Red de campus gubernamental: donde la separación y la admisión son reglas, no opciones
Un recinto oficial parece un campus de oficinas cualquiera hasta que se leen las normas que debe cumplir. El plano interno de gestión y el plano externo de cara al público deben estar físicamente separados: cableado aparte, switches aparte, armarios aparte. Cada puerto tiene que saber quién se ha conectado. Cada sesión debe registrarse el tiempo suficiente para sobrevivir a una inspección. Diseñamos estas redes primero en torno a esas normas y después en torno al Wi-Fi, dimensionadas honestamente para una oficina municipal, un organismo comarcal o un recinto de ciudad — y le decimos desde el principio lo que cuesta la regla de los dos planos, porque fingir que es gratis es como estos proyectos se quedan sin dinero.
Por qué esto no es solo un campus de oficinas
Cuatro problemas que encontramos en casi todos los recintos oficiales que nos llaman:
Los dos planos deben estar físicamente separadosLa norma no es «póngalos en VLAN distintas». La gestión interna y los servicios al público necesitan su propio cableado, sus propios switches y sus propios armarios, y alguien vendrá a comprobarlo. La mitad de las reformas que vemos fracasaron porque el diseño original trató esto como un problema de VLAN.
Visitantes y personal comparten una red planaHay una contraseña de Wi-Fi en una tarjeta en recepción, y llega a los mismos switches que usa el registro. Nadie se propuso hacerlo: creció, un punto de acceso cada vez, y ahora nadie se atreve a cambiarlo porque no sabe qué se rompería.
El vídeo de las salas de reunión se corta en el peor momentoEmpieza la sesión con la provincia y la imagen se pixela. No hay nada roto: la red simplemente no sabe que ese flujo importa más que la sincronización de archivos de cuarenta equipos de la misma planta.
Ningún registro de quién estuvo en la redUna inspección pregunta qué dispositivo usó qué dirección el pasado marzo, y la respuesta es encogerse de hombros. Sin control de admisión ni registros conservados, la pregunta no tiene respuesta posible, y «no lo sabemos» es el peor hallazgo imaginable.
Arquitectura: dos planos físicos + control de admisión + un Wi-Fi que sabe en qué plano está
En qué se diferencia un recinto oficial de un campus empresarial corriente, y adónde va el dinero extra:
Arquitectura dibujada por AtlasCommTech siguiendo prácticas de diseño de nivel operador. Las etiquetas del diagrama se mantienen en inglés para mayor claridad técnica.
Por qué nosotros: nuestro fundador pasó 13 años dentro del ecosistema de socios de Huawei entregando redes de operador. El diseño por capas es el mismo que usamos en cualquier campus; lo que cambia aquí es que la separación y los registros de admisión son requisitos por los que le auditarán, así que se diseñan desde el primer día en lugar de añadirse justo antes de la inspección.
Opciones de equipamiento
La solución se dimensiona primero según sus requisitos y presupuesto: la misma arquitectura puede entregarse sobre las líneas de varios fabricantes. Le ayudamos a elegir según la disponibilidad de suministro en su país de destino, el presupuesto y los hábitos de operación de su equipo.
Huawei — líneas de campus empresarial, WAN y seguridadEcosistema maduro con una red de servicio global.
ZTE y Wantong — líneas datacom comparablesOrientación precio-rendimiento; el suministro fluye mejor en algunos mercados.
H3C — líneas de campus y centro de datosPortafolio de campus y centro de datos ampliamente desplegado.
Switches industriales Atlas — capa de acceso en escenarios industrialesNuestra propia línea industrial — compatible con la capa núcleo de cualquier marca.
Qué aporta el diseño
Seis cosas que una red de campus gubernamental debe hacer y que a una red de oficina corriente nunca se le piden:
Dos planos, construidos como dos redesLa gestión interna y los servicios al público tienen su propio cableado, switches y armarios. No hay cable, ni VLAN, ni ruta entre ellos: es la única versión de esta norma que sobrevive a una inspección.
Cada puerto sabe quién se conectó802.1X en los puertos del personal, una lista blanca para impresoras y codecs de sala que no pueden autenticarse, y un portal para visitantes. Un dispositivo desconocido no obtiene nada: ni una VLAN de invitados, nada.
Vídeo de reunión que aguantaLas salas de reunión tienen su propio segmento de acceso y una clase de prioridad en cada enlace ascendente, de modo que una sesión con la provincia no compite con una sincronización de archivos de la misma planta.
Un Wi-Fi que sabe a qué plano sirveLos SSID de personal y visitantes viven en el plano externo, autenticados por separado y con límite de velocidad cada uno. El plano interno es solo cableado, salvo que sus propias normas permitan explícitamente lo contrario, y pedimos ver esa norma por escrito antes de diseñarla.
Un rastro de auditoría que responde a la preguntaRegistros de admisión, registros de sesión del cortafuegos e historial de cambios de configuración, conservados durante el periodo que fije su propia normativa. Cuando una inspección pregunta quién usó qué y cuándo, la respuesta es una consulta, no un proyecto de arqueología.
