Detalles

Categoría: Redes y Routing

Para evitar que un fallo en un cable o en un switch deje sin servicio a toda una red, se suelen conectar los switches con enlaces redundantes. El problema es que en una red de capa 2 esos enlaces crean bucles, y un bucle puede bloquear la red en segundos. El protocolo STP (Spanning Tree Protocol) resuelve el problema: deja activo un único camino sin bucles y mantiene los demás en reserva por si falla el principal.

Por qué un bucle de capa 2 es peligroso

Una trama Ethernet no tiene TTL, así que no caduca. Si hay un bucle, una trama de broadcast o con destino desconocido recorre la red una y otra vez y se multiplica en cada switch. Las consecuencias son:

• Tormenta de broadcast: el tráfico crece hasta saturar los enlaces y la CPU de los switches.
• Inestabilidad de la tabla MAC: los switches ven la misma dirección en puertos distintos y la actualizan continuamente.
• Tramas duplicadas en los equipos de destino.

Cómo funciona STP

Los switches intercambian mensajes llamados BPDU cada 2 segundos, con los que eligen un puente raíz y calculan el mejor camino hacia él. Cada switch identifica los puertos que forman parte del árbol y bloquea el resto. Cada switch tiene un Bridge ID, formado por una prioridad (32768 por defecto) y su dirección MAC; gana el menor. En PVST+ se suma además el número de VLAN a la prioridad, y la prioridad se configura en múltiplos de 4096.

Roles de los puertos

En el ejemplo, SW1 tiene la prioridad más baja y es el puente raíz. SW2 y SW3 eligen como puerto raíz el que les lleva directamente a SW1. En el enlace entre SW2 y SW3 el puerto designado es el del switch con menor Bridge ID, y el del otro extremo queda bloqueado.

El costo del camino

Cada enlace tiene un costo que depende de su velocidad. El camino de menor costo total hacia la raíz es el que se elige.

STP, RSTP, MSTP y PVST+

El STP clásico pasa por los estados Blocking, Listening, Learning y Forwarding, lo que supone una espera de 30 a 50 segundos tras un cambio. RSTP simplifica los estados (Discarding, Learning y Forwarding) y los vecinos acuerdan entre sí la transición, de modo que converge en pocos segundos. Hoy lo habitual es usar RSTP o Rapid PVST+.

Cómo configurar STP

La clave es decidir qué switch debe ser la raíz, normalmente el de núcleo o distribución, y un segundo como respaldo. Si no se configura, la raíz la decide la dirección MAC más baja, y puede acabar siendo el equipo más antiguo o el peor situado.

Protecciones de STP

Los puertos que conectan equipos finales no deberían recibir BPDU. Estas funciones protegen la topología:

Cómo verificar

Comprueba quién es el puente raíz de cada VLAN, qué puertos están en reenvío o bloqueados y si hay cambios de topología frecuentes, que indican un enlace inestable.

Errores frecuentes

• No configurar la raíz y dejar que la elija la MAC.
• Activar PortFast en puertos que se conectan a otros switches, lo que puede crear bucles temporales.
• Conectar un switch no gestionado en dos tomas de la red, creando un bucle sin STP.
• Mezclar modos sin planificarlo, lo que complica la interoperabilidad y el diagnóstico.
• Olvidar que la raíz debe coincidir con la puerta de enlace de la VLAN para optimizar el tráfico.
• No proteger los puertos de acceso con BPDU Guard.

Preguntas frecuentes

¿STP desperdicia enlaces?

Sí: los puertos bloqueados no transportan tráfico. Para aprovecharlos se pueden agrupar con EtherChannel, que STP ve como un único enlace, o repartir las VLAN entre varias raíces con PVST+ o MSTP.

¿Hace falta STP si uso EtherChannel?

Sí, como protección: EtherChannel evita los bloqueos entre dos switches, pero un cable mal conectado en otro lugar de la red puede crear igualmente un bucle.

¿Cuánto tarda en recuperarse la red?

Con STP clásico, entre 30 y 50 segundos. Con RSTP, unos pocos segundos.

Siguientes pasos

• EtherChannel: cómo agrupar enlaces para ganar ancho de banda y redundancia.
• Seguridad de puertos: cómo proteger los puertos de acceso del switch.
• VLAN Trunk 802.1Q: la base sobre la que funciona PVST+.
• Enrutamiento en VLAN: cómo se comunican las VLAN entre sí.

Los contenidos tienen carácter técnico e informativo. Un cambio de raíz o de modo de STP puede interrumpir el servicio: planifícalo y pruébalo en un entorno controlado.

