Redes para el soporte de TI

Una red permite a los dispositivos conectados intercambiar datos y compartir recursos. Su nombre te informa de su alcance o finalidad. Un cable, un enlace de radio y un túnel cifrado describen distintas partes de ese conjunto, por lo que varios nombres de red pueden aplicarse en una misma sede.

De una persona a muchas sedes

Una WLAN pertenece a la red local; inalámbrico no significa internet. Una tableta puede acceder a una impresora local por Wi-Fi incluso durante un corte de internet. El enrutador conecta esa red local con la WAN del proveedor. Internet es la WAN más grande.

El número de dispositivos no determina el tipo. Tres dispositivos en un apartamento y cientos de dispositivos en una misma sede de oficinas pueden formar LAN. Al clasificar una red, pregúntate adónde llegan sus enlaces y para qué sirven.

El almacenamiento tiene su propia distinción

Una red de área de almacenamiento (SAN) proporciona a los servidores acceso al almacenamiento compartido en forma de bloques de disco. Un servidor ve ese almacenamiento de forma similar a una unidad conectada directamente. El almacenamiento conectado a la red (NAS) comparte archivos y carpetas a través de la LAN habitual. Un usuario que abre una carpeta compartida de un NAS utiliza el uso compartido de archivos; la mera presencia de almacenamiento en red no convierte la LAN de la oficina en una SAN.

Una conexión privada sobre otra red

Una red privada virtual (VPN) crea un túnel cifrado sobre una red existente, normalmente internet. Una VPN de acceso remoto conecta el dispositivo de un usuario a una red de oficina. Una VPN de sitio a sitio conecta dos LAN de oficina. El túnel protege el tráfico entre sus extremos frente a la lectura o modificación durante el tránsito. El cuidado de los dispositivos finales y la evaluación de la fiabilidad de los sitios web siguen siendo tareas independientes.

Sigue la conexión de una pequeña empresa

Un taller de reparaciones tiene equipos de escritorio cableados, tabletas Wi-Fi y el teléfono de un técnico emparejado con unos auriculares. Los equipos de escritorio utilizan la LAN, las tabletas utilizan su WLAN y los auriculares utilizan una PAN. Una sucursal en otra ciudad accede al taller mediante una VPN de sitio a sitio a través de internet.

Si el taller pierde el acceso a internet, pero su recurso compartido de archivos local sigue abriéndose, la LAN sigue transportando tráfico local. Comprueba el lado WAN antes de sustituir el conmutador de la LAN. Si solo un trabajador desde casa pierde el acceso a los archivos de la oficina mientras los sitios web normales funcionan, conviene comprobar la VPN de acceso remoto. Estos nombres ayudan a localizar la conexión afectada antes de que alguien cambie los ajustes.

Sigue un paquete desde un portátil hacia internet y encontrarás varias funciones: conectarse a la red local, transportar tráfico dentro de ella y pasar tráfico a otras redes. Un enrutador de pequeña oficina o doméstico (SOHO) suele realizar las tres, pero cada función tiene un nombre diferente.

Conexiones locales y límites de red

Una tarjeta de interfaz de red (NIC) conecta un dispositivo mediante Ethernet o Wi-Fi. Su dirección de control de acceso al medio (MAC) normalmente tiene 48 bits, escritos como 12 dígitos hexadecimales, como 3C-52-82-1A-7F-09. Las direcciones asignadas por el fabricante suelen identificarlo en su primera mitad. Las direcciones Wi-Fi privadas pueden diferir de la dirección de hardware, así que utiliza la dirección que realmente se ve en esa red al configurar ajustes basados en el dispositivo.

Un conmutador aprende qué direcciones son accesibles a través de cada puerto. Envía el tráfico de unidifusión conocido hacia el puerto de destino; las difusiones y el tráfico con destinos desconocidos se envían por los demás puertos de la misma red lógica. Un concentrador antiguo repite las señales en todos los puertos, lo que comparte la capacidad y permite colisiones.

Un conmutador no gestionable funciona sin configuración. Un conmutador gestionable ofrece ajustes y supervisión. Sus redes de área local virtuales (VLAN) dividen una red física en redes lógicas, como las redes del personal y de invitados. La comunicación entre VLAN necesita un enrutador o cortafuegos. Un panel de conexiones no realiza conmutación: unos cables de conexión cortos unen sus puertos a un conmutador mientras los cables permanentes de las paredes permanecen en su sitio.

Transporta alimentación junto con los datos

La alimentación a través de Ethernet (PoE) alimenta puntos de acceso, cámaras y teléfonos IP mediante cable de par trenzado. Un conmutador PoE la suministra directamente; un inyector la añade a un enlace procedente de un conmutador normal.

Parte de la potencia se pierde en el cable. Comprueba tanto el estándar de cada puerto como el presupuesto total del conmutador. Tres puntos de acceso PoE+ y cuatro cámaras 802.3af pueden requerir:

A un conmutador de 150 W le faltan 1,6 W para ese máximo previsto. Utiliza un presupuesto de potencia mayor o alimenta una cámara mediante un inyector con su propia fuente de alimentación.

Identifica las funciones del equipo antes de modificarlo

Un equipo SOHO suele combinar un enrutador, un conmutador LAN, un AP, un cortafuegos, un servidor de asignación automática de direcciones y un reenviador del servicio de nombres. Una puerta de enlace del proveedor también puede contener el módem. Para ampliar la cobertura Wi-Fi puede bastar un AP; sustituir toda la puerta de enlace cambia varios servicios a la vez. Etiqueta cada equipo según las funciones que realmente ofrece.

Un equipo de red es un dispositivo con una dirección de red. Un servidor proporciona servicios a otros dispositivos, llamados clientes. Los roles de servidor describen funciones, no necesariamente máquinas físicas independientes: un equipo puede desempeñar varios roles y un servicio puede ejecutarse en una máquina virtual.

Relaciona la solicitud con su servicio

Un usuario puede acceder a una página web y, aun así, no poder abrir una base de datos de contabilidad. Esas solicitudes dependen de servicios distintos. Identifica la función que ha fallado antes de decidir que todos los servidores están fuera de servicio.

Es fácil pasar por alto la hora. La autenticación en un dominio de Windows normalmente permite una diferencia de reloj de hasta cinco minutos. Un PC adelantado nueve minutos puede fallar al iniciar sesión incluso con una contraseña correcta. Sincronizarlo con la fuente de hora de la red corrige la causa. La hora correcta también permite comprobar certificados y comparar las horas de los eventos.

Recopila eventos y controla el acceso

Un servidor syslog recopila mensajes de dispositivos y equipos de red, tradicionalmente mediante UDP 514. Los registros centralizados permiten a un técnico comparar un evento del conmutador con otro del cortafuegos en el mismo momento.

Un servidor AAA proporciona autenticación, autorización y registro de actividad: quién eres, qué puedes hacer y un registro de tu actividad. Un servidor del servicio de autenticación remota de usuarios de acceso telefónico (RADIUS) puede comprobar las cuentas Wi-Fi de los empleados y registrar la actividad de las sesiones. Iniciar sesión correctamente y tener permiso para abrir un recurso son decisiones independientes.

