La capa de red: plano de datos

La capa de red transporta datagramas entre sistemas terminales a través de un trayecto de encaminadores. El sistema terminal emisor introduce un segmento de transporte dentro de un datagrama. Cada encaminador lee la cabecera de la capa de red y reenvía el datagrama hacia su destino. En el sistema terminal receptor, la capa de red entrega el segmento a TCP, UDP u otro protocolo de una capa superior.

Una decisión local y un plan para toda la red

El reenvío traslada un paquete entrante de un enlace de entrada a uno de salida en un encaminador. También puede descartar un paquete o enviar copias a varios enlaces. La decisión se toma para cada paquete, normalmente mediante hardware en una escala de nanosegundos.

El encaminamiento determina trayectos a través de la red. El software de encaminamiento intercambia información y calcula rutas, normalmente en escalas de tiempo mucho mayores, como segundos. Planificar un viaje por carretera se parece al encaminamiento; tomar la salida elegida en un cruce se parece al reenvío. El encaminador no vuelve a ejecutar su algoritmo de encaminamiento para cada paquete entrante.

Supón que una entrada de reenvío asigna 10.20.0.0/16 a la interfaz 2. Cuando llega un datagrama destinado a 10.20.7.1, la búsqueda selecciona la interfaz 2. La operación por paquete aplica una decisión existente. Un fallo de enlace puede hacer que más adelante el proceso de encaminamiento sustituya la entrada.

Los dos planos y sus tablas

El plano de datos realiza estas operaciones locales con paquetes. El plano de control decide las rutas y proporciona las tablas. Cada encaminador tradicional ejecuta un componente de encaminamiento, intercambia mensajes de encaminamiento y calcula sus propias tablas. En las redes definidas por software, un controlador lógicamente centralizado instala entradas de forma remota; los conmutadores siguen gestionando los paquetes localmente.

La base de información de encaminamiento (RIB) almacena las rutas aprendidas por el plano de control. La base de información de reenvío (FIB) es la estructura de búsqueda derivada de esas rutas para el plano de datos. Los comandos a veces llaman «tabla de encaminamiento» a cualquiera de las dos estructuras, por lo que su función importa más que el nombre informal.

Un encaminador es un tipo de conmutador de paquetes, un dispositivo que traslada paquetes según los campos de la cabecera. Un conmutador de la capa de enlace normalmente selecciona según una dirección MAC de destino. Un encaminador normalmente selecciona según una dirección IP de destino. El procesamiento de la capa de red existe tanto en los sistemas terminales como en los encaminadores; la comunicación de aplicación y transporte se produce entre los sistemas terminales.

Qué promete IP

El modelo de servicio de una red establece sus garantías de entrega. Entre las posibles garantías están la entrega dentro de un plazo, la llegada en orden, un ancho de banda mínimo o la entrega fiable. IP en internet ofrece un servicio de mejor esfuerzo: no proporciona ninguna de esas garantías ni una garantía de seguridad integrada. Un datagrama puede perderse, retrasarse, duplicarse o llegar fuera de orden. IP no lo retransmite.

IP también funciona sin conexión. Cada datagrama lleva la información utilizada para reenviarlo; la capa de red no establece primero una conexión de extremo a extremo. Los paquetes de una misma conversación pueden seguir trayectos diferentes.

Las aplicaciones útiles siguen funcionando porque otras partes del sistema proporcionan lo que necesitan. TCP detecta las pérdidas y restablece el orden de los bytes en los extremos. El control de congestión ajusta las tasas de envío, los operadores añaden capacidad y los servidores de contenidos cercanos acortan los trayectos. Por tanto, una transferencia TCP satisfactoria no significa que IP haya garantizado la entrega.

El trayecto de datos de un encaminador tiene un lado de entrada, una conexión interna y un lado de salida. Su software de control proporciona la información que aplican esos componentes.

Las cuatro partes

Un puerto de entrada recibe bits, elimina el entramado de la capa de enlace entrante y busca el puerto de salida. La matriz de conmutación transfiere el paquete internamente. Un puerto de salida almacena los paquetes en un búfer, construye la trama saliente y la transmite. El procesador de encaminamiento ejecuta software del plano de control y de gestión, o se comunica con un controlador SDN. Las funciones de entrada y salida de un enlace bidireccional suelen compartir una tarjeta de línea.

A 10 Gb/s, un paquete de 64 bytes contiene 512 bits y ocupa 51,2 ns, lo que supone unos 19,5 millones de paquetes entrantes por segundo. A 100 Gb/s, el intervalo correspondiente es de 5,12 ns. Estos cálculos, que solo tienen en cuenta el paquete, explican la necesidad de búsquedas mediante hardware. Una copia de la tabla de reenvío en cada tarjeta de línea permite a los puertos trabajar sin consultar a un procesador central para cada paquete.

Coincidencia de prefijo más largo

Una tabla IP agrupa los destinos en prefijos. Un destino puede coincidir con varias entradas; la coincidencia de prefijo más largo selecciona la entrada coincidente con la mayor longitud de prefijo.

10.20.30.77 coincide con las cuatro entradas, así que /24 selecciona la interfaz 2. Para 10.20.31.5, gana /16 y selecciona la interfaz 1. Para 10.99.1.1, /8 selecciona la interfaz 0. Solo la ruta predeterminada /0 coincide con 172.16.0.1, por lo que se obtiene la interfaz 3. El orden de la tabla no decide el resultado.

Los prefijos pueden terminar dentro de un octeto. 192.168.8.0/21 abarca los valores del tercer octeto de 8 a 15; 192.168.12.0/22 abarca de 12 a 15. Así, 192.168.12.9 usa /22, mientras que 192.168.9.200 usa /21. Compara los bits del prefijo, no el número de grupos coincidentes separados por puntos. El solapamiento permite combinar una amplia ruta agregada con una excepción de prefijo más específico.

