Detalles

Categoría: Redes y Routing

Un router solo sabe llegar a las redes que tiene conectadas. Para alcanzar cualquier otra necesita una ruta en su tabla de enrutamiento. En el enrutamiento estático esas rutas las escribe a mano el administrador. Es el método más sencillo y el más usado en redes pequeñas, en salidas hacia Internet y como respaldo de otros protocolos. En este artículo se explica cómo funciona, cómo se configura y cómo se diagnostica.

Qué es una ruta estática

Una ruta estática indica al router: «para llegar a esta red de destino, envía los paquetes a este siguiente salto o por esta interfaz». Como no se actualiza sola, no cambia aunque el camino falle. Frente al enrutamiento dinámico (OSPF y otros protocolos), tiene estas ventajas y limitaciones:

• Ventajas: es simple, predecible, no consume ancho de banda ni CPU en intercambiar rutas y es fácil de auditar.
• Limitaciones: no se adapta a fallos por sí sola, exige configurar cada router a mano y no escala bien en redes grandes.

Es adecuado en redes pequeñas, en redes con una sola salida (stub), para la ruta por defecto hacia el operador, para enlaces punto a punto y para rutas de respaldo. Los conceptos generales, como la tabla de rutas o la métrica, se explican en el artículo Enrutamiento en redes.

Cómo elige el router entre varias rutas

Cuando un paquete llega, el router busca en su tabla la ruta que mejor coincide con la dirección de destino, siguiendo este orden:

La distancia administrativa mide la fiabilidad de cada origen de ruta: cuanto menor, más se prefiere. Una ruta estática (1) gana frente a OSPF (110), y por eso, subiendo su distancia, se pueden crear rutas de respaldo.

Los valores son los de fábrica y se pueden modificar. En Huawei se llama «preferencia», y funciona igual: gana la menor.

Tipos de rutas estáticas

Una ruta estática puede indicar el siguiente salto (la dirección IP del router vecino), la interfaz de salida o ambos. En enlaces Ethernet conviene indicar el siguiente salto (o ambos): si solo se indica la interfaz, el router tiene que preguntar con ARP por cada destino y consume más recursos.

Ejemplo: dos routers y dos redes

R1 conecta la red 192.168.10.0/24 y R2 la red 192.168.20.0/24. Ambos se unen por un enlace 10.0.0.0/30, con R1 en 10.0.0.1 y R2 en 10.0.0.2. Cada router solo conoce sus redes conectadas, así que necesita una ruta hacia la red del otro:

En Cisco IOS:

• En R1: ip route 192.168.20.0 255.255.255.0 10.0.0.2
• En R2: ip route 192.168.10.0 255.255.255.0 10.0.0.1

El error más habitual es configurar solo una dirección: el paquete llega, pero la respuesta no encuentra camino de vuelta.

Ruta por defecto

La ruta por defecto, 0.0.0.0/0, coincide con cualquier destino y es la de menor prioridad, porque tiene el prefijo más corto posible. Se usa para enviar a Internet todo lo que no tenga una ruta más específica. En una red con una sola salida, como R1 del ejemplo, basta con una ruta por defecto hacia R2 en lugar de una por cada red:

• En R1: ip route 0.0.0.0 0.0.0.0 10.0.0.2
• En R2, hacia el operador: ip route 0.0.0.0 0.0.0.0 203.0.113.1

En Cisco, el resultado aparece en show ip route como «Gateway of last resort», y la ruta se marca con S*.

Ruta flotante: respaldo con distancia mayor

Una ruta flotante es una ruta estática con una distancia administrativa mayor que la principal. Mientras la principal está en la tabla, la flotante no se usa; si la principal desaparece, entra en su lugar.

Ojo con un detalle: la ruta principal solo desaparece de la tabla si el router detecta que el enlace está caído. Si el fallo está más allá del siguiente salto, la ruta sigue ahí y el respaldo no entra. Para evitarlo se usa seguimiento del siguiente salto: IP SLA con track en Cisco, NQA en Huawei o check-gateway en MikroTik.

Cómo configurarlas

En un switch de capa 3 de Cisco hay que activar antes el enrutamiento con ip routing. En Linux, el equipo debe tener activado el reenvío de paquetes.