Reconoce los equipos especializados de red

Una pasarela antispam filtra el correo entrante antes de su entrega. Un equipo de gestión unificada de amenazas (UTM) combina funciones como cortafuegos, prevención de intrusiones, análisis de malware y filtrado web. Un proxy realiza solicitudes para los clientes y puede filtrarlas, almacenarlas en caché o registrarlas. Un equilibrador de carga distribuye las solicitudes entre servidores y evita los que no superan las comprobaciones de estado. Estos dispositivos pueden estar en el trayecto del tráfico aunque el equipo del usuario funcione correctamente.

Presta soporte a dispositivos con control limitado

Un sistema heredado es un sistema antiguo que sigue en uso. Un sistema integrado es un equipo incorporado en un dispositivo para una función específica. Ninguna de estas denominaciones indica por sí sola si existen actualizaciones. Comprueba el producto y su estado de soporte.

Los sistemas de supervisión, control y adquisición de datos (SCADA) supervisan y controlan equipos como bombas y líneas de producción. Cuando no resulta viable actualizarlos o sustituirlos con rapidez, las redes separadas con acceso muy restringido reducen su exposición. Los dispositivos del internet de las cosas (IoT) detectan o actúan sobre el mundo físico: cámaras, cerraduras y termostatos son algunos ejemplos. Cambia las contraseñas predeterminadas, aplica las actualizaciones de firmware y sepáralos de los equipos de la empresa. El soporte de actualizaciones y los ajustes disponibles varían según el producto.

Un proveedor de servicios de internet (ISP) conecta una sede a internet. Elige un servicio según el trabajo que se realiza, las conexiones disponibles en la sede y los equipos necesarios. Una cifra alta de descarga por sí sola puede ocultar una subida lenta o un retardo elevado.

Compara las vías de conexión

Un ONT convierte la señal de fibra en una conexión que el enrutador puede utilizar. Internet por cable suele utilizar un conector coaxial tipo F roscado. Una línea de abonado digital (DSL) utiliza el conector telefónico RJ11, más pequeño. Cuando el servicio de voz comparte la línea DSL, un filtro separa las señales. Si la fibra solo llega a un armario en la calle, queda un último tramo de cobre cuya longitud afecta a la velocidad.

Interpreta bits, bytes y ambos sentidos

El ancho de banda es una tasa de transferencia de datos, normalmente expresada en megabits por segundo (Mbps) o gigabits por segundo (Gbps). Los tamaños de archivo utilizan bytes: un byte contiene ocho bits. Un servicio de 100 Mbps puede transportar como máximo unos 12,5 megabytes por segundo (MB/s), antes de descontar la sobrecarga.

Para una descarga de 1,5 GB a 100 Mbps, convierte el tamaño decimal del archivo a megabits y divide:

Eso equivale a dos minutos en el mejor caso. La sobrecarga de los protocolos y el tráfico que compite por la conexión aumentan el tiempo real.

Un plan asimétrico de 500/50 Mbps proporciona hasta 500 Mbps de bajada y 50 Mbps de subida. Una subida de 2 GB contiene 16 000 megabits y tarda al menos 320 segundos a 50 Mbps. Utilizar la tasa de descarga daría una previsión incorrecta de 32 segundos. Tanto las copias de seguridad como el envío de vídeo utilizan capacidad de subida.

El retardo es distinto de la capacidad

La latencia mide el retardo. Una medición de ida y vuelta como ping indica los milisegundos de una solicitud y su respuesta. Un retardo bajo facilita las llamadas, los juegos y el trabajo con escritorio remoto, incluso cuando sus tasas de transferencia son modestas.

Los satélites geoestacionarios orbitan a unos 35 786 km sobre el ecuador. Solo el largo trayecto de ida y vuelta tarda unos 0,48 segundos; la latencia típica de ida y vuelta ronda los 600 ms. Los sistemas de órbita terrestre baja utilizan satélites mucho más bajos y suelen lograr unos 20–60 ms, con resultados que dependen del servicio y de las condiciones.

Una oficina que realiza llamadas mientras sube copias de seguridad se beneficia de la fibra simétrica, si está disponible. Un taller remoto puede comparar la conexión inalámbrica fija, las redes móviles y el satélite según las condiciones de señal y el retardo, además de la velocidad. Una segunda conexión, como una conexión móvil de reserva, puede mantener el trabajo esencial cuando falla el enlace principal.

Elige un cable según la velocidad necesaria, la longitud completa del enlace, los conectores, las interferencias y el espacio de instalación. Un conmutador más rápido no puede eliminar una limitación del trayecto del cable. Incluye los cables de conexión y los conectores al comprobar el canal completo.

Ethernet de cobre

El cable de par trenzado tiene cuatro pares de hilos de cobre. El trenzado ayuda a cancelar las interferencias eléctricas. El par trenzado sin apantallar (UTP) es adecuado para oficinas normales. El par trenzado apantallado (STP) añade una pantalla para lugares con ruido eléctrico y necesita una puesta a tierra correcta.

El canal de 100 m normalmente permite 90 m de cable fijo más 10 m de cables de conexión. Los componentes de menor categoría reducen el rendimiento que puede garantizar el canal completo. Un cable de conexión Cat5e en una instalación Cat6a impide considerar todo el trayecto como Cat6a solo porque el cable fijo tenga esa etiqueta.

Ethernet utiliza un conector RJ45 de ocho contactos. El RJ11, más pequeño, se utiliza para conexiones telefónicas y DSL. Transportan señales diferentes.

Coloca cada hilo en el pin correcto

Sujeta el conector RJ45 con los contactos hacia arriba, la pestaña hacia abajo y el pin 1 a la izquierda. T568B, pines del 1 al 8, es blanco/naranja, naranja, blanco/verde, azul, blanco/azul, verde, blanco/marrón, marrón. T568A intercambia los pares verde y naranja: blanco/verde, verde, blanco/naranja, azul, blanco/azul, naranja, blanco/marrón, marrón.

El mismo estándar en ambos extremos forma un cable directo, utilizado en casi todas las conexiones actuales. T568A en un extremo y T568B en el otro forman la conocida disposición cruzada utilizada en enlaces antiguos. Los puertos modernos auto-MDI-X se ajustan automáticamente. Sigue el estándar del edificio de forma coherente.

Elige la cubierta y el medio adecuados

El cable clasificado para espacios de circulación de aire limita la propagación de llamas y el humo en esos espacios, como una zona del techo utilizada para el retorno de aire. Un falso techo por sí solo no indica que sea un espacio de circulación de aire. Utiliza la clasificación de cubierta exigida para el espacio real. El cable de enterramiento directo está diseñado para instalarse en el suelo sin conducto; su aptitud para exteriores y enterramiento debe corresponderse con el recorrido.

El cable coaxial tiene un conductor central rodeado de aislamiento y una pantalla. RG6 con un conector tipo F roscado se utiliza para internet y televisión por cable; RG59 y los conectores BNC aparecen en instalaciones de vídeo antiguas.

La fibra transporta luz, resiste las interferencias eléctricas y evita un trayecto conductor entre edificios. La fibra monomodo tiene un núcleo de unos 9 µm y permite enlaces largos con componentes ópticos láser compatibles. La fibra multimodo tiene un núcleo de 50 o 62,5 µm y se utiliza en enlaces más cortos; 10GBASE-SR alcanza unos 300 m con OM3 y 400 m con OM4. Utiliza fibra y transceptores compatibles en ambos extremos. Los conectores ST se bloquean mediante giro, los SC se insertan y extraen por presión y tracción, y los LC, más pequeños, utilizan una pestaña de retención.