Detalles

Categoría: Redes y Routing

ICMP (Internet Control Message Protocol) es el protocolo que utilizan los equipos y los routers para informar de errores y para hacer comprobaciones sencillas. Es la base de dos herramientas que todo técnico utiliza a diario: ping, para comprobar si un equipo responde, y traceroute, para descubrir por qué routers pasa un paquete. En este artículo se explica cómo funciona y cómo aprovecharlo para diagnosticar una red.

Qué es ICMP

ICMP está definido en la RFC 792 y viaja dentro de paquetes IP, con el número de protocolo 1. No usa puertos como TCP o UDP, y su función no es transportar datos de usuario, sino señalizar: avisar de que un destino no existe, de que un paquete se ha descartado o de que un equipo está activo. En IPv6 existe su equivalente, ICMPv6 (protocolo 58), que además es imprescindible para el funcionamiento de IPv6.

Formato del mensaje

Todo mensaje ICMP empieza con el tipo, que indica la clase de mensaje, el código, que lo detalla, y un checksum. El resto de la cabecera y los datos dependen del tipo. En los mensajes de error, los datos incluyen la cabecera IP y los primeros bytes del paquete que provocó el error, para que el origen pueda identificarlo.

Tipos y códigos más habituales

Ping: la prueba de eco

Ping envía un mensaje Echo Request (tipo 8) y espera un Echo Reply (tipo 0). Mide además el tiempo de ida y vuelta y el TTL con el que llega la respuesta. En Windows envía cuatro peticiones por defecto; en Linux sigue hasta que se detiene con Ctrl+C.

Lo que muestra Windows al fallar tiene significados distintos:

En Cisco IOS el resultado se muestra con símbolos:

Ten en cuenta que un ping sin respuesta no siempre significa que el equipo esté caído: muchos firewalls, incluido el de Windows en algunos perfiles, bloquean las peticiones de eco entrantes.

Traceroute: descubrir el camino

Traceroute envía paquetes con un TTL creciente (1, 2, 3…). Cada router resta uno al TTL; el que lo deja en cero descarta el paquete y devuelve un mensaje Time Exceeded (tipo 11), con lo que revela su dirección. Cuando una sonda llega por fin al destino, este responde con un Echo Reply, o con un Port Unreachable si las sondas eran UDP.

Los asteriscos (* * *) indican que no ha llegado respuesta en ese salto: puede haber un firewall o un router configurado para no responder, sin que el tráfico real se vea afectado. Lo importante es si los saltos posteriores sí responden.

Diagnóstico por pasos con ping

Una secuencia ordenada de pings permite localizar en qué punto falla la conectividad, avanzando desde el propio equipo hacia fuera:

Si el cuarto paso funciona y el quinto falla, la conectividad IP es correcta y el problema está en la resolución de nombres. El servicio DNS se explica en el artículo de DHCP, DNS y ARP.

ICMP y la MTU

Los paquetes que no caben en un enlace se fragmentan, salvo que lleven el bit DF (don't fragment) activado. En ese caso, el router descarta el paquete y devuelve un ICMP de tipo 3, código 4 (fragmentation needed). Así funciona el descubrimiento de la MTU de la ruta. Si un firewall bloquea esos mensajes, algunas conexiones se quedan colgadas al transferir datos grandes aunque el ping funcione: es un fallo clásico y difícil de localizar.

Seguridad: no bloquear todo ICMP

ICMP puede usarse para reconocimiento o para ataques de inundación, y por eso a veces se bloquea por completo. Es un error: se pierden mensajes necesarios. Una política razonable es permitir los tipos esenciales (Echo Reply, Destination Unreachable y Time Exceeded), limitar la tasa de Echo Request y filtrar los tipos innecesarios, sobre todo desde el exterior. En IPv6 el filtrado debe ser todavía más cuidadoso, porque ICMPv6 es parte esencial del protocolo.

Comandos por plataforma

Errores frecuentes

• Concluir que un equipo está caído solo porque no responde al ping.
• Bloquear todo ICMP en el firewall y romper el descubrimiento de la MTU.
• Interpretar los asteriscos de traceroute como un fallo del enlace.
• Hacer ping solo a un nombre y no a una IP, mezclando problemas de DNS con problemas de red.
• Olvidar que NAT, un firewall o una ACL pueden cambiar o filtrar las respuestas.
• Fiarse del TTL de la respuesta para deducir el sistema operativo: solo da una idea aproximada.

Preguntas frecuentes

¿Por qué ping a una web funciona y la web no carga?

Ping prueba solo la conectividad IP. La web puede fallar por el puerto TCP, el firewall o el propio servicio, que ICMP no comprueba.

