Redes internas y DHCP/DNS

Crear y gestionar redes virtuales aisladas en VergeOS con DHCP y DNS integrados, enrutamiento entre redes a través de la DMZ y red de autoservicio para inquilinos.

¿Qué son las redes internas?

Las redes internas son redes virtuales creadas dentro de VergeOS — desde la interfaz de usuario o a través de la API — que proporcionan segmentos aislados de Capa 2/Capa 3 para cargas de trabajo de VM. Son el bloque de construcción principal para la red de aplicaciones y la segmentación de cargas de trabajo.

Cada red interna es segura por defecto: cuando se crea por primera vez, no fluye tráfico hacia dentro ni hacia fuera hasta que agregas explícitamente reglas de red para permitirlo. Este punto de partida de confianza cero significa que cada red interna es un perímetro de seguridad autosuficiente desde el momento en que existe.

Las redes internas pueden crearse como uno de dos tipos:

Tipo	Configuración del tipo de dirección IP	Capacidades
Capa 3 (recomendado)	Estática	Gestión completa de red — DHCP, DNS, enrutamiento, firewall, limitación de tasa — todo administrado dentro de VergeOS
Capa 2	Ninguno	VergeOS gestiona la conectividad hasta la Capa 2; los servicios a nivel de IP (DHCP, DNS, enrutamiento) son gestionados por dispositivos de terceros

Las redes internas de Capa 3 son la opción estándar para la mayoría de las cargas de trabajo. El resto de esta página se centra en las capacidades de red de Capa 3.

Creación de una red interna

Para crear una nueva red interna:

1. Navega a Redes → Panel y haz clic en el Internas acceso rápido

2. Haz clic en Nueva interna en el menú izquierdo

3. Configura los ajustes esenciales:

Ajuste	Descripción
Nombre	Requerido. Se permiten espacios, pero se recomiendan nombres concisos sin espacios para facilitar los scripts y el uso de la API
Descripción	Texto descriptivo opcional
Grupo HA	Asigna la red a un grupo de alta disponibilidad: el sistema ejecuta las redes agrupadas en diferentes nodos físicos
Clúster	Selecciona el clúster donde se ejecutará la red, o deja el valor predeterminado
Clúster de conmutación por error	Define un clúster de respaldo si el principal no está disponible
Nodo preferido	Especifica un nodo de primera opción para esta red
Reflejo de puertos	Desactivado (predeterminado), Norte/Sur (solo tráfico del enrutador) o Este/Oeste (todo el tráfico, incluido VM a VM)
Tipo de dirección IP	Estática para Capa 3 (recomendado) o Ninguno para Capa 2
Puerta de enlace predeterminada	Selecciona una red externa para crear automáticamente una regla de enrutamiento para el acceso a internet
Al perder energía	Último estado, dejar apagado o encender

Direccionamiento predeterminado

De forma predeterminada, a una nueva red interna de Capa 3 se le asigna:

• Segmento de red: 192.168.0.0/24

• Dirección IP del enrutador: 192.168.0.1

Dado que cada red interna se ejecuta como una superposición VXLAN independiente, varias redes internas pueden compartir el mismo rango de direcciones si permanecen detrás de NAT (nunca enroutadas directamente entre sí). Sin embargo, si planeas enrutar entre redes internas, cada debe tener un rango CIDR único.

Para cambiar el direccionamiento predeterminado, marca la casilla de Opciones avanzadas durante la creación para modificar el CIDR de la red y la IP del enrutador.

DHCP integrado

Cada red interna de Capa 3 incluye un servidor DHCP integrado, habilitado de forma predeterminada. El servidor DHCP funciona con dnsmasq ejecutándose dentro del contenedor de la red, proporcionando una gestión de direcciones ligera y fiable.