Nunca mires el extremo de una fibra ni un puerto óptico; la luz láser invisible puede dañar tus ojos.

Para un tendido de 70 m y 10 Gbps por un techo de retorno de aire, elige Cat6a clasificado para espacios de circulación de aire. Para un enlace de 400 m entre edificios, la fibra cumple los requisitos de alcance y separación eléctrica; la monomodo también deja margen de ampliación. OM4 con componentes ópticos adecuados de 10 Gbps puede alcanzar 400 m, pero deja poco margen de distancia.

Un fallo de cableado puede deberse a un conductor dañado, una terminación deficiente, un recorrido desconocido o un enlace que no cumple su requisito de rendimiento. Elige una herramienta que responda a la pregunta real. Una prueba superada solo tiene significado dentro de lo que mide esa herramienta.

Prepara el enlace y sus terminaciones

Un pelacables retira la cubierta sin cortar los conductores. Una crimpadora fija un conector modular: los contactos se conectan a los hilos y el alivio de tensión sujeta la cubierta. Una herramienta de inserción por impacto introduce los hilos en los contactos de tomas de pared, paneles de conexiones o bloques y corta sus extremos.

Para preparar un cable de conexión T568B:

1. Retira unos 25 mm de cubierta sin dañar los hilos.
2. Ordena los conductores según T568B: blanco/naranja, naranja, blanco/verde, azul, blanco/azul, verde, blanco/marrón, marrón.
3. Corta los extremos por igual, a unos 13 mm para un conector adecuado.
4. Introduce los hilos hasta el fondo, con la cubierta sujeta dentro del alivio de tensión, y después crimpa.
5. Coloca la terminación del otro extremo según el mismo estándar y comprueba el cable.

Utiliza conectores adecuados para el cable y sigue sus instrucciones de preparación. En una toma o panel, sigue las etiquetas A o B impresas. Mantén los pares trenzados hasta unos 13 mm de la terminación; los tramos largos sin trenzar aumentan las interferencias entre pares.

Comprueba el cableado o certifica el rendimiento

Un comprobador de cables conecta una unidad principal y una remota a extremos opuestos. Su mapa de cableado revela un conductor con circuito abierto, un cortocircuito entre conductores o una conexión incorrecta. Una prueba básica de ocho luces comprueba la continuidad y el orden de los pines. Un certificador de cableado mide propiedades como longitud, pérdidas y diafonía para evaluar un canal de una categoría determinada. Ocho luces por sí solas no demuestran un rendimiento de 10 Gbps.

Una sonda de tonos permite localizar un cable. Conecta el generador de tonos a un extremo y utiliza la sonda para localizar el cable o puerto del panel correspondiente. La localización identifica el recorrido; una prueba de mapa de cableado comprueba sus conexiones. Un conector de bucle de retorno devuelve las señales transmitidas a la recepción del puerto para comprobar la interfaz localmente. Superar esa prueba deja pendientes de comprobar el cable real y el dispositivo del extremo opuesto.

Observa las señales de radio y el tráfico en directo

Un analizador Wi-Fi muestra los nombres de red, los canales y la intensidad de la señal recibida. La intensidad suele ser un valor negativo en dBm: −50 dBm es más intenso que −75 dBm. Unos −67 dBm son un objetivo habitual de planificación para voz y vídeo; el servicio real también depende del ruido y la congestión. Los valores inferiores a unos −80 dBm suelen proporcionar un servicio poco fiable.

Un dispositivo de captura de tráfico de red copia el tráfico de un enlace a un puerto de supervisión para un analizador de paquetes o un monitor de seguridad. Observa el tráfico; no asigna direcciones a los clientes ni repara el cableado.

Revisa una toma de pared sin identificar

Un portátil y un cable de conexión de funcionamiento comprobado fallan en un puesto recién ocupado. Localiza el cable de pared en el panel de conexiones con un generador de tonos y una sonda. Comprueba el tramo entre el panel y la toma: el hilo 3 tiene un circuito abierto. Inspecciona y vuelve a insertar la terminación afectada, repite la prueba del mapa de cableado y después conecta el puerto etiquetado del panel al conmutador. Por último, verifica una conexión de red real. Sustituir el cable de conexión del puesto, ya comprobado, dejaría sin resolver el fallo del enlace permanente.

Una dirección del protocolo de internet, versión 4 (IPv4) identifica una interfaz en una red. Contiene 32 bits, mostrados como cuatro octetos decimales separados por puntos. Cada octeto va de 0 a 255, por lo que 192.168.1.25 es una notación válida y 192.168.1.300 no lo es.

Asigna a cada ajuste su función

El servidor del sistema de nombres de dominio (DNS) puede compartir la dirección de la puerta de enlace porque un enrutador suele proporcionar ambos servicios. Las funciones siguen siendo independientes. Los dispositivos pueden comunicarse localmente sin una puerta de enlace; los servicios de internet por nombre necesitan los ajustes correspondientes de direccionamiento, puerta de enlace y resolución de nombres.

Con la máscara 255.255.255.0, también llamada /24, los tres primeros octetos identifican la red. 192.168.1.37 y 192.168.1.200 pertenecen a la misma red local. 192.168.0.200 está en otra red. En esta /24, .0 identifica la red, .255 es la dirección de difusión y de .1 a .254 están las 254 direcciones de dispositivos. Una dirección debe ser única en su red local.

Reconoce las direcciones privadas y especiales

Los rangos privados IPv4 son 10.0.0.0–10.255.255.255, 172.16.0.0–172.31.255.255 y 192.168.0.0–192.168.255.255. Pueden reutilizarse dentro de organizaciones distintas y no se enrutan a través de internet público. Un enrutador SOHO utiliza la traducción de direcciones de red (NAT) para que los clientes privados compartan una dirección IPv4 pública. Comprueba el rango completo: 172.20.5.4 es privada; 172.32.0.1 queda fuera de él.

127.0.0.1 es el bucle de retorno, que significa este mismo dispositivo. Hacer ping a esa dirección comprueba el software de red local sin enviar tráfico por el cable o la Wi-Fi.

169.254.x.x pertenece al direccionamiento IPv4 de enlace local. Windows llama al uso automático de estas direcciones direccionamiento IP privado automático (APIPA). En un cliente Windows configurado para obtener ajustes automáticamente, suele significar que no se obtuvo una concesión DHCP utilizable. Permite la comunicación en el enlace local, pero no proporciona acceso enrutado a internet. Una dirección de enlace local por sí sola identifica un síntoma, no qué cable, servidor o ajuste lo causó.

Interpreta una configuración real

En Windows, ipconfig muestra la dirección, la máscara y la puerta de enlace. ipconfig /all añade los servidores DNS, la dirección MAC física, el estado de DHCP, la concesión y su servidor. En macOS utiliza Ajustes del Sistema > Red > conexión > Detalles; ifconfig muestra información de las interfaces. En Linux, ip addr muestra las direcciones e ip route muestra la puerta de enlace después de «default via».

