¿Qué es QinQ?

QinQ permite transportar VLAN de un cliente dentro de otra etiqueta VLAN usada por el proveedor. También se conoce como apilamiento de etiquetas: la trama conserva su identificación interna y recibe una externa para cruzar una red de transporte. Es útil cuando varias organizaciones necesitan conservar sus propias redes sin coordinar entre ellas todos los números de VLAN.

Imagina dos empresas que utilizan la VLAN 10 para sus oficinas. Sus diseños pueden ser perfectamente válidos por separado, pero unirlos sin distinguir el origen produciría una confusión bastante concreta. QinQ añade un contexto exterior para separar esos tráficos, siempre que los equipos y la configuración del servicio lo soporten.

Dos etiquetas que responden a preguntas distintas

La etiqueta interior suele llamarse C-VLAN, por customer VLAN, y la exterior S-VLAN, por service VLAN. La primera identifica la red del cliente; la segunda permite al operador transportar ese tráfico dentro del servicio contratado. No son dos direcciones IP ni dos redes enrutadas: seguimos hablando del tratamiento de tramas Ethernet.

En un caso sencillo, el operador añade la S-VLAN cuando la trama entra desde el cliente y la retira al entregarla al otro extremo. La C-VLAN puede atravesar ese recorrido sin cambiar. Existen también traducciones de etiquetas y otras variantes, por lo que conviene confirmar el comportamiento contratado en vez de deducirlo únicamente de la palabra QinQ.

Como ejemplo ilustrativo, una empresa podría transportar sus VLAN 10 y 20 bajo la S-VLAN 200, mientras otra usa la S-VLAN 300 para sus propias VLAN. El número interior se interpreta dentro de su contexto exterior. Los valores son inventados para explicar el mecanismo, no una propuesta de configuración para un equipo concreto.

-InfraCrew dice: La VLAN 10 puede repetirse. Lo que no debería repetirse es la discusión sobre a qué cliente pertenece.-

El transporte no convierte la etiqueta en un cifrado

Un uso habitual es extender conectividad Ethernet entre sedes a través de una infraestructura compartida. El proveedor necesita distinguir los servicios sin apropiarse de todo el espacio de VLAN del cliente. El apilamiento facilita esa organización, pero no obliga a que cualquier switch acepte cualquier combinación de etiquetas.

QinQ está relacionado con las funciones de puente de proveedor recogidas en IEEE 802.1ad. En implementaciones concretas aparecen diferencias de plataforma, puertos y valores de identificación del tipo de etiqueta. La compatibilidad debe comprobarse en los dos extremos y en el transporte, especialmente si intervienen fabricantes distintos o equipos de generaciones diferentes.

La separación del tráfico tampoco equivale a confidencialidad criptográfica. Una etiqueta VLAN no cifra el contenido de una trama. Si el servicio requiere cifrado o controles de acceso adicionales, deben diseñarse por separado; presentar QinQ como una VPN cifrada llevaría a una conclusión de seguridad equivocada.

Cuatro bytes pequeños hasta que una trama deja de pasar

La etiqueta adicional ocupa cuatro bytes. Eso obliga a revisar la MTU, el tamaño máximo que admite cada tramo, teniendo en cuenta cómo lo expresa cada fabricante. No conviene copiar un número de otro manual: algunos límites describen el paquete IP y otros incluyen partes diferentes de la trama Ethernet.

Un síntoma posible es que una prueba pequeña funcione y una transferencia con tramas mayores falle. Comprobar únicamente que responde un ping no valida todos los tamaños. El diagnóstico debe observar contadores, descartes y tráfico representativo del servicio, además de identificar exactamente dónde se añade o retira la etiqueta.

También importan las tramas sin etiqueta, las VLAN permitidas y la forma de tratar las prioridades. El comportamiento en el borde forma parte del servicio, no es un detalle decorativo. Documentar qué llega al puerto del cliente y qué sale por el del operador evita que dos equipos técnicamente correctos estén esperando cosas diferentes.

-InfraCrew dice: Cuatro bytes parecen poca cosa hasta que son los únicos cuatro que no caben.-

Una entrega que pueda comprobarse desde ambos lados

Antes de activar el enlace, deja por escrito los identificadores internos y externos, los puertos implicados y el tratamiento de tráfico etiquetado y sin etiquetar. Cada responsabilidad necesita un extremo y un propietario claros. Ese registro permite distinguir un error de acceso, una traducción inesperada y una limitación del transporte.

Las pruebas deberían cubrir las VLAN previstas, tamaños de trama adecuados y separación entre clientes. Añade el comportamiento de los protocolos de control si el diseño necesita transportarlos: no debe suponerse que todo protocolo de capa 2 atraviesa el servicio igual. Algunas plataformas requieren funciones específicas para ese transporte.

Si se amplía una red entre sedes, revisa además qué dominio de fallos se está extendiendo y cómo se contendrá una incidencia de capa 2. Conservar las VLAN simplifica ciertas migraciones, pero no elimina sus dependencias operativas. La entrega está completa cuando ambos lados pueden explicar qué circula, qué se bloquea y qué ocurrirá al fallar el enlace.

-InfraCrew dice: «Transparente» es una buena propiedad del servicio. No del documento de entrega.-

Diccionario de la Crew

C-VLAN — Etiqueta VLAN del cliente que puede conservarse dentro del servicio QinQ.

S-VLAN — Etiqueta exterior empleada para identificar el servicio de transporte.

MTU — Tamaño máximo admitido en un enlace o interfaz; hay que comprobar qué elementos incluye la cifra indicada por el fabricante.