Redes, topologías y dispositivos

Una red conecta dispositivos para que puedan intercambiar datos y compartir recursos. Abrir una carpeta compartida, imprimir un documento y cargar un sitio web implican la comunicación entre dispositivos, pero no todos siguen el mismo recorrido.

Dispositivos, enlaces y reglas

Cada dispositivo conectado es un nodo. Un dispositivo final crea o recibe los datos: un portátil, teléfono, servidor, impresora o cámara. Un dispositivo intermediario, como un conmutador, enrutador, punto de acceso o cortafuegos, transmite o controla los datos entre dispositivos finales. Un servidor sigue siendo un dispositivo final aunque atienda a cientos de clientes.

Una tarjeta de interfaz de red (NIC) proporciona la conexión cableada o inalámbrica de un dispositivo con un medio. El cable Ethernet de cobre transporta señales eléctricas; el cable de fibra óptica transporta luz y es adecuado para enlaces más largos o lugares con interferencias eléctricas. Wi-Fi, las redes móviles y Bluetooth usan radio. Un portátil puede tener tanto una interfaz cableada como una inalámbrica.

Los dispositivos siguen protocolos, reglas de comunicación acordadas. Ethernet gestiona los enlaces locales cableados; Wi-Fi, los enlaces locales inalámbricos; el protocolo de internet (IP) transporta paquetes entre redes; y el protocolo seguro de transferencia de hipertexto (HTTPS) protege las solicitudes web. Seguir reglas comunes permite que equipos de distintos fabricantes funcionen juntos. Los datos viajan en unidades más pequeñas con direcciones de origen y destino: tramas en los enlaces locales y paquetes entre redes.

Dos direcciones con funciones distintas

Una dirección MAC Ethernet normal tiene 48 bits, representados como seis pares de dígitos hexadecimales. Una interfaz tiene una dirección asignada por el fabricante, pero el software puede usar una dirección asignada localmente. Muchos teléfonos y portátiles usan direcciones MAC Wi-Fi privadas que varían entre redes. Trasladar un portátil a otra oficina suele cambiar su dirección IP; su MAC cableada normalmente sigue igual. No trates una dirección MAC como una identidad inmutable de todo un ordenador.

Capacidad, tasa alcanzada y retardo

El ancho de banda es la tasa máxima de datos de un enlace. La tasa de transferencia efectiva es la que se alcanza realmente. La latencia es el retardo del recorrido, normalmente medido en milisegundos. Un enlace de gran capacidad puede tener un retardo largo, y el tráfico que compite por él puede reducir la tasa de transferencia efectiva sin cambiar el ancho de banda anunciado.

Las tasas de red usan bits por segundo: 1 Mbps equivale a 1 000 000 bit/s y 1 Gbps, a 1000 Mbps. Los tamaños de archivo usan bytes: 1 byte equivale a 8 bits. La b minúscula y la B mayúscula importan.

Para un archivo de 1 GB en un enlace de 100 Mbps:

1. Convierte bytes a bits: $1000000000\times 8=8000000000$ bits.
2. Divide por la tasa: $8000000000÷100000000=80$ segundos.
3. A 1 Gbps, la misma transferencia ideal tarda 8 segundos. La sobrecarga y el tráfico compartido alargan las transferencias reales.

Por tanto, un enlace de 100 Mbps transporta como máximo 12,5 MB por segundo, no 100 MB por segundo. Distingue también Wi-Fi del acceso a internet: Wi-Fi conecta con la red local; un enrutador y un proveedor de servicios de internet (ISP) proporcionan la ruta más allá de ella. La impresión local puede seguir funcionando durante una interrupción de internet.

Los nombres de las redes suelen describir su alcance y propiedad. Empieza por los dispositivos y las sedes que se conectan y después pregunta quién gestiona los enlaces. La velocidad de una conexión por sí sola no te indica su tipo de red.

Desde una persona hasta oficinas lejanas

Son categorías prácticas con límites aproximados. Una universidad puede tener una CAN propia entre sus edificios y arrendar una conexión WAN con una sede de investigación en otra ciudad. Una WAN rápida sigue siendo una WAN. Internet une redes a escala mundial y no tiene un único propietario; suele describirse como la mayor WAN.

Otras dos denominaciones responden a preguntas distintas. Una red de área de almacenamiento (SAN) recibe su nombre por su función de conectar servidores con almacenamiento compartido. Pequeña oficina u oficina en casa (SOHO) describe una instalación pequeña, a menudo organizada alrededor de un enrutador de internet todo en uno.

Cómo se conectan las sedes lejanas

Una línea arrendada proporciona una conexión punto a punto dedicada con ancho de banda fijo. La red de conmutación de etiquetas multiprotocolo (MPLS) de un proveedor o Metro Ethernet también pueden conectar sedes empresariales. La banda ancha empresarial puede usar una línea de abonado digital (DSL) por el cableado telefónico, cable por la red de televisión o fibra hasta las instalaciones. Las redes móviles 4G/5G y el satélite llegan a lugares donde las conexiones fijas son difíciles y pueden proporcionar enlaces de respaldo.

Una red privada virtual (VPN) añade un túnel cifrado sobre otra red, a menudo internet. La conexión física sigue procediendo de un proveedor de servicios de internet; el túnel protege el tráfico entre sus extremos. Una red de área amplia definida por software (SD-WAN) gestiona varios enlaces WAN de forma centralizada y elige rutas adecuadas para las aplicaciones. Por ejemplo, una oficina puede tener enlaces de fibra y de red móvil, con el tráfico de las aplicaciones dirigido según las condiciones de los enlaces.

Por qué una tasa alta puede seguir pareciendo lenta

Un satélite geoestacionario está a unos 35 786 km sobre el ecuador. Una solicitud sube y baja, y la respuesta vuelve a subir y bajar. Incluso el recorrido de ida y vuelta más corto de este tipo cubre unos 143 000 km. A unos 300 000 km/s, solo la propagación de la señal tarda unos 0,48 segundos, o 480 ms. Los equipos y el resto del recorrido añaden más retardo.