Cómo verificar

En Cisco, una línea típica de la tabla es S 192.168.20.0/24 [1/0] via 10.0.0.2: la «S» indica ruta estática, y [1/0] es la distancia administrativa (1) y la métrica (0). Comprueba también el camino con ping y traceroute, que se explican en el artículo de ICMP.

Diagnóstico de problemas

Rutas estáticas y NAT

En una red con acceso a Internet, la ruta por defecto suele combinarse con NAT y PAT en el router de salida. La ruta por defecto sin NAT permite que el paquete llegue, pero las direcciones privadas no se enrutan en Internet y la respuesta no regresa.

Errores frecuentes

• Configurar la ruta de ida y olvidar la de vuelta.
• Usar una máscara equivocada, de modo que la ruta cubre más o menos redes de las previstas.
• Apuntar a un siguiente salto que no es alcanzable desde ese router.
• Poner rutas por defecto cruzadas entre dos routers, que crean bucles.
• Olvidar la distancia en una ruta de respaldo, de modo que compite con la principal.
• Resumir redes sin una ruta a Null0 y provocar bucles con tráfico a direcciones inexistentes.
• No documentar las rutas, algo que se paga cuando la red crece.

Preguntas frecuentes

¿Cuándo es mejor usar OSPF que rutas estáticas?

Cuando la red tiene varios routers, caminos redundantes o cambia con frecuencia. Con OSPF las rutas se aprenden y se recalculan solas, mientras que las estáticas se mantienen a mano.

¿Se pueden mezclar rutas estáticas y dinámicas?

Sí, es lo habitual: rutas dinámicas dentro de la red y una ruta estática por defecto hacia el operador. La distancia administrativa decide cuál se usa si coinciden.

¿Qué diferencia hay entre indicar el siguiente salto o la interfaz?

Con el siguiente salto, el router sabe a qué dirección entregar el paquete. Con solo la interfaz, en Ethernet debe resolver por ARP cada destino. Lo más fiable es indicar el siguiente salto.

Siguientes pasos

• Enrutamiento en redes: los conceptos que sirven de base a cualquier tabla de rutas.
• OSPF: el protocolo de enrutamiento dinámico más usado en redes de empresa.
• Enrutamiento en VLAN: cómo se comunican entre sí las redes virtuales.
• Subnetting y IPv4: la base del direccionamiento sobre el que se definen las rutas.

Los contenidos tienen carácter técnico e informativo. Un cambio de rutas puede interrumpir el servicio: planifícalo, pruébalo en un entorno controlado y guarda una copia de la configuración antes de modificarla.

Detalles

Categoría: Redes y Routing

Un switch acepta por defecto cualquier equipo que se conecte a uno de sus puertos. Eso significa que cualquiera con un cable puede entrar en la red de una oficina, de un edificio o de una sala técnica. La seguridad de puertos (port security) limita qué equipos pueden usar cada puerto y qué hace el switch cuando aparece uno que no debería. Es una de las medidas más sencillas y rentables del refuerzo de la capa 2.

Qué amenazas se evitan

• Conexión de equipos no autorizados: un portátil ajeno, un punto de acceso o un switch doméstico conectados a una toma libre.
• Inundación de la tabla MAC (MAC flooding): un atacante envía miles de tramas con direcciones falsas para llenar la tabla del switch, que acaba reenviando el tráfico por todos los puertos y permite espiarlo.
• Cambios no controlados: equipos que se mueven de puerto sin que nadie lo registre.

Cómo funciona

Cuando se activa en un puerto, el switch guarda las direcciones MAC permitidas y fija un máximo de direcciones por puerto (por defecto, 1). Cada trama que llega se comprueba con ese conjunto. Si la dirección de origen es nueva y todavía queda hueco, la aprende; si no queda hueco, se considera una violación y el switch aplica el modo configurado.

Tipos de direcciones seguras

El modo sticky es el más práctico: el switch aprende la dirección del equipo que se conecta y la deja fijada, sin que haya que escribirla a mano. Recuerda guardar la configuración si quieres que sobreviva a un reinicio.

