Bloque IV: 3.

Administración de
servidores de correo electrónico sus
protocolos. Administración de
contenedores y microservicios.
4. Administración de redes de área
local. Gestión de usuarios. Gestión de
dispositivos. Monitorización y control
de tráfico.
6. Comunicaciones. Medios de
transmisión. Modos de comunicación.
Equipos terminales y equipos de
interconexión y conmutación. Redes de
comunicaciones. Redes de
conmutación y redes de difusión.
Comunicaciones móviles e
inalámbricas.
7. El modelo TCP/IP y el modelo de
referencia de interconexión de sistemas
2

abiertos (OSI) de ISO. Protocolos

TCP/IP.

Bloque IV. Redes

8. Internet: arquitectura de red. Origen,
evolución y estado actual. Principales
servicios. Protocolos HTTP, HTTPS y
SSL/TLS.
9. Seguridad y protección en redes de
comunicaciones. Seguridad perimetral.
Acceso remoto seguro a redes. Redes
privadas virtuales (VPN). Seguridad en
el puesto del usuario.
10. Redes locales. Tipología. Técnicas
de transmisión. Métodos de acceso.
Dispositivos de interconexión.
Bibliografía
CCNA 200-301 Official Cert Guide Library
Introduction to Networks Companion Guide (CCNAv7)
Cyber Operations: Building, Defending, and Attacking Modern Computer Networks
Networking Essentials Companion Guide
Switching, Routing, and Wireless Essentials Companion Guide (CCNAv7)
CCNA Cybersecurity Operations Companion Guide, First Edition
2

Introduction to Computer Networks and Cybersecurity

Network Warrior, 2nd Edition
CompTIA®: Network+® Lab Manual
CompTIA Network+ Certification All-in-One Exam Guide, Eighth Edition (Exam N10-008),
8th Edition
Mike Meyers CompTIA Network+ Guide to Managing and Troubleshooting Networks Lab
Manual, Sixth Edition (Exam N10-008), 6th Edition
CCNA Routing and Switching Complete Deluxe Study Guide, 2nd Edition

Bloque IV. Redes

CompTIA Network+ Study Guide, 5th Edition
CCNA Certification Study Guide, Volume 2
Network Programmability and Automation Fundamentals
Enterprise Networking, Security, and Automation Companion Guide (CCNAv7)
CompTIA®: Network+® Lab Manual
Network Routing, 2nd Edition
The Docker Workshop
Mastering Active Directory - Third Edition
Active Directory Administration Cookbook - Second Edition
The Kubernetes Bible
Kubernetes in Action
Production Kubernetes
Cisco Certified DevNet Professional DEVCOR 350-901 Official Cert Guide
CCIE Enterprise Infrastructure Foundation

Videos y cursos
Cisco CCNA 200-301: The Complete Guide to Getting Certified
CompTIA Network+ Certification (N10-008): The Total Course
The Complete Practical Docker Guide

Introducción a las redes TCP/IP

(sacado del primer capítulo de CCNA 200-301 Offi cial Cert Guide Library)

Modelo de red TCP/IP

Un modelo de red, a veces también llamado arquitectura de red o modelo de red, se refiere a un
conjunto completo de documentos. Individualmente, cada documento describe una pequeña
función requerida para una red; colectivamente, estos documentos definen todo lo que debe
suceder para que una red informática funcione. Algunos documentos definen un protocolo, que
es un conjunto de reglas lógicas que los dispositivos deben seguir para comunicarse. Otros
documentos definen algunos requisitos físicos para la creación de redes. Por ejemplo, un

Bloque IV. Redes

documento podría definir los niveles de voltaje y corriente utilizados en un cable en particular al
transmitir datos.
Historia que lleva a TCP/IP
Hoy en día, el mundo de las redes informáticas utiliza un modelo de red: TCP/IP. Sin embargo,
el mundo no siempre ha sido tan simple. Érase una vez, los protocolos de red no existían,
incluido TCP/IP. Los proveedores crearon los primeros protocolos de red; estos protocolos solo
admitían las computadoras de ese proveedor.

Aunque los modelos de redes patentados definidos por el proveedor a menudo funcionaban
bien, tener un modelo de red abierto e independiente del proveedor ayudaría a la competencia y
reduciría la complejidad. La Organización Internacional para la Estandarización (ISO) asumió
la tarea de crear un modelo de este tipo, comenzando a fines de la década de 1970, comenzando
a trabajar en lo que se conocería como el modelo de red de Interconexión de Sistemas
Abiertos (OSI). ISO tenía un objetivo noble para el modelo OSI: estandarizar los protocolos de
redes de datos para permitir la comunicación entre todas las computadoras en todo el planeta.
ISO trabajó hacia esta meta ambiciosa y noble, con participantes de la mayoría de las naciones
tecnológicamente desarrolladas en la Tierra participando en el proceso.
Un segundo esfuerzo menos formal para crear un modelo de red pública, abierto e
independiente del proveedor surgió de un contrato del Departamento de Defensa de EE. UU.
(DoD). Investigadores de varias universidades se ofrecieron como voluntarios para ayudar a
desarrollar aún más los protocolos que rodean el trabajo original del Departamento de Defensa.
Estos esfuerzos dieron como resultado un modelo de red abierto competitivo llamado TCP/IP.
Durante la década de 1990, las empresas comenzaron a agregar OSI, TCP/IP o ambos a sus
redes empresariales; sin embargo, a fines de la década de 1990, TCP/IP se había convertido en
2

la opción común y OSI desapareció.

Descripción general del modelo de red TCP/IP

El modelo TCP/IP define y hace referencia a una gran colección de protocolos que permiten que
las computadoras se comuniquen. Para definir un protocolo, TCP/IP utiliza documentos
denominados Solicitudes de comentarios (RFC). (Podemos encontrar estos RFC utilizando
cualquier motor de búsqueda en línea). El modelo TCP/IP también evita repetir el trabajo ya
realizado por algún otro organismo de estándares o consorcio de proveedores al simplemente
referirse a los estándares o protocolos creados por esos grupos; por ejemplo, el Instituto de
Ingenieros Eléctricos y Electrónicos (IEEE) define las LAN Ethernet; el modelo TCP/IP no
define Ethernet en los RFC, pero se refiere a IEEE Ethernet como una opción.

Bloque IV. Redes

El modelo TCP/IP crea un conjunto de reglas que nos permite a todos sacar una computadora (o
dispositivo móvil) de la caja, conectar todos los cables correctos, encenderla y conectarse y usar
la red. Puede usar un navegador web para conectarse a su sitio web favorito, usar casi cualquier
aplicación y todo funciona. ¿Cómo? Bueno, el sistema operativo de la computadora implementa
partes del modelo TCP/IP. La tarjeta Ethernet, o tarjeta LAN inalámbrica, integrada en la
computadora implementa algunos estándares LAN a los que hace referencia el modelo TCP/IP.
En resumen, los proveedores que crearon el hardware y el software implementaron TCP/IP.
Para ayudar a las personas a comprender un modelo de red, cada modelo divide las funciones en
una pequeña cantidad de categorías llamadas capas. Cada capa incluye protocolos y estándares
que se relacionan con esa categoría de funciones, como se muestra en la siguiente figura:

El modelo TCP/IP muestra los términos y capas más comunes que se utilizan cuando la gente
habla de TCP/IP en la actualidad. La capa inferior se enfoca en cómo transmitir bits a través de
cada enlace individual. La capa de enlace de datos se enfoca en enviar datos a través de un tipo
de enlace físico: por ejemplo, las redes usan diferentes protocolos de enlace de datos para las
LAN Ethernet en comparación con las LAN inalámbricas. La capa de red se enfoca en entregar
datos a lo largo de toda la ruta desde la computadora de envío original hasta la computadora de
destino final. Y las dos capas superiores se enfocan más en las aplicaciones que necesitan enviar
y recibir datos.
Capa de arquitectura TCP/IP Protocolo de ejemplo
Solicitud HTTP,PO3,SMTP
Transporte TCP,UDP
Red IP,
Enlace a datos Ethernet, 802.11 (Wi-Fi)

Capa de aplicación TCP/IP

Los protocolos de capa de aplicación TCP/IP brindan servicios al software de aplicación que se
ejecuta en una computadora. La capa de aplicación no define la aplicación en sí, pero define los
2

servicios que necesitan las aplicaciones. Por ejemplo, el protocolo de aplicación HTTP define
cómo los navegadores web pueden extraer el contenido de una página web desde un servidor
web. En resumen, la capa de aplicación proporciona una interfaz entre el software que se ejecuta
en una computadora y la red misma.

Bloque IV. Redes

Descripción general de HTTP

La aplicación del navegador web y la aplicación del servidor web, usan un protocolo de capa de
aplicación TCP/IP: para realizar la solicitud de una página web y devolver el contenido de la
página web, las aplicaciones utilizan el Protocolo de transferencia de hipertexto (HTTP).

El mensaje comienza con un encabezado HTTP, con un código de retorno (200), lo que
significa algo tan simple como "OK" devuelto en el encabezado. HTTP también define otros
códigos de retorno para que el servidor pueda decirle al navegador si la solicitud funcionó.
Capa de transporte TCP/IP
Aunque existen muchos protocolos de capa de aplicación de TCP/IP, la capa de transporte de
TCP/IP incluye un número menor de protocolos. Los dos protocolos de capa de transporte más
utilizados son el Protocolo de control de transmisión (TCP) y el Protocolo de datagramas
de usuario (UDP).
TCP/IP necesita un mecanismo para garantizar la entrega de datos a través de una red. Debido a
que muchos protocolos de capa de aplicación probablemente deseen una forma de garantizar la
entrega de datos a través de una red, los creadores de TCP incluyeron una función de
recuperación de errores. Para recuperarse de errores, TCP utiliza el concepto de
reconocimientos.
2

Figura 1: Servicios de recuperación de errores de TCP proporcionados a HTTP

Bloque IV. Redes

Interacciones de la misma capa y de la capa adyacente
La Figura anterior también muestra una función llamada interacción de capas adyacentes, que
se refiere a los conceptos de cómo las capas adyacentes en un modelo de red, en la misma
computadora, trabajan juntas. En este ejemplo, el protocolo de capa superior (HTTP) desea la
recuperación de errores, por lo que utiliza el siguiente protocolo de capa inferior (TCP) para
realizar el servicio de recuperación de errores; la capa inferior proporciona un servicio a la capa
superior.
La Figura anterior también muestra un ejemplo de una función similar llamada interacción de la
misma capa. Cuando una capa en particular en una computadora quiere comunicarse con la
misma capa en otra computadora, las dos computadoras usan encabezados para contener la
información que desea comunicar.
Concepto Descripción
Interacción de la misma capa en diferentes Las dos computadoras usan un protocolo para
computadoras comunicarse con la misma capa en otra
computadora. El protocolo define un
encabezado que comunica lo que cada
computadora quiere hacer.
Interacción de capas adyacentes en la En una sola computadora, una capa inferior
misma computadora proporciona un servicio a la capa superior. El
software o hardware que implementa la capa
superior solicita que la siguiente capa inferior
realice la función necesaria.
Capa de red
La capa de aplicación incluye muchos protocolos. La capa de transporte incluye menos
protocolos, en particular, TCP y UDP. La capa de red TCP/IP incluye una pequeña cantidad de
protocolos, pero solo un protocolo principal: el Protocolo de Internet (IP). De hecho, el
nombre TCP/IP es simplemente los nombres de los dos protocolos más comunes (TCP e IP)
separados por /.
IP define direcciones por varias razones importantes. En primer lugar, cada dispositivo que
utiliza TCP/IP (cada host TCP/IP ) necesita una dirección única para que pueda identificarse en
la red. IP también define cómo agrupar las direcciones, al igual que el sistema postal agrupa las
direcciones según los códigos postales.