Los satélites de órbita terrestre baja están mucho más cerca y tienen un retardo de propagación menor. Esta comparación trata de la latencia, no del número de bits que un servicio puede transportar por segundo. Por eso, una descarga grande y una conversación de voz en directo pueden comportarse de formas muy distintas en la misma conexión por satélite.

Un servicio puede solicitarse a un sistema central o compartirse directamente entre los ordenadores que lo usan. Estas dos disposiciones cambian la forma de gestionar las cuentas, los archivos y las copias de seguridad. Las funciones corresponden al software, así que la forma de la caja del ordenador te dice poco sobre el modelo de uso compartido.

El cliente solicita; el servidor proporciona

En las redes cliente-servidor, los clientes solicitan servicios a servidores dedicados. Un navegador web es cliente de un servidor web. Un ordenador de oficina puede solicitar una carpeta compartida a un servidor de archivos y enviar un trabajo mediante un servidor de impresión. El correo electrónico, las bases de datos y el inicio de sesión centralizado son otras funciones habituales de los servidores.

Un servidor de directorio y autenticación, como Microsoft Active Directory, almacena cuentas y comprueba los inicios de sesión. Un servidor del protocolo de configuración dinámica de hosts (DHCP) asigna direcciones de red. Un servidor del sistema de nombres de dominio (DNS) resuelve nombres, como «example.com», en direcciones. Una máquina física puede ejecutar varios servicios, mientras que un servicio muy utilizado puede repartirse entre varias máquinas.

El hardware de servidor está diseñado para ofrecer fiabilidad y atender a muchos usuarios, pero un ordenador de escritorio puede ejecutar software de servidor. Del mismo modo, un servicio en la nube sigue siendo cliente-servidor: el navegador solicita el servicio a los servidores del proveedor.

Uso compartido entre iguales

En las redes entre iguales (P2P), cada ordenador puede solicitar servicios y proporcionarlos. Tres personas podrían compartir carpetas y una impresora desde sus propios ordenadores. La carpeta compartida depende del ordenador que la aloja: si apagas ese ordenador, su carpeta deja de estar disponible.

En un grupo de trabajo de Windows, cada ordenador almacena sus propias cuentas. Si una persona usa varios ordenadores, esas cuentas deben gestionarse por separado. En un dominio, un directorio almacena las cuentas de forma centralizada. Un administrador puede desactivar una única cuenta central cuando un empleado se marcha.

Elige según el trabajo que necesitan realizar las personas

Una clínica dental empieza con cuatro ordenadores que comparten una impresora y una carpeta. A ese tamaño, una red entre iguales es sencilla. Con 25 empleados, las historias clínicas necesitan acceso controlado, las cuentas deben eliminarse de forma centralizada y las copias de seguridad deben ejecutarse cada noche. Una organización cliente-servidor, con servidores locales o servicios en la nube adecuados, permite gestionar esas tareas.

La centralización también concentra la responsabilidad. Si un servidor proporciona un servicio esencial, su fallo interrumpe ese servicio salvo que haya redundancia. La redundancia mantiene disponible un servicio durante un fallo; las copias de seguridad restauran datos anteriores tras una pérdida o un daño. Una organización puede necesitar ambas.

Algunas aplicaciones combinan disposiciones. Un servicio de videollamadas puede usar servidores centrales para iniciar sesión y encontrar a otros usuarios, y después enviar audio y vídeo directamente entre participantes. Describe la función de cada parte en lugar de suponer que todas las conexiones de una aplicación siguen un único modelo.

Una topología describe qué dispositivos tienen enlaces con qué otros dispositivos. La topología física describe los equipos y los cables. La topología lógica describe cómo circulan los datos. Lee las conexiones, no la silueta que forme casualmente un diagrama en la página.

Sigue los enlaces y los posibles fallos

Las primeras redes Ethernet coaxiales usaban un bus. Las redes de área local (LAN) cableadas modernas suelen usar estrellas y estrellas extendidas. Los anillos siguen siendo útiles en las redes de fibra de los proveedores. En una red de área amplia (WAN) radial, «hub» significa la sede central, no un antiguo dispositivo concentrador Ethernet.

Una estrella es fácil de ampliar porque un nuevo dispositivo final necesita un cable y un puerto central libre. También facilita limitar el alcance de un fallo de cable. Su centro sigue siendo un punto único de fallo. Una malla parcial invierte más en determinados enlaces para mantener disponibles las rutas importantes.

Cuenta una sola vez los enlaces de una malla completa

Con cinco sedes, cada una se conecta con otras cuatro. Al multiplicar se obtienen 20 extremos de enlace, pero cada enlace se ha contado por sus dos extremos. Divide entre dos:

Aquí, $n$ es el número de nodos y $L$ es el número de enlaces no dirigidos. Cinco sedes necesitan 10 enlaces y cuatro puertos por sede. Diez sedes necesitan 45 enlaces y nueve puertos cada una. Este crecimiento rápido hace costosa una malla completa; la mayoría de las redes reserva los enlaces adicionales para los lugares que más los necesitan.

Las disposiciones física y lógica pueden diferir

Un concentrador antiguo puede estar en el centro de unos cables que físicamente forman una estrella. Repite cada señal entrante por los demás puertos, así que todos los dispositivos reciben el tráfico compartido: lógicamente se comporta como un bus. Los equipos Token Ring también podían usar cableado en estrella mientras transmitían los datos por un anillo lógico.

Un conmutador moderno aprende los destinos y envía el tráfico de unidifusión conocido por el enlace correspondiente, formando una estrella lógica. Los sistemas reales suelen combinar diseños: cada sucursal tiene una estrella, las sucursales se conectan de forma radial con la sede central y esta tiene una malla parcial. Esa combinación es una topología híbrida.

Un campus grande resulta más fácil de ampliar cuando los conmutadores tienen funciones claras. Un diseño jerárquico separa las conexiones de los dispositivos finales, las decisiones sobre políticas y el transporte de alta velocidad. Son funciones de la red, no plantas de un edificio.

Tres funciones

Un enlace ascendente transporta tráfico desde un conmutador de acceso hacia el resto de la red. La capa de distribución reúne muchas de estas conexiones. Es el lugar habitual para decidir si el tráfico puede pasar de una red interna a otra. Después, el núcleo transporta el tráfico entre los bloques de distribución. Mantener el filtrado detallado en distribución evita ralentizar la red troncal con procesamiento innecesario.