Una memoria direccionable por contenido ternaria (TCAM) compara entradas en paralelo, incluidos los bits comodín, y puede devolver una coincidencia en aproximadamente un ciclo de reloj dentro de su capacidad de hardware. El procesamiento de entrada también comprueba la versión IP, la suma de comprobación IPv4 y el TTL, actualiza el TTL y la suma de comprobación, y registra contadores.

Tres formas de trasladar el paquete

La conmutación mediante memoria copia un paquete en la memoria compartida y después lo extrae. Cada paquete consume dos transferencias de memoria, por lo que un sistema de memoria que admite B transferencias por segundo tiene un límite de B/2 paquetes por segundo antes de considerar otros costes.

La conmutación mediante bus envía el paquete por un bus compartido con una etiqueta de salida. Cruza un paquete cada vez; el ancho de banda del bus limita el rendimiento agregado.

Una red de interconexión, como una matriz de barras cruzadas, puede trasladar paquetes a diferentes salidas simultáneamente. Una matriz de barras cruzadas para N entradas y N salidas utiliza 2N buses. Dos paquetes que compiten por la misma salida siguen necesitando un arbitraje. Los encaminadores grandes combinan etapas, celdas de tamaño fijo y planos de conmutación paralelos; una tasa de la matriz de N veces la tasa del enlace es la capacidad agregada ideal para N entradas.

Una decisión de reenvío correcta no garantiza una transmisión inmediata. Un paquete puede esperar a la matriz de conmutación o a su enlace de salida, y los búferes de capacidad limitada pueden quedarse sin espacio.

Dónde se forma la cola

La formación de colas de entrada ocurre cuando la matriz no puede aceptar paquetes tan rápido como los suministran las entradas. Con una cola FIFO por entrada, el bloqueo de cabecera de cola (HOL) atrapa un paquete detrás de otro anterior que espera una salida ocupada, aunque la salida del paquete posterior esté libre. Para conmutadores grandes con tráfico aleatorio uniforme, esta organización tiene un límite de rendimiento cercano al 58,6 % de la tasa del enlace. Las colas de salida virtuales separadas en cada entrada eliminan este bloqueo concreto.

La formación de colas de salida ocurre cuando los paquetes que llegan a una salida superan la tasa de su enlace. Si tres paquetes iguales llegan a una salida durante el tiempo de transmisión de un paquete, uno puede salir y dos esperan. Una matriz rápida no aumenta la velocidad del enlace de salida.

¿Cuánto búfer?

La regla clásica de dimensionamiento es $B=\text{RTT}\times C$, con el RTT en segundos y la capacidad C en bits por segundo. Un RTT de 250 ms y un enlace de 10 Gb/s dan 2,5 Gb, o 312,5 MB. Con N flujos TCP de larga duración y no sincronizados, la regla alternativa $B=\frac{\text{RTT}\times C}{\sqrt{N}}$ da 25 Mb, o 3,125 MB, para 10 000 flujos. Son reglas de dimensionamiento para distintas condiciones de tráfico, no garantías intercambiables para cualquier cola.

Los búferes grandes pueden causar latencia excesiva por acumulación en búferes. Casi 1 MB en cola delante de un paquete admitido en un enlace de 10 Mb/s tarda unos 0,8 s en salir: convierte los bytes a 8 000 000 de bits y después divide por la tasa. Con descarte en cola llena, un paquete nuevo que llega a un búfer completamente lleno se descarta.

El descarte es distinto de la planificación

La gestión del búfer decide qué paquetes descartar o marcar. El descarte en cola llena rechaza los paquetes nuevos que llegan a un búfer lleno. El descarte basado en prioridades elimina primero el tráfico de menor prioridad. La gestión activa de colas actúa antes: RED aumenta su probabilidad de descarte o marcado a medida que crece la longitud media de la cola. Con ECN, un encaminador puede marcar la congestión en un paquete IP apto, lo que permite a los extremos reducir la carga sin que se pierda ese paquete.

La planificación elige el siguiente paquete que se transmitirá:

• FIFO atiende los paquetes en orden de llegada.
• La prioridad estricta atiende la clase no vacía de mayor prioridad, normalmente en orden FIFO dentro de cada clase. Un planificador sin desalojo termina el paquete que ya está transmitiendo. Si el paquete 1 de baja prioridad está en transmisión cuando llegan el 2 de alta, el 3 de baja y el 4 de alta, el orden de salida es 1, 2, 4, 3.
• Los turnos cíclicos dan a cada clase no vacía un turno de paquete y omiten las colas vacías. Si A contiene a1, a2, a3 y B contiene b1, el orden de salida es a1, b1, a2, a3. Un planificador conservador de trabajo sigue transmitiendo siempre que haya algún paquete esperando.
• La gestión equitativa ponderada de colas (WFQ) tiene en cuenta la longitud de los paquetes para aproximarse a una atención ponderada bit a bit. Una clase con paquetes continuamente en cola recibe aproximadamente su peso dividido entre la suma de los pesos activos, multiplicado por la tasa del enlace. Los pesos 5:3:2 en 100 Mb/s dan 50, 30 y 20 Mb/s cuando todas las clases tienen tráfico. Si la tercera se vacía, las demás reciben 62,5 y 37,5 Mb/s. Los pesos proporcionan cuotas, no límites máximos fijos; contar solo los turnos de paquetes produce repartos de ancho de banda diferentes cuando los tamaños de los paquetes varían.

