Detalles

Categoría: Redes y Routing

OSPF (Open Shortest Path First) es el protocolo de enrutamiento dinámico más utilizado en las redes de empresa. Los routers que lo ejecutan se descubren entre sí, intercambian información sobre sus enlaces y calculan por su cuenta el mejor camino hacia cada red. Si un enlace falla, las rutas se recalculan sin intervención del administrador. En este artículo se explica cómo funciona y cómo se configura, con un ejemplo completo.

Qué es OSPF

OSPF es un protocolo de estado de enlace, estándar y abierto (RFC 2328 para IPv4), por lo que funciona entre equipos de fabricantes distintos. A diferencia de los protocolos de vector de distancia como RIP, cada router conoce la topología completa de su área y calcula las rutas con el algoritmo SPF de Dijkstra. Para IPv6 existe OSPFv3. Su distancia administrativa es 110.

• Convergencia rápida: detecta los cambios y recalcula en pocos segundos.
• Escalable: se divide en áreas para limitar el tamaño de las bases de datos.
• Sin bucles dentro de un área, porque todos los routers comparten la misma visión.
• Métrica basada en el ancho de banda de los enlaces.

Cómo funciona, paso a paso

1. Descubrimiento de vecinos: los routers envían paquetes Hello por sus interfaces OSPF, a la dirección multicast 224.0.0.5.
2. Adyacencias: si los parámetros coinciden, los vecinos intercambian sus bases de datos y llegan al estado Full.
3. Base de datos de estado de enlace (LSDB): cada router anuncia sus enlaces con mensajes LSA, que se propagan por el área. Al final, todos los routers del área tienen la misma LSDB.
4. Cálculo SPF: cada router calcula el árbol de caminos más cortos con él mismo como raíz.
5. Tabla de rutas: los mejores caminos se instalan en la tabla de enrutamiento.

Los paquetes OSPF viajan directamente sobre IP, con el número de protocolo 89, y son de cinco tipos: Hello, descripción de la base de datos (DBD), petición de estado de enlace (LSR), actualización (LSU) y confirmación (LSAck).

El router ID

Cada router OSPF se identifica con un router ID de 32 bits, con formato de dirección IPv4, que debe ser único. Si no se configura, el router elige la dirección IP más alta de sus interfaces de loopback y, si no hay, la más alta de sus interfaces activas. Lo recomendable es configurarlo a mano, para que no cambie si se modifica una dirección.

El costo y el ancho de banda de referencia

OSPF elige el camino de menor costo total, que es la suma de los costos de las interfaces de salida. El costo de cada interfaz se calcula como el ancho de banda de referencia dividido entre el de la interfaz. Por defecto, la referencia es de 100 Mbps en Cisco y en Huawei, de modo que una interfaz de 1 Gbps y una de 10 Gbps tienen el mismo costo que una de 100 Mbps. Para distinguirlas hay que aumentar la referencia en todos los routers (por ejemplo, a 10 Gbps), o fijar el costo a mano en las interfaces.

Vecinos y adyacencias

Dos routers solo forman una adyacencia si coinciden varios parámetros. Los estados por los que pasa una relación entre vecinos son:

Los parámetros que deben coincidir son el área, la máscara de la red (en redes multiacceso), los temporizadores hello y dead (10 y 40 segundos por defecto en Ethernet), el tipo de área y la autenticación. Además, el router ID debe ser único y la MTU de ambos extremos, igual.

DR y BDR en redes multiacceso

En una red Ethernet con varios routers, no tendría sentido que todos se hicieran adyacentes entre sí. Por eso se elige un router designado (DR) y un router designado de respaldo (BDR): los demás (DROther) solo intercambian información completa con ellos, a través de la dirección 224.0.0.6. Gana la elección el router con mayor prioridad (1 por defecto; 0 significa que nunca será DR) y, si hay empate, el de mayor router ID. La elección no es expulsiva: un router con mejor prioridad que se conecte después no sustituye al DR actual.

En un enlace Ethernet entre solo dos routers no hace falta esa elección. Se evita configurando la interfaz como red punto a punto.