Agrupar los equipos por función también limita las interrupciones. El fallo de un conmutador de acceso afecta a sus dispositivos conectados, mientras que otros conmutadores de acceso pueden seguir funcionando. Añadir otro bloque de acceso amplía la red sin rediseñar cada conexión.

Dos capas cuando el campus es más pequeño

Un núcleo contraído combina las funciones de distribución y núcleo en un par de conmutadores. Usa menos dispositivos y cuesta menos, por lo que resulta útil para un edificio de varias plantas o un campus pequeño. Deja menos margen de ampliación y menos opciones de redundancia que unos bloques de distribución y un núcleo separados.

Una oficina muy pequeña con un conmutador no necesita capas formales. En el otro extremo, un campus con muchos edificios se beneficia de tres capas. Elige la arquitectura según el número de bloques, el tráfico que intercambian y el crecimiento necesario. Un conmutador situado en una planta intermedia no tiene por qué ser de distribución; puede limitarse a conectar los puestos de esa planta.

Analiza un diseño redundante

Supón que tres edificios tienen cuatro plantas cada uno, con un conmutador de acceso por planta:

1. Hay $3\times 4=12$ conmutadores de acceso.
2. Cada conmutador de acceso tiene un enlace ascendente con cada miembro de su par de distribución.
3. El total es de $12\times 2=24$ enlaces ascendentes.

Si falla un conmutador de distribución, los conmutadores de acceso siguen teniendo el otro enlace ascendente y el otro conmutador de distribución. Si falla el propio conmutador de acceso, sus dispositivos finales pierden su conexión inmediata. Los enlaces ascendentes redundantes protegen las rutas por encima del conmutador de acceso; no sustituyen ese conmutador.

Un conmutador decide qué enlace local debe transportar una trama. Aprende del tráfico en lugar de necesitar que un técnico introduzca la dirección de cada dispositivo final. Esto lo hace más eficiente que un concentrador antiguo, que repite cada señal por todos los demás puertos.

Aprende el origen, reenvía al destino

Un conmutador almacena una tabla de direcciones de control de acceso al medio (MAC) que relaciona las direcciones de las interfaces con los puertos. Al recibir una trama, aprende la dirección de origen en el puerto de entrada y después busca la dirección de destino.

La inundación excluye el puerto de entrada. Permanece dentro de la VLAN de la trama. Las entradas de la tabla que no se usan caducan; 300 segundos es un valor predeterminado habitual, lo que permite que la tabla se adapte a los dispositivos trasladados o desconectados.

Empieza con una tabla vacía, el ordenador A en el puerto 1, B en el puerto 2 y C en el puerto 3. A envía a B. El conmutador aprende A en el puerto 1, pero aún no ha aprendido B, así que envía por inundación a los puertos 2 y 3. C descarta la trama porque va dirigida a B. B responde: el conmutador aprende B en el puerto 2 y ya conoce A, así que envía solo al puerto 1. Las tramas posteriores de A a B pueden ir solo al puerto 2.

Señales compartidas frente a enlaces separados

Un concentrador hace que todos los dispositivos finales compartan el ancho de banda y se turnen para enviar: semidúplex. Los envíos simultáneos provocan colisiones. Cada puerto de un conmutador proporciona un enlace separado y normalmente funciona en dúplex completo, enviando y recibiendo al mismo tiempo sin colisiones. Los dispositivos siguen compartiendo las difusiones dentro de su VLAN, lo que se denomina dominio de difusión.

Un conmutador no gestionable funciona sin configuración. Un conmutador gestionable ofrece ajustes y supervisión de VLAN, seguridad de puertos, alimentación y estadísticas de tráfico. Las empresas usan conmutadores gestionables para controlar y observar sus redes.

Separa redes lógicas y suministra alimentación

Una VLAN divide una red física conmutada en redes de área local (LAN) lógicas separadas, por ejemplo, para personal, invitados y cámaras. Las distintas VLAN necesitan enrutamiento para intercambiar tráfico. Un conmutador de capa 2 reenvía por dirección MAC; un conmutador de capa 3 también enruta por dirección del protocolo de internet (IP) entre VLAN y subredes.

La alimentación a través de Ethernet (PoE) transporta alimentación y datos por el mismo cable, algo útil para teléfonos, cámaras y puntos de acceso. Los límites del lado del conmutador y la potencia del lado del dispositivo difieren porque la resistencia del cable consume parte de la energía:

Comprueba tanto el estándar que admite cada puerto como el presupuesto total del conmutador. Un conmutador con suficientes puertos puede no tener potencia suficiente para todos los dispositivos conectados.

Un conmutador encuentra un puerto de destino local; un enrutador encuentra una ruta hacia otra red del protocolo de internet (IP). El enrutador examina la dirección IP de destino de un paquete y consulta una tabla de enrutamiento. Sus interfaces se conectan a redes distintas.

Decide si el destino es local

Un portátil tiene la dirección 192.168.10.25 en la red 192.168.10.0/24. En esta red /24, los tres primeros números identifican la red. Su puerta de enlace predeterminada es 192.168.10.1.

1. Una solicitud de impresión a 192.168.10.40 permanece en la misma red y viaja por el conmutador hasta la impresora.
2. Una solicitud al servidor web 203.0.113.80 va dirigida a otra red.
3. El portátil envía ese paquete a su puerta de enlace predeterminada, la interfaz del enrutador en su red local.
4. El enrutador elige el siguiente paso hacia el servidor.

Una tabla de enrutamiento enumera las redes de destino con un siguiente salto o una interfaz de salida. Una ruta predeterminada proporciona un siguiente salto cuando no coincide ninguna ruta más específica. Si no hay ni una ruta coincidente ni una predeterminada, el enrutador descarta el paquete. La puerta de enlace predeterminada del portátil y la ruta predeterminada del enrutador son ajustes relacionados en dispositivos distintos, no nombres intercambiables de un mismo ajuste.

Los enrutadores separan los dominios normales de difusión local. También reducen en uno el tiempo de vida (TTL) de un paquete en cada salto enrutado y lo descartan al llegar a cero, evitando que circule indefinidamente en un bucle de enrutamiento.