Bloque IV. Redes

La figura siguiente repite el caso familiar en el que el servidor web Larry quiere enviar parte de
una página web a Bob, pero ahora con detalles relacionados con la IP. En la parte inferior
izquierda, tenga en cuenta que el servidor Larry tiene los datos de la aplicación familiar, el
encabezado HTTP y el encabezado TCP listos para enviar. Además, el mensaje ahora contiene
un encabezado IP. El encabezado IP incluye una dirección IP de origen de la dirección IP de
Larry (1.1.1.1) y una dirección IP de destino de la dirección IP de Bob (2.2.2.2).

El paso 1, a la izquierda de la Figura anterior, comienza cuando Larry está listo para enviar un
paquete IP. El proceso IP de Larry elige enviar el paquete a algún enrutador, un enrutador
cercano en la misma LAN, con la expectativa de que el enrutador sepa cómo reenviar el
paquete. (Esta lógica es muy similar a que usted o yo enviemos todas nuestras cartas
colocándolas en un buzón cercano). Larry no necesita saber nada más sobre la topología o los
otros enrutadores.

En el paso 2, el enrutador R1 recibe el paquete de IP y el proceso de IP de R1 toma una

decisión. R1 mira la dirección de destino (2.2.2.2), compara esa dirección con sus rutas IP
conocidas y elige reenviar el paquete al enrutador R2. Este proceso de reenvío del paquete IP se
denomina enrutamiento IP (o simplemente enrutamiento).
En el paso 3, el enrutador R2 repite el mismo tipo de lógica que usa el enrutador R1. El proceso
IP de R2 comparará la dirección IP de destino del paquete (2.2.2.2) con las rutas IP conocidas
de R2 y tomará la decisión de reenviar el paquete a la derecha, a Bob.
Enlace de datos TCP/IP y capas físicas
Las capas físicas y de enlace de datos del modelo TCP/IP definen los protocolos y el hardware
2

necesarios para entregar datos a través de alguna red física. Los dos trabajan juntos muy de
cerca; de hecho, algunos estándares definen tanto el enlace de datos como las funciones de la
capa física. La capa física define el cableado y la energía (por ejemplo, señales eléctricas) que
fluyen por los cables.

Bloque IV. Redes

La Figura anterior muestra cuatro pasos. Los dos primeros ocurren en Larry y los dos últimos en
el enrutador R1, de la siguiente manera:

Larry transmite El enrutador R1

Larry encapsula el físicamente los bits recibe físicamente
paquete IP entre de esta trama de la señal eléctrica a
un encabezado de Ethernet, través de un cable
Ethernet y un utilizando y recrea los
tráiler de Ethernet, electricidad que mismos bits al
creando una trama fluye por el interpretar el
de Ethernet . cableado de significado de las
Ethernet. señales eléctricas.

El enrutador R1
desencapsula el
paquete IP de la
trama de
2

Ethernet
eliminando y
descartando el
encabezado y el
tráiler de
Ethernet.

Bloque IV. Redes

Terminología de encapsulación de datos
El término encapsulación se refiere al proceso de colocar encabezados (y, a veces, finales)
alrededor de algunos datos.
El proceso mediante el cual un host TCP/IP envía datos puede verse como un proceso de cinco
pasos. Los primeros cuatro pasos se relacionan con la encapsulación realizada por las cuatro
capas de TCP/IP, y el último paso es la transmisión física real de los datos por parte del host. De
hecho, si utiliza el modelo TCP/IP de cinco capas, un paso corresponde al rol de cada capa. Los
pasos se resumen en la siguiente lista:
Paso 1. Se crean y encapsulan los datos de la aplicación con cualquier encabezado de capa de
aplicación requerido; por ejemplo, el mensaje HTTP OK se puede devolver en un encabezado
HTTP, seguido de parte del contenido de una página web.

Paso 2. Se encapsulan los datos proporcionados por la capa de aplicación dentro de un

encabezado de capa de transporte. Para aplicaciones de usuario final, normalmente se utiliza un
encabezado TCP o UDP.
Paso 3. Se encapsulan los datos suministrados por la capa de transporte dentro de un
encabezado de capa de red (IP). IP define las direcciones IP que identifican de forma única a
cada computadora.
Paso 4. Se encapsulan los datos suministrados por la capa de red dentro de un encabezado y un
tráiler de la capa de enlace de datos. Esta capa utiliza un encabezado y un tráiler.
Paso 5. Se transmiten los bits. La capa física codifica una señal en el medio para transmitir la
trama.
Los números de la Figura siguiente corresponden a los cinco pasos de esta lista y muestran
gráficamente los mismos conceptos. Tenga en cuenta que debido a que la capa de aplicación a
menudo no necesita agregar un encabezado, la figura no muestra un encabezado de capa de
aplicación específico, pero la capa de aplicación a veces también agregará un encabezado.

Al hablar y escribir sobre redes, las personas usan segmento, paquete y marco para referirse a
los mensajes que se muestran en la Figura anterior y la lista relacionada. Cada término tiene un
significado específico, que se refiere a los encabezados (y posiblemente a los avances) definidos

Bloque IV. Redes

por una capa en particular y los datos encapsulados después de ese encabezado. Sin embargo,
cada término se refiere a una capa diferente: segmento para la capa de transporte, paquete
para la capa de red y trama para la capa de enlace. La Figura siguiente muestra cada capa
junto con el término asociado.

Modelo de redes OSI

En un momento de la historia del modelo OSI, muchas personas pensaron que OSI ganaría la
batalla de los modelos de redes discutidos anteriormente. Si eso hubiera ocurrido, en lugar de
ejecutar TCP/IP en todas las computadoras del mundo, esas computadoras estarían ejecutando
OSI.
Sin embargo, OSI no ganó esa batalla. De hecho, OSI ya no existe como un modelo de red que
podría usarse en lugar de TCP/IP, aunque todavía existen algunos de los protocolos originales a
los que hace referencia el modelo OSI.

Aunque hoy en día el mundo usa TCP/IP en lugar de OSI, tendemos a usar la numeración de la
capa OSI. Por ejemplo, cuando se hace referencia a un protocolo de capa de aplicación en una
red TCP/IP, el mundo todavía se refiere al protocolo como un "protocolo de capa 7". Además,
mientras que TCP/IP incluye más funciones en su capa de aplicación, OSI las divide en capas de
sesión, presentación y aplicación. La mayoría de las veces, a nadie le importa mucho la
distinción, por lo que verá referencias como "Protocolo de capa 5-7", nuevamente utilizando la
numeración OSI.
2

Bloque IV. Redes

Redes hoy (cap 1 de Introduction to Networks Companion Guide
(CCNAv7))
Cualquier computadora que esté conectada a una red y que participe directamente en la
comunicación de la red se clasifica como host. Los hosts pueden llamarse dispositivos finales.
Algunos hosts también se denominan clientes. Sin embargo, el término host se refiere
específicamente a un dispositivo en una red al que se le asigna un número para fines de
comunicación. Este número, que identifica al host dentro de la red en particular, se denomina
dirección de Protocolo de Internet (IP). Una dirección IP identifica el host y la red a la que
está conectado el host.
Los servidores son computadoras con software que les permite proporcionar información,
como correo electrónico o páginas web, a otros dispositivos finales en la red. Cada servicio
requiere un software de servidor independiente; por ejemplo, un servidor requiere un software
de servidor web para proporcionar servicios web a la red. Una computadora con software de
servidor puede proporcionar servicios simultáneamente a muchos clientes diferentes.
Los clientes cuentan con un software para solicitar y visualizar la información obtenida del
servidor, como se muestra en la Figura siguiente:
2

Un ejemplo de software de cliente es un navegador web, como Chrome o Firefox. Una sola
computadora también puede ejecutar múltiples tipos de software de cliente; por ejemplo, un
usuario puede revisar el correo electrónico y ver una página web mientras envía mensajes y
escucha una transmisión de audio.
El software del cliente y del servidor generalmente se ejecuta en computadoras separadas, pero
también es posible que una computadora se use para ambas funciones al mismo tiempo. En las

Bloque IV. Redes

pequeñas empresas y los hogares, muchas computadoras funcionan como servidores y clientes
en la red. Este tipo de red, llamada red peer-to-peer, se muestra en la Figura siguiente:

Los dispositivos intermediarios conectan dispositivos finales individuales a una red. Pueden
conectar varias redes individuales para formar una interred. Estos dispositivos intermediarios
brindan conectividad y aseguran que los datos fluyan a través de la red.
Los dispositivos intermediarios usan la dirección del dispositivo final de destino, junto con la
información sobre las interconexiones de la red, para determinar la ruta que deben tomar los
mensajes a través de la red. La Figura siguiente muestra ejemplos de los dispositivos
intermediarios más comunes:
2

Bloque IV. Redes

Los dispositivos de red intermediarios realizan algunas o todas estas funciones:
 Regenerar y retransmitir señales de comunicación
 Mantener información sobre qué vías existen a través de la red y la interconexión de
redes.
 Notificar a otros dispositivos sobre errores y fallas de comunicación.
 Datos directos a lo largo de rutas alternativas cuando hay un error en el enlace

 Clasificar y dirigir mensajes según prioridades

 Permitir o denegar el flujo de datos, según la configuración de seguridad.
La comunicación se transmite a través de una red en los medios. Los medios proporcionan el
canal por el que viaja un mensaje desde el origen hasta el destino.
Las redes modernas utilizan principalmente tres tipos de medios para interconectar dispositivos:
 Hilos metálicos dentro de cables: Los datos se codifican en impulsos eléctricos.
 Fibras de vidrio o plástico dentro de los cables (cable de fibra óptica): Los datos se
codifican en pulsos de luz.
 Transmisión inalámbrica: los datos se codifican mediante la modulación de
frecuencias específicas de ondas electromagnéticas

Representaciones y topologías de red

Bloque IV. Redes

Figura 2: Representaciones de red

Un diagrama proporciona una manera fácil de comprender cómo se conectan los dispositivos en
una red. Este tipo de “imagen” de una red se conoce como diagrama de topología. La capacidad
de reconocer las representaciones lógicas de los componentes físicos de la red es fundamental
para poder visualizar la organización y el funcionamiento de una red.
Además de estas representaciones, se utiliza terminología especializada para describir cómo
cada uno de estos dispositivos y medios se conectan entre sí:
 Tarjeta de interfaz de red (NIC): una NIC conecta físicamente un dispositivo final a
una red.
 Puerto físico: un puerto es un conector o una salida en un dispositivo de red donde un
medio se conecta a un dispositivo final u otro dispositivo de red.
 Interfaz: una interfaz es un puerto especializado en un dispositivo de red que se
conecta a una red. Debido a que los enrutadores conectan redes, los puertos de un
enrutador se conocen como interfaces de red.
Diagramas de topología física
2

Un diagrama de topología física ilustra las ubicaciones físicas de los dispositivos intermediarios
y la instalación de cables, como se muestra en la Figura siguiente:

Bloque IV. Redes

Diagramas de topología lógica
Un diagrama de topología lógica ilustra los dispositivos, los puertos y el esquema de
direccionamiento de una red, como se muestra en la Figura siguiente:

Bloque IV. Redes

LAN y WAN
Los dos tipos más comunes de infraestructuras de red son las redes de área local (LAN) y las
redes de área amplia (WAN). Una LAN es una infraestructura de red que proporciona acceso a
usuarios y dispositivos finales en un área geográfica pequeña. Una LAN se usa normalmente en
un departamento dentro de una empresa, un hogar o una red de pequeña empresa. Una WAN es
una infraestructura de red que brinda acceso a otras redes en un área geográfica amplia, que
normalmente es propiedad y está administrada por una corporación más grande o un proveedor
de servicios de telecomunicaciones.