Estos mecanismos permiten a los operadores dar prioridad al tráfico, ralentizarlo o bloquearlo. La cuestión de política pública de si los proveedores pueden tratar de forma diferente los contenidos o las aplicaciones legales se denomina neutralidad de la red. Sus normas legales dependen del país y de la fecha.

Un datagrama IPv4 consta de una cabecera seguida de una carga útil, normalmente un segmento de transporte. La cabecera habitual tiene 20 bytes; las opciones pueden ampliarla hasta 60. Longitud total es un recuento de bytes de 16 bits, que permite hasta 65 535 bytes. Ethernet suele transportar paquetes IP de hasta 1500 bytes.

Lee los campos en su orden de transmisión

Las opciones siguen a estos campos cuando IHL supera 5. Como cada palabra IHL tiene cuatro bytes, IHL 5 significa 20 bytes e IHL 15 significa 60. Resta este tamaño de cabecera de Longitud total para obtener el tamaño de la carga útil.

DSCP permite clasificar el tráfico y ECN transporta información de congestión. Cada encaminador reduce el TTL al menos en 1. Cuando vence, descarta el datagrama y normalmente envía un mensaje ICMP de tiempo excedido. El TTL suele comenzar en 64, 128 o 255. Protocolo identifica TCP (6), UDP (17), ICMP (1) o IPv6 encapsulado (41); no identifica un puerto de aplicación.

Interpreta una cabecera completa

Considera estos bytes hexadecimales:

45 00 00 34 1C 46 40 00 40 06 32 2C C0 00 02 0A C6 33 64 14

45 indica la versión 4 e IHL 5. La longitud total 0034 es de 52 bytes, lo que deja 32 bytes de carga útil. La identificación 1C46 es 7238. La palabra de indicadores y desplazamiento 4000 activa DF, desactiva MF y da un desplazamiento de 0. El TTL 40 es 64, Protocolo 06 significa TCP y la suma de comprobación es 322C. Los bytes de origen corresponden a 192.0.2.10 y los de destino a 198.51.100.20.

Calcula la suma de comprobación de la cabecera

Pon a cero el campo de suma de comprobación y suma las palabras de 16 bits mediante aritmética de complemento a uno. Incorpora cada acarreo que supere el bit 16 al extremo inferior y después invierte los bits.

Para esta cabecera, las palabras son 4500 0034 1C46 4000 4006 0000 C000 020A C633 6414. Su suma ordinaria es 0x2CDD1. Al incorporar el acarreo se obtiene 0xCDD1 + 0x0002 = 0xCDD3; la inversión da 0x322C. La verificación incluye la suma de comprobación almacenada y produce 0xFFFF cuando no se detecta ningún error. Reducir el TTL de 64 a 63 cambia 4006 a 3F06, por lo que la suma de comprobación actualizada es 0x332C.

La suma de comprobación protege solo la cabecera IP. TCP comprueba por separado su segmento y una pseudocabecera de direcciones IP de extremo a extremo. La suma de comprobación de UDP es opcional sobre IPv4; cero significa que se omitió. Con cabeceras IP y TCP de 20 bytes, un datagrama de 1500 bytes transporta 1460 bytes de aplicación, por lo que la sobrecarga combinada de las cabeceras es de aproximadamente el 2,7 %.

El reenvío normal conserva las direcciones IP de origen y destino mientras sustituye las direcciones de la capa de enlace en cada enlace. NAT es una excepción que reescribe las direcciones IP. Las opciones IPv4, como el registro de la ruta, hacen que la cabecera sea variable y suelen requerir un procesamiento más lento.

La unidad máxima de transmisión (MTU) de un enlace limita el tamaño del datagrama IP que puede transportar. Cuando un paquete IPv4 es demasiado grande para el siguiente enlace, un encaminador puede fragmentarlo si DF está desactivado. Cada fragmento necesita su propia cabecera IP, por lo que no toda la MTU está disponible para datos.

Determina los tamaños de los fragmentos

Para un datagrama sin opciones:

1. Resta la longitud de la cabecera de la longitud total original.
2. Resta una cabecera de la MTU para hallar el espacio por fragmento.
3. Redondea ese espacio a la baja hasta un múltiplo de 8 para cada fragmento que no sea el último.
4. Divide la carga útil y coloca el resto, si lo hay, en el último fragmento.
5. Divide entre 8 los bytes de carga útil anteriores a cada parte para obtener su desplazamiento.
6. Añade una cabecera a cada parte para obtener su Longitud total; activa MF en todas salvo la última.

Los fragmentos comparten un valor de Identificación. Junto con el origen, el destino y el protocolo, identifica su datagrama original. MF significa que siguen más fragmentos en el orden de la carga útil. El desplazamiento mide la posición dentro de la carga útil original, nunca de la cabecera original.

Un datagrama de 4000 bytes

Con una cabecera de 20 bytes y una MTU de 1500, la carga útil es de 3980 bytes. El espacio para datos es de 1480 bytes, que ya es divisible entre 8.

El segundo desplazamiento es 1480 dividido entre 8. El tercero es 2960 dividido entre 8. La carga útil sigue sumando 3980 bytes, pero las tres cabeceras hacen que el total transmitido sea de 4040 bytes.

Para un datagrama de 2400 bytes con una cabecera de 20 bytes y una MTU de 1000, el espacio de 980 bytes se redondea a la baja hasta 976. Las partes de datos son de 976, 976 y 428 bytes. Las longitudes totales son 996, 996 y 448; los desplazamientos son 0, 122 y 244; los valores de MF son 1, 1 y 0. Llenar cada fragmento que no sea el último hasta un total de 1000 bytes incumpliría la regla de alineación de los desplazamientos.