¿Qué significa un TTL de 64, 128 o 255?

Son los valores iniciales habituales de cada sistema operativo. El valor que se ve en la respuesta es el inicial menos los saltos recorridos.

¿Qué diferencia hay entre tracert y traceroute?

Es el mismo concepto con distinto nombre. Tracert es el comando de Windows y Huawei, que envía sondas ICMP; traceroute es el de Linux y Cisco, que por defecto envía sondas UDP.

Siguientes pasos

• NAT y PAT: cómo se traducen las direcciones al salir a Internet, y por qué afecta al diagnóstico.
• DHCP, DNS y ARP: cómo se asignan las direcciones y se resuelven los nombres.
• IPv4 e IPv6: los protocolos sobre los que viaja ICMP.
• Network Probe y Network ActivSniffer: herramientas para ver estos mensajes en la red.

Los contenidos tienen carácter técnico e informativo. Antes de aplicar cambios en una red real, pruébalos en un entorno controlado y sigue los procedimientos de tu empresa u operadora.

Detalles

Categoría: Redes y Routing

Las direcciones privadas de una red local no se enrutan por Internet. Para que los equipos de esa red puedan salir al exterior, el router traduce sus direcciones a una dirección pública: eso es NAT (Network Address Translation). Su variante más extendida, PAT, permite que decenas de equipos compartan una sola IP pública. Casi todos los routers domésticos y de empresa lo aplican, y entenderlo es imprescindible para configurar y diagnosticar una red IPv4.

Por qué existe NAT

El espacio IPv4 es limitado y las direcciones públicas son escasas. Los rangos privados definidos en la RFC 1918 (10.0.0.0/8, 172.16.0.0/12 y 192.168.0.0/16, vistos en el artículo de IPv4) pueden reutilizarse en millones de redes, y NAT, descrito en la RFC 3022, hace de puente con Internet. Además de ahorrar direcciones, oculta la numeración interna al exterior.

Tipos de NAT

PAT paso a paso

Con PAT el router guarda una tabla de traducciones que relaciona cada pareja (IP privada, puerto) con una pareja (IP pública, puerto). Funciona así:

1. Un equipo interno envía un paquete a un servidor de Internet, con su IP privada y un puerto de origen.
2. El router sustituye la IP de origen por su IP pública y, si hace falta, cambia el puerto de origen para que sea único.
3. Anota la traducción en su tabla y envía el paquete.
4. El servidor responde a la IP pública y al puerto traducido.
5. El router consulta la tabla, restituye la IP privada y el puerto originales y entrega la respuesta al equipo.

Las traducciones caducan tras un tiempo de inactividad que depende del protocolo. Como cada conexión usa un puerto distinto y hay unos 65.000 puertos por dirección, una sola IP pública puede dar servicio a un gran número de conexiones simultáneas.

Terminología de NAT

La documentación de Cisco, que se ha convertido en referencia, distingue cuatro tipos de dirección según a quién pertenece el equipo (inside o outside) y desde qué lado se ve (local o global):

Cómo configurar NAT y PAT

En equipos Cisco hay que indicar qué interfaces están en el lado interno (ip nat inside) y en el externo (ip nat outside), definir qué direcciones se traducen con una ACL y asociar la traducción. Las ACL de NAT usan máscaras wildcard, explicadas en el artículo de Subnetting.

Reenvío de puertos

Con PAT, los equipos internos pueden iniciar conexiones hacia fuera, pero nadie puede iniciarlas hacia dentro. Para publicar un servicio se crea una traducción estática de un puerto (port forwarding o DNAT). Ejemplo: reenviar el puerto 8080 público al puerto 80 de un servidor interno.

En los equipos con firewall, además de la regla de NAT hay que permitir ese tráfico en la regla de reenvío correspondiente.

Cómo verificar y diagnosticar

Si NAT no funciona, revisa por orden:

1. Que las interfaces inside y outside estén bien asignadas.
2. Que la ACL o la regla incluya las direcciones internas reales.
3. Que el router tenga ruta por defecto hacia el exterior.
4. Que la interfaz externa tenga una IP pública válida o la esperada.
5. Que aparezcan traducciones en la tabla al generar tráfico, y que aumenten los contadores de aciertos.
6. Que no haya otro NAT delante (por ejemplo, el router del operador), lo que provocaría doble traducción.

Para probar la conectividad se usa ping y traceroute, descritos en el artículo de ICMP.