Áreas y tipos de router

Para que OSPF escale, la red se divide en áreas. El área 0 es el backbone, y todas las demás áreas deben conectarse a ella. Los routers se clasifican según su papel:

• Router interno: todas sus interfaces están en la misma área.
• ABR (Area Border Router): conecta varias áreas y resume la información entre ellas.
• ASBR (Autonomous System Boundary Router): introduce rutas externas, de otro protocolo, de rutas estáticas o de BGP.

La información se transporta en distintos tipos de LSA:

Y las áreas pueden ser de varios tipos, según lo que reciban:

Cómo configurarlo

Con la topología de ejemplo: R1 tiene la red 192.168.10.0/24 y dos enlaces, hacia R2 (10.0.12.0/30) y hacia R3 (10.0.13.0/30). Todo el dominio va en el área 0. El comando network usa una máscara wildcard, la inversa de la máscara de subred, que se explica en el artículo de Subnetting. La interfaz hacia la LAN se declara pasiva para anunciar la red sin enviar Hello a los usuarios.

Con ajustes habituales por interfaz:

En MikroTik, la sintaxis cambió entre RouterOS 6 y 7: la tabla corresponde a la versión 7. En todos los routers, usa el mismo ancho de banda de referencia.

Cómo verificar

Comprueba que todos los vecinos están en estado Full (o 2-Way entre DROther), que las redes remotas aparecen en la tabla con el código O y que el costo coincide con el esperado. En Cisco, una ruta OSPF aparece como O 192.168.30.0/24 [110/21] via 10.0.12.2: 110 es la distancia administrativa y 21 el costo total.

Diagnóstico de problemas

Seguridad

Un router no autorizado que hable OSPF puede inyectar rutas falsas en toda la red. Para evitarlo, se activa la autenticación en las interfaces (mejor con HMAC-SHA que con MD5, cuando el equipo lo permita), se declaran pasivas las interfaces hacia los usuarios y se filtra OSPF en los puertos de acceso. Para las interfaces conectadas a usuarios, ver el artículo de Seguridad de puertos.

Errores frecuentes

• No unificar el ancho de banda de referencia y obtener costos incoherentes.
• Olvidar el modo pasivo en las interfaces hacia usuarios.
• Escribir mal la wildcard del comando network y dejar interfaces fuera.
• Duplicar el router ID, por ejemplo al clonar la configuración de un equipo.
• Crear áreas que no se conectan al área 0.
• Dejar la elección de DR al azar en lugar de fijar las prioridades en redes con varios routers.
• Mezclar la configuración de interfaz y el comando network sin tener claro cuál se aplica.

Preguntas frecuentes

¿Cuándo usar OSPF y cuándo rutas estáticas?

Las estáticas bastan en redes pequeñas o con una única salida. OSPF compensa cuando hay varios routers o caminos redundantes, porque se adapta solo a los cambios. Lo habitual es combinarlos: OSPF dentro de la red y una ruta estática por defecto hacia Internet, anunciada con default-information originate.

¿Qué diferencia hay entre OSPF y RIP?

RIP es de vector de distancia, usa los saltos como métrica y converge despacio. OSPF es de estado de enlace, usa el costo y converge mucho más rápido, por lo que escala mejor.

¿Hace falta OSPFv3 para IPv6?

Sí: OSPFv2 solo transporta rutas IPv4. OSPFv3 funciona de forma muy parecida y soporta IPv6. Se explica el direccionamiento en el artículo de IPv6.

Siguientes pasos

• Enrutamiento estático: rutas manuales, por defecto y de respaldo.
• Enrutamiento en redes: los conceptos comunes a todos los protocolos.
• Enrutamiento en VLAN: cómo se comunican las VLAN entre sí con un router o un switch de capa 3.
• Subnetting: las máscaras y wildcards que usa OSPF.

Los contenidos tienen carácter técnico e informativo. Un cambio en el enrutamiento puede interrumpir el servicio: planifícalo, pruébalo en un entorno controlado y guarda una copia de la configuración antes de modificarla.

