento de laboratorio aislado.

La interfaz web LuCI maneja la configuración VLAN limpiamente. La lista de enrutadores compatibles con la comunidad es enorme. La desventaja es que la instalación no siempre es trivial — algunos enrutadores se bloquean cuando se instalan mal y no todo el hardware de consumo admite OpenWrt en absoluto.

Dónde se queda corta: La compatibilidad de hardware es inconsistente. El proceso de instalación puede bloquear un enrutador con la secuencia equivocada. La CPU y la RAM en enrutadores de consumo más antiguos limitan qué características puedes ejecutar.

Precios:

Plataformas: Enrutadores compatibles (consulte openwrt.org/toh).

Descargar: OpenWrt en openwrt.org

Conclusión: Elige esto si tienes un enrutador antiguo que admite OpenWrt y quieres reutilizarlo como un puente compatible con VLAN.

5. Wireshark, captura de paquetes

Wireshark es el analizador de paquetes que te dice si tu segmentación VLAN realmente funciona. Configura un puerto espejo en tu conmutador gestionado, apunta Wireshark hacia él y verifica que el tráfico VLAN no se escape entre segmentos. Este es el paso “confía pero verifica” que la mayoría de los usuarios domésticos se saltan.

Los lanzamientos 4.x mejoraron la cobertura del decodificador para protocolos modernos (HTTP/3, Tailscale, WireGuard) y la nueva vista Conversaciones hace que la contabilidad del tráfico por VLAN sea mucho más fácil.

Dónde se queda corta: La curva de aprendizaje es real. Wireshark es la herramienta para personas que saben qué están buscando; los nuevos usuarios pueden pasar una hora sin encontrar lo que necesitan.

Precios:

Plataformas: Windows, macOS, Linux.

Descargar: Wireshark en wireshark.org

Conclusión: Elige esto para el paso de verificación “¿funcionó realmente mi segmentación VLAN?”. Cada red doméstica con VLAN se beneficia de esto.

6. Tailscale, puente VLAN aisladas

Tailscale resuelve el problema “Segmenté mi IoT a una VLAN que no puede alcanzar internet, pero ahora mi Home Assistant en mi red principal no puede alcanzar el dispositivo”. La VPN de malla de Tailscale le da a cada dispositivo una IP estable en VLAN e internet, para que puedas enrutar tráfico específico a través de tu segmentación sin soltarlo.

La función MagicDNS te permite alcanzar homeassistant.tail-scale.ts.net desde cualquier lugar, en cualquier dispositivo, sin hacer agujeros en tu cortafuegos. Las mejoras recientes de ACL agregaron reglas conscientes de VLAN por dispositivo, que solían ser solo CLI.

Dónde se queda corta: El nivel gratuito es generoso pero limitado a 100 dispositivos, que un hogar inteligente puede alcanzar. Algunos enrutadores (especialmente de nivel empresarial) necesitan configuración adicional para permitir UDP de Tailscale. El plan gratuito admite un propietario de Tailnet, que está bien para uso individual pero limita configuraciones familiares.

Precios:

Plataformas: Windows, macOS, Linux, iOS, Android, más soporte de OS de enrutador.

Descargar: Tailscale en tailscale.com

Conclusión: Elige esto para puente de acceso entre VLAN sin debilitar tus reglas de cortafuegos.

7. Zabbix, monitoreo por VLAN

Zabbix monitorea interfaces de red, incluidas subinterfaces VLAN individuales, con resolución por segundo. Una vez que tengas segmentación VLAN, Zabbix te dice qué fluye realmente a través de cada segmento para que puedas detectar tráfico lateral inusual o un dispositivo ruidoso.

Los lanzamientos 7.x agregaron una interfaz web más limpia y paneles mejorados. Zabbix Agent se ejecuta en Windows, macOS y Linux, para que puedas monitorear dispositivos en cada VLAN directamente. El sondeo SNMPv3 contra tu enrutador o conmutadores te proporciona estadísticas de tráfico por VLAN.

Dónde se queda corta: La configuración inicial es pesada — necesitas un servidor Linux (o contenedor), una base de datos y una hora de trabajo de configuración. La interfaz tiene una curva de aprendizaje.