Asignación dinámica vs. secuencial

VergeOS admite dos estrategias de asignación de direcciones DHCP:

Modo	Cómo funciona	Ideal para
Dinámico (predeterminado)	La IP se elige en función de un hash de la dirección MAC del cliente, aumentando considerablemente las posibilidades de que un cliente reciba la misma IP después de que venza/renueve el arrendamiento	La mayoría de las cargas de trabajo: proporciona direccionamiento pseudoestable sin reservas estáticas
Secuencial	Las direcciones se asignan en orden desde el inicio del ámbito DHCP	Entornos en los que se desea un orden de IP predecible

Opciones de configuración de DHCP

Cuando DHCP está habilitado, están disponibles los siguientes ajustes:

Ajuste	Descripción
Nombre de dominio	Establece el nombre de dominio DNS para las VMs invitadas (FQDN)
Puerta de enlace	Sobrescribe la puerta de enlace predeterminada enviada a los clientes DHCP (por defecto, la IP del enrutador de la red)
DHCP dinámico	Habilitar/deshabilitar la asignación dinámica de direcciones (deshabilitar para servir solo reservas estáticas)
Dirección de inicio DHCP	Inicio del ámbito de direcciones dinámicas
Dirección de fin DHCP	Fin del ámbito de direcciones dinámicas
Direcciones DHCP secuenciales	Activa el modo secuencial (el valor predeterminado es dinámico basado en hash)

Reservas DHCP estáticas

Para las VMs que necesitan una dirección IP estable garantizada, crea una entrada DHCP estática que vincule una dirección MAC a una IP específica:

Método 1 — Convertir una concesión dinámica existente:

1. Desde el Panel de red, haz clic en Direcciones IP

2. Busca la entrada dinámica y haz doble clic en ella

3. Cambia Tipo a Estática

4. Haz clic en Enviar

Método 2 — Crear una nueva entrada estática:

1. Desde el Panel de red, haz clic en Nuevo en el menú izquierdo

2. Establece Tipo a Estática

3. Introduce la Dirección IP, la Dirección MAC, y un Nombre de host

4. Haz clic en Enviar

Las reservas DHCP estáticas se prefieren sobre configurar manualmente direcciones IP dentro del sistema operativo invitado. Mantienen el direccionamiento centralizado en la red VergeOS y garantizan que la VM siempre obtenga la IP correcta mediante la negociación DHCP estándar.

Diagnóstico DHCP

Si una VM no está recibiendo una dirección IP, usa el diagnóstico integrado:

1. Navega al panel de red → Diagnósticos

2. Selecciona Liberación/Renovación DHCP en el menú desplegable Consulta para forzar un ciclo de concesión

3. Usa Escaneo ARP para descubrir dispositivos activos en la red

4. Comprueba la Direcciones IP lista en el panel de red para verificar el estado de la concesión

DNS integrado

Cada red interna de Capa 3 proporciona servicios DNS a las VMs conectadas. VergeOS ofrece varios modos DNS, seleccionados durante la creación de la red:

Modo DNS	Descripción
Simple (predeterminado)	Ejecuta un servidor DNS de reenvío; si no se enumeran servidores de reenvío, se usa el DNS de la red de la puerta de enlace predeterminada
Bind	Ejecuta un servidor DNS BIND completo con alojamiento autoritativo de zonas, vistas DNS y capacidades de horizonte dividido
Otra red	Reenvía las solicitudes DNS a otra red VergeOS y crea automáticamente registros A para clientes DHCP
Deshabilitado	No se ejecuta ningún servidor DNS, pero la lista de servidores DNS sigue ofreciéndose a los clientes DHCP

DNS simple (predeterminado)

DNS simple es un resolvedor de reenvío: acepta consultas DNS de las VMs y las reenvía a servidores DNS ascendentes. Esto es suficiente para la mayoría de las cargas de trabajo que solo necesitan resolución de nombres de internet.

Puedes configurar una lista de servidores DNS en la red para definir resolvedores ascendentes específicos. Si no se proporciona una lista, la red usa los servidores DNS configurados en la red de la puerta de enlace predeterminada.