Detalles

Categoría: Redes y Routing

Un router solo sabe llegar a las redes que tiene conectadas. Para alcanzar cualquier otra necesita una ruta en su tabla de enrutamiento. En el enrutamiento estático esas rutas las escribe a mano el administrador. Es el método más sencillo y el más usado en redes pequeñas, en salidas hacia Internet y como respaldo de otros protocolos. En este artículo se explica cómo funciona, cómo se configura y cómo se diagnostica.

Qué es una ruta estática

Una ruta estática indica al router: «para llegar a esta red de destino, envía los paquetes a este siguiente salto o por esta interfaz». Como no se actualiza sola, no cambia aunque el camino falle. Frente al enrutamiento dinámico (OSPF y otros protocolos), tiene estas ventajas y limitaciones:

• Ventajas: es simple, predecible, no consume ancho de banda ni CPU en intercambiar rutas y es fácil de auditar.
• Limitaciones: no se adapta a fallos por sí sola, exige configurar cada router a mano y no escala bien en redes grandes.

Es adecuado en redes pequeñas, en redes con una sola salida (stub), para la ruta por defecto hacia el operador, para enlaces punto a punto y para rutas de respaldo. Los conceptos generales, como la tabla de rutas o la métrica, se explican en el artículo Enrutamiento en redes.

Cómo elige el router entre varias rutas

Cuando un paquete llega, el router busca en su tabla la ruta que mejor coincide con la dirección de destino, siguiendo este orden:

La distancia administrativa mide la fiabilidad de cada origen de ruta: cuanto menor, más se prefiere. Una ruta estática (1) gana frente a OSPF (110), y por eso, subiendo su distancia, se pueden crear rutas de respaldo.

Los valores son los de fábrica y se pueden modificar. En Huawei se llama «preferencia», y funciona igual: gana la menor.

Tipos de rutas estáticas

Una ruta estática puede indicar el siguiente salto (la dirección IP del router vecino), la interfaz de salida o ambos. En enlaces Ethernet conviene indicar el siguiente salto (o ambos): si solo se indica la interfaz, el router tiene que preguntar con ARP por cada destino y consume más recursos.

Ejemplo: dos routers y dos redes

R1 conecta la red 192.168.10.0/24 y R2 la red 192.168.20.0/24. Ambos se unen por un enlace 10.0.0.0/30, con R1 en 10.0.0.1 y R2 en 10.0.0.2. Cada router solo conoce sus redes conectadas, así que necesita una ruta hacia la red del otro:

En Cisco IOS:

• En R1: ip route 192.168.20.0 255.255.255.0 10.0.0.2
• En R2: ip route 192.168.10.0 255.255.255.0 10.0.0.1

El error más habitual es configurar solo una dirección: el paquete llega, pero la respuesta no encuentra camino de vuelta.

Ruta por defecto

La ruta por defecto, 0.0.0.0/0, coincide con cualquier destino y es la de menor prioridad, porque tiene el prefijo más corto posible. Se usa para enviar a Internet todo lo que no tenga una ruta más específica. En una red con una sola salida, como R1 del ejemplo, basta con una ruta por defecto hacia R2 en lugar de una por cada red:

• En R1: ip route 0.0.0.0 0.0.0.0 10.0.0.2
• En R2, hacia el operador: ip route 0.0.0.0 0.0.0.0 203.0.113.1

En Cisco, el resultado aparece en show ip route como «Gateway of last resort», y la ruta se marca con S*.

Ruta flotante: respaldo con distancia mayor

Una ruta flotante es una ruta estática con una distancia administrativa mayor que la principal. Mientras la principal está en la tabla, la flotante no se usa; si la principal desaparece, entra en su lugar.

Ojo con un detalle: la ruta principal solo desaparece de la tabla si el router detecta que el enlace está caído. Si el fallo está más allá del siguiente salto, la ruta sigue ahí y el respaldo no entra. Para evitarlo se usa seguimiento del siguiente salto: IP SLA con track en Cisco, NQA en Huawei o check-gateway en MikroTik.