Modos de violación

En shutdown el puerto pasa a err-disabled: se apaga y solo vuelve cuando alguien lo reactiva o cuando caduca un temporizador de recuperación. Es el más seguro, pero puede dejar sin servicio a un usuario legítimo que haya conectado otro equipo. Por eso, en algunos entornos se prefiere restrict, que descarta las tramas no permitidas, mantiene el puerto activo y deja constancia en el registro.

Cómo configurarla

El puerto debe ser de acceso (o un troncal configurado de forma explícita): no funciona en puertos con negociación dinámica.

En equipos con teléfono IP y PC detrás del mismo puerto, el máximo de direcciones debe ser de al menos 2 o 3, según el modelo y la configuración de la VLAN de voz.

Cómo verificar y recuperar un puerto

Otras protecciones de capa 2

La seguridad de puertos no basta por sí sola: una dirección MAC se puede falsificar con facilidad, y la función solo controla quién se conecta, no quién es. Se combina con otras medidas:

Para autenticar a los usuarios y no solo a los equipos, la solución adecuada es 802.1X.

Buenas prácticas

1. Configura todos los puertos de usuario en modo acceso de forma explícita.
2. Limita las direcciones MAC por puerto al mínimo necesario.
3. Usa sticky en puestos fijos y guarda la configuración.
4. Apaga los puertos sin usar y asígnalos a una VLAN aislada.
5. Activa BPDU Guard y PortFast en los puertos de acceso.
6. Añade DHCP snooping y Dynamic ARP Inspection en las VLAN de usuarios.
7. Envía los avisos al registro y monitoriza los puertos bloqueados.
8. Documenta qué equipo corresponde a cada puerto.

Errores frecuentes

• Olvidar el modo acceso y recibir un error al activar la función.
• Dejar el máximo en 1 en puertos con teléfono IP y PC, o con un equipo que usa máquinas virtuales.
• No guardar la configuración tras aprender las direcciones sticky.
• No avisar a los usuarios de que cambiar de equipo exige borrar la dirección anterior.
• Activar la función en enlaces entre switches o en miembros de un EtherChannel.
• No monitorizar los puertos en err-disabled.
• Confiar en la seguridad de puertos como única defensa.

Preguntas frecuentes

¿Qué ocurre si cambio el PC de un puesto?

Con sticky o con direcciones estáticas, el puerto reconoce la MAC anterior. Hay que borrar esa dirección (o el sticky del puerto) y, si el puerto se bloqueó, reactivarlo.

¿Protege contra la suplantación de MAC?

No. Un atacante que conozca la MAC permitida puede copiarla. Para evitarlo se usa 802.1X, que autentica al usuario o al equipo.

¿Cuántas direcciones permito por puerto?

Las mínimas necesarias: una para un PC, dos o tres con teléfono IP, y más si hay un switch pequeño o máquinas virtuales detrás.

Siguientes pasos

• STP: cómo se evitan los bucles y qué hace BPDU Guard.
• EtherChannel : cómo agrupar enlaces entre switches.
• VLAN Trunk 802.1Q: la segmentación sobre la que se aplican estas protecciones.
• DHCP, DNS y ARP: los protocolos que protegen DHCP snooping y la inspección de ARP.

Los contenidos tienen carácter técnico e informativo. Un cambio de seguridad en un puerto puede dejar a un usuario sin servicio: pruébalo primero en un entorno controlado y avisa a los afectados.

Detalles

Categoría: Redes y Routing

Cuando se conectan dos switches con varios cables para ganar capacidad o redundancia, el protocolo STP bloquea todos menos uno, y el resto del ancho de banda se desperdicia. EtherChannel, o agregación de enlaces, soluciona el problema: agrupa varios enlaces físicos en uno lógico que suma su capacidad y sigue funcionando si uno de ellos falla.

Qué es la agregación de enlaces

«EtherChannel» es el nombre de Cisco. El estándar abierto es IEEE 802.3ad, integrado después en 802.1AX, que define el protocolo LACP. Cada fabricante la llama de una forma:

Las ventajas principales son:

• Más ancho de banda entre dos equipos, sumando los enlaces miembros.
• Redundancia: si un enlace miembro falla, el tráfico sigue por los demás sin que STP tenga que recalcular nada.
• Gestión sencilla: para STP y para la configuración de VLAN, el canal es una única interfaz.