Las VMs configuradas con DHCP reciben automáticamente la configuración DNS de la red: no se necesita configuración DNS manual dentro del sistema operativo invitado.

DNS autoritativo con BIND

Para requisitos DNS avanzados — alojar tus propias zonas, configuraciones de horizonte dividido o servir como servidor de nombres autoritativo para un dominio — habilita el Bind modo. Esto proporciona:

• Vistas DNS — Controla cómo responde el servidor según la IP del cliente (por ejemplo, clientes internos frente a externos)

• Zonas DNS — Aloja registros autoritativos para uno o más dominios

• Gestión de registros — Compatibilidad total con registros A, AAAA, CNAME, MX, TXT, NS, SRV y otros tipos de registro

• Transferencias de zona — Configuraciones primaria/secundaria para la redundancia DNS

• DNS de horizonte dividido — Sirve diferentes direcciones IP a clientes internos y externos para el mismo nombre de host

Las vistas DNS se configuran en Redes → Vistas DNS → Nuevo, donde defines las reglas de coincidencia de clientes, los ajustes de recursión y las asociaciones de zonas. Las zonas se crean dentro de las vistas y los registros se administran por zona.

Diagnóstico DNS

Prueba la resolución DNS desde la interfaz de diagnóstico de la red:

1. Navega al panel de red → Diagnósticos

2. Selecciona Búsqueda DNS en el menú desplegable Consulta

3. Introduce un Host (URL) y selecciona un Tipo de consulta (A, AAAA, MX, etc.)

4. Opcionalmente especifica un Servidor DNS para sobrescribir el

5. Haz clic en Enviar — una búsqueda correcta devuelve la dirección IP resuelta

Enrutamiento entre redes mediante la DMZ

La red DMZ es donde se conectan todas las redes internas y externas, proporcionando el 100.64.0.0/16 espacio de direcciones compartido a través del cual fluye el tráfico entre redes. Bajo el capó, el vnet central es la estructura de enrutamiento entre vnets: actúa como la columna vertebral de enrutamiento de Capa 3, mientras que la DMZ proporciona el espacio de direcciones compartido a través del cual se enruta el tráfico entre redes.

Regla de puerta de enlace predeterminada

Para que una red interna pueda llegar a internet (o a cualquier red externa), necesita una regla de ruta de puerta de enlace predeterminada. Cuando seleccionas una red externa en el Puerta de enlace predeterminada campo durante la creación de la red, VergeOS crea automáticamente esta regla. Si omites ese paso, crea la regla manualmente:

1. Navega al panel de la red interna → Reglas

2. Haz clic en Nuevo en el menú izquierdo

3. Configura la regla:

   • Nombre: Puerta de enlace predeterminada

   • Acción: Enrutar

   • Dirección: Saliente

   • Tipo (Destino): Otra red IP de la DMZ

   • Red de destino: Selecciona tu red externa

4. Haz clic en Enviar, luego haz clic en Aplicar reglas desde el panel de red

Enrutamiento entre redes internas

Para permitir que dos redes internas se comuniquen directamente, necesitas reglas de ruta en ambas redes apuntándose entre sí a través de la DMZ:

En cada red, crea una regla de ruta estática:

• Acción: Enrutar

• Dirección: Saliente

• Protocolo: CUALQUIERA

• Origen: Dirección de mi red

• Destino: Otra dirección de red — selecciona la red interna de destino

• Destino: Otra red IP de la DMZ — selecciona la red interna de destino

Luego añade una regla de aceptación del firewall (Acción: Aceptar, Dirección: Entrante) en cada red para permitir el tráfico enrutado. Recuerda: las redes internas son seguras por defecto, por lo que sin una regla de aceptación explícita, el tráfico enrutado se descartará.