Limitaciones de NAT

• Rompe la conectividad extremo a extremo: los equipos externos no pueden iniciar conexiones hacia una dirección privada sin reenvío de puertos.
• Protocolos que incluyen direcciones en los datos (FTP activo, SIP, algunas VPN) pueden necesitar ayudas especiales o NAT-T en IPsec.
• Trazabilidad: varios usuarios comparten la misma IP pública, lo que complica identificar quién hizo qué.
• CGNAT: algunas operadoras aplican NAT también en su red (rango 100.64.0.0/10), y el usuario no recibe una IP pública propia, lo que impide publicar servicios.
• NAT no es un firewall: bloquea las conexiones entrantes por efecto de la traducción, pero no sustituye a unas reglas de seguridad.

NAT e IPv6

Con IPv6 hay direcciones públicas de sobra para cada equipo, por lo que NAT deja de ser necesario para ahorrar direcciones. La conectividad extremo a extremo se recupera y la seguridad se gestiona con un firewall. Se explica en el artículo de IPv6.

Errores frecuentes

• Olvidar marcar una interfaz como inside u outside.
• Escribir mal la ACL de NAT, o usar la máscara en lugar de la wildcard.
• Publicar un servicio sin la regla de firewall que permita el tráfico.
• No tener ruta por defecto, de modo que el tráfico traducido no sale.
• Encontrarse con doble NAT sin saberlo y no poder publicar servicios.
• Dejar el reenvío de puertos abierto hacia servicios sin proteger.

Preguntas frecuentes

¿PAT y NAT son lo mismo?

PAT es un tipo de NAT. NAT traduce direcciones IP; PAT traduce además los puertos para que varios equipos compartan una única IP pública.

¿Qué diferencia hay entre masquerade y SNAT?

Masquerade traduce el origen a la IP actual de la interfaz de salida, y es útil cuando esa IP cambia (por ejemplo, con DHCP). SNAT traduce a una IP fija que se indica en la regla.

¿Por qué no puedo acceder a mi servidor desde Internet?

Comprueba el reenvío de puertos, el firewall, que no haya doble NAT o CGNAT, y que la IP pública sea realmente la de tu router.

Siguientes pasos

• ICMP, ping y traceroute: cómo comprobar la conectividad y localizar fallos.
• DHCP, DNS y ARP: cómo se asignan las direcciones internas y se resuelven los nombres.
• Comandos Cisco IOS, Comandos MikroTik RouterOS y Comandos Huawei VRP: referencia de cada fabricante.

Los contenidos tienen carácter técnico e informativo. Antes de aplicar una configuración en una red real, pruébala en un entorno controlado y sigue los procedimientos de tu empresa u operadora.

Detalles

Categoría: Redes y Routing

Subnetting es dividir una red IP en redes más pequeñas llamadas subredes. Se hace para organizar los equipos, reducir el tráfico de broadcast, separar departamentos y aprovechar mejor las direcciones disponibles. Es una de las habilidades básicas de cualquier técnico de redes y se calcula con unas pocas reglas. Antes de empezar conviene dominar la estructura de una dirección y su máscara, que se explican en el artículo de IPv4.

Por qué se divide una red en subredes

• Menos broadcast: un broadcast llega a todos los equipos de su subred, así que subredes más pequeñas significan menos ruido.
• Organización: cada departamento, planta o servicio puede tener su propio rango de direcciones.
• Seguridad: es más sencillo aplicar filtros y reglas entre subredes distintas.
• Aprovechamiento: se ajusta el tamaño de cada red a los equipos que realmente necesita.
• Base de las VLAN: cada VLAN suele corresponder a una subred propia.

Bits prestados: la idea clave

Subnetear consiste en tomar prestados bits de la parte de host y pasarlos a la parte de red. Cada bit prestado duplica el número de subredes y divide por dos el número de equipos de cada una. El esquema muestra cómo cambia un /24 al mover el límite entre red y host:

Las fórmulas son estas:

• Número de subredes: 2ⁿ, donde n es el número de bits prestados.
• Hosts útiles por subred: 2^h − 2, donde h es el número de bits de host que quedan.
• Tamaño de bloque: 256 menos el valor del octeto de la máscara donde cae el límite.

Método paso a paso

1. Define la necesidad: cuántas subredes o cuántos equipos por subred, con margen de crecimiento.
2. Calcula los bits: busca n tal que 2ⁿ sea suficiente para las subredes, o h tal que 2^h − 2 cubra los equipos.
3. Obtén el nuevo prefijo: prefijo original más n, o bien 32 menos h.
4. Calcula el tamaño de bloque con la máscara resultante.
5. Enumera las subredes de bloque en bloque, con su rango de hosts y su broadcast.