Una LAN es una infraestructura de red que abarca un área geográfica pequeña. Las LAN tienen
características específicas:
 Las LAN interconectan dispositivos finales en un área limitada, como un hogar, una
escuela, un edificio de oficinas o un campus.
 Una LAN generalmente es administrada por una sola organización o individuo. El
control administrativo se aplica a nivel de red y rige las políticas de seguridad y control
de acceso.
 Las LAN proporcionan ancho de banda de alta velocidad a los dispositivos finales
2

internos y los dispositivos intermediarios.

Bloque IV. Redes

Una WAN es una infraestructura de red que abarca una amplia área geográfica. Las WAN
suelen estar gestionadas por proveedores de servicios (SP) o proveedores de servicios de
Internet (ISP).

Las WAN tienen características específicas:

 Las WAN interconectan las LAN en áreas geográficas amplias, como entre ciudades,
estados, provincias, países o continentes.
 Las WAN generalmente son administradas por múltiples proveedores de servicios.

Bloque IV. Redes

  Las WAN suelen proporcionar enlaces de menor velocidad entre las LAN.
Internet

Internet es una colección mundial de redes interconectadas.

Intranets y Extranets
Otros dos términos son similares al término internet: intranet y extranet.
El término intranet se usa a menudo para referirse a una conexión privada de LAN y WAN que
pertenece a una organización. Una intranet está diseñada para que solo los miembros de la
organización, los empleados u otras personas con autorización puedan acceder a ella.
Una organización puede usar una extranet para brindar acceso seguro a las personas que
trabajan para una organización diferente pero que requieren acceso a los datos de la
organización.
2

Bloque IV. Redes

Figura 3: Opciones de conexión de oficina pequeña y oficina doméstica

Computación en la nube
La computación en la nube es una de las formas en que accedemos y almacenamos datos. La
computación en la nube nos permite almacenar archivos personales, incluso hacer una copia de
seguridad de un disco completo, en servidores a través de Internet. Se puede acceder a
aplicaciones como el procesamiento de textos y la edición de fotografías mediante la nube.
Para las empresas, la computación en la nube amplía las capacidades de TI sin necesidad de
invertir en nueva infraestructura, capacitación para nuevo personal o licencias de nuevo
software. Estos servicios están disponibles bajo demanda y se entregan económicamente a
cualquier dispositivo que se encuentre en cualquier parte del mundo sin comprometer la
seguridad.
La computación en la nube es posible gracias a los centros de datos. Los centros de datos son
instalaciones que se utilizan para albergar sistemas informáticos y componentes asociados. Un
centro de datos puede ocupar una habitación de un edificio, uno o más pisos, o un edificio
completo del tamaño de un almacén. Los centros de datos suelen ser muy caros de construir y
mantener. Por esta razón, solo las grandes organizaciones utilizan centros de datos construidos
de forma privada para alojar sus datos y brindar servicios a los usuarios. Las organizaciones
más pequeñas que no pueden costear el mantenimiento de sus propios centros de datos privados
2

pueden reducir el costo total de propiedad alquilando servidores y servicios de almacenamiento

de una organización de centros de datos más grande en la nube.
Por seguridad, confiabilidad y tolerancia a fallas, los proveedores de la nube a menudo
almacenan datos en centros de datos distribuidos. En lugar de almacenar todos los datos de una
persona u organización en un centro de datos, se almacenan en múltiples centros de datos en
diferentes ubicaciones.

Seguridad de red
La seguridad es un componente crítico en el diseño, implementación y mantenimiento de redes.
Los ingenieros y administradores de redes siempre deben considerar los riesgos de seguridad y

Bloque IV. Redes

emplear los métodos de mitigación adecuados antes de implementar cualquier tipo de servicio
de red.
Amenazas de seguridad
Sin duda, ha escuchado o leído noticias sobre la violación de la red de una empresa, lo que da a
los actores de amenazas acceso a la información personal de miles de clientes. La seguridad de
la red siempre será una de las principales prioridades de los administradores.
La seguridad de la red es una parte integral de las redes informáticas, independientemente de si
la red es una red doméstica con una sola conexión a Internet o una red corporativa con miles de
usuarios. La seguridad de la red debe considerar el entorno, así como las herramientas y los
requisitos de la red. Debe poder proteger los datos y al mismo tiempo permitir la calidad de
servicio que los usuarios esperan de la red.
Proteger una red implica el uso de protocolos, tecnologías, dispositivos, herramientas y técnicas
para proteger los datos y mitigar las amenazas. Los vectores de amenazas pueden ser externos o
internos. Muchas amenazas de seguridad de redes externas hoy en día se originan en Internet.
Hay varias amenazas externas comunes a las redes:
 Virus, gusanos y caballos de Troya: contienen software o código malicioso que se
ejecuta en el dispositivo de un usuario.
 Spyware y adware: estos tipos de software se instalan en el dispositivo de un usuario
para recopilar en secreto información sobre el usuario.
 Ataques de día cero: también llamados ataques de hora cero, estos ataques ocurren
el primer día en que se conoce una vulnerabilidad.
 Ataques de actores de amenazas: en estos ataques, las personas malintencionadas
atacan los dispositivos de los usuarios o los recursos de la red.
 Ataques de denegación de servicio: estos ataques ralentizan o bloquean aplicaciones y
procesos en un dispositivo de red.
 Intercepción y robo de datos: este tipo de ataque consiste en capturar información
privada de la red de una organización.
 Robo de identidad: este tipo de ataque consiste en robar las credenciales de inicio de
sesión de un usuario para acceder a datos privados.
Es importante tener en cuenta las amenazas internas. Muchos estudios han demostrado que las
violaciones de datos más comunes están relacionadas con los usuarios de la red interna. Tales
incumplimientos pueden atribuirse a dispositivos perdidos o robados, uso indebido accidental
por parte de empleados o incluso empleados malintencionados. Las estrategias BYOD hacen
que los datos corporativos sean especialmente vulnerables, por lo tanto, al desarrollar una
política de seguridad, es importante abordar las amenazas de seguridad internas y externas.
2

Bloque IV. Redes

Soluciones de seguridad
Ninguna solución única puede proteger una red de la variedad de amenazas que existen. Por esta
razón, la seguridad debe implementarse en múltiples capas, utilizando más de una solución de
seguridad. Si un componente de seguridad no logra identificar y proteger una red, otros pueden
tener éxito.
La implementación de la seguridad de una red doméstica suele ser bastante básica. Por lo
general, lo implementa en los dispositivos finales, así como en el punto de conexión a Internet.
Incluso puede confiar en los servicios contratados del ISP.
Estos son los componentes de seguridad básicos para una red doméstica o de oficina pequeña:
 Antivirus y antispyware: estas aplicaciones ayudan a proteger los dispositivos finales
para que no se infecten con software malicioso.
 Filtrado de firewall: el filtrado de firewall bloquea el acceso no autorizado dentro y
fuera de la red. Esto puede incluir un sistema de firewall basado en host que evite el
acceso no autorizado al dispositivo final o un servicio de filtrado básico en el enrutador
doméstico para evitar el acceso no autorizado del mundo exterior a la red.
Por el contrario, la implementación de seguridad de red para una red corporativa generalmente
consta de muchos componentes integrados en la red para monitorear y filtrar el tráfico.
2

Idealmente, todos los componentes trabajan juntos para minimizar el mantenimiento y mejorar
la seguridad. Las redes más grandes y las redes corporativas usan antivirus, antispyware y
filtrado de firewall, y también tienen requisitos de seguridad adicionales:
 Sistemas de firewall dedicados: proporcionan capacidades de firewall más avanzadas
que pueden filtrar grandes cantidades de tráfico con más granularidad.
 Listas de control de acceso (ACL): las ACL filtran aún más el acceso y el reenvío de
tráfico en función de las direcciones IP y las aplicaciones.
 Sistemas de prevención de intrusiones (IPS): estos sistemas identifican amenazas de
rápida propagación, como ataques de día cero o de hora cero.

Bloque IV. Redes

  Redes privadas virtuales (VPN): estas redes brindan acceso seguro a una organización
para trabajadores remotos.
Los requisitos de seguridad de la red deben tener en cuenta el entorno, así como las distintas
aplicaciones y requisitos informáticos. Tanto los entornos domésticos como los empresariales
deben poder proteger sus datos y, al mismo tiempo, permitir la calidad de servicio que los
usuarios esperan de cada tecnología. Además, cualquier solución de seguridad que se
implemente debe ser adaptable a las necesidades crecientes de la red y las tendencias
cambiantes.
El estudio de las amenazas a la seguridad de la red y las técnicas de mitigación comienza con
una comprensión clara de la infraestructura de enrutamiento y conmutación subyacente utilizada
para organizar los servicios de red.

Cap. 2 de Introduction to Networks Companion Guide (CCNAv7)

Configuración básica de conmutadores y dispositivos finales

Cada dispositivo final y dispositivo de red debe tener un sistema operativo (SO), la parte del
sistema operativo que interactúa directamente con el hardware de la computadora se conoce
como kernel. La parte que interactúa con las aplicaciones y el usuario se conoce como shell. El
usuario puede interactuar con el shell mediante una interfaz de línea de comandos (CLI) o una
interfaz gráfica de usuario (GUI):
Shell: El shell es la interfaz de usuario que permite a los usuarios solicitar tareas específicas de
la computadora. Estas solicitudes se pueden realizar a través de la CLI o una GUI.
Kernel: el kernel se comunica entre el hardware y el software de una computadora y administra
cómo se utilizan los recursos de hardware para cumplir con los requisitos del software.
Hardware: El hardware es la parte física de una computadora, incluida la electrónica
subyacente.
La familia de sistemas operativos de red que se utilizan en muchos dispositivos de Cisco se
denomina Sistema operativo de interconexión de redes (IOS) de Cisco. Cisco IOS se utiliza
en muchos enrutadores y conmutadores de Cisco, independientemente del tipo o tamaño del
dispositivo. Cada tipo de dispositivo (por ejemplo, enrutador o conmutador) utiliza una versión
diferente de Cisco IOS. Otros sistemas operativos de Cisco incluyen IOS XE, IOS XR y NX-
OS.