Precios:

Plataformas: Servidor Linux (con agentes opcionales de Windows/Mac/Linux).

Descargar: Zabbix en zabbix.com

Conclusión: Elige esto si quieres visibilidad a largo plazo de los patrones de tráfico por VLAN y tienes una caja Linux para ejecutarlo.

8. NetBox, documenta asignaciones VLAN

NetBox es la herramienta IPAM (gestión de direcciones IP) y DCIM (gestión de infraestructura del centro de datos) utilizada por proveedores de servicios. Seis meses después de configurar VLAN 20 para “portátiles de oficina,” habrás olvidado qué puertos del conmutador están etiquetados, cuál es la IP de la puerta de enlace y qué ámbito DHCP lo sirve. NetBox lo soluciona.

La importación CSV te permite cargar redes existentes en masa. La vista de gráficos muestra superposición e conflictos de asignación VLAN. El sistema de Campos Personalizados te permite etiquetar una VLAN con notas como “renumera cuando muevo el conmutador de IoT.”

Dónde se queda corta: Excesivo para una red doméstica de VLAN único. La configuración es la más pesada en esta lista — Postgres, Redis, Python, servidor web. La interfaz prioriza la precisión sobre la velocidad.

Precios:

Plataformas: Servidor Linux (Docker compose funciona bien).

Descargar: NetBox en netbox.dev

Conclusión: Elige esto si has configurado cuatro o más VLAN y quieres que la documentación sea honesta.

Cómo elegir la correcta

Para una configuración doméstica básica con dos o tres VLAN: OPNsense + conmutador gestionado + Wireshark para verificación. La interfaz OPNsense te guía a través de la configuración VLAN; Wireshark la verifica.

Para un hogar UniFi existente: UniFi Network para la capa de enrutamiento/cortafuegos, más Wireshark para verificación. UniFi maneja el resto.

Para una configuración con enrutadores de consumo antiguos que quieres reutilizar: OpenWrt en enrutadores secundarios, enfrentado OPNsense o pfSense en Protectli en el borde.

Para disciplina de documentación: NetBox. Incluso para tres VLAN, se amortiza después de seis meses.

Para acceso entre VLAN sin debilitar tu cortafuegos: Tailscale. Es la forma más limpia de alcanzar un dispositivo aislado desde tu teléfono.

Preguntas frecuentes

¿Necesito VLAN en mi red doméstica?

Si tienes algún dispositivo IoT (enchufes inteligentes, cámaras, timbres, asistentes de voz) y también tienes un portátil de trabajo o un NAS, sí. El IoT comprometido es el punto de entrada más común para ataques de red doméstica, y una red plana convierte un dispositivo malo en un riesgo de movimiento lateral.

¿Puedo hacer VLAN sin comprar un enrutador nuevo?

Si tu enrutador existente es compatible con OpenWrt, sí. En caso contrario, planifica reemplazar el enrutador (con pfSense/OPNsense en una mini-PC o con hardware UniFi) o agregar un enrutador compatible con VLAN separado entre el existente y el resto de la red.

¿Es OPNsense o pfSense mejor para uso doméstico?

OPNsense para nuevas configuraciones en 2026. La interfaz es más limpia, el ritmo de lanzamiento es más rápido y el ecosistema de complementos es más grande. pfSense sigue siendo excelente y tiene más documentación, así que si encuentras los tutoriales de pfSense más fáciles de seguir, esa es una razón válida para elegirlo.

¿Cuál es la forma más barata de obtener segmentación VLAN?

Instala un enrutador compatible con OpenWrt (un TP-Link Archer C7 usado cuesta alrededor de $40 usado) y emparéjalo con un conmutador gestionado TP-Link TL-SG108E (alrededor de $30). Total menos de $70. No tan limpio como OPNsense + Protectli + conmutadores UniFi, pero funciona.

¿Necesito un conmutador inteligente para que funcionen las VLAN?

Sí. Las etiquetas VLAN necesitan conmutadores que respeten 802.1Q. Los conmutadores no gestionados eliminan etiquetas y rompen la segmentación. TP-Link TL-SG108E y Netgear GS308E son las opciones más confiables y baratas por menos de $40.