Un PC con 192.168.1.37/24, puerta de enlace 192.168.1.1 y DNS 192.168.1.1 tiene ajustes coherentes. Otro PC con 169.254.88.14 y sin puerta de enlace necesita que se compruebe su vía de asignación automática de direcciones. Confirma su conexión física o Wi-Fi y el servicio DHCP antes de solicitar una nueva concesión. Una puerta de enlace incorrecta puede permitir la impresión local mientras fallan los destinos externos.

La mayoría de los dispositivos cliente deben obtener sus ajustes automáticamente. Algunos necesitan una dirección predecible para que los usuarios y las aplicaciones puedan encontrarlos. Elige un método de direccionamiento que satisfaga esa necesidad y siga siendo fácil de administrar cuando cambie la red.

Elige quién controla los ajustes

El protocolo de configuración dinámica de host (DHCP) proporciona la dirección, la máscara, la puerta de enlace y los ajustes DNS. Un portátil móvil puede conectarse a otra red y recibir allí los ajustes adecuados. Una configuración estática permanece en el dispositivo hasta que se cambia. Una reserva mantiene el dispositivo en DHCP, pero indica al servidor que siga asignándole la misma dirección.

Comprueba la dirección que realmente ve el servidor, sobre todo en dispositivos Wi-Fi que utilizan direcciones MAC privadas. Si ese identificador cambia, una reserva existente puede dejar de coincidir.

Elige una dirección estática segura

Supón que un enrutador utiliza 192.168.1.1/24 y su conjunto de direcciones DHCP va de 192.168.1.100 a 192.168.1.199. Una impresora puede utilizar 192.168.1.20 si esa dirección está libre y se registra. Introduce la máscara 255.255.255.0, la puerta de enlace 192.168.1.1 y el servidor DNS aprobado de la red.

Comprueba las tres condiciones de la dirección:

1. La dirección estática pertenece a la red local de la puerta de enlace.
2. DHCP no la asignará a otro cliente: está fuera del conjunto o excluida de él.
3. Ningún otro dispositivo la utiliza ya.

Una dirección fuera del conjunto DHCP no está necesariamente libre. Otro técnico puede haberla asignado ya manualmente. Comprueba los registros de la sede y los dispositivos actuales antes de utilizarla.

Interpreta el síntoma que provoca un campo incorrecto

Una dirección IP duplicada puede causar acceso intermitente cuando dos dispositivos reclaman la misma dirección. Elegir una dirección manual dentro de un conjunto DHCP activo crea este riesgo cuando el servidor la asigna después. Cambia la dirección manual por otra fuera del conjunto o exclúyela de él, y documenta el cambio.

Una máscara incorrecta cambia los destinos que el cliente considera locales. La ausencia de puerta de enlace bloquea otras redes mientras los recursos locales pueden funcionar. Los ajustes DNS incorrectos impiden las consultas de nombres aunque las conexiones a direcciones IP conocidas sigan funcionando. Por eso, un portátil que conserva una configuración estática doméstica puede fallar al conectarse a una red de oficina.

Gestiona la sustitución de un enrutador

Un enrutador antiguo utilizaba 192.168.0.x; su sustituto utiliza 192.168.1.x. Una impresora que sigue fija en 192.168.0.50/24 está ahora en una red incorrecta para los PC. Conserva el rango LAN antiguo en el nuevo enrutador o cambia la impresora a una dirección libre del nuevo rango. Actualiza los puertos de impresora de los PC si cambia su dirección. Renovar repetidamente las concesiones de los PC no cambiará una impresora configurada manualmente.

Un servidor DHCP proporciona ajustes IP a los clientes automáticamente. En una red pequeña suele formar parte del enrutador. El servidor administra las direcciones de una red y proporciona opciones como la máscara de subred, la puerta de enlace predeterminada, los servidores DNS y la duración de la concesión.

Sigue DORA

Un cliente IPv4 nuevo suele utilizar cuatro mensajes, que se recuerdan como DORA:

1. Descubrimiento: el cliente difunde un mensaje para encontrar un servidor.
2. Oferta: un servidor propone una dirección y unos ajustes.
3. Solicitud: el cliente pide utilizar una oferta seleccionada.
4. Confirmación: el servidor confirma la concesión y sus opciones.

DHCP utiliza UDP 67 en el servidor y UDP 68 en el cliente. La difusión inicial permanece en la red local salvo que un enrutador la retransmita. Un cliente conectado no puede obtener una concesión de un servidor inaccesible solo porque ese servidor exista en otra parte de la organización.

Planifica suficientes direcciones

Un ámbito combina un rango de direcciones con las opciones de esa red. Una exclusión retira direcciones de la asignación automática, a menudo para proteger dispositivos configurados manualmente. Una reserva asocia una dirección con la dirección MAC de un cliente.

Un rango de 192.168.1.100 a 192.168.1.199 contiene 100 direcciones porque se cuentan ambos extremos. Excluir de .100 a .109 elimina 10 y deja 90. Si 95 clientes nuevos necesitan concesiones simultáneamente y ninguno tiene una utilizable, cinco no pueden obtenerla. Los clientes Windows en esa situación pueden recurrir a direcciones de enlace local 169.254.x.x. Ampliar un conjunto debe seguir respetando las asignaciones estáticas y el rango de la red local.

Comprende los tiempos de la concesión

Una concesión autoriza al cliente a utilizar su dirección durante un tiempo limitado. Con las proporciones predeterminadas de los temporizadores, una concesión de 24 horas se renueva con su servidor original después de 12 horas. Si no lo consigue, el cliente lo intenta con cualquier servidor disponible después de 21 horas. Cuando la concesión caduca sin renovarse, debe dejar de utilizar esa dirección concedida.

Los clientes existentes con concesiones válidas pueden seguir funcionando durante una interrupción de DHCP. Un cliente reiniciado a menudo puede reutilizar una concesión recordada que no haya caducado. Los clientes nuevos sin concesiones utilizables fallan primero, por lo que el hecho de que los usuarios ya conectados funcionen no descarta DHCP.

En Windows, ipconfig /release libera una concesión; ipconfig /renew solicita una. Liberar la concesión interrumpe la conexión de ese cliente. Utiliza estos comandos después de comprobar que existe una vía funcional hacia el servicio DHCP previsto.

Reconoce servicios que compiten o ajustes que no coinciden

Un servidor DHCP no autorizado carece de autorización. Un enrutador doméstico de repuesto conectado por un puerto LAN puede ofrecer una red o puerta de enlace incorrectas y producir resultados distintos para cada cliente. Retira el servicio no previsto o configura el dispositivo de repuesto como punto de acceso con DHCP desactivado. Varios servidores autorizados son válidos si se configuran para coordinarse.

Las reservas dependen de una dirección MAC coincidente. Una MAC Wi-Fi privada fija puede reservarse; una que cambia periódicamente dejará de coincidir. Comprueba la dirección que ve el enrutador y el ajuste de privacidad del dispositivo para esa red.

DHCP puede proporcionar una dirección correcta y un servidor DNS incorrecto. En ese caso, la concesión se obtiene, pero los sitios web por nombre fallan. Inspecciona las opciones entregadas además de la dirección.

