Direccionamiento IP estándar para redes de PYME

Introducción

Este es el esquema de direccionamiento IP que aplicamos por defecto en las instalaciones de red que configuramos habitualmente — desde una PYME de una sola ubicación hasta infraestructuras medianas o grandes con varias sedes. El objetivo es que cualquier instalación nueva siga el mismo patrón, lo que simplifica el mantenimiento, el soporte remoto y la documentación posterior.

1. Por qué 10.x.x.x y no 192.168.x.x

Los tres rangos de red privada (RFC 1918) disponibles son:

Este documento adopta 10.0.0.0/8 como estándar: rango enorme, estructurable por sede y por función, y prácticamente garantizado de no chocar nunca con ninguna red doméstica.

2. Esquema de direccionamiento multi-sede

Cada sede (oficina, planta, delegación, tienda, etc.) recibe un número de sede (dos dígitos, en incrementos de 10, dejando huecos para insertar sedes futuras) que ocupa el segundo octeto. El tercer octeto identifica la función/VLAN dentro de esa sede. El cuarto octeto es el host, con el mismo reparto por zona descrito en §3.

10 . <sede> . <función/VLAN> . <host>

Registro de sedes (plantilla)

Se mantiene un registro con el número de sede asignado a cada ubicación real de la empresa. Ejemplo ilustrativo de cómo queda una vez varias sedes están dadas de alta:

Al dar de alta una sede nueva, se le asigna el siguiente número de sede libre en incrementos de 10. Una oficina central o un CPD con topología más compleja (varias VLANs de rack, DMZ, etc.) puede recibir su propio número de sede y planificarse aparte, con más detalle del que cubre este documento general.

Bloques por función dentro de cada sede (tercer octeto)

3. Plan de direccionamiento (LAN principal, 10.<sede>.1.0/24)

Toda la asignación fija (IPs estáticas o reservas DHCP en el router) se concentra entre .2 y .110. El resto del rango por debajo de .200 queda como margen de crecimiento, y a partir de .200 se entrega por DHCP al equipamiento móvil o no crítico. Las zonas concretas se adaptan al tipo de instalación; el ejemplo siguiente es el reparto habitual en una oficina o instalación con recepción y puestos operativos:

Las zonas son genéricas — cada sector las llama a su manera

Las categorías de la tabla anterior son puestos de red, no conceptos de un sector concreto. En cada instalación se traducen al vocabulario propio del negocio. Dos ejemplos, uno del sector salud y otro de un despacho profesional:

La plantilla de §11 usa siempre la etiqueta genérica; al rellenarla para una instalación concreta, se sustituye por el nombre real que use ese negocio (por ejemplo, "Puestos operativos" pasa a llamarse "Box 1-6" en la ficha de una clínica).

4. DNS

El orden recomendado por defecto es:

1. 1.1.1.1 (Cloudflare)
2. 8.8.8.8 (Google)
3. 4.4.4.4

En algunas instalaciones se añade la IP del router (10.<sede>.1.1) como primer DNS, para resolver nombres locales o usar el DNS interno del router. La decisión se toma por instalación:

• Solo router (10.<sede>.1.1) → cuando interesa centralizar la resolución local.
• Solo públicos (1.1.1.1, 8.8.8.8, 4.4.4.4) → instalación más simple.
• Router primero + públicos detrás → opción intermedia, la más habitual.

5. DHCP

6. VLANs

La red principal (10.<sede>.1.0/24) sigue siendo plana por defecto. Lo que aporta este esquema es que ya hay bloques reservados (§2) para introducir VLANs de voz y de cámaras/IoT sin tener que replanificar el direccionamiento cuando llegue el momento — algo habitual en instalaciones con telefonía IP y videovigilancia, que a menudo comparten red plana con el resto de equipos por simplicidad inicial, pero se benefician de quedar aisladas cuando el volumen de equipamiento lo justifique.