Ejemplo 1: dividir una red en cuatro subredes iguales

Se quiere dividir 192.168.10.0/24 en cuatro subredes del mismo tamaño.

1. Cuatro subredes necesitan 2 bits, porque 2² = 4.
2. El nuevo prefijo es /24 + 2 = /26, con máscara 255.255.255.192.
3. Quedan 6 bits de host: 2⁶ − 2 = 62 hosts por subred.
4. El bloque es 256 − 192 = 64.

Ejemplo 2: partir de los equipos necesarios

Se necesitan subredes con capacidad para 500 equipos dentro de 172.16.0.0/16.

1. Con 9 bits de host se obtienen 2⁹ − 2 = 510 direcciones útiles, suficientes para 500. Con 8 bits solo habría 254.
2. El prefijo es 32 − 9 = /23, con máscara 255.255.254.0.
3. El límite cae en el tercer octeto, así que el bloque es 256 − 254 = 2: las subredes avanzan de 2 en 2 en ese octeto.

VLSM: subredes de tamaños distintos

El subnetting de tamaño fijo desperdicia direcciones cuando las necesidades son desiguales. Con VLSM (máscaras de longitud variable) cada subred se ajusta a su tamaño. La regla es ordenar los segmentos de mayor a menor y asignarlos uno detrás de otro, sin que se solapen y empezando cada uno en una dirección múltiplo de su tamaño.

Ejemplo con 192.168.10.0/24 y el plan de tres VLAN del artículo Redes LAN, más un enlace entre dos routers:

Quedan libres las direcciones de 192.168.10.228 a 192.168.10.255 para futuras redes. Se ha usado la primera dirección útil de cada subred como puerta de enlace, un criterio habitual que conviene mantener en toda la red.

Tabla rápida del cuarto octeto

A qué subred pertenece una dirección

Para saber en qué subred cae 192.168.10.150/27: el bloque es 256 − 224 = 32, y los bloques empiezan en .0, .32, .64, .96, .128, .160… Como 150 está entre 128 y 159, la subred es 192.168.10.128/27, con broadcast 192.168.10.159 y hosts de .129 a .158.

Máscara wildcard

La máscara wildcard es la inversa de la máscara de subred: se calcula como 255.255.255.255 menos la máscara. Los bits a 0 indican «debe coincidir» y los bits a 1 «puede variar». Se utiliza en las listas de control de acceso y al anunciar redes en protocolos como OSPF en equipos Cisco.

Resumen de rutas (supernetting)

Es el proceso inverso: agrupar varias redes contiguas en una sola ruta. Las cuatro redes 192.168.0.0/24, 192.168.1.0/24, 192.168.2.0/24 y 192.168.3.0/24 se pueden anunciar como 192.168.0.0/22. Para que funcione, las redes deben ser contiguas y el primer bloque debe empezar en una dirección múltiplo del tamaño total. Reduce el tamaño de las tablas de enrutamiento.

Errores frecuentes

• Olvidar restar 2 al contar los hosts de una subred.
• Empezar una subred en una dirección que no es múltiplo de su tamaño.
• Solapar subredes al repartir direcciones sin ordenar de mayor a menor en VLSM.
• No dejar margen de crecimiento y tener que renumerar la red.
• Usar una máscara distinta en los equipos de una misma subred.
• Asignar la dirección de red o la de broadcast a un equipo.
• Confundir la máscara de subred con la wildcard.

Preguntas frecuentes

¿Se puede usar la primera subred?

Sí. Con direccionamiento sin clases se admiten todas las subredes, incluida la primera y la última. Los equipos Cisco actuales lo permiten por defecto.

¿Cuántas subredes /27 caben en un /24?

Ocho, porque un /27 toma 3 bits prestados y 2³ = 8. Cada una tiene 30 hosts útiles.

¿Cuál es la diferencia entre subnetting y VLSM?

El subnetting clásico crea subredes del mismo tamaño. VLSM permite que cada subred tenga un tamaño distinto, ajustado a su necesidad.

Siguientes pasos

• Calculadora IPv4 y Calculadora VLSM y wildcard: para comprobar tus cálculos.
• IPv6: cómo se organiza el direccionamiento en el protocolo que sustituye a IPv4.
• VLAN Trunk 802.1Q y Enrutamiento en VLAN: cómo se aplican las subredes en una red conmutada.
• Enrutamiento en redes: cómo se comunican entre sí las subredes.

Los contenidos tienen carácter técnico e informativo. Antes de aplicar un plan de direccionamiento en una red real, compruébalo con una calculadora y valídalo en un entorno controlado.