El protocolo de internet, versión 6 (IPv6) utiliza direcciones de 128 bits. Los aproximadamente 4,3 mil millones de direcciones posibles de IPv4 son insuficientes para dar a cada dispositivo una dirección pública única. IPv6 proporciona un espacio mucho mayor y suele funcionar junto con IPv4.

Interpreta y abrevia la notación

Una dirección completa tiene ocho grupos de cuatro dígitos hexadecimales, separados por dos puntos. El sistema hexadecimal utiliza 0–9 y a–f. Empieza con:

2001:0db8:0000:0000:0000:ff00:0042:8329

Primero elimina los ceros iniciales de los grupos:

2001:db8:0:0:0:ff00:42:8329

Después sustituye una secuencia consecutiva de grupos de ceros por :::

2001:db8::ff00:42:8329

Utiliza :: como máximo una vez. Dos apariciones dejan inciertas las posiciones de los grupos que faltan. Elimina solo los ceros iniciales: cambiar db80 por db8 cambia la dirección. Desarrolla una dirección abreviada restaurando suficientes grupos de ceros para obtener ocho grupos en total.

Reconoce los tipos de direcciones

Una interfaz con IPv6 habilitado crea automáticamente una dirección de enlace local. Tener una es normal. Una dirección global identifica un alcance global, pero el acceso funcional a internet también requiere una ruta adecuada y tráfico permitido. Un dispositivo puede tener una dirección de enlace local, varias globales y direcciones temporales de privacidad que cambian al mismo tiempo. Eso no es un conflicto de direcciones.

El sufijo /64 suele identificar la longitud de prefijo de una LAN. Un indicador de interfaz como %12 en fe80::1%12 identifica la interfaz de red local; no forma parte de la dirección.

Aprende de dónde proceden los ajustes

Con la autoconfiguración de direcciones sin estado (SLAAC), el enrutador anuncia un prefijo y el cliente crea una dirección. DHCPv6 puede proporcionar direcciones u otros ajustes, incluidos los servidores DNS. Los anuncios del enrutador proporcionan la información del enrutador predeterminado; la puerta de enlace suele aparecer como una dirección de enlace local, como fe80::1.

La doble pila consiste en ejecutar IPv4 e IPv6 juntos. Un listado de Windows puede mostrar una dirección IPv6 global, una dirección IPv6 de enlace local y puertas de enlace IPv4 e IPv6. Si solo aparece IPv6 de enlace local, una configuración IPv4 válida puede seguir proporcionando acceso a internet. Comprueba qué familia de protocolos utiliza realmente una conexión antes de considerar que todo el dispositivo está sin conexión.

IPv6 no tiene dirección de difusión. Las redes domésticas generalmente proporcionan a los dispositivos sus propias direcciones IPv6 globales en lugar de utilizar NAT al estilo de IPv4. El cortafuegos del enrutador sigue controlando el tráfico entrante; el alcance de una dirección y el permiso para conectarse son cuestiones independientes.

El sistema de nombres de dominio (DNS) convierte nombres como www.example.com en direcciones. Es distribuido: distintos servidores contienen distintas partes de una jerarquía. Un enlace a internet funcional y una resolución de nombres funcional son requisitos independientes.

Sigue la jerarquía

Lee www.example.com de derecha a izquierda. La raíz dirige las solicitudes hacia un dominio de nivel superior (TLD), como .com. Los servidores de ese TLD identifican los servidores autoritativos de example.com. Los servidores autoritativos contienen los registros oficiales del dominio, incluidos los nombres que dependen de él, como www.example.com.

Un dispositivo utiliza su información local de nombres, incluidas su caché y su archivo hosts. Si necesita DNS, pregunta a su resolvedor recursivo configurado. Puede ser un servidor de la empresa, un servicio del proveedor, un resolvedor público o un servicio al que se accede a través del enrutador. El resolvedor responde desde la caché cuando es posible. De lo contrario, sigue las referencias desde la raíz al TLD y al servidor autoritativo, y devuelve el resultado. DNS utiliza el puerto 53.

Los registros en caché tienen un tiempo de caducidad

El tiempo de vida (TTL) de un registro limita cuánto tiempo puede almacenarse en caché. Un TTL de 3600 segundos permite una hora; 300 segundos permiten cinco minutos. Cambiar un registro autoritativo no sustituye de inmediato las copias que siguen siendo válidas en las cachés.

Antes de un traslado previsto, reduce el TTL con suficiente antelación para que caduquen las copias antiguas en caché. En Windows, ipconfig /flushdns vacía la caché local, pero no la de un resolvedor situado en otro lugar. Vaciar repetidamente la caché del PC no puede obligar a un resolvedor externo a olvidar una respuesta cuyo TTL sigue siendo válido.

Comprueba las sustituciones locales y el resolvedor

El archivo hosts relaciona nombres con direcciones localmente. Windows utiliza C:\Windows\System32\drivers\etc\hosts; macOS y Linux utilizan /etc/hosts. Una entrada como «203.0.113.50 intranet.example.com» puede hacer que las aplicaciones de ese dispositivo accedan a esa dirección sin una consulta DNS. Si solo un PC accede a un sitio antiguo, inspecciona las sustituciones locales además de las cachés.

Ejecuta nslookup www.example.com para ver el servidor DNS y la respuesta. «Respuesta no autoritativa» significa que el resolvedor que responde no es autoritativo para ese nombre. Puede haber utilizado una caché o realizado una consulta nueva. La etiqueta es normal. Para comparar resolvedores, nslookup www.example.com 1.1.1.1 envía la consulta a un servidor concreto. Recuerda que nslookup consulta DNS; no reproduce el comportamiento de todas las aplicaciones respecto al archivo hosts local.

Distingue un fallo de nombres de un fallo de conexión

Si una dirección de internet que sabes que responde contesta a ping, pero un nombre produce «no se encuentra el equipo de destino», la resolución de nombres necesita atención. Comprueba el servidor DNS configurado y compara los resultados de las consultas. Un ping que agota el tiempo de espera por sí solo no es concluyente: un equipo o cortafuegos puede bloquear ping mientras otro servicio funciona. Si también fallan las conexiones por dirección, investiga la conectividad junto con DNS.

Los PC de empresa pueden necesitar nombres internos como fileserver.corp.example.com. Utiliza los servidores DNS internos aprobados. Sustituirlos por un resolvedor público puede restaurar las consultas públicas y, a la vez, impedir el acceso a recursos internos y el inicio de sesión en el dominio. La puerta de enlace predeterminada y el servidor DNS son ajustes independientes, incluso cuando un enrutador doméstico proporciona ambos.

Un registro DNS tiene un nombre, un tipo, un tiempo de vida (TTL) y un valor. El tipo indica qué significa el valor. Interpreta el tipo antes de decidir si el valor debe ser una dirección, otro nombre, un destino de correo o texto de una política.

Encuentra equipos, alias y destinos de correo

Un nombre puede tener registros A y AAAA juntos. Un CNAME apunta a otro nombre, cuya dirección debe resolverse después; poner una dirección IP en su destino confunde los tipos de registro. Un nombre de alias normal no puede contener también sus propios datos A, MX o TXT.