Reensambla en el destino

Solo el sistema terminal de destino reensambla el datagrama original. Los fragmentos pueden llegar fuera de orden o volver a fragmentarse en un enlace más pequeño. El destino coloca los datos según el desplazamiento y obtiene la posición final a partir del fragmento con MF 0. Que ese último fragmento llegue primero no significa que el reensamblaje esté completo: también deben estar presentes todos los bytes anteriores. Los fragmentos ausentes terminan causando el vencimiento del tiempo de espera de reensamblaje.

La fragmentación añade cabeceras y hace que las pérdidas sean más costosas: un solo fragmento ausente impide la entrega de todo el segmento de transporte. Los números de puerto aparecen en el primer fragmento, lo que complica el filtrado y NAT para los fragmentos posteriores. Los fragmentos solapados también pueden crear problemas de seguridad.

Descubre el límite del trayecto

Con el indicador de no fragmentar (DF) activado, un datagrama IPv4 demasiado grande se descarta. El encaminador devuelve un mensaje ICMP de destino inaccesible, tipo 3 código 4, que indica que es necesaria la fragmentación y proporciona la MTU del siguiente enlace. El descubrimiento de la MTU del trayecto utiliza esta información para reducir el tamaño de los paquetes. Bloquearla puede crear un agujero negro en el que los paquetes pequeños funcionan, pero los grandes desaparecen.

Para TCP sobre una MTU de 1500 con cabeceras IP y TCP de 20 bytes, el MSS de datos es de 1460 bytes. Los encaminadores IPv6 nunca fragmentan: devuelven un mensaje ICMPv6 de paquete demasiado grande para que el origen pueda reducir el tamaño del paquete o fragmentarlo.

Un sistema terminal necesita una dirección IP, una máscara de subred o longitud de prefijo, una puerta de enlace predeterminada y direcciones de servidores DNS. El protocolo de configuración dinámica de sistemas terminales (DHCP) proporciona estos parámetros automáticamente. En una red pequeña, el encaminador suele actuar como servidor; una red más grande puede utilizar un servidor dedicado para varias subredes.

Discover, Offer, Request, ACK

DHCP utiliza UDP, con el puerto 67 para el servidor y el puerto 68 para el cliente. Un cliente nuevo aún no tiene dirección ni conoce ningún servidor, por lo que el intercambio inicial utiliza la entrega por difusión.

1. Discover: el cliente envía desde 0.0.0.0:68 a 255.255.255.255:67. Un identificador de transacción asocia las respuestas con este intercambio y el mensaje lleva la dirección MAC del cliente.
2. Offer: un servidor propone una dirección, una duración de concesión y una configuración. Puede responder más de un servidor.
3. Request: el cliente difunde la dirección elegida y el identificador del servidor. Los demás servidores que hicieron ofertas pueden ver que no fueron seleccionados.
4. ACK: el servidor seleccionado confirma la concesión. El cliente puede completar la configuración y usar la dirección.

Por ejemplo, un portátil se conecta a una red cuyo servidor DHCP es 192.168.1.1. La oferta es 192.168.1.101 con máscara 255.255.255.0, puerta de enlace 192.168.1.1, servidor DNS 192.168.1.1 y una concesión de 86 400 s. Después de que el portátil difunda su Request y reciba el ACK, tiene una concesión de 24 horas y la configuración para el tráfico local y remoto.

Una oferta por sí sola no constituye la asignación completa. Un NAK rechaza una solicitud que ya no es válida, como una asociada a la red equivocada, y el cliente debe volver a iniciar la obtención de una dirección.

Conserva o libera la dirección

Una concesión permite reutilizar la dirección después de que un sistema terminal se vaya. Con los temporizadores predeterminados, la renovación comienza a la mitad de la duración de la concesión: el cliente envía un Request de unidifusión al servidor original. Si la renovación falla, al llegar al 87,5 % de la duración difunde un Request para que cualquier servidor adecuado pueda ampliar la concesión. Por tanto, una concesión de 24 horas tiene tiempos predeterminados de renovación y revinculación de 12 y 21 horas después de obtenerla.

Si la concesión vence sin ampliarse, el cliente debe dejar de usar esa dirección. Un cliente puede enviar Release al irse, mientras que Decline informa de que la dirección ofrecida ya está en uso. La dirección asignada en una visita posterior puede ser diferente porque DHCP gestiona un grupo reutilizable, no una propiedad permanente.

Accede a un servidor de otra subred

Los encaminadores no reenvían la difusión limitada del cliente como tráfico ordinario. Un agente de retransmisión DHCP en la subred del cliente pasa el mensaje a un servidor remoto configurado. Su campo de dirección de puerta de enlace identifica la subred del cliente, lo que permite al servidor elegir el grupo de direcciones correcto. Las respuestas vuelven al cliente a través del agente.

El agente de retransmisión y la puerta de enlace predeterminada cumplen funciones distintas, incluso cuando el mismo encaminador proporciona ambas. La retransmisión lleva el intercambio de configuración a un servidor remoto; la puerta de enlace predeterminada transporta el tráfico del sistema terminal configurado hacia otras redes. Del mismo modo, el servidor DNS resuelve nombres y no tiene por qué ser el servidor DHCP.

Una dirección válida con una puerta de enlace predeterminada incorrecta puede impedir que un sistema terminal acceda a destinos fuera de su enlace. IPv6 tiene mecanismos de configuración independientes, incluidos SLAAC a partir de anuncios de encaminadores y DHCPv6.

Las direcciones IPv4 privadas pueden reutilizarse en redes independientes. Los bloques privados son 10.0.0.0/8, 172.16.0.0/12 y 192.168.0.0/16. No se encaminan globalmente en internet público. La traducción de direcciones de red (NAT) permite que los dispositivos con direcciones privadas se comuniquen utilizando una dirección pública en el límite de la red.