Un enrutador y un terminal de línea hacen trabajos distintos

Un enrutador inalámbrico de pequeña oficina u oficina en casa (SOHO) combina un enrutador, un pequeño conmutador, un punto de acceso, un cortafuegos, un servicio de direcciones del protocolo de configuración dinámica de hosts (DHCP) y traducción de direcciones de red (NAT). NAT permite que los dispositivos privados compartan una dirección pública de internet. Algunas cajas también incluyen el módem. Wi-Fi procede de la función de punto de acceso, no del propio enrutamiento.

Sigue una solicitud de internet

Un portátil doméstico envía una solicitud web por Wi-Fi al punto de acceso de la caja combinada. El enrutador la reenvía hacia el proveedor, NAT traduce la dirección privada de origen y el módem o la ONT transporta el tráfico al enlace de acceso del proveedor. El proveedor de servicios de internet (ISP) y otros enrutadores lo entregan al servidor web. El tráfico de respuesta vuelve por el dispositivo de borde hasta el portátil; su ruta por internet puede diferir de la de ida.

Los enrutadores de borde empresariales pueden terminar túneles de redes privadas virtuales (VPN), usar dos proveedores para resistir fallos y aplicar calidad de servicio (QoS) para favorecer el tráfico sensible al retardo, como la voz. Un conmutador de capa 3 es habitual para el enrutamiento interno rápido, mientras que un enrutador de borde ofrece las interfaces y los servicios de red de área amplia (WAN) necesarios en el límite con el proveedor.

Un punto de acceso inalámbrico (AP) conecta los dispositivos Wi-Fi con una red de área local (LAN) cableada. Actúa como puente para pasar las tramas inalámbricas a Ethernet a través de su conexión con el conmutador. Los usuarios reconocen la red inalámbrica por su identificador del conjunto de servicios (SSID), el nombre que aparece en la lista Wi-Fi de su dispositivo.

Crea cobertura a partir de conexiones cableadas

Un AP independiente no enruta entre redes. Un enrutador inalámbrico doméstico contiene tanto un AP como un enrutador, lo que puede ocultar la diferencia. Las redes empresariales suelen colocar AP separados donde los usuarios necesitan cobertura y conectarlos por cable a conmutadores gestionables. La alimentación a través de Ethernet (PoE) puede alimentar cada AP por ese mismo cable.

La cobertura de radio depende de las paredes, los materiales de construcción, la distancia y las interferencias. Un AP puede atender unas pocas salas o una zona abierta; una sala concurrida puede necesitar más capacidad aunque la intensidad de señal sea buena. Configura los AP vecinos en canales sin solapamiento para limitar las interferencias entre sus transmisiones.

Varios AP pueden ofrecer el mismo SSID y los mismos ajustes de seguridad por todo un edificio. Mientras una persona camina, el teléfono puede pasar a otro AP mediante itinerancia. Los ajustes coherentes facilitan este movimiento, aunque la cobertura y el comportamiento del cliente siguen afectando al traspaso. Tener todas las barras de señal describe la conexión de radio con el AP, no la velocidad ni la disponibilidad de internet más allá de él.

Gestiona varios puntos de acceso

La gestión centralizada puede aplicar los SSID y la seguridad de forma coherente y ajustar los canales y la potencia de transmisión. Reduce el trabajo de repetir cambios en muchos dispositivos.

Donde el cableado es imposible, los AP en malla y los extensores de cobertura retransmiten el tráfico de forma inalámbrica. Ese enlace de retorno inalámbrico también consume tiempo de uso del medio, por lo que los saltos adicionales suelen reducir la tasa de transferencia efectiva. Un enlace de retorno cableado lleva el tráfico del AP directamente al conmutador sin usar tiempo de Wi-Fi para esos saltos de retransmisión.

Mantén separados al personal y a los invitados

Usa acceso protegido Wi-Fi 3 (WPA3), o WPA2 cuando los equipos antiguos lo requieran. El modo Personal usa una frase de contraseña compartida. El modo Enterprise comprueba las credenciales individuales de los usuarios mediante un servidor de autenticación, lo que permite retirar el acceso a una persona sin sustituir la contraseña compartida de todos. La privacidad equivalente a una red cableada (WEP) tiene su seguridad comprometida y no es adecuada para el acceso del personal.

Considera una oficina con un AP en cada una de sus tres plantas. Cada uno tiene una conexión PoE cableada con el conmutador de su planta. Todos ofrecen «Oficina» para el personal e «Invitados» para las visitas. El tráfico del personal se asigna a la LAN virtual (VLAN) del personal, mientras que el de invitados se asigna a una VLAN separada con reglas que permiten el acceso a internet y bloquean los recursos internos. Un segundo SSID proporciona un nombre; la asignación de VLAN y las reglas de tráfico proporcionan la separación real.

Un cortafuegos controla el tráfico entre redes o zonas mediante reglas. Las reglas pueden examinar el origen, el destino, el protocolo y el puerto. Un puerto identifica el extremo de un servicio, como el puerto 443 del protocolo de control de transmisión (TCP) para el tráfico web seguro.

Adapta la protección al tráfico

Un cortafuegos de red protege una zona; un cortafuegos de host protege un dispositivo. El cortafuegos de host de un portátil sigue siendo importante cuando el portátil sale de la oficina. Juntos proporcionan defensa en profundidad, con protección en más de un punto.

Analiza una lista ordenada de reglas

Muchos cortafuegos de red usan procesamiento por primera coincidencia: examinan las reglas de arriba abajo y se detienen en la primera coincidencia. El tráfico sin coincidencias recibe la política predeterminada, normalmente una denegación implícita. El procesamiento de reglas varía entre productos; por ejemplo, Windows Defender Firewall da prioridad a los bloqueos explícitos sobre los permisos y normalmente permite el tráfico saliente.

Usa un cortafuegos de primera coincidencia con denegación predeterminada y estas reglas:

1. Permitir TCP 443 desde cualquier origen al servidor web 203.0.113.10.
2. Denegar todo el tráfico desde 198.51.100.0/24.
3. Permitir TCP 22 desde el administrador 198.51.100.7 a ese servidor web.