Protocolos y modos

La regla práctica: usa LACP siempre que sea posible, porque es estándar y negocia, de modo que detecta configuraciones incompatibles. Con el modo estático on, un error en un extremo puede crear un bucle sin que nadie lo avise.

Requisitos para formar un canal

Todos los puertos miembros deben ser idénticos en:

• Velocidad y dúplex.
• Modo (acceso o trunk), VLAN de acceso o VLAN permitidas, y VLAN nativa.
• Configuración de STP, como el costo y la prioridad.

El número máximo de enlaces activos suele ser 8, y LACP permite hasta 16 miembros con 8 activos y el resto en espera. Los dos extremos deben usar el mismo número de enlaces. Además, los miembros deben llegar al mismo equipo (o a una pila o clúster que se comporte como uno solo).

Cómo se reparte el tráfico

El tráfico no se reparte paquete a paquete, sino por flujo: el switch calcula un valor de hash a partir de las direcciones MAC, IP o de los puertos, y con él elige el enlace miembro. Todos los paquetes de una misma conversación van por el mismo enlace, lo que evita que lleguen desordenados.

Por eso dos equipos que hablan solo entre sí nunca superan la velocidad de un enlace miembro, y un mal método de hash puede dejar un enlace saturado y otro vacío. El método se elige según el tipo de tráfico; la lista disponible depende del modelo:

En Cisco se cambia con el comando global port-channel load-balance src-dst-ip; en Huawei, con load-balance src-dst-ip en la interfaz Eth-Trunk, y en MikroTik, con transmit-hash-policy.

Cómo configurarlo

Es recomendable configurar el trunk y las VLAN en la interfaz del canal, y no solo en cada puerto, para que los cambios se apliquen a todos los miembros. El trunk 802.1Q se explica en el artículo de VLAN Trunk 802.1Q.

Cómo verificar

En Cisco, el resultado de show etherchannel summary usa estos indicadores:

EtherChannel y STP

STP trata el canal como un único enlace con un costo que depende del ancho de banda total. Así se evita el bloqueo de enlaces entre dos switches, pero conviene mantener STP activo como protección frente a bucles en otras partes de la red. Se explica en el artículo de STP.

Errores frecuentes

• Miembros con velocidad, dúplex o VLAN permitidas distintas, que provocan puertos suspendidos (s).
• Poner los dos extremos en modo pasivo (LACP passive/passive o PAgP auto/auto): el canal no se forma.
• Mezclar LACP con PAgP o con el modo estático.
• Usar el modo on en un extremo y negociación en el otro.
• Configurar el canal en un extremo y olvidar el otro, lo que puede crear un bucle temporal.
• Conectar los miembros a dos switches independientes que no formen pila ni clúster.
• Esperar que un único flujo aproveche la suma de los enlaces.

Preguntas frecuentes

¿Cuántos enlaces puedo agrupar?

Depende del equipo, pero lo habitual es hasta 8 enlaces activos en un canal.

¿Puedo mezclar enlaces de distinta velocidad?

No en un mismo canal: todos los miembros deben tener la misma velocidad.

¿Sirve EtherChannel para conectar un servidor?

Sí. Los servidores usan LACP, con el nombre de bonding o teaming según el sistema operativo, para sumar varias tarjetas de red.

Siguientes pasos

• STP: cómo se evitan los bucles en la red conmutada.
• Seguridad de puertos: cómo proteger los puertos de acceso.
• VLAN Trunk 802.1Q y Enrutamiento en VLAN: cómo se transportan y se enrutan las VLAN por los canales.

Los contenidos tienen carácter técnico e informativo. Un cambio de configuración en un enlace troncal puede interrumpir el servicio: planifícalo y pruébalo en un entorno controlado.

Detalles

Categoría: Redes y Routing

Para evitar que un fallo en un cable o en un switch deje sin servicio a toda una red, se suelen conectar los switches con enlaces redundantes. El problema es que en una red de capa 2 esos enlaces crean bucles, y un bucle puede bloquear la red en segundos. El protocolo STP (Spanning Tree Protocol) resuelve el problema: deja activo un único camino sin bucles y mantiene los demás en reserva por si falla el principal.