En los registros MX se prueban primero los números de preferencia más bajos. Si example.com tiene 10 mail1.example.com y 20 mail2.example.com, los remitentes normalmente prueban mail1 antes que mail2. El valor MX es un nombre de equipo con registros de dirección, no la dirección IP del servidor de correo. Describe la recepción de correo para el dominio, no qué puerto de envío saliente debe utilizar la aplicación de correo de un usuario.

Interpreta las tres comprobaciones de correo

El marco de directivas del remitente (SPF) publica los sistemas de envío permitidos en un registro TXT para el dominio utilizado en el remitente del sobre del mensaje. Un registro puede incluir una dirección IP y una lista del proveedor. Su terminación -all marca como fallo a un remitente que no coincide; ~all indica un fallo leve. La política del receptor determina el tratamiento final. Publica un registro de política SPF por dominio; varios registros de política SPF producen un error.

El correo identificado mediante claves de dominio (DKIM) añade una firma digital utilizando la clave privada del remitente. La clave pública se publica bajo un nombre de selector como selector1._domainkey.example.com. Un receptor la utiliza para verificar el dominio firmante y las partes firmadas del mensaje. Una firma válida se refiere a esas partes firmadas; no garantiza que el mensaje sea honesto.

La autenticación, informes y conformidad de mensajes basados en dominios (DMARC) añade la alineación con el dominio visible del campo De. Al menos un método debe superarse y estar alineado: SPF o DKIM. Superar una comprobación para un dominio ajeno no es suficiente. Una política TXT en _dmarc.example.com puede solicitar p=none para supervisión, p=quarantine para tratar el mensaje como sospechoso o p=reject para rechazarlo, e indicar un destino para los informes. Los receptores aplican sus propias políticas de tratamiento.

Presta soporte durante un cambio de proveedor

Una empresa cambia de proveedor de correo y sus mensajes empiezan a llegar a correo no deseado. Comprueba si la política SPF existente autoriza al nuevo proveedor y si su clave DKIM está publicada en el selector correcto. Después comprueba la alineación y los informes DMARC. Crear un segundo registro SPF no es una solución; actualiza la única política. Por separado, trasladar un sitio web cambia los datos A o AAAA y puede mantener en uso direcciones antiguas en caché hasta que caduquen sus TTL.

Una dirección IP lleva los datos a un equipo de red. Un protocolo de transporte y un número de puerto identifican el extremo del programa en ese equipo. Por tanto, una regla de cortafuegos necesita más que una dirección: el tráfico TCP y UDP que utiliza el mismo número son casos independientes.

Interpreta un extremo de comunicación

Un protocolo es un conjunto de reglas de comunicación. El protocolo de control de transmisión (TCP) y el protocolo de datagramas de usuario (UDP) transportan datos de aplicaciones sobre IP. Un puerto es un número de 0 a 65535. Los puertos bien conocidos van de 0 a 1023, los registrados de 1024 a 49151 y los dinámicos/privados de 49152 a 65535. El software cliente suele seleccionar un puerto de origen efímero, o temporal, de un rango alto; los sistemas operativos eligen sus propios rangos disponibles.

Un socket de red es una dirección IP y un puerto para un protocolo de transporte concreto. Un portátil podría conectarse desde 192.168.1.37:51544 a un servidor web en 203.0.113.10:443 mediante TCP. El servidor responde al puerto 51544 del portátil. El cliente no necesita escuchar en 443 solo porque el servidor lo haga.

Una segunda conexión TCP entre el mismo cliente y el mismo extremo del servidor utiliza otro puerto de origen del cliente. Varias pestañas del navegador también pueden compartir una conexión, y el protocolo web mantiene separadas las solicitudes. No cuentes pestañas para deducir el número de conexiones de transporte.

Compara el comportamiento de entrega

TCP numera los datos y recupera las partes que faltan, lo que resulta adecuado para la transferencia de archivos y muchas sesiones web, de correo y remotas. UDP tiene menos sobrecarga incorporada. Es adecuado para consultas breves y tráfico de voz, vídeo y juegos sensible al tiempo. Si un paquete de voz antiguo llega demasiado tarde, reproducirlo puede ser menos útil que continuar la llamada. Las aplicaciones pueden añadir su propia fiabilidad sobre UDP.

Llamar a UDP «no fiable» significa que UDP por sí mismo no garantiza la entrega. No significa que la mayoría de los datagramas desaparezcan. Llamar fiable a TCP significa que proporciona detección y recuperación mientras la conexión funciona; no mantiene activo indefinidamente un enlace roto.

Haz coincidir las dos partes de una regla

DNS normalmente utiliza UDP 53 para consultas ordinarias, pero también utiliza TCP 53, incluidas respuestas grandes y transferencias entre servidores. Escritorio remoto utiliza TCP 3389 y puede añadir UDP 3389. HTTP/3 utiliza QUIC sobre UDP 443, por lo que el tráfico web moderno no es exclusivamente TCP.

Si una aplicación requiere UDP 3478, permitir TCP 3478 no abre la vía necesaria. Comprueba juntos el transporte, el puerto de destino y el equipo previsto. Los números de puerto son valores predeterminados, no pruebas de identidad: un servicio web de administración puede utilizar 8443 y otro software puede ocupar un puerto conocido. Identifica el servicio configurado además de su número.

Los puertos te ayudan a identificar qué parte del trayecto de una aplicación debes inspeccionar. El acceso web, el envío de correo, la lectura de correo, la consulta de nombres y el direccionamiento automático utilizan servicios diferentes. Una conexión de correo entrante correcta dice poco sobre los ajustes del correo saliente.

Acceso web y seguridad de la conexión

El protocolo de transferencia de hipertexto (HTTP) suele utilizar TCP 80 y transporta tráfico web sin cifrado. HTTPS suele utilizar TCP 443 con seguridad de la capa de transporte (TLS). TLS protege el tráfico en tránsito y el navegador comprueba el certificado del servidor. Un sitio de phishing también puede tener un certificado válido: la seguridad de la conexión y la honestidad del propietario son cuestiones independientes. HTTP/3 transporta HTTPS mediante QUIC sobre UDP 443.

Envía y lee correo

STARTTLS convierte una conexión en una conexión TLS; TLS implícito comienza con cifrado. Utiliza juntos el puerto y el modo de cifrado exigidos por el proveedor. Muchos proveedores bloquean el 25 saliente en conexiones residenciales para limitar el correo no deseado. No sustituyas los ajustes de envío autenticado de la aplicación por el puerto 25 entre servidores.

POP3 descarga mensajes y a menudo elimina las copias del servidor. Las carpetas locales del dispositivo y el estado de lectura no se sincronizan entre dispositivos. IMAP mantiene el buzón en el servidor y sincroniza las carpetas y el estado de los mensajes. Es más adecuado cuando un usuario trabaja con teléfono, portátil y correo web.

Si la recepción funciona, pero el envío falla, inspecciona el nombre del servidor SMTP, el puerto de envío, el modo TLS y el inicio de sesión. Cambiar el puerto IMAP entrante modifica la mitad de la cuenta que sí funciona.

Migra con cuidado a un usuario de POP3

El teléfono y el portátil de un usuario muestran mensajes y estados de lectura diferentes porque POP3 ha creado colecciones locales independientes. Añade la cuenta mediante IMAP o el tipo de cuenta admitido por el proveedor. Copia los mensajes almacenados solo en un dispositivo al buzón del servidor y verifícalos desde otro cliente. Elimina la configuración POP3 antigua solo después de que los mensajes estén guardados de forma segura. Eliminarla primero puede hacer que se pierda correo que no existe en ningún otro lugar.