Un diseño que un equipo pequeño puede operar de verdadDos planos significan el doble de cajas, así que ambos se gestionan desde una sola plataforma, con las mismas convenciones, la misma nomenclatura y las mismas copias. Un cumplimiento que solo entiende una persona no es cumplimiento: es una carta de renuncia esperando a ocurrir.
Tres tamaños, una sola lógica de diseño
Díganos cuántos edificios, cuánto personal y qué normas le aplican: el nivel le dice la forma de la red:
Cifras en torno a las que diseñamos:
Dos planos físicos significan aproximadamente dos capas de acceso: cuente el cableado y los armarios dos veces desde el primer borrador de presupuesto
Cada puerto de acceso es un punto de admisión: 802.1X para el personal, lista blanca para impresoras y codecs, portal para visitantes
La retención de registros la fija su normativa, no nosotros: díganos el periodo y dimensionamos el almacenamiento para él
| Nivel de escala | Sitio típico | Qué incluye el diseño |
|---|---|---|
| Oficina municipal | Un edificio pequeño · unas decenas de empleados · una ventanilla de atención | Dos pilas pequeñas, una por plano, en dos armarios. Plano interno solo cableado; plano externo con la ventanilla, el Wi-Fi de visitantes e internet a través de un cortafuegos. Admisión por lista blanca de puertos en lugar de un despliegue completo de 802.1X: a este tamaño, la plataforma de identidad cuesta más de operar de lo que ahorra, y se lo diremos. |
| Organismo comarcal | Un edificio principal más anexos · varios departamentos · salas usadas para sesiones con la provincia | Un par de núcleo por plano, acceso por planta en cada plano, 802.1X en los puertos del personal con lista blanca para impresoras y codecs, portal de visitantes en el plano externo, un segmento de conferencias con clase de prioridad de extremo a extremo, cortafuegos con registro de sesiones en el borde externo y una plataforma de gestión que cubre ambos planos. |
| Recinto municipal | Varios edificios en un recinto · muchos departamentos · un salón de atención al público · enlaces a la red de transporte | Par de núcleo más agregación por edificio en cada plano, 802.1X en todo el recinto con una fuente de identidad real, zonificación por departamento dentro del plano interno, un salón de atención en el plano externo con su propio segmento y límites de velocidad, prioridad de conferencias en todo el recinto, cortafuegos duplicados en el borde externo, retención de auditoría completa y una migración que convierte un edificio cada vez, nunca el recinto en un fin de semana. |
Roles de los equipos (categorías, no modelos)
La solución se construye con estas categorías de equipos; la marca se elige con usted en la fase de diseño. Los modelos exactos dependen del número de puertos, el presupuesto PoE, el número de edificios y el país, así que especificamos modelos después de su lista de requisitos, no antes.
| Rol | Qué hace |
|---|---|
| Par de switches núcleo (por plano) | Dos chasis funcionando como un solo switch lógico, enrutando entre departamentos dentro de su propio plano. Dos planos significan dos pares: es la partida que sorprende a los presupuestos escritos para un campus de oficinas corriente. |
| Switches de acceso PoE (por plano) | Conectan y alimentan PCs de escritorio, impresoras, codecs de sala, cámaras y puntos de acceso. Se dimensionan por número de puertos más vatios PoE totales, con margen, y se cuentan dos veces, porque cada plano tiene su propia capa de acceso. |
| Puntos de acceso WLAN (plano externo) | Cobertura para los SSID de personal y visitantes en oficinas, pasillos y el salón de atención, con función de controlador para itinerancia y planificación radio. A qué plano sirve el Wi-Fi es una decisión de política que le pedimos por escrito antes de planificar la radio. |
| Cortafuegos (borde externo) | Protegen el borde de internet del plano externo con prevención de intrusiones y, no menos importante, producen los registros de sesión que su auditoría pedirá. Estándar a partir del nivel comarcal y desplegados por pares en el nivel municipal. |
| Plataforma de admisión / identidad | Decide qué ocurre cuando algo se conecta: autenticar el equipo del personal, cotejar la impresora con la lista blanca, enviar al visitante al portal y escribir un registro por cada uno. Es la caja que convierte «no lo sabemos» en una respuesta. |
| Plataforma de gestión (ambos planos) | Topología, alarmas, copia de configuración e historial de cambios para ambos planos, con las mismas convenciones en cada uno. Dos redes gestionadas por un equipo pequeño solo funcionan si se ven iguales en la pantalla. |
Envíenos sus planos de planta, su lista de departamentos, sus recuentos de dispositivos y las normas de separación y retención que le obligan, y la lista de modelos vendrá después. Ese orden mantiene honesto el diseño.
Notas de diseño y límites honestos
Léalo antes de comprometerse:
- La regla de los dos planos no es gratis, y no vamos a fingir que lo sea. Duplica aproximadamente la capa de acceso: cableado, switches, armarios, puertos, repuestos y horas de operación. Todos los proyectos de campus gubernamental sin dinero a los que nos han llamado se quedaron sin dinero exactamente aquí, porque el primer presupuesto se escribió como si fuera un campus de oficinas corriente.