Registra la asignación antes de seguir la respuesta

Los encaminadores domésticos suelen realizar traducción de direcciones de red y puertos (NAPT). El encaminador cambia la dirección de origen y el puerto de transporte de origen de un paquete saliente y registra el par privado y público. El par de destino de un paquete de respuesta se traduce de vuelta. También existe la NAT uno a uno, que asigna direcciones sin cambiar los puertos.

Un portátil en 192.168.1.101:50123 se conecta a 203.0.113.80:443. Su encaminador NAT tiene la dirección pública 198.51.100.7 y asigna el puerto 40001:

La tabla contiene 198.51.100.7:40001 ↔ 192.168.1.101:50123. Si un teléfono en 192.168.1.102 usa el mismo puerto privado para contactar con ese servidor, el encaminador puede asignarle el puerto público 40002. El puerto público distingue el tráfico de retorno; el puerto privado por sí solo no lo haría.

Reescribir la dirección IPv4 cambia la suma de comprobación de la cabecera. TCP y UDP cuando usa suma de comprobación también cubren las direcciones IP mediante sus pseudocabeceras, por lo que sus sumas de comprobación deben ajustarse. NAPT también reescribe un puerto de transporte. El servidor normalmente ve el origen público traducido, no el privado.

Las asignaciones tienen una duración

El tráfico saliente suele crear asignaciones dinámicas. En esta configuración básica se descarta un paquete entrante no solicitado que no tenga una asignación coincidente. Para exponer un servicio interno, se puede instalar una entrada estática de redirección de puertos o un sistema terminal puede solicitar una asignación mediante UPnP o el protocolo de control de puertos. STUN ayuda a un sistema terminal a descubrir su asignación pública; TURN retransmite el tráfico cuando no se puede establecer comunicación directa.

Las asignaciones inactivas caducan. Los requisitos de comportamiento de UDP establecen un tiempo de espera de al menos dos minutos y recomiendan cinco o más. El tráfico de mantenimiento de conexión puede conservar una asignación. El campo de puerto de 16 bits proporciona 65 536 valores numéricos por protocolo, pero los puertos reservados y el comportamiento de las asignaciones hacen que esa cifra no sea una garantía exacta de conexiones simultáneas.

Qué resuelve NAT y qué costes tiene

Compartir una dirección pública ha prolongado el uso de IPv4. Los proveedores también pueden usar NAT a gran escala del operador, asignando a menudo a los clientes direcciones del bloque compartido 100.64.0.0/10. Una conexión doméstica puede pasar entonces tanto por la NAT doméstica como por una NAT del proveedor.

La traducción reduce la accesibilidad directa de extremo a extremo y complica los protocolos que llevan direcciones en el cuerpo de sus mensajes, como SIP o FTP en modo activo. NAT también modifica campos de transporte. IPv6 aborda la escasez subyacente con un espacio de direcciones mayor.

El rechazo por NAT del tráfico entrante sin correspondencia no es una inspección del contenido. Un programa malicioso puede abrir una conexión saliente mediante el mismo mecanismo de asignación que un cliente legítimo. La política de cortafuegos sigue siendo una función de seguridad independiente.

IPv4 tiene direcciones de 32 bits, aproximadamente 4,3 mil millones de valores posibles. IANA distribuyó sus últimos bloques IPv4 de la reserva central en febrero de 2011. IPv6 amplía las direcciones a 128 bits, unos 3,4 × 10³⁸ valores, y simplifica el procesamiento habitual de la cabecera. RFC 8200 especifica su formato básico de paquete.

Una cabecera fija de 40 bytes

Los campos suman 320 bits, o 40 bytes. Límite de saltos cumple la función del TTL de IPv4: cada encaminador que reenvía lo reduce en 1 y descarta el paquete cuando vence. La etiqueta de flujo puede ayudar a los encaminadores y equilibradores de carga a tratar un flujo de forma coherente, por ejemplo, seleccionando un trayecto estable. No promete ancho de banda.

Longitud de la carga útil excluye la cabecera fija, pero incluye las cabeceras de extensión. Por tanto, un segmento TCP de 1000 bytes sin extensiones da una Longitud de la carga útil de 1000 y un tamaño total de 1040 bytes. En cambio, Longitud total de IPv4 incluye su cabecera.

Sigue la cadena de Cabecera siguiente

Cabecera siguiente identifica un protocolo de la capa superior o una extensión. Entre sus valores están TCP 6, UDP 17 e ICMPv6 58; entre los tipos de extensión están opciones salto a salto 0, encaminamiento 43, fragmento 44 y opciones de destino 60. El propio campo Cabecera siguiente de una extensión identifica lo que viene después.

Para un fragmento creado por el origen que transporta 600 bytes de un segmento TCP, una cabecera de fragmento de 8 bytes hace que la Longitud de la carga útil sea 608. La cabecera fija indica Cabecera siguiente 44; la cabecera de fragmento indica Cabecera siguiente 6. El tamaño total del fragmento es de 648 bytes. Leer solo el primer campo Cabecera siguiente llevaría a confundir una extensión con el protocolo de transporte.

Qué elimina IPv6 del reenvío habitual

IPv6 no tiene suma de comprobación de la cabecera fija, por lo que cambiar el Límite de saltos no requiere actualizar una suma de comprobación de la cabecera de red. Las comprobaciones de errores de la capa de enlace y de transporte siguen siendo importantes. Las sumas de comprobación UDP son normalmente obligatorias sobre IPv6, con una excepción limitada para determinados túneles; son opcionales sobre IPv4.