La solicitud TCP 22 del administrador llega primero a la regla 2 y se deniega. La regla 3 nunca llega a evaluarse. Mover el permiso específico del administrador por encima de la denegación general deja pasar esa conexión. La solicitud TCP 443 del mismo administrador coincide con la regla 1 y se permite. Una solicitud desde 192.0.2.50 a TCP 25 no coincide con ninguna regla y llega a la denegación predeterminada.

Separa los servicios expuestos del trabajo interno

Una subred protegida, también llamada zona desmilitarizada (DMZ), aloja servicios públicos como un servidor web. Está detrás de reglas que distinguen el internet exterior, la zona de servicios públicos y la red interna. Si el servidor público queda comprometido, los recursos internos siguen teniendo un límite controlado separado.

Un sistema de detección de intrusiones (IDS) examina una copia del tráfico de un puerto espejo o un dispositivo de derivación de tráfico de red y genera alertas. Un sistema de prevención de intrusiones (IPS) se sitúa en línea y puede descartar el tráfico que lo atraviesa. Ambos pueden usar firmas de ataques conocidos o detectar comportamientos que difieren de una línea base normal. Las firmas necesitan actualizaciones; la detección de anomalías puede encontrar ataques desconocidos, pero también genera falsas alarmas.

Un falso positivo señala tráfico inofensivo; un falso negativo no detecta un ataque real. Los falsos positivos de un IPS en línea pueden interrumpir a usuarios legítimos. Un dispositivo de gestión unificada de amenazas (UTM) combina funciones como cortafuegos, IPS, análisis, filtrado y redes privadas virtuales (VPN). La protección sigue necesitando varias capas: el tráfico web o de correo permitido puede transportar contenido dañino.

Los dispositivos especializados de red añaden servicios al recorrido básico de conmutación y enrutamiento. Elige un dispositivo según la función que realiza. Una caja física y una máquina virtual pueden desempeñar la misma función de red.

Reparte solicitudes y retransmítelas

Un balanceador de carga distribuye las solicitudes entre un conjunto de servidores situados detrás de una dirección virtual compartida. Comprueba el estado de los servidores y deja de seleccionar un servidor que ha fallado. Con asignación por turnos entre S1, S2 y S3, las solicitudes 1 a 7 van a S1, S2, S3, S1, S2, S3 y S1. Si S2 no supera su comprobación de estado, las solicitudes nuevas alternan entre S1 y S3. Otro método es el de menor número de conexiones: elegir el servidor con menos sesiones activas.

Un proxy directo actúa en nombre de los usuarios que realizan solicitudes a internet. Puede filtrar sitios web, guardar contenido en caché y registrar el acceso. Un proxy inverso actúa en nombre de los servidores que reciben solicitudes y se encarga de tareas como el cifrado, la caché o la distribución de carga. Una red de distribución de contenidos (CDN) mantiene copias en muchas ubicaciones para que los usuarios reciban contenido desde servidores cercanos, reduciendo el retardo y la carga del servidor de origen.

Conecta sedes o usuarios remotos de forma segura

Una red privada virtual (VPN) transporta tráfico de red por un túnel cifrado a través de una red pública. Una VPN entre sedes une redes mediante puertas de enlace. Una VPN de acceso remoto une el dispositivo de un usuario con la organización. Un concentrador VPN termina muchos túneles de usuarios remotos.

Una configuración de túnel completo envía el tráfico de internet del dispositivo por el túnel. Una configuración de túnel dividido envía por él el tráfico seleccionado de la empresa y deja que el resto use la conexión local a internet. Un proxy directo retransmite las solicitudes de una aplicación; esa función es distinta de transportar tráfico de red por un túnel. Comprueba qué tráfico está configurada para transportar una VPN antes de predecir su ruta.

Archivos, bloques de disco y alimentación eléctrica

Un NAS suele usar los protocolos de archivos bloque de mensajes del servidor (SMB) o sistema de archivos de red (NFS). Una SAN puede usar Fibre Channel o la interfaz de sistemas informáticos pequeños por internet (iSCSI) sobre Ethernet. Los usuarios ven una carpeta compartida en el NAS; un servidor ve un volumen de bloques de la SAN. La diferencia está en el acceso que se ofrece, no simplemente en cuántas unidades de disco hay en el armario.

Los servidores empresariales suelen montarse en racks y ejecutar varias máquinas virtuales. Las funciones de red, como cortafuegos, enrutadores y balanceadores de carga, también pueden ejecutarse como dispositivos virtuales especializados. Conecta a alimentación protegida los conmutadores, el enrutador y el cortafuegos, además de los servidores: un servidor en funcionamiento no puede atender a los usuarios a través de un conmutador apagado. Un balanceador de carga evita que las solicitudes nuevas lleguen a servidores averiados, pero no restaura datos eliminados; esa es la función de las copias de seguridad.

La red de una pequeña empresa tiene una cadena de funciones conectadas. La línea del proveedor termina en un módem o una terminal de red óptica (ONT). Un enrutador y un cortafuegos protegen el borde. Un conmutador principal une los servidores y el almacenamiento con los conmutadores de acceso, que conectan los puestos de trabajo, las impresoras, las cámaras y los puntos de acceso inalámbricos (AP).

Conecta un dispositivo al lugar adecuado

Un recorrido cableado típico es dispositivo → cable de conexión → toma de pared → cable permanente de la pared → panel de conexiones → cable de conexión → puerto del conmutador. El panel de conexiones termina el cableado fijo; no conmuta tráfico. Los dispositivos fijos que necesitan un rendimiento estable, incluidos el almacenamiento, las impresoras, las cámaras y los AP, son buenos candidatos para conexiones cableadas.

Los dispositivos móviles se conectan a la red de área local inalámbrica (WLAN) usando el nombre de red del personal, o identificador del conjunto de servicios (SSID). Usa acceso protegido Wi-Fi (WPA3, o WPA2 para equipos antiguos compatibles). Desactiva la configuración protegida Wi-Fi (WPS), especialmente su vulnerable método mediante PIN. Asigna a impresoras, cámaras y otros periféricos fijos direcciones del protocolo de internet (IP) reservadas o fijas para que sus usuarios puedan seguir encontrándolos.