Cómo configurarlas

En un switch de capa 3 de Cisco hay que activar antes el enrutamiento con ip routing. En Linux, el equipo debe tener activado el reenvío de paquetes.

Cómo verificar

En Cisco, una línea típica de la tabla es S 192.168.20.0/24 [1/0] via 10.0.0.2: la «S» indica ruta estática, y [1/0] es la distancia administrativa (1) y la métrica (0). Comprueba también el camino con ping y traceroute, que se explican en el artículo de ICMP.

Diagnóstico de problemas

Rutas estáticas y NAT

En una red con acceso a Internet, la ruta por defecto suele combinarse con NAT y PAT en el router de salida. La ruta por defecto sin NAT permite que el paquete llegue, pero las direcciones privadas no se enrutan en Internet y la respuesta no regresa.

Errores frecuentes

• Configurar la ruta de ida y olvidar la de vuelta.
• Usar una máscara equivocada, de modo que la ruta cubre más o menos redes de las previstas.
• Apuntar a un siguiente salto que no es alcanzable desde ese router.
• Poner rutas por defecto cruzadas entre dos routers, que crean bucles.
• Olvidar la distancia en una ruta de respaldo, de modo que compite con la principal.
• Resumir redes sin una ruta a Null0 y provocar bucles con tráfico a direcciones inexistentes.
• No documentar las rutas, algo que se paga cuando la red crece.

Preguntas frecuentes

¿Cuándo es mejor usar OSPF que rutas estáticas?

Cuando la red tiene varios routers, caminos redundantes o cambia con frecuencia. Con OSPF las rutas se aprenden y se recalculan solas, mientras que las estáticas se mantienen a mano.

¿Se pueden mezclar rutas estáticas y dinámicas?

Sí, es lo habitual: rutas dinámicas dentro de la red y una ruta estática por defecto hacia el operador. La distancia administrativa decide cuál se usa si coinciden.

¿Qué diferencia hay entre indicar el siguiente salto o la interfaz?

Con el siguiente salto, el router sabe a qué dirección entregar el paquete. Con solo la interfaz, en Ethernet debe resolver por ARP cada destino. Lo más fiable es indicar el siguiente salto.

Siguientes pasos

• Enrutamiento en redes: los conceptos que sirven de base a cualquier tabla de rutas.
• OSPF: el protocolo de enrutamiento dinámico más usado en redes de empresa.
• Enrutamiento en VLAN: cómo se comunican entre sí las redes virtuales.
• Subnetting y IPv4: la base del direccionamiento sobre el que se definen las rutas.

Los contenidos tienen carácter técnico e informativo. Un cambio de rutas puede interrumpir el servicio: planifícalo, pruébalo en un entorno controlado y guarda una copia de la configuración antes de modificarla.

Detalles

Categoría: Redes y Routing

Un switch acepta por defecto cualquier equipo que se conecte a uno de sus puertos. Eso significa que cualquiera con un cable puede entrar en la red de una oficina, de un edificio o de una sala técnica. La seguridad de puertos (port security) limita qué equipos pueden usar cada puerto y qué hace el switch cuando aparece uno que no debería. Es una de las medidas más sencillas y rentables del refuerzo de la capa 2.

Qué amenazas se evitan

• Conexión de equipos no autorizados: un portátil ajeno, un punto de acceso o un switch doméstico conectados a una toma libre.
• Inundación de la tabla MAC (MAC flooding): un atacante envía miles de tramas con direcciones falsas para llenar la tabla del switch, que acaba reenviando el tráfico por todos los puertos y permite espiarlo.
• Cambios no controlados: equipos que se mueven de puerto sin que nadie lo registre.

Cómo funciona

Cuando se activa en un puerto, el switch guarda las direcciones MAC permitidas y fija un máximo de direcciones por puerto (por defecto, 1). Cada trama que llega se comprueba con ese conjunto. Si la dirección de origen es nueva y todavía queda hueco, la aprende; si no queda hueco, se considera una violación y el switch aplica el modo configurado.

Tipos de direcciones seguras

El modo sticky es el más práctico: el switch aprende la dirección del equipo que se conecta y la deja fijada, sin que haya que escribirla a mano. Recuerda guardar la configuración si quieres que sobreviva a un reinicio.