Los encaminadores IPv6 nunca fragmentan. Un paquete demasiado grande se descarta y provoca un mensaje ICMPv6 de paquete demasiado grande; el origen reduce entonces el tamaño o utiliza una cabecera de fragmento. Todo enlace IPv6 debe admitir una MTU IPv6 de al menos 1280 bytes, con adaptación de las capas inferiores cuando sea necesario. La fragmentación sigue existiendo en el origen.

Las opciones pasan a las cabeceras de extensión, con lo que la longitud de la cabecera básica permanece fija. Las dos direcciones ocupan 32 de los 40 bytes, o el 80 %. Con un tamaño total de 1500 bytes, la cabecera IPv6 de 40 bytes supone una sobrecarga de aproximadamente el 2,7 %, frente a aproximadamente el 1,3 % de la cabecera IPv4 habitual de 20 bytes.

Notación de direcciones y funcionamiento local

Escribe las direcciones como ocho grupos hexadecimales. Elimina los ceros iniciales de un grupo y comprime una secuencia de grupos de ceros mediante «::». Así, 2001:0db8:0000:0000:0000:0000:0000:0001 se convierte en 2001:db8::1; 2001:db8::/32 está reservado para documentación.

Los sistemas terminales pueden usar SLAAC con anuncios de encaminadores o DHCPv6. IPv6 tiene multidifusión en lugar de difusión. ICMPv6 transporta el descubrimiento de vecinos, que sustituye la función de resolución local de direcciones de ARP, además de información esencial sobre errores. El mayor espacio de direcciones generalmente elimina la necesidad de NAT para compartir direcciones.

Un sistema terminal que solo usa IPv4 no puede intercambiar paquetes IP directamente con uno que solo usa IPv6. Cada dispositivo de reenvío debe entender el paquete que gestiona, por lo que sustituir un protocolo de la capa de red exige cambios coordinados en una enorme red instalada. Por tanto, IPv4 e IPv6 coexisten. La pequeña ARPANET pudo pasar a TCP/IP el 1 de enero de 1983; internet no puede repetir ese tipo de «fecha de transición» universal.

Ejecuta ambos protocolos con doble pila

Un sistema terminal o encaminador de doble pila implementa ambas versiones de IP y tiene direcciones para las dos. DNS puede devolver registros A para IPv4 y registros AAAA para IPv6. El cliente puede entonces conectarse usando una versión admitida por ambos extremos.

Happy Eyeballs evita una larga demora cuando un trayecto falla mediante intentos de conexión solapados entre las direcciones y familias disponibles, normalmente comenzando por IPv6 y permitiendo que IPv4 lo siga poco después. Se usa la conexión que se establece. La doble pila no traduce paquetes; una conexión concreta utiliza una sola versión de IP.

Transporta IPv6 a través de un tramo IPv4

Un túnel coloca un datagrama IPv6 completo dentro de una carga útil IPv4. La cabecera IPv4 externa indica la entrada y la salida del túnel, y Protocolo 41 identifica IPv6 encapsulado. Los encaminadores que solo usan IPv4 pueden transportar el paquete utilizando esa cabecera externa sin interpretar la interna.

Supón que el sistema terminal A, 2001:db8:1::10, envía datos al sistema terminal F, 2001:db8:2::20. El encaminador B, 192.0.2.1, es la entrada del túnel; el encaminador E, 198.51.100.2, es la salida. Los encaminadores C y D entre ambos solo gestionan IPv4.

B reenvía el paquete IPv6, reduce su Límite de saltos y añade la cabecera externa de B a E. C y D reducen el TTL IPv4 externo al reenviar. E elimina la cabecera externa, reduce el Límite de saltos interno al reenviar hacia F y envía el paquete IPv6. Un Límite de saltos inicial de 64 llega a F con valor 62. El túnel actúa como un enlace IPv6; sus encaminadores IPv4 internos no consumen cada uno un salto IPv6. El origen y el destino internos siguen siendo A y F.

La encapsulación ocupa espacio. Con una cabecera IPv4 externa de 20 bytes y una MTU subyacente de 1500, quedan como máximo 1480 bytes para todo el datagrama IPv6 interno. La tunelización también se utiliza en VPN y redes móviles.

Traduce para extremos incompatibles

NAT64 convierte entre cabeceras IPv6 e IPv4 mientras mantiene el estado de la traducción. DNS64 puede sintetizar un destino IPv6 a partir de la dirección de un servidor IPv4, a menudo usando 64:ff9b::/96. Para 192.0.2.33, los últimos cuatro bytes son C0 00 02 21 en hexadecimal, lo que da 64:ff9b::c000:221.

Un cliente que solo usa IPv6 envía hacia esa dirección sintetizada. NAT64 envía al servidor el paquete IPv4 correspondiente y después traduce la respuesta de vuelta. DNS64 proporciona el destino utilizable; NAT64 realiza la conversión del paquete. Algunas redes de acceso móviles que solo usan IPv6 utilizan esta configuración.

La traducción no puede conservar todas las funciones: IPv4 no tiene un equivalente directo de la etiqueta de flujo IPv6 ni de su estructura de cabeceras de extensión. Un túnel conserva un paquete dentro de una encapsulación, mientras que la traducción cambia su representación de protocolo.

El despliegue sigue siendo desigual entre redes y países. Un sistema terminal que obtiene IPv6 no adquiere compatibilidad directa con IPv4; sigue necesitando compatibilidad con IPv4 o un trayecto de traducción para comunicarse con un servicio que solo usa IPv4.

El reenvío generalizado amplía la búsqueda basada en el destino hacia un modelo más amplio de coincidencia y acción. Un conmutador compara los campos de la cabecera del paquete con las entradas y realiza la acción seleccionada. El mismo dispositivo puede actuar como encaminador IP, conmutador Ethernet, cortafuegos, traductor o equilibrador de carga según las reglas instaladas.