- Construimos según sus normas; no las interpretamos. Los requisitos de separación, los de admisión y los periodos de retención difieren según el país, el nivel de gobierno y la clasificación de lo que manejan. Envíenos el texto normativo que le obliga. Si no está seguro de qué normas aplican, esa pregunta corresponde a su propia oficina jurídica o de seguridad antes que a nosotros.
- El control de admisión falla con los dispositivos que nadie inventarió. Impresoras viejas, codecs de sala, controladores de puertas y sistemas del edificio a menudo no pueden autenticarse en absoluto, y activar 802.1X sin inventariarlos primero es como se deja fuera al propio personal un lunes por la mañana. Inventariamos antes de aplicar, y ese inventario lleva tiempo real.
- La política de licencias y la disponibilidad de producto difieren según la marca y el país de destino. Las funciones de admisión e identidad, en particular, suelen licenciarse por dispositivo o por usuario, y una licencia incluida en un mercado es un añadido en otro. Comprobamos y confirmamos ambas cosas para su país en la fase de diseño, antes de que se comprometa a nada.
- Si ninguna de estas normas le aplica, no compre este diseño. Un organismo sin requisito de separación ni obligación de auditoría es un campus de oficinas corriente, y una red de campus corriente le servirá mejor y más barato. Preferimos remitirle a esa página que venderle dos planos que no necesita.
Preguntas frecuentes
¿En qué se diferencia de su solución de campus empresarial?
La disciplina por capas es idéntica; los requisitos no. En un campus empresarial, la separación de red y el control de admisión son opciones que se eligen si el presupuesto lo permite: un extra que mejora la seguridad. En un recinto oficial son normas por las que le auditan: los planos interno y externo deben estar físicamente separados, cada puerto debe tener una identidad detrás y los registros deben durar lo suficiente para ser inspeccionados. Esa diferencia cambia el recuento de equipos, el cableado, el presupuesto y el calendario. Si no tiene requisito de separación ni obligación de auditoría, la página de campus empresarial describe una red mejor y más barata para usted.
¿No podemos usar VLAN en lugar de dos redes físicas?
Técnicamente las VLAN aíslan el tráfico muy bien, y para una empresa suele ser la respuesta correcta. Aquí la pregunta no es si funciona, sino qué dice su norma. Si su reglamento exige separación física, un diseño con VLAN será declarado no conforme por bien construido que esté, y pagará dos veces: una por el diseño con VLAN y otra por la reconstrucción. Envíenos el texto normativo. Si permite separación lógica lo diseñaremos así y le ahorraremos la segunda capa de acceso; si no, no construiremos una en silencio esperando que nadie abra el armario.
¿Puede el personal acceder a los sistemas internos por Wi-Fi?
Esa es una cuestión de política, no técnica, y no la responderemos por usted. Técnicamente sí: un SSID de personal autenticado puede colocarse en el plano interno. Si sus normas permiten que el plano interno tenga radio alguna es algo que le pedimos confirmar por escrito antes de planificar la cobertura. Muchos gobiernos dicen que no, algunos dicen que sí con autenticación por certificado y cifrado de enlace, y unos pocos dicen que sí para unos departamentos y no para otros. Diseñamos según la respuesta que nos dé, pero la necesitamos antes del plan de radio, no después de tener los puntos de acceso en el techo.
¿Se puede reconstruir un recinto en funcionamiento sin parar el trabajo?
Sí, edificio por edificio, y es la única forma en que lo planificaremos. Los nuevos planos se construyen junto a la red existente, se conmuta un edificio o una planta en una ventana acordada, funciona y se valida, y solo entonces sigue el siguiente. La ventanilla y las salas de reunión suelen conmutarse las últimas, porque son las dos cosas cuya parada se nota en minutos.
¿Qué debemos darle antes de que puedan diseñar algo?
Cuatro cosas: planos de planta con la ubicación de los armarios, una lista de departamentos con su personal, un inventario de los dispositivos que necesitarán red —incluidas las impresoras y los controladores de puertas que todos olvidan— y el texto de las normas de separación, admisión y retención que le obligan. Lo último es lo que más importa. Sin ello estaríamos adivinando el requisito que gobierna todo el presupuesto, y adivinar ahí no es diseñar: es apostar con su dinero.
Envíenos sus planos de planta y las normas que le obligan
Un ingeniero responde con un diseño de dos planos, un plan de admisión y la lista de categorías de equipos. Envíe su lista de requisitos: la lista de modelos vendrá después.
Soluciones relacionadas
Red de transporte IP gubernamentalA qué se conecta este recinto: un anillo núcleo que transporta cada organismo como una VPN aislada, en lugar de una línea alquilada por oficina.
Red de fabricación inteligente (IT-OT)La misma lógica de separación en una fábrica: un anillo OT para la línea de producción, un lado IT para las oficinas y una frontera con políticas entre ambos.
Red de campus empresarialLa versión sin las normas de cumplimiento: si la separación y la auditoría no son requisitos para usted, este es el diseño mejor y más barato.