Modos de violación

En shutdown el puerto pasa a err-disabled: se apaga y solo vuelve cuando alguien lo reactiva o cuando caduca un temporizador de recuperación. Es el más seguro, pero puede dejar sin servicio a un usuario legítimo que haya conectado otro equipo. Por eso, en algunos entornos se prefiere restrict, que descarta las tramas no permitidas, mantiene el puerto activo y deja constancia en el registro.

Cómo configurarla

El puerto debe ser de acceso (o un troncal configurado de forma explícita): no funciona en puertos con negociación dinámica.

En equipos con teléfono IP y PC detrás del mismo puerto, el máximo de direcciones debe ser de al menos 2 o 3, según el modelo y la configuración de la VLAN de voz.

Cómo verificar y recuperar un puerto

Otras protecciones de capa 2

La seguridad de puertos no basta por sí sola: una dirección MAC se puede falsificar con facilidad, y la función solo controla quién se conecta, no quién es. Se combina con otras medidas:

Para autenticar a los usuarios y no solo a los equipos, la solución adecuada es 802.1X.

Buenas prácticas

1. Configura todos los puertos de usuario en modo acceso de forma explícita.
2. Limita las direcciones MAC por puerto al mínimo necesario.
3. Usa sticky en puestos fijos y guarda la configuración.
4. Apaga los puertos sin usar y asígnalos a una VLAN aislada.
5. Activa BPDU Guard y PortFast en los puertos de acceso.
6. Añade DHCP snooping y Dynamic ARP Inspection en las VLAN de usuarios.
7. Envía los avisos al registro y monitoriza los puertos bloqueados.
8. Documenta qué equipo corresponde a cada puerto.

Errores frecuentes

• Olvidar el modo acceso y recibir un error al activar la función.
• Dejar el máximo en 1 en puertos con teléfono IP y PC, o con un equipo que usa máquinas virtuales.
• No guardar la configuración tras aprender las direcciones sticky.
• No avisar a los usuarios de que cambiar de equipo exige borrar la dirección anterior.
• Activar la función en enlaces entre switches o en miembros de un EtherChannel.
• No monitorizar los puertos en err-disabled.
• Confiar en la seguridad de puertos como única defensa.

Preguntas frecuentes

¿Qué ocurre si cambio el PC de un puesto?

Con sticky o con direcciones estáticas, el puerto reconoce la MAC anterior. Hay que borrar esa dirección (o el sticky del puerto) y, si el puerto se bloqueó, reactivarlo.

¿Protege contra la suplantación de MAC?

No. Un atacante que conozca la MAC permitida puede copiarla. Para evitarlo se usa 802.1X, que autentica al usuario o al equipo.

¿Cuántas direcciones permito por puerto?

Las mínimas necesarias: una para un PC, dos o tres con teléfono IP, y más si hay un switch pequeño o máquinas virtuales detrás.

Siguientes pasos

• STP: cómo se evitan los bucles y qué hace BPDU Guard.
• EtherChannel : cómo agrupar enlaces entre switches.
• VLAN Trunk 802.1Q: la segmentación sobre la que se aplican estas protecciones.
• DHCP, DNS y ARP: los protocolos que protegen DHCP snooping y la inspección de ARP.

Los contenidos tienen carácter técnico e informativo. Un cambio de seguridad en un puerto puede dejar a un usuario sin servicio: pruébalo primero en un entorno controlado y avisa a los afectados.

Detalles

Categoría: Redes y Routing

Cuando se conectan dos switches con varios cables para ganar capacidad o redundancia, el protocolo STP bloquea todos menos uno, y el resto del ancho de banda se desperdicia. EtherChannel, o agregación de enlaces, soluciona el problema: agrupa varios enlaces físicos en uno lógico que suma su capacidad y sigue funcionando si uno de ellos falla.