Por qué un bucle de capa 2 es peligroso

Una trama Ethernet no tiene TTL, así que no caduca. Si hay un bucle, una trama de broadcast o con destino desconocido recorre la red una y otra vez y se multiplica en cada switch. Las consecuencias son:

• Tormenta de broadcast: el tráfico crece hasta saturar los enlaces y la CPU de los switches.
• Inestabilidad de la tabla MAC: los switches ven la misma dirección en puertos distintos y la actualizan continuamente.
• Tramas duplicadas en los equipos de destino.

Cómo funciona STP

Los switches intercambian mensajes llamados BPDU cada 2 segundos, con los que eligen un puente raíz y calculan el mejor camino hacia él. Cada switch identifica los puertos que forman parte del árbol y bloquea el resto. Cada switch tiene un Bridge ID, formado por una prioridad (32768 por defecto) y su dirección MAC; gana el menor. En PVST+ se suma además el número de VLAN a la prioridad, y la prioridad se configura en múltiplos de 4096.

Roles de los puertos

En el ejemplo, SW1 tiene la prioridad más baja y es el puente raíz. SW2 y SW3 eligen como puerto raíz el que les lleva directamente a SW1. En el enlace entre SW2 y SW3 el puerto designado es el del switch con menor Bridge ID, y el del otro extremo queda bloqueado.

El costo del camino

Cada enlace tiene un costo que depende de su velocidad. El camino de menor costo total hacia la raíz es el que se elige.

STP, RSTP, MSTP y PVST+

El STP clásico pasa por los estados Blocking, Listening, Learning y Forwarding, lo que supone una espera de 30 a 50 segundos tras un cambio. RSTP simplifica los estados (Discarding, Learning y Forwarding) y los vecinos acuerdan entre sí la transición, de modo que converge en pocos segundos. Hoy lo habitual es usar RSTP o Rapid PVST+.

Cómo configurar STP

La clave es decidir qué switch debe ser la raíz, normalmente el de núcleo o distribución, y un segundo como respaldo. Si no se configura, la raíz la decide la dirección MAC más baja, y puede acabar siendo el equipo más antiguo o el peor situado.

Protecciones de STP

Los puertos que conectan equipos finales no deberían recibir BPDU. Estas funciones protegen la topología:

Cómo verificar

Comprueba quién es el puente raíz de cada VLAN, qué puertos están en reenvío o bloqueados y si hay cambios de topología frecuentes, que indican un enlace inestable.

Errores frecuentes

• No configurar la raíz y dejar que la elija la MAC.
• Activar PortFast en puertos que se conectan a otros switches, lo que puede crear bucles temporales.
• Conectar un switch no gestionado en dos tomas de la red, creando un bucle sin STP.
• Mezclar modos sin planificarlo, lo que complica la interoperabilidad y el diagnóstico.
• Olvidar que la raíz debe coincidir con la puerta de enlace de la VLAN para optimizar el tráfico.
• No proteger los puertos de acceso con BPDU Guard.

Preguntas frecuentes

¿STP desperdicia enlaces?

Sí: los puertos bloqueados no transportan tráfico. Para aprovecharlos se pueden agrupar con EtherChannel, que STP ve como un único enlace, o repartir las VLAN entre varias raíces con PVST+ o MSTP.

¿Hace falta STP si uso EtherChannel?

Sí, como protección: EtherChannel evita los bloqueos entre dos switches, pero un cable mal conectado en otro lugar de la red puede crear igualmente un bucle.

¿Cuánto tarda en recuperarse la red?

Con STP clásico, entre 30 y 50 segundos. Con RSTP, unos pocos segundos.

Siguientes pasos

• EtherChannel: cómo agrupar enlaces para ganar ancho de banda y redundancia.
• Seguridad de puertos: cómo proteger los puertos de acceso del switch.
• VLAN Trunk 802.1Q: la base sobre la que funciona PVST+.
• Enrutamiento en VLAN: cómo se comunican las VLAN entre sí.

Los contenidos tienen carácter técnico e informativo. Un cambio de raíz o de modo de STP puede interrumpir el servicio: planifícalo y pruébalo en un entorno controlado.