Propósito de un SO
Los sistemas operativos de red son similares a los sistemas operativos de PC. A través de una
GUI, el sistema operativo de una PC permite al usuario hacer lo siguiente:
2

 Usar un mouse para hacer selecciones y ejecutar programas

 Introducir texto y comandos basados en texto
 Ver salida en un monitor
Un sistema operativo de red basado en CLI (como Cisco IOS en un conmutador o enrutador)
permite que un técnico de red haga lo siguiente:
 Usar un teclado para ejecutar programas de red basados en CLI
 Usar un teclado para ingresar texto y comandos basados en texto
 Ver salida en un monitor

Bloque IV. Redes

Modos de comando principal
Como característica de seguridad, el software Cisco IOS separa el acceso de administración en
los siguientes dos modos de comando:
Modo EXEC de usuario: este modo tiene capacidades limitadas, pero es útil para operaciones
básicas. Solo permite un número limitado de comandos básicos de monitoreo y no permite la
ejecución de ningún comando que pueda cambiar la configuración del dispositivo. El modo
EXEC del usuario se identifica mediante el indicador CLI que termina con el símbolo >.
Modo EXEC privilegiado: Para ejecutar comandos de configuración, un administrador de red
debe acceder al modo EXEC privilegiado. Los modos de configuración más altos, como el
modo de configuración global, solo se pueden alcanzar desde el modo EXEC privilegiado. El
modo EXEC privilegiado se puede identificar por el indicador que termina con el símbolo #.
Para configurar un dispositivo, un usuario debe ingresar al modo de configuración global, que
comúnmente se denomina modo de configuración global .
Desde el modo de configuración global, un usuario puede realizar cambios en la configuración
de la CLI que afectan el funcionamiento del dispositivo como un todo. El modo de
configuración global se identifica mediante un aviso que termina con (config)# después del
nombre del dispositivo, como Switch(config)# .
Se accede al modo de configuración global antes que a otros modos de configuración
específicos. Desde el modo de configuración global, el usuario puede ingresar a diferentes
modos de subconfiguración. Cada uno de estos modos permite la configuración de una parte o
función particular del dispositivo IOS. Dos modos comunes de subconfiguración son
 Modo de configuración de línea: se utiliza para configurar el acceso a la consola,
SSH, Telnet o AUX.
 Modo de configuración de interfaz: se utiliza para configurar un puerto de
conmutador o una interfaz de red de enrutador.

Bloque IV. Redes

Sw-Floor-1# configure terminal
Sw-Floor-1(config)# line console 0
Sw-Floor-1(config-line)# password cisco
Sw-Floor-1(config-line)# login
Sw-Floor-1(config-line)# end
Sw-Floor-1#
2

Sw-Floor-1# configure terminal

Sw-Floor-1(config)# enable secret class
Sw-Floor-1(config)# exit
Sw-Floor-1#

Bloque IV. Redes

Configurar un conmutador con ajustes iniciales
(de cap 1 de Switching, Routi ng, and Wireless Essenti als Companion Guide
(CCNAv7))

Cambiar secuencia de inicio

El conmutador carga un
programa de autoprueba
de encendido (POST)
El conmutador carga el
almacenado en la memoria El cargador de arranque
software del cargador de
de solo lectura (ROM). La realiza una inicialización de
arranque . El cargador de
POST comprueba el CPU de bajo nivel. Inicializa
arranque es un pequeño
subsistema de la unidad los registros de la CPU, que
programa almacenado en
central de procesamiento controlan dónde se asigna
la ROM que se ejecuta
(CPU) . Comprueba la CPU, la memoria física, la
inmediatamente después
la memoria dinámica de cantidad de memoria y su
de que POST se completa
acceso aleatorio (DRAM) y velocidad
con éxito.
la parte del dispositivo
flash que constituye el
sistema de archivos flash.

Finalmente, el
El cargador de cargador de arranque
arranque localiza y carga una
inicializa el imagen de software
sistema de del sistema operativo
archivos flash en IOS predeterminado
la placa del en la memoria y le da
sistema el control del cambio
2

al IOS.

El conmutador intenta arrancar automáticamente utilizando la información de la variable de

entorno BOOT. Si esta variable no está configurada, el conmutador intenta cargar y ejecutar el
primer archivo ejecutable que puede encontrar. En los switches de la serie Catalyst 2960, el

Bloque IV. Redes

archivo de imagen normalmente se encuentra en un directorio que tiene el mismo nombre que el
archivo de imagen (excluyendo la extensión de archivo .bin).
Luego, el sistema operativo IOS inicializa las interfaces mediante los comandos de Cisco IOS
que se encuentran en el archivo de configuración de inicio. El archivo de configuración de
inicio se llama config.text y se encuentra en flash.
En el siguiente fragmento, la variable de entorno BOOT se establece mediante el comando de
modo de configuración global del sistema de arranque. Observe que el IOS se encuentra en una
carpeta distinta y se especifica la ruta de la carpeta. Use el comando show boot para ver en
qué está configurado el archivo de arranque actual de IOS.

Dominio Definición
Sistema de arranque Comando principal
flash Dispositivo de almacenamiento
c2960-lanbasek9-mz.150-2.SE/ Ruta al sistema de archivos
c2960-lanbasek9-mz.150-2.SE.bin Nombre del archivo IOS

Bloque IV. Redes

Acceso a la gestión de conmutadores

Bloque IV. Redes

Configurar puertos de switch

Figura 4: comunicación full-duplex y half-duplex

Las configuraciones no coincidentes para el modo dúplex y la velocidad de los puertos del
conmutador pueden causar problemas de conectividad. El error de negociación automática
crea configuraciones no coincidentes.
Todos los puertos de fibra óptica, como los puertos 1000BASE-SX, funcionan solo a una
2

velocidad preestablecida y siempre son full-duplex.

Errores de entrada y salida de la interfaz

“Errores de entrada” es la suma de todos los errores en los datagramas que se recibieron en la
interfaz que se está examinando. Esto incluye runts, gigantes, verificación de redundancia

Bloque IV. Redes

cíclica (CRC), sinrecuentos de búfer, fotogramas, saturación e ignorados. Los errores de
entrada informados del comando show interfaces incluyen lo siguiente:
 Runt Frames: las tramas de Ethernet que son más cortas que la longitud mínima
permitida de 64 bytes se denominan runts. Las NIC defectuosas son la causa habitual
de tramas runt excesivas, pero también pueden ser causadas por colisiones.
 Giants las tramas Ethernet que superan el tamaño máximo permitido se
denominan giants Los gigantes se pueden reenviar o descartar según el modelo del
conmutador.
 Errores de CRC: en las interfaces Ethernet y seriales, los errores de CRC
generalmente indican un error de medios o cable. Las causas comunes incluyen
interferencias eléctricas, conexiones sueltas o dañadas o cableado incorrecto. Si ve
muchos errores de CRC, hay demasiado ruido en el enlace y debe inspeccionar el cable.
También debe buscar y eliminar las fuentes de ruido.
Los "errores de salida" son la suma de todos los errores que impidieron la transmisión final de
datagramas a través de la interfaz que se está examinando. Los errores de salida informados del
comando show interfaces incluyen lo siguiente:
 Colisiones: Las colisiones en operaciones semidúplex son normales. Sin embargo,
nunca debería ver colisiones en una interfaz configurada para comunicación full-duplex.
 Colisiones tardías: una colisión tardía se refiere a una colisión que ocurre después de
que se hayan transmitido 512 bits de la trama. Las longitudes de cable excesivas son la
causa más común de colisiones tardías. Otra causa común es la mala configuración de
dúplex. Una red correctamente diseñada y configurada nunca debería tener colisiones
tardías.
Solución de problemas de la capa de acceso a la red
La mayoría de los problemas que afectan a una red conmutada se encuentran durante la
implementación original. Teóricamente, una vez instalada, una red sigue funcionando sin
problemas. Sin embargo, el cableado se daña, las configuraciones cambian y se conectan nuevos
dispositivos al conmutador que requieren cambios en la configuración del conmutador. Se
requiere un mantenimiento continuo y la resolución de problemas de la infraestructura de la red.
Para solucionar escenarios que involucran la falta de conexión o una mala conexión entre un
conmutador y otro dispositivo, siga el proceso general que se muestra en la Figura siguiente:

Bloque IV. Redes

Figura 5: Proceso de resolución de problemas de la capa de red

Utilice el comando show interfaces para verificar el estado de la interfaz.

Si la interfaz está caída:
 Verifique que se estén utilizando los cables adecuados. Además, compruebe el cable y
los conectores en busca de daños. Si se sospecha de un cable defectuoso o incorrecto,
reemplácelo.
 Si la interfaz aún no funciona, el problema puede deberse a una falta de coincidencia en
la configuración de velocidad. La velocidad de una interfaz normalmente se negocia
automáticamente; por lo tanto, incluso si se aplica manualmente a una interfaz, la
interfaz de conexión debe autonegociarse en consecuencia. Si se produce una
discrepancia de velocidad debido a una mala configuración o un problema de hardware
o software, entonces eso puede provocar que la interfaz se caiga. Establezca
manualmente la misma velocidad en ambos extremos de la conexión si sospecha que
hay un problema.
2

Si la interfaz está activa, pero los problemas de conectividad aún están presentes:
 Con el comando show interfaces, busque indicaciones de ruido excesivo. Las
indicaciones pueden incluir un aumento en los contadores de errores pequeños, gigantes
y CRC. Si hay un ruido excesivo, primero busque y elimine la fuente del ruido, si es
posible. Además, verifique que el cable no exceda la longitud máxima del cable y
verifique el tipo de cable que se utiliza.

 Si el ruido no es un problema, compruebe si hay colisiones excesivas. Si hay colisiones

o colisiones tardías, verifique la configuración de dúplex en ambos extremos de la

Bloque IV. Redes

 conexión. Al igual que la configuración de velocidad, la configuración dúplex
generalmente se negocia automáticamente. Si parece haber una discrepancia de dúplex,
establezca manualmente el dúplex en completo en ambos extremos de la conexión.

Acceso remoto seguro

Operación con Telnet

Es posible que no siempre tenga acceso directo a su conmutador cuando necesite configurarlo.
Debe poder acceder a él de forma remota, y es imperativo que su acceso sea seguro. Esta
sección explica cómo configurar Secure Shell (SSH) para el acceso remoto. Una actividad de
Packet Tracer le brinda la oportunidad de probarlo usted mismo.
Telnet utiliza el puerto 23 del Protocolo de control de transmisión (TCP). Es un protocolo
más antiguo que utiliza la transmisión no segura de texto sin formato tanto de la autenticación
de inicio de sesión (nombre de usuario y contraseña) como de los datos transmitidos entre los
dispositivos de comunicación. Un actor de amenazas puede monitorear paquetes usando
Wireshark.

Operación con SSH

Secure Shell (SSH) es un protocolo seguro que utiliza el puerto TCP 22. Proporciona una
conexión de administración segura (cifrada) a un dispositivo remoto. SSH debería
reemplazar a Telnet para las conexiones de administración. SSH brinda seguridad para las
conexiones remotas al proporcionar un cifrado sólido cuando se autentica un dispositivo
(nombre de usuario y contraseña) y también para los datos transmitidos entre los dispositivos
que se comunican.