Qué es la agregación de enlaces

«EtherChannel» es el nombre de Cisco. El estándar abierto es IEEE 802.3ad, integrado después en 802.1AX, que define el protocolo LACP. Cada fabricante la llama de una forma:

Las ventajas principales son:

• Más ancho de banda entre dos equipos, sumando los enlaces miembros.
• Redundancia: si un enlace miembro falla, el tráfico sigue por los demás sin que STP tenga que recalcular nada.
• Gestión sencilla: para STP y para la configuración de VLAN, el canal es una única interfaz.

Protocolos y modos

La regla práctica: usa LACP siempre que sea posible, porque es estándar y negocia, de modo que detecta configuraciones incompatibles. Con el modo estático on, un error en un extremo puede crear un bucle sin que nadie lo avise.

Requisitos para formar un canal

Todos los puertos miembros deben ser idénticos en:

• Velocidad y dúplex.
• Modo (acceso o trunk), VLAN de acceso o VLAN permitidas, y VLAN nativa.
• Configuración de STP, como el costo y la prioridad.

El número máximo de enlaces activos suele ser 8, y LACP permite hasta 16 miembros con 8 activos y el resto en espera. Los dos extremos deben usar el mismo número de enlaces. Además, los miembros deben llegar al mismo equipo (o a una pila o clúster que se comporte como uno solo).

Cómo se reparte el tráfico

El tráfico no se reparte paquete a paquete, sino por flujo: el switch calcula un valor de hash a partir de las direcciones MAC, IP o de los puertos, y con él elige el enlace miembro. Todos los paquetes de una misma conversación van por el mismo enlace, lo que evita que lleguen desordenados.

Por eso dos equipos que hablan solo entre sí nunca superan la velocidad de un enlace miembro, y un mal método de hash puede dejar un enlace saturado y otro vacío. El método se elige según el tipo de tráfico; la lista disponible depende del modelo:

En Cisco se cambia con el comando global port-channel load-balance src-dst-ip; en Huawei, con load-balance src-dst-ip en la interfaz Eth-Trunk, y en MikroTik, con transmit-hash-policy.

Cómo configurarlo

Es recomendable configurar el trunk y las VLAN en la interfaz del canal, y no solo en cada puerto, para que los cambios se apliquen a todos los miembros. El trunk 802.1Q se explica en el artículo de VLAN Trunk 802.1Q.

Cómo verificar

En Cisco, el resultado de show etherchannel summary usa estos indicadores:

EtherChannel y STP

STP trata el canal como un único enlace con un costo que depende del ancho de banda total. Así se evita el bloqueo de enlaces entre dos switches, pero conviene mantener STP activo como protección frente a bucles en otras partes de la red. Se explica en el artículo de STP.

Errores frecuentes

• Miembros con velocidad, dúplex o VLAN permitidas distintas, que provocan puertos suspendidos (s).
• Poner los dos extremos en modo pasivo (LACP passive/passive o PAgP auto/auto): el canal no se forma.
• Mezclar LACP con PAgP o con el modo estático.
• Usar el modo on en un extremo y negociación en el otro.
• Configurar el canal en un extremo y olvidar el otro, lo que puede crear un bucle temporal.
• Conectar los miembros a dos switches independientes que no formen pila ni clúster.
• Esperar que un único flujo aproveche la suma de los enlaces.

Preguntas frecuentes

¿Cuántos enlaces puedo agrupar?

Depende del equipo, pero lo habitual es hasta 8 enlaces activos en un canal.

¿Puedo mezclar enlaces de distinta velocidad?

No en un mismo canal: todos los miembros deben tener la misma velocidad.

¿Sirve EtherChannel para conectar un servidor?

Sí. Los servidores usan LACP, con el nombre de bonding o teaming según el sistema operativo, para sumar varias tarjetas de red.

Siguientes pasos

• STP: cómo se evitan los bucles en la red conmutada.
• Seguridad de puertos: cómo proteger los puertos de acceso.
• VLAN Trunk 802.1Q y Enrutamiento en VLAN: cómo se transportan y se enrutan las VLAN por los canales.

Los contenidos tienen carácter técnico e informativo. Un cambio de configuración en un enlace troncal puede interrumpir el servicio: planifícalo y pruébalo en un entorno controlado.