Lee una entrada

Una entrada especifica campos de coincidencia, prioridad y acciones. También tiene contadores, como los paquetes y bytes coincidentes y el tiempo transcurrido desde su instalación. Un tiempo de expiración por inactividad elimina una entrada después de un periodo sin coincidencias; un tiempo de expiración absoluto la elimina después de un tiempo fijo desde su instalación, aunque el tráfico continúe.

OpenFlow 1.0 proporciona doce campos de coincidencia: puerto de entrada; MAC de origen, MAC de destino, EtherType, identificador de VLAN y prioridad de VLAN; IP de origen, IP de destino, protocolo IP y bits DSCP de tipo de servicio IP; y puertos de origen y destino de transporte. Estos campos abarcan varias capas. El TTL no es un campo de coincidencia admitido en esa versión. Las versiones posteriores admiten campos adicionales, incluidos campos IPv6.

Un comodín acepta cualquier valor de su campo. Por ejemplo, el destino 10.2.. denota 10.2.0.0/16. Poner comodines en todos los campos crea una coincidencia para cada paquete. Una regla que indica el puerto TCP 22 también necesita la coincidencia adecuada de protocolo IP/TCP para que el campo de puerto de transporte tenga el significado previsto.

Resuelve las coincidencias solapadas

Para las reglas con comodines que se solapan, gana la mayor prioridad explícita. La especificidad por sí sola no elige la ganadora. OpenFlow 1.0 tiene una regla adicional: una entrada completamente exacta, sin campos comodín, tiene precedencia sobre las entradas con comodines. Una regla que indica una dirección IP exacta y deja otros campos con comodines sigue siendo una entrada con comodines.

Considera dos entradas, con comodines en todos los campos no especificados:

Un paquete TCP destinado a 10.2.0.5:22 coincide con ambas y se descarta. Un paquete TCP destinado a 10.2.0.5:443 solo coincide con la entrada de reenvío. Esto difiere de la coincidencia de prefijo más largo: la ganadora se determina por la prioridad asignada, no por la longitud del prefijo de destino.

Realiza una acción

El reenvío puede seleccionar una salida, varias salidas para copiar el paquete o la entrega al controlador. Una lista de acciones vacía descarta el paquete. Las acciones de modificación reescriben campos de cabecera admitidos, por ejemplo, una dirección IP de destino y un puerto de transporte, antes de reenviar el paquete.

Una ausencia de coincidencia en la tabla significa que no hay ninguna entrada coincidente. En OpenFlow 1.0 el conmutador envía el paquete al controlador; diseños más generales de tablas de flujos pueden configurar una ausencia de coincidencia para descartar o solicitar ayuda al controlador. El controlador puede instalar una entrada para que los paquetes posteriores permanezcan en el trayecto local rápido.

La búsqueda de coincidencias de flujo lee cabeceras. Examinar el interior de las cargas útiles de aplicación es inspección profunda de paquetes, una función independiente que la búsqueda de coincidencias habitual de OpenFlow no proporciona. Del mismo modo, OpenFlow es un protocolo de control de conmutadores, mientras que SDN es la arquitectura más amplia que separa el control del reenvío. Los lenguajes de planos de datos programables como P4 pueden definir qué cabeceras interpreta un dispositivo, ampliando la capacidad de programación más allá de una lista fija de campos de coincidencia.

Un conmutador puede aplicar una regla correctamente y aun así un paquete puede fallar más adelante en el trayecto. Las redes definidas por software (SDN) utilizan un controlador y aplicaciones de red para coordinar el comportamiento de reenvío de varios conmutadores.

Separa las funciones

SDN combina el reenvío basado en flujos, la separación de los planos de datos y de control, las funciones de control fuera de los conmutadores y las interfaces de software para programar la red. Una interfaz hacia los dispositivos, como OpenFlow, transporta instrucciones entre el controlador y los conmutadores. Una interfaz hacia las aplicaciones permite a las aplicaciones de red solicitar comportamientos al controlador.

El controlador está lógicamente centralizado: presenta un solo sistema de control coordinado. Los sistemas en producción pueden replicar ese control entre varios servidores físicos para lograr escalabilidad y fiabilidad. Un paquete ya cubierto por una entrada de flujo se gestiona en el conmutador sin un intercambio de ida y vuelta con el controlador.

Construye un trayecto con un conmutador cada vez

El tráfico de 10.1.0.0/16 en s1 debe llegar a 10.3.0.0/16 a través de s2 y s3. Con comodines en los demás campos, las entradas pertinentes del trayecto son:

• En s1: entrada 1, origen 10.1.0.0/16, destino 10.3.0.0/16 → salida 4 hacia s2.
• En s2: entrada 2, origen 10.1.0.0/16, destino 10.3.0.0/16 → salida 3 hacia s3.
• En s3: destino 10.3.0.6 → salida 1 hacia ese sistema terminal.

Cada salida debe llevar a un enlace cuyo conmutador receptor tenga una entrada compatible. Una entrada ausente puede producir un agujero negro; entradas incompatibles pueden enviar paquetes en un bucle. Buscar coincidencias tanto en el origen como en el destino permite que el tráfico de distintas redes de origen siga trayectos diferentes hacia el mismo destino. Una búsqueda basada únicamente en el destino no puede hacer esa distinción.

Utiliza el mismo mecanismo para varias tareas

Un cortafuegos puede reenviar el tráfico de origen 10.3.0.0/16 con prioridad 200 y descartar todo el tráfico con prioridad 100. Añade una regla de descarte para IPv4/TCP con puerto de destino 22 y prioridad 300 para bloquear SSH incluso desde la red de origen permitida. Son reglas con comodines, por lo que sus prioridades explícitas deciden cuál se aplica cuando se solapan. Invertir esas prioridades permitiría que la regla de permiso más amplia anulara el bloqueo previsto de SSH.