Bloque IV. Redes

Configuración básica del router

Configuración del router

R1(config)# interface gigabitethernet 0/0/0

R1(config-if)# ip address 192.168.10.1 255.255.255.0
R1(config-if)# ipv6 address 2001:db8:acad:1::1/64
R1(config-if)# description Link to LAN 1
R1(config-if)# no shutdown
R1(config-if)# exit
2

R1(config)# interface gigabitethernet 0/0/1

R1(config-if)# ip address 192.168.11.1 255.255.255.0
R1(config-if)# ipv6 address 2001:db8:acad:2::1/64
R1(config-if)# description Link to LAN 2
R1(config-if)# no shutdown
R1(config-if)# exit
R1(config)# interface serial 0/0/0

Bloque IV. Redes

R1(config-if)# ip address 209.165.200.225 255.255.255.252
R1(config-if)# ipv6 address 2001:db8:acad:3::225/64
R1(config-if)# description Link to R2
R1(config-if)# no shutdown
R1(config-if)# exit
R1(config)#

Interfaces de bucle invertido IPv4

Otra configuración común de los enrutadores Cisco IOS es habilitar una interfaz de bucle
invertido.
La interfaz loopback es una interfaz lógica que es interna al enrutador. No está asignado a un
puerto físico y nunca se puede conectar a ningún otro dispositivo. Se considera una interfaz de
software que se coloca automáticamente en un estado "activo", siempre que el enrutador esté
funcionando.
La interfaz loopback es útil para probar y administrar un dispositivo Cisco IOS porque garantiza
que al menos una interfaz siempre estará disponible. Por ejemplo, se puede utilizar con fines de
prueba, como probar los procesos de enrutamiento interno, mediante la emulación de redes
detrás del enrutador.
Las interfaces de loopback también se usan comúnmente en entornos de laboratorio para crear
interfaces adicionales. Por ejemplo, puede crear varias interfaces de bucle invertido en un
enrutador para simular más redes con fines de prueba y práctica de configuración. A menudo
usamos una interfaz de bucle invertido para simular un enlace a Internet.

https://www.scribd.com/document/535086394/1-5-10-Packet-Tracer-Verify-Directly-
Connected-Networks
2

Fundamentos de las LAN Ethernet

Una descripción general de las LAN

El término Ethernet hace referencia a una familia de estándares de LAN que, en conjunto,
definen las capas físicas y de enlace de datos de la tecnología de LAN cableada más popular del
mundo. Los estándares, definidos por el Instituto de Ingenieros Eléctricos y Electrónicos

Bloque IV. Redes

(IEEE), definen el cableado, los conectores en los extremos de los cables, las reglas de
protocolo y todo lo demás necesario para crear una LAN Ethernet.

Aunque la Figura anterior muestra el conmutador y el enrutador como dispositivos separados,

muchas LAN Ethernet SOHO hoy en día combinan el enrutador y el conmutador en un solo
dispositivo. Los proveedores venden dispositivos de red integrados para el consumidor que
funcionan como un enrutador y un conmutador Ethernet, además de realizar otras funciones.
Estos dispositivos suelen tener un "enrutador" en el paquete, pero muchos modelos también
tienen puertos de conmutador LAN Ethernet de cuatro u ocho puertos integrados en el
dispositivo.
Las LAN SOHO típicas de la actualidad también admiten conexiones LAN inalámbricas. Puede
crear una sola LAN SOHO que incluya tanto la tecnología de LAN Ethernet como la tecnología
de LAN inalámbrica, que también está definida por el IEEE. Las LAN inalámbricas, definidas
por el IEEE mediante estándares que comienzan con 802.11, utilizan ondas de radio para enviar
los bits de un nodo al siguiente.

Bloque IV. Redes

La variedad de estándares de capa física de Ethernet
El término Ethernet se refiere a toda una familia de estándares. Algunos estándares definen los
detalles de cómo enviar datos a través de un tipo particular de cableado ya una velocidad
particular. Otros estándares definen protocolos o reglas que los nodos Ethernet deben seguir
para ser parte de una LAN Ethernet. Todos estos estándares de Ethernet provienen del IEEE e
incluyen el número 802.3 como parte inicial del nombre del estándar.
Ethernet admite una gran variedad de opciones para enlaces Ethernet físicos dada su larga
historia durante los últimos 40 años aproximadamente. Actualmente, Ethernet incluye muchos
estándares para diferentes tipos de cableado óptico y de cobre, y para velocidades desde 10
megabits por segundo (Mbps) hasta 400 gigabits por segundo (Gbps). Los estándares también
difieren en cuanto a los tipos y longitudes de los cables.
La elección de cableado más fundamental tiene que ver con los materiales utilizados dentro del
cable para la transmisión física de bits: ya sea alambres de cobre o fibras de vidrio. Los
dispositivos que utilizan cableado UTP transmiten datos a través de circuitos eléctricos a través
de los hilos de cobre dentro del cable. El cableado de fibra óptica, la alternativa más costosa,
permite que los nodos de Ethernet envíen luz a través de fibras de vidrio en el centro del cable.
Aunque son más caros, los cables ópticos suelen permitir distancias de cableado más largas
entre nodos.
El IEEE define los estándares de la capa física de Ethernet utilizando un par de convenciones
de nomenclatura. El nombre formal comienza con 802.3 seguido de algunas letras de sufijo. El
IEEE también usa nombres de atajos más significativos que identifican la velocidad, así como
una pista sobre si el cableado es UTP (con un sufijo que incluye T ) o fibra (con un sufijo que
incluye X ).

Velocidad Nombre común Nombre Nombre del Tipo de cable,

estándar estándar IEEE longitud
informal de formal máxima
IEEE
10Mbps Ethernet 10BASE-T 802.3 Cobre, 100m
100Mbps Fast Eternet 100BASE-T 802.3u Cobre,100m
1000Mbps Ggabit Ethernet 1000BASE-LX 802.3z Fibra, 5000m
1000Mbps Gigabit Ethernet 1000BASE-T 802.3ab Cobre,100m
10 Gb/s 10 Gig Ethernet 1OGBASE-T 802.3an Cobre,100m
2

Bloque IV. Redes

Aunque Ethernet incluye muchos estándares de capa física, Ethernet actúa como una única
tecnología de LAN porque utiliza el mismo estándar de capa de enlace de datos en todos los
tipos de enlaces físicos de Ethernet. Ese estándar define un encabezado y un tráiler comunes de
Ethernet. (Como recordatorio, el encabezado y el final son bytes de datos generales que utiliza
Ethernet para hacer su trabajo de enviar datos a través de una LAN). No importa si los datos
fluyen a través de un cable UTP o cualquier tipo de cable de fibra, y sin importar la velocidad,
el encabezado y el tráiler del enlace de datos usan el mismo formato.
2

Mientras que los estándares de la capa física se enfocan en enviar bits a través de un cable, los
protocolos de enlace de datos de Ethernet se enfocan en enviar una trama de Ethernet desde el
nodo Ethernet de origen al destino. Desde una perspectiva de enlace de datos, los nodos
construyen y reenvían tramas.

Bloque IV. Redes

Entonces, ¿qué es una LAN Ethernet? Es una combinación de dispositivos de usuario,
conmutadores LAN y diferentes tipos de cableado. Cada enlace puede utilizar diferentes tipos
de cables, a diferentes velocidades. Sin embargo, todos trabajan juntos para entregar tramas
Ethernet desde un dispositivo en la LAN a algún otro dispositivo.

Figura 6: Distribución de pines del cable directo 10BASE-T y 100BASE-T

Figura 7: Cable ethernet cruzado

Bloque IV. Redes

Construcción de LAN Ethernet físicas con fibra
El cableado de fibra óptica utiliza vidrio como medio a través del cual pasa la luz, variando esa
luz con el tiempo para codificar 0 y 1. Al principio, puede parecer extraño usar vidrio dado que
la mayoría de nosotros pensamos en vidrio en las ventanas. El vidrio de la ventana es duro, no
se dobla, y si lo golpea o lo dobla lo suficiente, el vidrio probablemente se romperá, todas malas
características para un material de cableado.
En cambio, los cables de fibra óptica usan fibra de vidrio, lo que permite que un fabricante hile
una cuerda larga y delgada (fibra) de vidrio flexible. Un cable de fibra óptica sostiene la fibra en
el medio del cable, lo que permite que la luz atraviese el vidrio, lo cual es un atributo muy
importante para el envío de datos.
Aunque el envío de datos a través de una fibra de vidrio funciona bien, la fibra de vidrio por sí
sola necesita algo de ayuda. El vidrio podría romperse, por lo que la fibra de vidrio necesita algo
de protección y refuerzo.

Figura 8; partes de un cable de fibra óptica

Las tres capas exteriores del cable protegen el interior del cable y hacen que los cables sean más
fáciles de instalar y manejar, mientras que el revestimiento interior y el núcleo trabajan juntos
para crear el entorno que permite la transmisión de luz a través del cable. Una fuente de luz,
llamada transmisor óptico, proyecta una luz en el núcleo. La luz puede atravesar el núcleo; sin
embargo, la luz se refleja en el revestimiento de regreso al núcleo.
Estándar Tipo de cable Distancia máxima
10GBASE-S MM 400mts
10GBASE-LX4 MM 300mts
10GBASE-LR SM 10kms
2

10GBASE-E SM 30kms

Envío de datos en redes Ethernet

Protocolos de enlace de datos Ethernet

Bloque IV. Redes

Una de las fortalezas más significativas de la familia de protocolos Ethernet es que estos
protocolos utilizan el mismo estándar de enlace de datos. De hecho, las partes centrales del
estándar de enlace de datos se remontan a los estándares Ethernet originales.
El protocolo de enlace de datos de Ethernet define la trama de Ethernet: un encabezado de
Ethernet al frente, los datos encapsulados en el medio y un tráiler de Ethernet al final. Ethernet
en realidad define algunos formatos alternativos para el encabezado.

Direccionamiento Ethernet
Los campos de dirección Ethernet de origen y destino juegan un papel muy importante en el
funcionamiento de las LAN Ethernet. La idea general para cada uno es relativamente simple: el
nodo de envío coloca su propia dirección en el campo de dirección de origen y la dirección del
dispositivo de destino Ethernet previsto en el campo de dirección de destino. El remitente
transmite la trama, esperando que la LAN Ethernet, como un todo, entregue la trama a ese
destino correcto.
Las direcciones Ethernet, también llamadas direcciones de control de acceso a medios (MAC),
son números binarios de 6 bytes (48 bits). Para mayor comodidad, la mayoría de las
computadoras enumeran las direcciones MAC como números hexadecimales de 12 dígitos.
La mayoría de las direcciones MAC representan una sola NIC u otro puerto Ethernet, por lo que
estas direcciones a menudo se denominan direcciones Ethernet de unidifusión. El término
unidifusión es simplemente una forma formal de referirse al hecho de que la dirección
representa una interfaz a la LAN Ethernet
La idea completa de enviar datos a una dirección MAC de unidifusión de destino funciona bien,
pero solo funciona si todas las direcciones MAC de unidifusión son únicas. Si dos NIC
intentaran usar la misma dirección MAC, podría haber confusión. (El problema sería como la
confusión causada al servicio postal si usted y yo intentáramos usar la misma dirección de
correo: ¿el servicio postal entregaría el correo a su casa o a la mía?) Si dos PC en la misma
Ethernet intentaran usar la misma dirección MAC, ¿a qué PC se deben enviar las tramas
enviadas a esa dirección MAC?
Ethernet resuelve este problema mediante un proceso administrativo de modo que, en el
momento de la fabricación, a todos los dispositivos Ethernet se les asigna una dirección MAC
única universal. Antes de que un fabricante pueda construir productos Ethernet, debe solicitar al
IEEE que le asigne al fabricante un código de 3 bytes universalmente único, denominado
identificador único de la organización (OUI). El fabricante acepta otorgar a todas las NIC (y
2

otros productos Ethernet) una dirección MAC que comienza con su OUI de 3 bytes asignado. El
fabricante también asigna un valor único para los últimos 3 bytes, un número que el fabricante
nunca ha usado con ese OUI. Como resultado, la dirección MAC de cada dispositivo del
universo es única.