Mantén separados los servicios de nombres y direcciones

El sistema de nombres de dominio (DNS) utiliza el puerto 53, normalmente UDP para consultas ordinarias y TCP cuando es necesario. El protocolo de configuración dinámica de host (DHCP) utiliza UDP 67 en el servidor y 68 en el cliente. DNS encuentra la dirección correspondiente a un nombre; DHCP proporciona la configuración del propio cliente.

Para aprender los valores predeterminados, agrúpalos por tarea: web 80/443, transferencia de correo entre servidores 25, descarga de correo 110, sincronización de buzones 143, consulta de nombres 53 y configuración automática de IPv4 67/68. Mantén los puertos de correo cifrado junto a los predeterminados sin cifrar para que el trabajo de configuración vaya más allá de reconocerlos.

El trabajo de soporte suele incluir comandos remotos, escritorios remotos, carpetas compartidas o transferencia de archivos. Son tareas diferentes. Elige el servicio adecuado para la tarea y evita enviar credenciales por una conexión sin cifrar.

Administración remota y transferencia de archivos

La conexión de datos de FTP es independiente de su conexión de comandos. El modo activo utiliza el puerto 20 del servidor; el modo pasivo utiliza un puerto de datos seleccionado por el servidor. Por tanto, abrir solo el 21 puede permitir iniciar sesión mientras fallan las transferencias. FTPS añade TLS a FTP; SFTP es un protocolo distinto transportado mediante SSH. La similitud de sus nombres no los hace intercambiables en los ajustes del cliente.

Utiliza SSH en lugar de Telnet para los comandos remotos. SSH también transporta SFTP y copia segura (SCP). Para el control gráfico de Windows, accede a RDP mediante una VPN o una puerta de enlace de escritorio remoto. Exponer RDP directamente mediante un reenvío de puertos de internet favorece los ataques contra el servicio.

Archivos compartidos y redes Windows antiguas

El protocolo SMB utiliza TCP 445 para compartir archivos e impresoras. Una ruta como \\fileserver\shared identifica una carpeta compartida. Windows, macOS, Linux y los dispositivos NAS pueden utilizar SMB. El sistema común de archivos de internet (CIFS) da nombre a un dialecto inicial de SMB; las etiquetas a veces se utilizan de forma poco precisa en los menús de los dispositivos.

Mantén SMBv1 deshabilitado porque es obsoleto e inseguro. Si falla una conexión a un dispositivo antiguo, comprueba los protocolos admitidos y actualízalo o sustitúyelo, en lugar de habilitar un sistema obsoleto de uso compartido en toda la oficina.

NetBIOS sobre TCP/IP (NetBT) utiliza UDP 137 para nombres, UDP 138 para datagramas y TCP 139 para sesiones, incluidas conexiones SMB antiguas. Las redes modernas normalmente utilizan DNS para los nombres y SMB directamente en el 445.

Directorios y acceso limitado mediante cortafuegos

El protocolo ligero de acceso a directorios (LDAP) consulta y actualiza información de directorio, como usuarios, grupos y libretas de direcciones. Su puerto normal es el 389. LDAPS utiliza TLS sobre TCP 636; LDAP también puede pasar a TLS en el 389 cuando se configura STARTTLS. Una copiadora puede consultar el directorio para obtener las direcciones de correo del personal.

Supón que un cortafuegos separa las redes del personal y de los servidores. La sesión de terminal cifrada de Linux de un administrador necesita TCP 22 hacia el servidor previsto. Una solicitud de carpeta compartida necesita TCP 445 hacia el servidor de archivos. Los escritorios remotos necesitan TCP 3389 desde clientes VPN aprobados, opcionalmente con UDP para mejorar el rendimiento. Indica el origen, el destino, el transporte y el puerto en cada regla. Abrir un rango amplio porque fallan varias tareas oculta qué servicio se necesita realmente.

Wi-Fi es la familia 802.11 de estándares de redes inalámbricas del IEEE. El nombre de generación te informa de la tecnología admitida; la banda, el ancho de canal, el hardware del cliente y el entorno afectan a lo que consigue realmente un dispositivo.

Relaciona las generaciones con las bandas

Son totales ideales de los flujos admitidos, no velocidades normales para un portátil. Tanto el punto de acceso como el cliente deben admitir la banda y las funciones correspondientes. Un dispositivo Wi-Fi 6 no obtiene acceso a 6 GHz solo porque el punto de acceso admita Wi-Fi 6E.

Equilibra el alcance y el espectro disponible

La banda de 2,4 GHz suele llegar más lejos a través de las paredes, pero comparte un espectro saturado con redes cercanas, Bluetooth y hornos microondas. La banda de 5 GHz ofrece más opciones de canal y, a menudo, tasas más altas a menor distancia. La banda de 6 GHz ofrece espectro adicional y canales anchos para dispositivos 6E y Wi-Fi 7 compatibles, con menor alcance práctico y seguridad WPA3 para las redes protegidas habituales.

Los números de canal en 2,4 GHz solo están separados por 5 MHz, mientras que un canal típico ocupa unos 20 MHz. Los canales 1, 6 y 11 forman el plan habitual de canales separados. El canal 3 se solapa con el tráfico cercano tanto al 1 como al 6. Compartir un canal planificado puede funcionar mejor que crear un solapamiento parcial.

Los anchos incluyen 20, 40, 80, 160 y, con Wi-Fi 7, 320 MHz. Los canales más anchos aumentan las tasas potenciales, pero ocupan más espectro y dejan menos canales independientes. Utiliza 20 MHz en 2,4 GHz cuando haya muchas redes; 40 u 80 MHz suelen ser adecuados para 5 GHz. Elige opciones más anchas solo cuando el espectro disponible y los clientes las admitan.

Configura correctamente el país o la región. Las bandas, los canales y la potencia permitidos dependen del regulador nacional. Algunos canales de 5 GHz requieren selección dinámica de frecuencia (DFS): el punto de acceso detecta radar y cambia de canal. No copies un plan de canales de equipos configurados para otro país.

Reconoce las otras tecnologías de radio

Bluetooth forma redes de área personal cercanas, normalmente en torno a 10 m, utilizando 2,4 GHz. El emparejamiento incluye detección, selección y confirmación. Bluetooth de bajo consumo permite conectar dispositivos pequeños alimentados por batería.

La comunicación de campo cercano (NFC) funciona a centímetros y a 13,56 MHz para acciones por proximidad, como pagos o acceso. La identificación por radiofrecuencia (RFID) lee etiquetas por radio a distancias determinadas por el sistema de etiquetas. Las etiquetas pasivas utilizan energía del lector y no tienen batería. NFC es una forma especializada de RFID de corto alcance.

Para una cámara detrás de paredes exteriores, prueba 2,4 GHz por su alcance. Para un portátil compatible cercano que transfiere archivos grandes, 5 o 6 GHz pueden ser más adecuados. Los auriculares utilizan Bluetooth; una credencial de acceso utiliza un sistema RFID o NFC adecuado.