Redes de autoservicio para inquilinos

Un comportamiento clave de la red interna de VergeOS es el autoservicio del inquilino. Cuando se aprovisiona un inquilino (Centro de datos virtual):

• El inquilino recibe automáticamente su propio red DMZ como columna vertebral de enrutamiento

• Los administradores del inquilino pueden crear redes internas ilimitadas dentro de su entorno

• Cada red del inquilino está completamente aislada: los inquilinos no pueden ver ni acceder a las redes de otros inquilinos

• Los inquilinos administran su propio DHCP, DNS, reglas de firewall y enrutamiento sin requerir intervención a nivel de host

Esta arquitectura hace que VergeOS sea ideal para proveedores de servicios gestionados (MSP) y entornos empresariales multicliente donde cada unidad de negocio o cliente necesita una gestión autónoma de la red dentro de una infraestructura compartida.

Opciones de monitoreo de red

Las redes internas proporcionan varias funciones de monitoreo integradas:

Función	Descripción
Monitorear puerta de enlace	Ping continuo de la puerta de enlace con historial de disponibilidad, calidad y latencia en el panel
Rastrear estadísticas de todas las reglas	Rastrea el total de paquetes/bytes por regla para todas las reglas de la red
Rastrear estadísticas de la DMZ	Rastrea los paquetes/bytes que fluyen desde esta red a través de la DMZ
Rastrear/depurar reglas	Rastrea todo el tráfico a través del firewall con fines de diagnóstico
Limitación de tasa	Limita el enrutador de la red con una tasa, tipo (por ejemplo, MB/s) y margen de ráfaga configurables

¿Vienes de VMware o Nutanix?

En VergeOS, una red interna es un único objeto que agrupa segmento + enrutador + DHCP + DNS + firewall de denegación por defecto. La red DMZ es el único punto de enrutamiento L3 para el tráfico entre redes.

Prácticas recomendadas

Convenciones de nomenclatura

Usa nombres descriptivos y coherentes sin espacios (por ejemplo, web-tier, db-prod, dev-lab-01). Los nombres deben identificar el propósito y el entorno de un vistazo.

Planificación de CIDR

Planifica tus rangos de direcciones antes de la implementación. Usa CIDR únicos para cualquier red que vaya a estar enrutada con otra. Documenta tu esquema de asignación de IP para evitar solapamientos a medida que el entorno crece.

Estrategia de segmentación

Crea redes internas separadas para cada capa de aplicación o zona de seguridad (web, aplicación, base de datos). Usa reglas de firewall para controlar el tráfico entre capas: permite solo los puertos y protocolos que cada capa realmente necesite.

Usa reservas DHCP

Prefiere reservas DHCP estáticas en lugar de IP asignadas manualmente en el sistema operativo invitado. Esto mantiene la gestión de IP centralizada en VergeOS y garantiza que las VMs siempre reciban la dirección correcta a través de DHCP estándar.

Puntos clave

Concepto	Resumen
Segura por defecto	Las redes internas bloquean todo el tráfico hasta que las reglas lo permitan explícitamente: confianza cero por defecto
Capa 3 recomendada	El tipo de IP estática habilita DHCP, DNS, enrutamiento, firewall y limitación de tasa integrados
Modos DHCP	Dinámico (hash de MAC para IP pseudoestables) o Secuencial (asignación ordenada)
Modos DNS	Simple (reenvío), Bind (autoritativo con vistas/zonas), Otra red o Deshabilitado
Enrutamiento por DMZ	Todo el tráfico entre redes fluye a través de la DMZ; las reglas de ruta definen los caminos entre redes
Autoservicio del inquilino	Los inquilinos crean y administran sus propias redes internas de forma autónoma
Reservas estáticas	Vincula una dirección MAC a una IP específica para garantizar un direccionamiento estable

Siguientes pasos

Con las redes internas configuradas, el siguiente tema cubre cómo proteger y controlar el flujo de tráfico con reglas de firewall, NAT y VLANs: Reglas de firewall, NAT y VLANs →