Bloque IV. Redes

Figura 9: Estructura de direcciones ethernet unicast

Las direcciones Ethernet tienen muchos nombres: dirección LAN, dirección Ethernet, dirección
de hardware, dirección grabada, dirección física, dirección universal o dirección MAC. Por
ejemplo, el término dirección grabada (BIA) se refiere a la idea de que una dirección MAC
permanente ha sido codificada (grabada) en el chip ROM en la NIC. Como otro ejemplo, el
IEEE usa el término dirección universal para enfatizar el hecho de que la dirección asignada a
una NIC por un fabricante debe ser única entre todas las direcciones MAC del universo.
 Dirección de difusión: las tramas enviadas a esta dirección deben enviarse a todos los
dispositivos de la LAN Ethernet. Tiene un valor de FFFF.FFFF.FFFF.
 Direcciones de multidifusión: las tramas enviadas a una dirección Ethernet de
multidifusión se copiarán y reenviarán a un subconjunto de dispositivos en la LAN.
Mientras que los campos de dirección del encabezado de Ethernet juegan un papel importante y
más obvio en las LAN de Ethernet, el campo Tipo de Ethernet juega un papel mucho menos
obvio. El campo Tipo de Ethernet, o EtherType, se encuentra en el encabezado de la capa de
enlace de datos de Ethernet, pero su propósito es ayudar directamente al procesamiento de la red
en los enrutadores y hosts. Básicamente, el campo Tipo identifica el tipo de paquete de capa de
red (Capa 3) que se encuentra dentro de la trama de Ethernet.
El host original tiene un lugar para insertar un valor (un número hexadecimal) para identificar el
tipo de paquete encapsulado dentro de la trama de Ethernet. Sin embargo, ¿qué número debe
poner el remitente en el encabezado para identificar un paquete IPv4 como el tipo? ¿O un
paquete IPv6? Resulta que IEEE administra una lista de valores EtherType, de modo que cada
protocolo de capa de red que necesita un valor EtherType único puede tener un número. El
remitente solo tiene que conocer la lista.
2

Bloque IV. Redes

Detección de errores con FCS
Ethernet también define una forma para que los nodos averigüen si los bits de un marco
cambiaron al cruzar un enlace Ethernet. (Por lo general, los bits pueden cambiar debido a algún
tipo de interferencia eléctrica o una NIC defectuosa). Ethernet, como la mayoría de los
protocolos de enlace de datos, utiliza un campo en el tráiler de enlace de datos con el fin de
detectar errores.
El campo Ethernet Frame Check Sequence (FCS) en el tráiler de Ethernet, el único campo en el
tráiler de Ethernet brinda al nodo receptor una forma de comparar los resultados con el
remitente, para descubrir si ocurrieron errores en el marco. El remitente aplica una fórmula
matemática compleja al marco antes de enviarlo, almacenando el resultado de la fórmula en el
campo FCS. El receptor aplica la misma fórmula matemática al marco recibido. El receptor
luego compara sus propios resultados con los resultados del remitente. Si los resultados son los
mismos, el marco no cambió; de lo contrario, ocurrió un error y el receptor descarta la trama.
Tenga en cuenta que la detección de errores no significa también la recuperación de errores.
Ethernet define que la trama con error debe descartarse, pero Ethernet no intenta recuperar la
trama perdida. Otros protocolos, en particular TCP, recuperan los datos perdidos al darse cuenta
de que se han perdido y enviar los datos nuevamente.

Envío en LAN Ethernet modernas mediante dúplex completo

Las LAN Ethernet modernas utilizan una variedad de estándares físicos de Ethernet, pero con
tramas de Ethernet estándar que pueden fluir sobre cualquiera de estos tipos de enlaces físicos.
Cada enlace individual puede funcionar a una velocidad diferente, pero cada enlace permite que
los nodos adjuntos envíen los bits de la trama al siguiente nodo. Deben trabajar juntos para
entregar los datos desde el nodo Ethernet de envío al nodo de destino.
El proceso es relativamente simple, a propósito; la simplicidad permite que cada dispositivo
envíe una gran cantidad de cuadros por segundo.

1. PC1 crea y envía la trama Ethernet original, utilizando su propia dirección MAC como
dirección de origen y la dirección MAC de PC2 como dirección de destino.
2. El conmutador SW1 recibe y reenvía la trama Ethernet desde su interfaz G0/1
(abreviatura de interfaz Gigabit 0/1) a SW2.
3. El switch SW2 recibe y reenvía la trama Ethernet desde su interfaz F0/2 (abreviatura de
interfaz Fast Ethernet 0/2) a la PC2.
4. La PC2 recibe la trama, reconoce la dirección MAC de destino como propia y procesa
la trama.

Bloque IV. Redes

Uso de medio dúplex con concentradores LAN (hubs)
Los concentradores LAN reenvían datos utilizando estándares de capa física en lugar de
estándares de enlace de datos y, por lo tanto, se consideran dispositivos de capa 1. Cuando entra
una señal eléctrica en un puerto del concentrador, el concentrador repite esa señal eléctrica en
todos los demás puertos (excepto el puerto de entrada). Entonces, los datos llegan al resto de los
nodos conectados al concentrador, por lo que es de esperar que los datos lleguen al destino
correcto. El concentrador no tiene concepto de tramas Ethernet, de direcciones, toma de
decisiones basadas en esas direcciones, etc.
La desventaja de usar concentradores LAN es que si dos o más dispositivos transmiten una
señal en el mismo instante, la señal eléctrica choca y se distorsiona. El concentrador repite todas
las señales eléctricas recibidas, incluso si recibe varias señales al mismo tiempo.

Los nodos que usan lógica semidúplex en realidad usan un algoritmo relativamente conocido
llamado acceso múltiple con detección de portadora con detección de colisión (CSMA/CD).
El algoritmo se ocupa de los casos obvios, pero también de los casos causados por una
sincronización desafortunada; por ejemplo, dos nodos podrían comprobar si hay una trama
entrante exactamente en el mismo instante, ambos se dan cuenta de que ningún otro nodo está
enviando y ambos envían sus tramas exactamente en el mismo instante, provocando una
colisión. CSMA/CD también cubre estos casos, de la siguiente manera:
Paso 1. Un dispositivo con una trama para enviar escucha hasta que la red Ethernet no esté
ocupada.
Paso 2. Cuando Ethernet no está ocupada, el remitente comienza a enviar la trama.
Paso 3. El remitente escucha mientras envía para descubrir si ocurre una colisión; las colisiones
pueden ser causadas por muchas razones, Si ocurre una colisión, todos los nodos que envían
actualmente hacen lo siguiente:
A. Envían una señal de interferencia que les dice a todos los nodos que ocurrió una colisión.
B. Eligen de forma independiente un tiempo aleatorio para esperar antes de volver a intentarlo,
para evitar tiempos desafortunados.
C. El próximo intento comienza de nuevo en el Paso 1.
2

Bloque IV. Redes

Figura 10: Full y Half Duplex en una LAN Ethernet

Fundamentos de WAN y enrutamiento IP

1. Para enviar el paquete IP al enrutador R1 a continuación, la PC1 encapsula el paquete

IP en una trama Ethernet que tiene la dirección MAC de destino de R1.
2. El enrutador R1 desencapsula (elimina) el paquete IP de la trama de Ethernet, encapsula
el paquete en una trama HDLC mediante un encabezado y un tráiler HDLC, y luego
reenvía la trama HDLC al enrutador R2.
3. El enrutador R2 desencapsula (elimina) el paquete IP de la trama HDLC, encapsula el
paquete en una trama Ethernet que tiene la dirección MAC de destino de la PC2 y
reenvía la trama Ethernet a la PC2.

Ethernet como tecnología WAN

Durante las primeras décadas de la existencia de Ethernet, Ethernet solo era apropiado para
LAN. Las restricciones sobre la longitud de los cables y los dispositivos podrían permitir que
una LAN que se extendía uno o dos kilómetros admitiera una LAN de campus, pero ese era el
límite.
2

Con el paso del tiempo, el IEEE mejoró los estándares de Ethernet de manera que convirtió a
Ethernet en una tecnología WAN razonable; por ejemplo, el estándar 1000BASE-LX utiliza
cableado de fibra monomodo, con soporte para una longitud de cable de 5 km; el estándar
1000BASE-ZX admite una longitud de cable aún mayor de 70 km. Con el paso del tiempo, y a
medida que IEEE mejoró las distancias de cableado para los enlaces de fibra Ethernet, Ethernet
se convirtió en una tecnología WAN razonable.
En la actualidad, muchos proveedores de servicios (SP) de WAN ofrecen servicios de WAN que
aprovechan Ethernet. Los SP ofrecen una amplia variedad de estos servicios WAN Ethernet,
con muchos nombres diferentes.

Bloque IV. Redes

Figura 11: Enlace de fibra Ethernet

Figura 12: Enrutamiento a través de un enlace EoMPLS

Enrutamiento IP
Han existido muchos modelos de protocolo a lo largo de los años, pero hoy domina el modelo
TCP/IP. Y en la capa de red de TCP/IP, existen dos opciones para el protocolo principal en
torno al cual giran todas las demás funciones de la capa de red: IP versión 4 (IPv4) e IP
versión 6 (IPv6). Tanto IPv4 como IPv6 definen los mismos tipos de funciones de capa de red,
pero con detalles diferentes.
El Protocolo de Internet (IP) se centra en el trabajo de enrutamiento de datos, en forma de
paquetes IP, desde el host de origen hasta el host de destino. IP no se ocupa de la transmisión
física de datos, sino que depende de las capas inferiores de TCP/IP para realizar la transmisión
física de los datos. En cambio, IP se preocupa por los detalles lógicos, en lugar de los detalles
físicos, de la entrega de datos. En particular, la capa de red especifica cómo viajan los paquetes
de extremo a extremo a través de una red TCP/IP, incluso cuando el paquete cruza muchos tipos
2

diferentes de enlaces LAN y WAN.