Calcula un presupuesto de potencia

Un conmutador tiene un presupuesto total de alimentación a través de Ethernet (PoE) de 370 W. Reserva 30 W para cada uno de seis AP PoE+ y 15,4 W para cada una de cuatro cámaras.

1. Asignación para AP: $6\times 30=180$ W.
2. Asignación para cámaras: $4\times \mathrm{15,4}=\mathrm{61,6}$ W.
3. Asignación total: $180+\mathrm{61,6}=\mathrm{241,6}$ W.
4. Presupuesto restante: $370-\mathrm{241,6}=\mathrm{128,4}$ W.

Cuatro dispositivos más de 30 W necesitan 120 W y caben en el presupuesto. Cinco necesitan 150 W y no caben. Estas son las cifras de reserva del lado del conmutador; la potencia que llega al dispositivo es menor. Los puertos libres por sí solos no indican si funcionarán más dispositivos alimentados.

Prepara y prueba la conexión

Cambia las credenciales predeterminadas, actualiza el firmware, desactiva los servicios no utilizados y coloca las cámaras y los dispositivos inteligentes en una LAN virtual (VLAN) separada. Un grabador de vídeo en red (NVR) recibe las grabaciones de las cámaras; los teléfonos de voz sobre IP (VoIP), los dispositivos de control de acceso y los de medición son otros periféricos de red habituales.

Comprueba el indicador luminoso de enlace físico. En Windows, ipconfig muestra la dirección IP, la máscara y la puerta de enlace predeterminada; ip addr en Linux e ifconfig en macOS muestran las direcciones de las interfaces. Un dispositivo Windows configurado para el protocolo de configuración dinámica de hosts (DHCP) que se asigna automáticamente una dirección 169.254 no ha obtenido una dirección DHCP. Comprueba su cable o conexión Wi-Fi y el servicio DHCP. Usa ping para probar la puerta de enlace y después una dirección o un nombre de internet; el bloqueo de ping también puede impedir la respuesta.

Un portátil del personal que imprime en una impresora de su propia subred usa AP → conmutador → impresora. Para un portal en la nube, el recorrido continúa por el conmutador principal, el cortafuegos/enrutador, el terminal del proveedor y el proveedor de servicios de internet (ISP) hacia la nube. Añadir un enrutador doméstico sin planificación puede introducir otro servicio de direcciones y una red adicional; un AP gestionado es la forma adecuada de ampliar el Wi-Fi empresarial.

Un centro de datos aloja servidores, almacenamiento y equipos de red con refrigeración, seguridad física y alimentación redundante. Una organización puede gestionar sus propias instalaciones, alquilar espacio para sus equipos mediante alojamiento de equipos o usar las instalaciones de un proveedor de la nube. La red debe conectar tanto a los usuarios con los servicios como a los servicios entre sí.

Racks y direcciones del tráfico

Un rack de 19 pulgadas estándar tiene paneles frontales de 482,6 mm de ancho. La altura de los equipos se expresa en unidades de rack: 1U = 44,45 mm, y un rack habitual de altura completa admite 42U. Un conmutador en la parte superior del rack conecta los servidores de su propio rack; los conmutadores al final de la fila reúnen los cables de los servidores de una fila de racks.

El tráfico norte-sur entra o sale del centro de datos, como una solicitud de un usuario a un sitio web. El tráfico este-oeste circula entre sus servidores, como un servidor web que consulta una base de datos o un sistema de almacenamiento que copia datos a otro servidor. Estos nombres describen relaciones, no orientaciones geográficas en un plano de planta.

Crea rutas predecibles entre servidores

En las redes de espina y hoja, los servidores se conectan a conmutadores hoja y cada hoja se conecta con cada espina. En el diseño básico, las hojas no se conectan directamente con otras hojas ni las espinas con otras espinas. El tráfico entre servidores de hojas distintas sigue hoja → espina → hoja.

Con cuatro espinas y ocho hojas, el diseño necesita $4\times 8=32$ enlaces entre hojas y espinas. Un servidor de la hoja 2 puede llegar a la hoja 7 por cualquiera de las cuatro espinas. Si se pierde una espina, quedan tres rutas de ese tipo. Añadir una hoja proporciona más puertos para servidores; añadir una espina proporciona más capacidad entre hojas. La longitud uniforme de las rutas resulta adecuada para el tráfico este-oeste intenso, que puede recorrer rutas más largas en una jerarquía tradicional de campus.

Varios ordenadores dentro de un host

La virtualización de servidores ejecuta varias máquinas virtuales (VM) en un único host físico. Cada VM tiene su propio sistema operativo. Un hipervisor asigna los recursos del host y proporciona el hardware virtual que usan las VM.

Un conmutador virtual conecta las VM dentro del host y las conecta con la red física mediante las interfaces de red del host. Dos VM del mismo conmutador virtual pueden intercambiar tráfico sin usar un conmutador físico, por lo que puede ser necesario aplicar controles dentro de la red virtual.

Un contenedor empaqueta una aplicación y sus dependencias mientras comparte el núcleo del sistema operativo del host. Generalmente es más pequeño y arranca más deprisa que una VM con su propio sistema operativo. Docker es una plataforma de contenedores conocida.

La virtualización de funciones de red (NFV) ejecuta funciones como enrutadores y cortafuegos en forma de software en servidores estándar. Las redes definidas por software (SDN) separan el plano de control, que decide las rutas del tráfico, del plano de datos, que reenvía el tráfico. Un controlador central coordina esas decisiones en toda la red.

La computación en la nube proporciona recursos informáticos compartidos bajo demanda a través de una red. Los recursos se pueden aprovisionar y liberar rápidamente, y se mide su uso. La elección importante es qué tareas asume el proveedor y cuáles siguen correspondiendo al cliente.

¿Qué convierte un servicio en computación en la nube?

El Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) identifica cinco características: autoservicio bajo demanda, acceso amplio a la red, agrupación de recursos, elasticidad rápida y servicio medido. Un cliente puede solicitar recursos sin esperar a que alguien instale hardware, acceder a ellos por la red y ajustar la capacidad a partir de un conjunto compartido. La medición hace visibles el uso y los cargos.