Un enrutador de pequeña oficina o doméstico conecta la red local con el proveedor y suele proporcionar Wi-Fi, direccionamiento automático y un cortafuegos. Configura primero el trayecto físico y después la administración, los ajustes de internet y la LAN. Mantén un registro para que otro técnico pueda realizar su mantenimiento.

Conecta y protege la administración

Conecta el módem o el terminal de red óptica (ONT) al puerto WAN o de internet. Conecta los equipos locales o un conmutador a los puertos LAN. Algunos módems de cable recuerdan el primer dispositivo conectado; reiniciar el módem después de sustituir el enrutador puede permitirle reconocer el nuevo.

Abre la dirección local de administración del enrutador, que aparece en su etiqueta o en el ajuste de puerta de enlace predeterminada de un cliente, o utiliza su aplicación compatible. Cambia la contraseña de administrador predeterminada por una segura y única. Utiliza administración mediante HTTPS cuando esté disponible y desactiva la administración desde internet salvo que sea necesaria. Actualiza el firmware y activa las actualizaciones automáticas cuando se ofrezcan. Sustituye los equipos que ya no reciban actualizaciones de seguridad.

Utiliza los ajustes WAN del proveedor

El proveedor determina el método. Elegir DHCP automático en un servicio que requiere PPPoE puede dejar la red local funcionando mientras falla el acceso a internet. Una dirección WAN estática y una dirección LAN estática describen lados distintos del enrutador.

Para la LAN, elige la dirección y la máscara del enrutador, el conjunto de direcciones DHCP, la duración de la concesión, las opciones DNS y las reservas. Con 192.168.1.1/24 y un conjunto de .100–.199, deja espacio fuera del conjunto para dispositivos estáticos documentados.

Identifica la traducción en equipos anteriores

La doble NAT ocurre cuando una puerta de enlace del proveedor enruta una LAN privada y un segundo enrutador enruta otra detrás de ella. La navegación suele funcionar, pero las conexiones entrantes y algunas aplicaciones resultan más difíciles de soportar. Pon la puerta de enlace del proveedor en modo puente cuando lo admita o convierte el segundo dispositivo en un punto de acceso. Un reenvío planificado puede funcionar a través de dos enrutadores locales si ambos están configurados.

Comprueba la dirección WAN antes de preparar el acceso remoto. Una dirección privada puede indicar un enrutador local anterior o traducción del proveedor. El rango compartido 100.64.0.0–100.127.255.255 suele indicar NAT de grado de operador (CGNAT). Con CGNAT, el reenvío del cliente por sí solo no puede abrir la dirección compartida del proveedor. Solicita una dirección pública o utiliza un método de acceso remoto diseñado para esa situación.

Abre solo el servicio previsto

Un reenvío de puertos podría enviar TCP 8443 externo a 192.168.1.50:443. Asigna al dispositivo interno una reserva o una dirección estática para que el destino permanezca estable. Un reenvío expone ese servicio; utiliza dispositivos actualizados y da preferencia a una VPN para el acceso remoto. Evita el ajuste amplio de equipo DMZ. UPnP permite a los clientes crear asignaciones automáticamente; déjalo desactivado salvo que necesites esa comodidad.

Registra el método WAN, el rango LAN, el conjunto de direcciones DHCP, las reservas, los reenvíos, el nombre de red y dónde se almacenan las credenciales. Exporta una copia de seguridad de la configuración si es posible. Verifica el acceso local y a internet desde un cliente después de guardar los ajustes.

Una configuración Wi-Fi útil tiene controles de acceso adecuados y señal utilizable donde se trabaja. Configura primero el nombre de red y la seguridad; después sitúa los puntos de acceso, elige los canales y verifica el resultado desde las ubicaciones de los clientes.

Da nombre a la red y protege el acceso

El identificador del conjunto de servicios (SSID) es el nombre de red visible. Utiliza un nombre neutro que no revele una dirección doméstica, un apellido ni un modelo de enrutador. Varios puntos de acceso o nodos de malla pueden compartir un SSID para permitir el desplazamiento entre ellos. La selección dirigida de banda ayuda a los dispositivos compatibles a elegir entre bandas bajo un mismo nombre.

SAE significa autenticación simultánea de iguales. AES significa estándar de cifrado avanzado, el algoritmo de cifrado de la opción WPA2-AES.

Los modos de acceso protegido Wi-Fi (WPA) son distintos del inicio de sesión de administración del enrutador. Establece una frase de contraseña Wi-Fi larga y única y una contraseña de administrador diferente. Cuatro o cinco palabras aleatorias o al menos 16 caracteres ofrecen un punto de partida práctico. Cambia el acceso compartido cuando las personas que conocían la frase de contraseña ya no deban conectarse.

No utilices la obsoleta privacidad equivalente a la de una red cableada (WEP), WPA con protocolo de integridad de clave temporal (TKIP) ni una red privada abierta. Desactiva la configuración protegida de Wi-Fi (WPS) porque su método de PIN puede exponer la frase de contraseña a ataques de adivinación. Ocultar un SSID no impide descubrirlo en el tráfico inalámbrico. El filtrado MAC puede eludirse copiando una dirección permitida y puede rechazar dispositivos cuyas direcciones privadas cambian periódicamente. Ninguna de estas medidas sustituye al cifrado seguro.

Separa a los visitantes y los dispositivos inteligentes

Proporciona a los invitados y a los dispositivos del internet de las cosas una red independiente. Confirma que bloquea el acceso a la LAN principal; la etiqueta «invitados» por sí sola no comprueba el aislamiento. El aislamiento de clientes también impide que los invitados se comuniquen entre sí. Un visitante que puede navegar, pero no abrir el servidor de archivos del personal, puede estar experimentando la separación prevista.

Lleva la señal adonde se necesita

Sitúa el enrutador o punto de acceso en una posición central, elevada y despejada. Las paredes, los armarios metálicos, los espejos y el agua debilitan las señales. Los hornos microondas pueden interferir con 2,4 GHz. Añade nodos de malla o puntos de acceso cuando una ubicación no pueda cubrir la sede; el enlace de retorno Ethernet transporta el tráfico entre ellos sin consumir el mismo tiempo de transmisión inalámbrica.

Un repetidor de una sola radio recibe y retransmite en el mismo canal, lo que a menudo reduce aproximadamente a la mitad la tasa de transferencia disponible para los clientes. Colócalo donde la señal original siga siendo utilizable, no dentro de la zona sin cobertura.

Mide y elige los canales

Un analizador Wi-Fi informa de las redes cercanas, los canales y la intensidad en dBm. Menos negativo significa más intenso. Supón que el canal 1 tiene cinco redes, la más intensa a −48 dBm; el canal 6 tiene tres, la más intensa a −62 dBm; el canal 11 tiene una a −85 dBm. El canal 11 es la mejor de estas opciones separadas porque su señal competidora es débil. Contar solo las redes pasaría por alto la diferencia de intensidad.

Recorre las zonas de trabajo y busca unos −67 dBm o una señal más intensa donde se realizan llamadas. Comprueba el rendimiento útil de las aplicaciones y la velocidad en varias ubicaciones. Registra el SSID, los canales, el modo de seguridad y las ubicaciones de los AP para poder comparar cambios posteriores con la configuración funcional.