Lógica de enrutamiento (reenvío) de capa de red

Los enrutadores y las computadoras de los usuarios finales (llamados hosts en una red TCP/IP)
trabajan juntos para realizar el enrutamiento IP. El sistema operativo host (SO) tiene software
TCP/IP, incluido el software que implementa la capa de red. Los hosts usan ese software para
elegir dónde enviar paquetes IP,a menudo a un enrutador cercano. Esos enrutadores eligen
dónde enviar el paquete IP a continuación. Juntos, los hosts y los enrutadores envían el paquete
IP al destino correcto:

Bloque IV. Redes

Figura 13:PC1 enviando un paquete a PC2

Lógica de reenvío de host: envíe el paquete al enrutador predeterminado

En este ejemplo, la PC1 realiza un análisis básico y luego elige enviar el paquete IP al enrutador
para que el enrutador reenvíe el paquete. PC1 analiza la dirección de destino y se da cuenta de
que la dirección de PC2 (150.150.4.10) no está en la misma LAN que PC1. Entonces, la lógica
de PC1 le dice que envíe el paquete a un dispositivo cuyo trabajo es saber dónde enrutar los
datos: un enrutador cercano, en la misma LAN, llamado enrutador predeterminado de PC1.
Para enviar el paquete IP al enrutador predeterminado, el remitente envía una trama de enlace
de datos a través del medio al enrutador cercano; esta trama incluye el paquete en la porción de
datos de la trama. Esa trama utiliza el direccionamiento de la capa de enlace de datos (capa 2)
en el encabezado del enlace de datos para garantizar que el enrutador cercano reciba la trama.
2

Lógica de R1 y R2: enrutamiento de datos a través de la red

Todos los enrutadores utilizan el mismo proceso general para enrutar el paquete. Cada enrutador
mantiene una tabla de enrutamiento IP . Esta tabla enumera las agrupaciones de direcciones IP,
denominadas redes IP y subredes IP. Cuando un enrutador recibe un paquete, compara la
dirección IP de destino del paquete con las entradas en la tabla de enrutamiento y hace una
coincidencia. Esta entrada coincidente también enumera las direcciones que le indican al
enrutador dónde reenviar el paquete a continuación.

Bloque IV. Redes

Figura 14: Encapsulación de capa de red y capa de enlace de datos

Paso A. PC1 envía el paquete a su enrutador predeterminado. La lógica de la capa de red de

la PC1 construye el paquete IP, con una dirección de destino de la dirección IP de la PC2
(150.150.4.10). La capa de red también realiza el análisis para decidir que 150.150.4.10 no está
en la subred de IP local, por lo que la PC1 debe enviar el paquete a R1 (el enrutador
predeterminado de la PC1). PC1 coloca el paquete IP en una trama de enlace de datos Ethernet,
con una dirección Ethernet de destino de la dirección Ethernet de R1. PC1 envía la trama a
Ethernet.
Paso B. R1 procesa la trama entrante y reenvía el paquete a R2. Debido a que la trama
Ethernet entrante tiene una MAC de destino de la MAC Ethernet de R1, R1 decide procesar la
trama. R1 verifica el FCS de la trama en busca de errores y, si no hay ninguno, descarta el
encabezado y el tráiler de Ethernet. Luego, R1 compara el paquete de dirección de destino
(150.150.4.10) a su tabla de enrutamiento y encuentra la entrada para la subred 150.150.4.0.
Debido a que la dirección de destino de 150.150.4.10 se encuentra en esa subred, el R1 reenvía
el paquete por la interfaz enumerada en esa ruta coincidente (Serial0) al enrutador de siguiente
salto R2 (150.150.2.7). R1 primero debe encapsular el paquete IP en una trama HDLC.
2

Paso C. R2 procesa la trama entrante y reenvía el paquete a R3. R2 repite el mismo proceso
general que R1 cuando R2 recibe la trama HDLC. R2 verifica el campo FCS y encuentra que no
se produjeron errores y luego descarta el encabezado y el tráiler HDLC. Luego, R2 compara la
dirección de destino del paquete (150.150.4.10) con su tabla de enrutamiento y encuentra la
entrada para la subred 150.150.4.0, una ruta que indica a R2 que envíe el paquete por la interfaz
Fast Ethernet 0/0 al router de siguiente salto 150.150. 3.1 (R3). Pero primero, R2 debe
encapsular el paquete en un encabezado de Ethernet. Ese encabezado usa la dirección MAC de
R2 y la dirección MAC de R3 en el enlace WAN Ethernet como la dirección MAC de origen y
destino, respectivamente.

Bloque IV. Redes

Paso D. R3 procesa la trama entrante y reenvía el paquete al PC2. Al igual que R1 y R2, R3
verifica el FCS, descarta el encabezado y el tráiler del enlace de datos anterior y hace coincidir
su propia ruta para la subred 150.150.4.0. La entrada de la tabla de enrutamiento de R3 para
150.150.4.0 muestra que la interfaz de salida es la interfaz Ethernet de R3, pero no hay un
enrutador de siguiente salto porque R3 está conectado directamente a la subred 150.150.4.0.
Todo lo que R3 tiene que hacer es encapsular el paquete dentro de un nuevo encabezado y
tráiler de Ethernet, pero con una dirección Ethernet de destino de la dirección MAC de PC2.
Debido a que los enrutadores construyen nuevos encabezados y tráileres de enlace de datos, y
debido a que los nuevos encabezados contienen direcciones de enlace de datos, las PC y los
enrutadores deben tener alguna forma de decidir qué direcciones de enlace de datos usar. Un
ejemplo de cómo el enrutador determina qué dirección de enlace de datos usar es el Protocolo
de resolución de direcciones IP (ARP). ARP aprende dinámicamente la dirección de enlace de
datos de un host IP conectado a una LAN.

El encabezado IP

Figura 15: Encabezado IP

Paso 1. Cada enrutador, independientemente del protocolo de enrutamiento, agrega una ruta a
su tabla de enrutamiento para cada subred conectada directamente al enrutador.
Paso 2. El protocolo de enrutamiento de cada enrutador informa a sus vecinos sobre las rutas en
su tabla de enrutamiento, incluidas las rutas conectadas directamente y las rutas aprendidas de
otros enrutadores.
Paso 3. Después de aprender una nueva ruta de un vecino, el protocolo de enrutamiento del
enrutador agrega una ruta a su tabla de enrutamiento de IP, y el enrutador del siguiente salto de
esa ruta suele ser el vecino del que se aprendió la ruta.
2

Bloque IV. Redes

Figura 16:Ejemplo de cómo los protocolos de enrutamiento anuncian redes y subredes

Paso A. La subred 150.150.4.0 existe como una subred en la parte inferior de la figura,
conectada al enrutador R3.
Paso B. R3 agrega una ruta conectada para 150.150.4.0 a su tabla de enrutamiento IP; esto
sucede sin la ayuda del protocolo de enrutamiento.
Paso C. R3 envía un mensaje de protocolo de enrutamiento, llamado actualización de
enrutamiento, a R2, lo que hace que R2 conozca la subred 150.150.4.0.
Paso D. R2 agrega una ruta para la subred 150.150.4.0 a su tabla de enrutamiento.
Paso E. R2 envía una actualización de enrutamiento similar a R1, lo que hace que R1 conozca
la subred 150.150.4.0.
Paso F. R1 agrega una ruta para la subred 150.150.4.0 a su tabla de enrutamiento. La ruta
2

enumera el propio Serial0 de R1 como la interfaz de salida y R2 como la dirección IP del

enrutador del siguiente salto (150.150.2.7).

Bloque IV. Redes

Figura 17:Solicitud básica de resolución de nombres de DNS

El protocolo de resolución de direcciones

La lógica de enrutamiento IP requiere que los hosts y los enrutadores encapsulen los paquetes IP
dentro de las tramas de la capa de enlace de datos. Para las interfaces Ethernet, ¿cómo sabe un
enrutador qué dirección MAC usar para el destino? Utiliza ARP.
En las LAN Ethernet, cada vez que un host o enrutador necesita encapsular un paquete IP en
una nueva trama Ethernet, el host o enrutador conoce todos los datos importantes para crear ese
encabezado, excepto la dirección MAC de destino. El host conoce la dirección IP del siguiente
dispositivo, ya sea otra dirección IP del host o la dirección IP del enrutador predeterminado. Un
enrutador conoce la ruta IP utilizada para reenviar el paquete IP, que enumera la dirección IP
del siguiente enrutador. Sin embargo, los hosts y los enrutadores no conocen de antemano las
direcciones MAC de esos dispositivos vecinos.
TCP/IP define el Protocolo de resolución de direcciones (ARP) como el método por el cual
cualquier host o enrutador en una LAN puede aprender dinámicamente la dirección MAC
de otro host IP o enrutador en la misma LAN. ARP define un protocolo que incluye la
Solicitud ARP, que es un mensaje que hace la solicitud simple "si esta es su dirección IP,
responda con su dirección MAC". ARP también define el mensaje de respuesta ARP, que de
hecho enumera tanto la dirección IP original como la dirección MAC correspondiente.
La Figura siguiente muestra un ejemplo: la figura muestra la solicitud ARP enviada por el
enrutador R3, a la izquierda de la figura, como una transmisión LAN. Todos los dispositivos de
la LAN procesarán la trama recibida. A la derecha, en el paso 2, la PC2 host envía una respuesta
ARP, identificando la dirección MAC de la PC2. El texto al lado de cada mensaje muestra el
contenido dentro del propio mensaje ARP, lo que permite que PC2 aprenda la dirección IP de
R3 y la dirección MAC coincidente, y que R3 aprenda la dirección IP de PC2 y la dirección
MAC coincidente.
2

Bloque IV. Redes

Tenga en cuenta que los hosts y los enrutadores recuerdan los resultados de ARP y mantienen la
información en su caché de ARP o en su tabla de ARP. Un host o enrutador solo necesita usar
ARP ocasionalmente, para construir el caché ARP la primera vez. Cada vez que un host o
enrutador necesita enviar un paquete encapsulado en una trama de Ethernet, primero verifica su
caché ARP para obtener la dirección IP correcta y la dirección MAC correspondiente. Los hosts
y los enrutadores dejarán que las entradas de caché ARP se agoten para limpiar la tabla, de
modo que se puedan ver las solicitudes ARP ocasionales.