Los modelos de servicio reparten el trabajo

Amazon EC2 y Azure Virtual Machines son ejemplos de IaaS. Azure App Service y Google App Engine son ejemplos de PaaS. El correo de Microsoft 365 y Salesforce son ejemplos de SaaS.

El modelo de responsabilidad compartida deja a cargo del proveedor las instalaciones físicas y la infraestructura subyacente del proveedor. Los clientes siguen siendo responsables de sus datos y de quién puede acceder a ellos. Un sistema operativo sin parches en una VM IaaS es tarea del cliente. Un cliente SaaS no aplica parches a la aplicación del proveedor, pero sigue eliminando a los usuarios que se marchan y fijando permisos de acceso. La cobertura y la retención de las copias de seguridad también deben ajustarse a las necesidades del cliente.

Los modelos de despliegue describen quién usa la nube

Una nube pública sirve a muchos clientes sobre la infraestructura del proveedor. La arquitectura multiinquilino comparte el hardware físico mientras aísla lógicamente los recursos de los clientes. Una nube privada sirve a una organización; puede estar en sus instalaciones o alojada en otro lugar. Una nube híbrida une recursos privados o de las instalaciones propias con una nube pública para compartir cargas de trabajo y datos. Una nube comunitaria sirve a organizaciones con necesidades comunes. Un entorno multinube consiste en usar más de un proveedor público.

Por tanto, una nube privada alojada y una sala de servidores en las instalaciones propias son ideas distintas. «Privada» describe a quién se dedica la nube, no su dirección física.

Aumenta la capacidad y sigue la demanda

La escalabilidad es la capacidad de crecer en recursos. El escalado vertical usa una máquina más grande; el horizontal añade más máquinas. La elasticidad añade y retira recursos automáticamente a medida que cambia la demanda.

Una tienda en línea funciona normalmente con dos servidores. Una promoción activa ocho más, con lo que el total llega a diez; después se retiran esos ocho. Añadir más servidores es escalado horizontal, y añadirlos y retirarlos automáticamente según la demanda demuestra elasticidad. El uso de la nube sustituye grandes compras de hardware por costes continuos de uso y aprovisionamiento rápido. Los equipos en las instalaciones propias ofrecen control directo del hardware y de la ubicación de los datos, y los servicios locales pueden seguir disponibles durante una interrupción de internet.

Una nube privada virtual (VPC) es una red lógicamente aislada dentro de una nube pública. Azure llama a su servicio equivalente red virtual, o VNet. El cliente elige los rangos de direcciones, los divide en subredes y controla las rutas y los filtros entre los recursos.

Separa los puntos de entrada públicos de los servicios privados

Considera una VPC con el rango 10.0.0.0/16. Su subred pública, 10.0.1.0/24, aloja un balanceador de carga orientado al público. Su subred privada, 10.0.2.0/24, aloja servidores de aplicaciones y una base de datos.

Una subred pública tiene una ruta a una puerta de enlace de internet. Un recurso accesible desde internet también necesita direccionamiento público adecuado y reglas que permitan el tráfico. Una subred privada no tiene una ruta directa de internet a sus recursos. Sus servidores pueden seguir estableciendo conexiones salientes mediante una puerta de enlace de traducción de direcciones de red (NAT), por ejemplo, para descargar actualizaciones. Esa puerta de enlace permite las respuestas de las conexiones iniciadas sin ofrecer a los clientes de internet una forma directa de iniciar conexiones con los servidores privados.

Situar la base de datos tras un límite privado mantiene a los visitantes públicos en el punto de entrada. La aplicación accede a la base de datos por una ruta interna permitida. Las etiquetas «pública» y «privada» describen disposiciones de enrutamiento; deben ser coherentes con las direcciones y las reglas para producir el acceso previsto.

Aplica filtros en el nivel adecuado

Los grupos de seguridad se asocian a instancias o interfaces de red. Las listas de control de acceso de red (ACL) se aplican en los límites de las subredes. El comportamiento varía según el proveedor; en Amazon Web Services (AWS):

Para una configuración sencilla de web y base de datos, permite el puerto TCP 443 en el grupo del servidor web desde los visitantes públicos. Permite el puerto TCP 3306 de la base de datos solo desde miembros del grupo del servidor web. La regla de la base de datos limita el origen a la capa web; no concede el mismo acceso a todos los visitantes de internet. Combina estos filtros con enrutamiento privado y mantén la base de datos sin una ruta de entrada pública.

Conecta la oficina con la nube

Una red privada virtual entre sedes (VPN) cifra el tráfico entre la puerta de enlace de la oficina y la red en la nube a través de internet. Se establece rápido y es relativamente económica, pero depende de la velocidad y el retardo variables de internet. Los usuarios remotos individuales usan una VPN de acceso remoto.

Una conexión privada dedicada, como AWS Direct Connect, Azure ExpressRoute o Google Cloud Interconnect, evita internet público y proporciona un ancho de banda y una latencia más predecibles. Cuesta más y requiere más tiempo de preparación. «Conexión privada» identifica el recorrido de transporte; no deduzcas de ese nombre una garantía de cifrado.

En el diseño de la tienda en línea, el balanceador de carga público acepta a los visitantes, los servidores privados descargan actualizaciones mediante NAT y los administradores usan la VPN entre la oficina y la nube. Mantener separados estos tres recorridos permite describir exactamente quién puede iniciar cada conexión.

Un diagrama de red convierte un conjunto de dispositivos y enlaces en una vista que un técnico puede utilizar. Elige la vista que responde a la pregunta: dónde está instalado algo, a qué red pertenece, cómo viaja el tráfico o cuánto espacio de rack ocupa.

Elige el dibujo adecuado

Los dibujos de capa 1 destacan los cables y puertos. Los de capa 2 destacan los conmutadores, las VLAN y los enlaces troncales, que transportan varias VLAN. Los de capa 3 destacan los enrutadores, las subredes, las direcciones del protocolo de internet (IP) y las puertas de enlace. Los detalles físicos y lógicos también pueden aparecer en dibujos combinados, así que lee las etiquetas y la leyenda.

Descifra símbolos y etiquetas

Las convenciones habituales representan un enrutador como un círculo con flechas; un conmutador, como una caja plana; un cortafuegos, como un muro de ladrillos; un punto de acceso (AP), con ondas de radio; y un servidor, como una torre o un dispositivo de rack. Una nube oculta el detalle interno de una red de internet o de un proveedor. Las líneas continuas suelen indicar enlaces cableados; las discontinuas pueden indicar enlaces inalámbricos o túneles de redes privadas virtuales (VPN). La leyenda determina el significado en ese dibujo.

Un nombre como «HQ-SW-02» identifica el segundo conmutador de la sede central. En la notación habitual de Cisco, «Gi1/0/2» nombra un puerto GigabitEthernet, mientras que «Te1/1/1» nombra un puerto de 10 gigabits. Las etiquetas como «1G» o «10G» muestran la velocidad del enlace; «192.168.20.0/24» identifica una subred y «VLAN 20 Invitados» indica el número y la finalidad de una red lógica.

Sigue un recorrido completo

Un dibujo conecta Internet → FW1 → CORE-SW → ACC-SW1 → AP1. El enlace troncal de los conmutadores transporta la VLAN 10 Personal y la VLAN 20 Invitados. El servidor SRV1 está en CORE-SW, en la VLAN 30.

El recorrido a internet de un teléfono de invitado es teléfono → AP1 → ACC-SW1 → CORE-SW → FW1 → Internet. Para decidir si puede acceder a SRV1, comprueba el enrutamiento y la política del cortafuegos entre la VLAN 20 y la VLAN 30. Compartir un recorrido físico por conmutadores no concede permiso entre redes separadas.

Cuenta el espacio del rack

Un rack de 42U tiene $42\times \mathrm{44,45}=\mathrm{1866,9}$ mm de altura de montaje. Dos paneles de conexiones de 1U, dos conmutadores de acceso de 1U, un cortafuegos de 1U, un enrutador de 1U, dos servidores de 2U, una unidad de almacenamiento de 2U y una unidad de batería de 2U ocupan:

$2+2+1+1+4+2+2=14$ U.

Quedan $42-14=28$ U de espacio total de montaje. El alzado muestra dónde está ese espacio libre. Comprueba la fecha, la versión y si el dibujo refleja la instalación ejecutada antes de basarte en él para hacer un cambio.

Los registros útiles permiten que otro técnico entienda la instalación sin hacer suposiciones. Actualízalos cuando cambie la red y conserva una copia accesible durante una interrupción. Una instalación técnicamente correcta también necesita una entrega que los usuarios puedan seguir.

Mantén registros con funciones claras

Un inventario de activos registra la marca, el modelo, el número de serie, la ubicación, la versión de firmware o software, las licencias y la garantía de cada dispositivo. Incluye los hitos del ciclo de vida, especialmente las fechas de fin de las correcciones de seguridad y del soporte técnico. Un anuncio de fin de vida útil inicia un proceso del ciclo de vida; no implica necesariamente que las actualizaciones terminen ese día.

La gestión de direcciones IP (IPAM) registra las subredes y las direcciones asignadas, reservadas o libres. Ayuda a evitar asignaciones duplicadas y muestra dónde encontrar los dispositivos fijos, como impresoras y cámaras. Mantén el plan de direccionamiento coherente con los dispositivos realmente instalados.

Etiqueta ambos extremos de cada cable, además del panel de conexiones y la toma. Un mapa de cableado relaciona esas etiquetas con el servicio. Una fila podría decir: toma «2.14» → panel B, puerto 14 → conmutador ACC-SW2, puerto 14 → VLAN 10 → impresora PRN-2F. Así, un técnico puede identificar el puerto correcto sin tirar de los cables para descubrir sus extremos.

Registra el resultado instalado y cada cambio

La documentación de la instalación ejecutada muestra lo que se instaló realmente, incluidos los cambios hechos durante el trabajo. El plan original registra la intención; el registro de la instalación ejecutada sirve para el mantenimiento posterior. La gestión de cambios registra y aprueba los cambios antes de que se realicen. Haz copias de seguridad de las configuraciones de los dispositivos y conserva una línea base cuyo buen funcionamiento se haya comprobado para poder revertir un cambio fallido.

Si se traslada una impresora a otra toma, actualiza su ubicación, la fila del mapa de cableado y el dibujo afectado. Comprueba que el registro de direcciones y la información del puerto del conmutador sigan coincidiendo. Una única entrada correcta entre varios registros contradictorios hace perder tiempo durante una interrupción.

Interpreta un compromiso de servicio

Un acuerdo de nivel de servicio (SLA) fija objetivos medibles, como la disponibilidad y el tiempo de respuesta. Para convertir la disponibilidad anual en tiempo de inactividad, calcula primero la fracción no disponible. Para un año de 365 días:

$365\times 24=8760$ horas.

Con una disponibilidad del 99,9 %, la proporción no disponible es del 0,1 %, o 0,001:

$\mathrm{0,001}\times 8760=\mathrm{8,76}$ horas.

Con el 99,99 %, es del 0,01 %, o 0,0001:

$\mathrm{0,0001}\times 8760\times 60=\mathrm{52,56}$ minutos.

Lee el periodo de medición y las exclusiones del contrato al aplicar un SLA a un servicio real. La disponibilidad es distinta de la rapidez con la que el proveedor responde por primera vez a un aviso de fallo.

Entrega el servicio con lenguaje sencillo

Una guía breve explica a qué nombre de Wi-Fi del personal o de invitados conectarse, cómo hacerlo, cómo añadir la impresora correspondiente, las normas sobre contraseñas y a quién contactar. Guía a los usuarios por las tareas y comprueba que pueden realizarlas. Da al usuario una instrucción útil, como «Conéctate a Oficina e inicia sesión con tu cuenta de empleado».

Guarda las contraseñas de administrador y las credenciales de los dispositivos en un gestor o una bóveda de contraseñas protegidos. No deben estar en una guía de usuario ni en un diagrama. Conserva una copia de los registros técnicos accesible durante una interrupción, como una carpeta impresa en el rack o una copia protegida fuera de la red que describe.