Se introducen VLANs activamente cuando la instalación lo requiere expresamente, cuando el tamaño o la normativa aplicable lo justifican, o como mejora de seguridad al revisar una instalación existente; en ese caso, se documenta aparte por sede.

7. Wi-Fi

Dos SSID estándar:

Los puntos de acceso (los propios APs, no los clientes que se conectan) siguen el rango fijo 10.<sede>.1.101 – 10.<sede>.1.110 para administración, dentro de la LAN principal.

8. VPN de acceso remoto (road-warrior)

Cuando una sede tiene personal que necesita conectarse desde fuera, la tecnología habitual es WireGuard u OpenVPN — las dos opciones estándar que se usan indistintamente según lo que ya tenga montado cada instalación o las preferencias del cliente. La regla de direccionamiento es la misma con cualquiera de las dos:

Sea cual sea la tecnología elegida, los clientes reciben IP del bloque 10.<sede>.9.0/24 reservado para ello — nunca de la LAN principal. Al ser un rango 10.x.x.x, no hay riesgo de que choque con la red doméstica de quien se conecta, que es justo el problema que tiene el esquema antiguo con 192.168.1.0/24 (ver §1).

Si dos sedes están unidas entre sí por un túnel site-to-site (ver §2, nota de tránsito en 172.16.0.0/12), y se quiere que el acceso remoto de una dé visibilidad también de la otra, hay que ampliar tanto las rutas como el allowed-address del peer del túnel (WireGuard) o las rutas equivalentes (OpenVPN) en ambos extremos para incluir también el bloque .9.0/24 de la otra sede — se documenta aparte, caso por caso.

9. Hardware de red

• Router: preferentemente MikroTik (RouterOS). Se aprovecha para DHCP, reservas por MAC, firewall, VPN y, opcionalmente, DNS local.
• Switches: gestionables si es posible; se vuelven necesarios en cuanto se activa alguna VLAN de las reservadas en §2.
• APs: MikroTik u otros compatibles con doble SSID y aislamiento de invitados.

10. Checklist al instalar una sede nueva

• Asignar el siguiente número de sede libre (incrementos de 10) y anotarlo en el registro de sedes (§2).
• Configurar el router con 10.<sede>.1.1 y limitar el DHCP al rango .200–.254.
• Crear reservas DHCP por MAC para servidores, recepción, puestos operativos, despachos, equipamiento especializado, impresoras y APs según el plan.
• Configurar el DNS según el criterio elegido (§4) y dejarlo anotado.
• Crear la SSID privada y la de invitados, con aislamiento en la de invitados.
• Dejar reservados (aunque no se usen todavía) los bloques de voz, cámaras/IoT y VPN road-warrior (§2).
• Anotar en la ficha de la sede cualquier desviación respecto a este estándar (VLANs activas ya desde el inicio, IPs reservadas adicionales, etc.).

11. Plantilla por sede

Plantilla para rellenar en el momento de la instalación:

Empresa / Sede:
Nº de sede:              10 / 20 / 30 ...
Fecha de instalación:
Red principal:           10.____.1.0/24
Router:                  10.____.1.1   (modelo: ____________)
Servidores/NAS:          10.____.1.____  ->  ____________
Recepción/atención:      10.____.1.____  ->  ____________
Puestos operativos:      10.____.1.____  ->  ____________
Despachos/salas:         10.____.1.____  ->  ____________
Equipo especializado:    10.____.1.____  ->  ____________
Impresoras:              10.____.1.____  ->  ____________
APs Wi-Fi:               10.____.1.____  ->  ____________
DHCP:                    10.____.1.200 - 10.____.1.254
DNS:                     __________________________________
SSID privada:            __________________________________
SSID invitados:          __________________________________
VLAN voz (reservada):    10.____.2.0/24     - activa: No / Sí
VLAN cámaras (reservada):10.____.3.0/24     - activa: No / Sí
VPN road-warrior:        10.____.9.0/24     - activa: No / Sí
Observaciones: