DHCP, DNS y ARP: los tres servicios que hacen funcionar una red

Detalles
Categoría: Redes

Cuando conectas un equipo a una red y abres una página web, tres servicios trabajan en silencio: DHCP le da una dirección IP, ARP descubre a quién enviar los datos dentro de la red local y DNS convierte el nombre de la página en una IP. Si uno falla, la conexión falla aunque el cable y el Wi-Fi estén bien. Entenderlos es la mitad del diagnóstico de cualquier red.

DHCP: asignar direcciones automáticamente

DHCP (Dynamic Host Configuration Protocol) entrega a cada equipo, sin intervención manual:

  • una dirección IP,
  • la máscara de subred,
  • la puerta de enlace,
  • los servidores DNS,
  • y un tiempo de validez, llamado concesión (lease).

El servidor DHCP puede ser el propio router, un switch de capa 3 o un servidor dedicado. Funciona sobre UDP: el servidor usa el puerto 67 y el cliente el 68.

Cómo funciona: DORA

El intercambio consta de cuatro mensajes, cuya inicial forma la palabra DORA:

  1. Discover: el equipo, que aún no tiene IP, pregunta por broadcast si hay algún servidor DHCP.
  2. Offer: el servidor le ofrece una dirección y la configuración.
  3. Request: el equipo acepta la oferta y la solicita.
  4. Acknowledge (ACK): el servidor confirma y empieza la concesión.

"Intercambio DORA de DHCP entre cliente y servidor: Discover, Offer, Request y ACK, con la renovación de la concesión y la dirección APIPA sin servidor".

Renovación. A la mitad de la concesión (50 %), el equipo pide renovarla directamente al servidor. Si no responde, vuelve a intentarlo cuando se ha consumido el 87,5 % por broadcast. Si la concesión caduca sin respuesta, el equipo pierde la dirección.

Sin servidor DHCP. Muchos sistemas se asignan una dirección 169.254.x.x (APIPA o link-local). Con ella pueden hablar con otros equipos del mismo enlace, pero no salen a Internet. Verla en un equipo es la señal típica de que el DHCP no responde.

Conceptos útiles de DHCP

  • Ámbito (scope o pool): el rango de direcciones que el servidor reparte.
  • Exclusiones: direcciones del rango que no se entregan, porque están reservadas para equipos con IP fija.
  • Reservas: el servidor entrega siempre la misma IP a una MAC concreta.
  • Relay (agente de retransmisión): los broadcast no cruzan routers. Para usar un único servidor DHCP en varias subredes, el router reenvía las peticiones al servidor. En Cisco se hace con ip helper-address.
  • Un solo servidor por segmento: dos servidores sin coordinar entregan direcciones distintas y provocan conflictos. En switches gestionables existe DHCP snooping, que bloquea servidores no autorizados.

    DNS: de nombres a direcciones

    DNS (Domain Name System) traduce nombres como www.ejemplo.com en direcciones IP. Sin él habría que recordar la IP de cada página. Usa el puerto 53 (UDP, y TCP para respuestas grandes).

    Quién participa:

    • Resolvedor del equipo: pregunta al servidor DNS que tiene configurado.
    • Resolvedor recursivo: el servidor que busca la respuesta por ti (el router, el operador o uno público como 1.1.1.1 o 8.8.8.8).
    • Servidor raíz, TLD y autoritativo: la jerarquía que sabe dónde está cada dominio.

    Cómo se resuelve un nombre

    1. El equipo pregunta al resolvedor recursivo.
    2. El resolvedor pregunta a un servidor raíz, que le indica quién gestiona .com.
    3. Pregunta al servidor de .com, que le indica el servidor autoritativo de ejemplo.com.
    4. Pregunta al servidor autoritativo, que da la IP.
    5. El resolvedor devuelve la IP al equipo y la guarda en caché.

"Resolución de un nombre DNS en ocho pasos: equipo, resolvedor recursivo, servidor raíz, servidor TLD y servidor autoritativo".

Caché y TTL. Cada respuesta incluye un TTL, el tiempo que puede guardarse. Mientras no caduque, no hace falta repetir la consulta. Por eso un cambio de DNS tarda un tiempo en verse en todos los sitios.

Registros DNS más comunes

  • A: nombre a dirección IPv4.
  • AAAA: nombre a dirección IPv6.
  • CNAME: alias de otro nombre.
  • MX: servidores de correo del dominio.
  • NS: servidores autoritativos.
  • PTR: de dirección a nombre (DNS inverso).
  • TXT: texto, usado para verificación y seguridad del correo.

DNS cifrado. DNS over TLS (puerto 853) y DNS over HTTPS (puerto 443) protegen las consultas de ser leídas por el camino.

ARP: de IP a MAC

Para enviar una trama dentro de la LAN hace falta la MAC del destino, y el equipo solo conoce su IP. ARP (Address Resolution Protocol) resuelve esa duda, solo para IPv4:

  1. Request (broadcast): el equipo pregunta a toda la red "¿quién tiene la IP 192.168.1.1? Dímelo a mi IP". Va a la dirección de broadcast FF:FF:FF:FF:FF:FF.
  2. El switch lo reenvía por todos sus puertos. Los equipos que no son el destinatario lo ignoran.
  3. Reply (unicast): el equipo con esa IP responde directamente con su MAC.
  4. El equipo guarda la pareja IP–MAC en su tabla ARP durante un tiempo.

"Proceso ARP: un equipo envía una petición por broadcast, el switch la reenvía y el router responde con su dirección MAC".

Un detalle importante: cuando el destino está en otra red, el equipo no pregunta por la MAC del destino remoto, sino por la de su puerta de enlace. El router se encarga del resto del camino.

IPv6 no usa ARP. Lo sustituye NDP, que trabaja con ICMPv6 y multicast.

Seguridad de ARP

ARP no verifica quién responde. Un atacante en la misma red puede enviar respuestas falsas (ARP spoofing) para desviar el tráfico. En switches gestionables se combate con Dynamic ARP Inspection y con seguridad de puertos.

Cómo trabajan juntos: abrir una web

Cuando conectas un portátil y abres una página:

  1. DHCP le da IP, máscara, puerta de enlace y DNS.
  2. DNS convierte el nombre de la página en una dirección IP.
  3. ARP averigua la MAC de la puerta de enlace, porque el destino está fuera de la red.
  4. Se abre la conexión (TCP) y se pide la página.

Los tres se ven en el modelo OSI: DHCP y DNS son servicios de la capa de aplicación, y ARP vive entre la capa 2 y la 3. Lo tienes explicado en el artículo de OSI y TCP/IP.

Comandos útiles

DHCP

  • Windows: ipconfig /all (muestra servidor y concesión), ipconfig /release y ipconfig /renew.
  • Linux: ip a y nmcli.
  • Cisco (servidor): ip dhcp pool, ip dhcp excluded-address y show ip dhcp binding.
  • MikroTik: /ip dhcp-server lease print.

DNS

  • nslookup nombre o dig nombre para consultar.
  • Windows: ipconfig /displaydns y ipconfig /flushdns.

ARP

  • Windows y Linux: arp -a. En Linux también ip neigh.
  • Cisco: show ip arp. MikroTik: /ip arp print. Huawei: display arp.

    Los equivalentes de cada fabricante los tienes por función en el buscador de comandos Cisco, MikroTik y Huawei.

    Diagnóstico: ¿cuál de los tres falla?

    • El equipo tiene 169.254.x.x: no llega al servidor DHCP. Revisa el cable, la VLAN y si el servidor responde.
    • Ping por IP funciona, pero por nombre no: problema de DNS. Comprueba qué servidor DNS usa el equipo y prueba con otro.
    • Ping a otro equipo de la LAN no responde y la tabla ARP no lo muestra: puede ser un problema de capa 1 o 2, de VLAN o un firewall local.
    • Dos equipos con la misma IP: conflicto. Aparece como avisos de IP duplicada. Revisa exclusiones y reservas.
    • Una página sigue apuntando a una IP antigua: limpia la caché DNS del equipo y espera el TTL.

      Errores habituales

      • Dos servidores DHCP en la misma red.
      • IP fijas dentro del rango que reparte DHCP, sin exclusiones.
      • Concesiones demasiado cortas en redes grandes o muy largas en redes con muchos equipos que van y vienen (Wi-Fi de invitados).
      • Dar a los equipos un DNS que no responde.
      • Olvidar el relay al usar un servidor DHCP en otra subred.
      • Tablas ARP viejas tras cambiar una tarjeta de red o un equipo.

        Preguntas frecuentes

        ¿Qué diferencia hay entre DHCP y DNS?
        DHCP asigna direcciones IP a los equipos. DNS traduce nombres a direcciones IP.

        ¿Qué significa DORA?
        Discover, Offer, Request y Acknowledge: los cuatro mensajes con los que un equipo obtiene su IP.

        ¿Qué es la concesión (lease)?
        El tiempo durante el que un equipo puede usar la dirección que le dio el servidor DHCP.

        ¿Qué es una dirección 169.254.x.x?
        Una dirección que el equipo se pone solo cuando no encuentra un servidor DHCP. No sale de la red local.

        ¿Qué puertos usan?
        DHCP: UDP 67 (servidor) y 68 (cliente). DNS: 53. ARP no usa puertos, trabaja directamente sobre Ethernet.

        ¿Por qué ARP es de broadcast?
        Porque el equipo no sabe a quién preguntar: necesita que lo oiga toda la red.

        ¿Tiene IPv6 un equivalente de ARP?
        Sí, NDP.

        ¿Qué DNS conviene usar?
        El de tu operador o router suele ir bien. Uno público como 1.1.1.1 o 8.8.8.8 puede ser más rápido, y puedes cambiarlo en el equipo o en el servidor DHCP.

        Más recursos en esta web: Modelo OSI y TCP/IP, Redes LAN, Cables de red, IPv6, calculadoras de subredes y buscador de comandos.