Una entrada de reenvío Ethernet puede buscar una coincidencia en la MAC de destino 22:A7:23:11:E1:02 y enviarla por el puerto de salida 3, independientemente de las direcciones IP. Un par de reglas de equilibrado de carga puede enviar el tráfico hacia 10.4.0.0/16 desde el origen 10.1.0.0/16 por el puerto 3 y desde 10.2.0.0/16 por el puerto 4, siempre que ambos trayectos lleguen a ese destino. La reescritura de direcciones y puertos antes del reenvío puede implementar el comportamiento de NAT.

Distingue la corrección local de la de toda la red

Inspeccionar un conmutador solo demuestra su coincidencia y su acción. Para verificar un trayecto, sigue la cabecera real y el puerto de entrada del paquete a través de cada conmutador, incluidos los cambios de cabecera. Comprueba también el sentido de retorno cuando la aplicación necesite respuestas: instalar un trayecto de ida no instala automáticamente el de vuelta.

SDN se utiliza en centros de datos, redes entre centros de datos como B4 de Google y núcleos de redes celulares. El control por software y los conmutadores comunes de «caja blanca» permiten a los operadores cambiar el comportamiento sin depender del ciclo de incorporación de funciones de un dispositivo dedicado de un fabricante. El cálculo de las rutas pertenece al plano de control; la búsqueda de coincidencias en las entradas instaladas sigue siendo trabajo del plano de datos.

Un dispositivo intermedio de red es un dispositivo situado en el trayecto de comunicación que hace más que la función estándar de reenvío de un encaminador IP ordinario. RFC 3234 incluye funciones como la traducción, el filtrado y la optimización del tráfico. Una sola puerta de enlace doméstica puede combinar encaminamiento, NAT y un cortafuegos.

Por qué los operadores colocan funciones en el trayecto

NAT comparte direcciones. Los dispositivos de seguridad, incluidos los cortafuegos y los sistemas de detección de intrusiones, bloquean o señalan tráfico según las cabeceras o el contenido. Los dispositivos de rendimiento incluyen equilibradores de carga, cachés, servidores de distribución de contenidos y optimizadores de redes de área extensa. Un paquete puede encontrarse con varias de estas funciones en un solo recorrido.

Un equilibrador de carga presenta una dirección de servicio a los clientes y distribuye las conexiones entre servidores. En una conexión ordinaria con estado, los paquetes deben llegar al mismo servidor de destino. Un hash de la quíntupla de 5 elementos (dirección de origen, dirección de destino, puerto de origen, puerto de destino y protocolo) puede hacer que esa selección sea coherente. Elegir un servidor diferente para cada paquete rompería una conexión cuyo estado solo existe en el servidor seleccionado.

Estas funciones solían utilizar dispositivos cerrados. Ahora pueden ejecutarse en conmutadores comunes, bajo el control de SDN o como virtualización de funciones de red (NFV): implementaciones por software de funciones como NAT o cortafuegos en servidores comunes. NFV describe cómo se implementa la función; SDN describe cómo se organiza el control.

El modelo de reloj de arena de IP

Internet tiene muchas aplicaciones y protocolos de transporte por encima de IP y muchas tecnologías de enlace y físicas por debajo. IP forma su cintura estrecha común. Una aplicación nueva no necesita una capa de red diferente para cada tecnología de enlace, y un enlace nuevo no necesita compatibilidad separada con cada aplicación.

La tradición arquitectónica descrita en RFC 1958 sitúa la conectividad en el centro, utiliza IP como mecanismo común y coloca gran parte de la inteligencia en los extremos. Los dispositivos intermedios de red añaden funciones dentro de ese trayecto común, ensanchan la cintura y hacen que la comunicación dependa de comportamientos que van más allá del reenvío IP habitual.

Aplica el argumento de extremo a extremo

El argumento de extremo a extremo, presentado por primera vez por Saltzer, Reed y Clark en 1981, plantea dónde puede implementarse una función de forma completa y correcta. Si eso requiere conocimiento de la aplicación disponible solo en los extremos, la implementación en los extremos sigue siendo necesaria incluso cuando la red proporciona una versión parcial.

Para una transferencia fiable de archivos, la entrega sin errores en los enlaces es insuficiente. Un error de memoria de un encaminador, un fallo de software o un problema de disco pueden seguir alterando el archivo. La aplicación receptora debe comprobar todo el archivo recibido, por ejemplo, con una suma de comprobación acordada, y solicitar su reparación si el resultado difiere. La retransmisión local en un enlace Wi-Fi con ruido puede seguir mejorando el rendimiento al corregir rápidamente los errores habituales. No sustituye la comprobación del archivo completo.

El coste de depender de los protocolos actuales

Los dispositivos intermedios de red pueden reducir el uso de direcciones, mejorar la aplicación de las políticas de seguridad y acelerar la entrega. También pueden restringir la comunicación directa y causar osificación: los dispositivos dan por supuesto un formato de protocolo conocido y rechazan o alteran comportamientos desconocidos. Un nuevo protocolo de transporte puede fallar incluso cuando el software de los extremos lo admite.

QUIC utiliza UDP para atravesar el comportamiento habitual de NAT y cortafuegos ya desplegados, y cifra la mayor parte de la información de transporte para que los dispositivos intermedios tengan menos oportunidades de depender de sus detalles. El diseño equilibra la facilidad de despliegue con la capacidad de evolucionar. La internet actual incluye conmutadores programables, sistemas de distribución de contenidos y grandes centros de datos; el diseño de extremo a extremo sigue siendo una guía para decidir qué comprobaciones en los extremos son esenciales dentro de esa red más compleja.