ICMP Echo y el comando ping

Después de implementar una interconexión de redes TCP/IP, necesita una forma de probar la
conectividad IP básica sin depender de que ninguna aplicación funcione. La herramienta
principal para probar la conectividad de red básica es el comando ping.
Ping (Packet Internet Groper) utiliza el Protocolo de mensajes de control de Internet (ICMP),
enviando un mensaje llamado solicitud de eco ICMP a otra dirección IP. La computadora con
esa dirección IP debe responder con una respuesta de eco ICMP. Si eso funciona, ha probado
con éxito la red IP. En otras palabras, sabe que la red puede entregar un paquete de un host a
otro y viceversa. ICMP no depende de ninguna aplicación, por lo que en realidad solo prueba la
conectividad IP básica: las capas 1, 2 y 3 del modelo OSI.
2

Bloque IV. Redes

 2

Figura 18:Ilustración de origen a destino: entrega desde el origen al conmutador: los encabezados se agregan en
cada capa cuando el mensaje pasa por la pila de protocolos. Ht es el encabezado de la capa de transporte, Hn el
encabezado de la capa de red y Hl el encabezado de la capa de enlace

Bloque IV. Redes

Supongamos ahora que una aplicación tiene un mensaje para enviar a un destino. Este mensaje
emplea protocolos de aplicación como HTTP y FTP. El mensaje se pasa a la capa de transporte.
Para el uso de Internet, los protocolos utilizados en esta capa son TCP o UDP. En este punto, el
mensaje se segmenta y se adjunta un encabezado de transporte a cada segmento, que contiene el
número de puerto de la capa de transporte, es decir, los números de puerto de origen y de
destino. El número de puerto de un servidor indica el protocolo de la capa de aplicación, por
ejemplo, el puerto 80 para HTTP. Luego, los segmentos de la capa de transporte se pasan a la
capa de red donde se agrega la dirección IP del destino. En este punto, el mensaje tiene, en
esencia, una dirección IP de destino y una dirección IP de origen. Es responsabilidad de la capa
de red del host de origen y de los enrutadores involucrados, así como de la capa de red del host
de destino, entregar los segmentos, también conocidos como paquetes o datagramas, a la capa
de transporte en el destino. La capa de red de hosts y enrutadores contiene los protocolos de
enrutamiento necesarios para esta entrega. La dirección IP de destino se obtiene a través de
DNS desde una URL. La capa de red pasa el datagrama a la capa de enlace. Mientras que la
capa de red enruta los paquetes desde el origen hasta el destino a través de uno o más
enrutadores, la capa de enlace solo sabe cómo avanzar de una interfaz a la siguiente interfaz
conectada por un enlace físico. La capa de enlace crea una trama que contiene el datagrama y
es responsable de mover esta trama a la siguiente interfaz adyacente en la ruta de transmisión.
La capa de enlace agrega la dirección MAC de la siguiente interfaz, por ejemplo, la interfaz del
enrutador, y la pasa a la capa física. La capa de red del host de origen conoce la dirección IP de
destino que pertenece a otra subred y entrega la trama a la interfaz del enrutador (también
conocida como puerta de enlace a Internet). La dirección MAC de destino se obtiene
mediante el ARP (Protocolo de resolución de direcciones) de la dirección IP de la interfaz
del enrutador. Es esta capa física la que mueve los bits individuales de manera coherente con
el medio de transmisión real, como los cables de cobre. Claramente, lo que está sucediendo es
esto: a medida que el mensaje original avanza por la pila, cada capa agrega la información
necesaria a los bits de la capa superior.

Operaciones involucradas en el reenvío de switch de capa 2

El conmutador de capa de enlace, que se muestra en la figura siguiente, es un dispositivo cuya
operación se limita a las dos capas inferiores de la pila de protocolos. Este conmutador entrega
la trama al puerto de salida de hardware correcto según la dirección MAC de destino en el
encabezado. La trama se reenvía a la interfaz del enrutador que tiene la dirección MAC de
destino.

Bloque IV. Redes

La operación de un enrutador de capa 3
Mientras que el funcionamiento del conmutador de capa 2 se basa en la dirección MAC, el
enrutador es un dispositivo de capa 3, como se indica en la Figura siguiente; por lo tanto, el
enrutador enrutará el datagrama/paquete en función de la dirección IP de destino, que ha sido
proporcionada por el host de origen. Conociendo la dirección IP de destino, el enrutador ahora
debe usar la dirección MAC de destino adecuada para empaquetar el encabezado de la capa de
enlace. Por lo tanto, la nueva dirección MAC de destino es utilizada por el siguiente conmutador
de capa de enlace para reenviar la trama.
2

Bloque IV. Redes

Las funciones del conmutador de capa de enlace en la entrega de una trama al
host de destino
Como se indica en la Figura siguiente, el conmutador de capa de enlace entrega la trama desde
la interfaz del enrutador al puerto de salida correcto del conmutador en función de la dirección
MAC de destino, que se graba en la interfaz de entrada del host de destino. Luego, la trama se
envía a este host de destino.
2

Bloque IV. Redes

Las operaciones de la pila de protocolos en tramas de
procesamiento en el host de destino
Al llegar la trama al host de destino, como se muestra en la figura siguiente, la trama avanza en
la pila. La capa de enlace toma los bits, quita el encabezado que contiene las direcciones MAC y
pasa el paquete/datagrama a la capa de red. La capa de red elimina el encabezado que contiene
la dirección IP y pasa el segmento a la capa de transporte. La capa de transporte elimina su
encabezado, ensambla los bytes y pasa la información al puerto adecuado para la aplicación en
particular, por ejemplo, un puerto en un navegador puede ser para Fox News y otro para
Amazon, si ambos puertos están en uso. Finalmente, la capa de aplicación, trabajando en
2

conjunto con la capa de transporte, vuelve a ensamblar los segmentos para formar el mensaje
que se envió originalmente.

Bloque IV. Redes

Pasos necesarios para conectar un host a Internet y descargar una página web

Bloque IV. Redes

El protocolo HTTP establece una conexión entre el cliente y el servidor para que se pueda
establecer para el socket una entrega confiable de información, por ejemplo, el uso de un
número de secuencia de paquete para la detección de pérdidas. El servicio orientado a la
conexión deriva su nombre del establecimiento de una conexión para un transporte confiable.
La conexión de ida y vuelta establece parámetros como un número de secuencia y un tiempo de
ida y vuelta (RTT) para que el remitente pueda retransmitir un paquete perdido si no se recibe
un acuse de recibo. En este protocolo HTTP, el cliente realiza una solicitud de conexión TCP, el
servidor envía un acuse de recibo, el cliente luego solicita los datos requeridos, que luego son
proporcionados por el servidor.
Los protocolos, como Ethernet 802.3 [6], IP, TCP y HTTP, realizan una serie de funciones muy
importantes; por ejemplo, rigen el movimiento de paquetes desde el origen hasta el destino
según las especificaciones de ciertos estándares, toman acciones que se especifican en los
paquetes, gestionan el flujo y la congestión de paquetes para un rendimiento óptimo e incluso
recuperan paquetes perdidos, que requieren un protocolo de transporte orientado a la conexión.
(TCP). Los protocolos funcionan en conjunto para realizar la tarea especificada solicitada por el
usuario. Las aplicaciones, como HTTP, invocan protocolos de transporte, como TCP; los
protocolos de transporte invocan el protocolo IP; y el protocolo IP invoca Ethernet o algo
similar. En apoyo de todas estas funciones se encuentran el Sistema de nombres de dominio
(DNS) y otros protocolos, como el Protocolo de resolución de direcciones (ARP), Protocolo de
configuración dinámica de host (DHCP) y Protocolo de mensajes de control de Internet (ICMP)
que proporcionan el pegamento que mantiene todo unido. DNS y DHCP suelen emplear UDP
ya que la información transmitida es muy pequeña y el enfoque sin conexión (UDP) reduce la
sobrecarga.

Protocolos y servicios de red

(CCNA Cybersecurity Operati ons Companion Guide)

Protocolos de red

Comunicaciones cliente-servidor
Todas las computadoras que están conectadas a una red y que participan directamente en la
comunicación de la red se clasifican como hosts. Los hosts también se denominan dispositivos
finales, puntos finales o nodos. Gran parte de la interacción entre dispositivos finales es tráfico
cliente-servidor. Por ejemplo, cuando accede a una página web en Internet, su navegador web
(el cliente) está accediendo a un servidor. Cuando envía un mensaje de correo electrónico, su
cliente de correo electrónico se conectará a un servidor de correo electrónico.

Los servidores son simplemente computadoras con software especializado. Este software
permite que los servidores proporcionen información a otros dispositivos finales en la red. Un
2

servidor puede ser de un solo propósito, brindando un solo servicio, como páginas web. Un
servidor puede ser polivalente y proporcionar una variedad de servicios, como páginas web,
correo electrónico y transferencias de archivos.
Las computadoras cliente tienen software instalado, como navegadores web, correo electrónico
y aplicaciones de transferencia de archivos. Este software les permite solicitar y visualizar la
información obtenida del servidor. Una sola computadora también puede ejecutar múltiples
tipos de software de cliente. Por ejemplo, un usuario puede consultar el correo electrónico y ver
una página web mientras escucha la radio por Internet.

Bloque IV. Redes

Conjuntos de protocolos de red
Un conjunto de protocolos es un conjunto que trabaja juntos para proporcionar servicios
completos de comunicación de red. Un conjunto de protocolos puede ser especificado por
una organización de estándares o desarrollado por un proveedor.
Para que los dispositivos se comuniquen con éxito, un conjunto de protocolos de red debe
describir requisitos e interacciones precisos. Los protocolos de red definen un formato común y
un conjunto de reglas para intercambiar mensajes entre dispositivos.

Figura 19: Conjunto de protocolos TCP/IP

Los protocolos individuales se organizan en capas utilizando el modelo de protocolo TCP/IP:

capas de aplicación, transporte, Internet y acceso a la red. Los protocolos TCP/IP son
específicos de las capas de aplicación, transporte e Internet. Los protocolos de la capa de acceso
a la red son responsables de entregar el paquete IP a través del medio físico, como a través de
un cable de red o una señal inalámbrica.

El conjunto de protocolos TCP/IP se implementa tanto en el host de envío como en el de

recepción para proporcionar una entrega de mensajes de extremo a extremo a través de una red.
TCP/IP ha estandarizado la forma en que se comunican las computadoras, lo que ha permitido
el uso de Internet tal como lo conocemos hoy. Desafortunadamente, este uso generalizado ha
llamado la atención de las personas que quieren hacer un mal uso de las redes. Gran parte del
trabajo del analista de ciberseguridad se refiere al análisis del comportamiento del conjunto de
protocolos TCP/IP.

Formato, tamaño y tiempo

2

Formato
Cuando envía un correo electrónico, su dispositivo utiliza los protocolos del conjunto de
protocolos TCP/IP para formatear su mensaje para enviarlo a través de la red. Esto es
similar a enviar una carta por correo. Colocas tu carta en un sobre. El sobre tiene la dirección
del remitente y del destinatario, cada uno ubicado en el lugar apropiado en el sobre. Si la
dirección de destino y el formato no son correctos, la carta no se entrega. El proceso de colocar
un formato de mensaje (la carta) dentro de otro formato de mensaje (el sobre) se denomina

Bloque IV. Redes

encapsulación. La desencapsulación ocurre cuando el destinatario invierte el proceso y la carta
se retira del sobre.
Así como una carta se encapsula en un sobre para su entrega, también se encapsulan los
mensajes de computadora. Cada mensaje de computadora se encapsula en un formato
específico, llamado trama, antes de enviarse a través de la red.
Tamaño
Otra regla de la comunicación es el tamaño. Cuando las personas se comunican en persona o por
teléfono, una conversación generalmente se compone de muchas oraciones más pequeñas para
garantizar que cada parte del mensaje se reciba y comprenda.
Asimismo, cuando se envía un mensaje largo de un host a otro a través de una red, es necesario
dividir el mensaje en muchos marcos, como se muestra en la figura siguiente. Cada marco
tendrá su propia información de direccionamiento. En el host receptor, los marcos individuales
se reconstruyen en el mensaje original.

Tiempo
El tiempo incluye el método de acceso (cuándo puede enviar un host), el control de flujo (cuánta
información puede enviar un host a la vez) y el tiempo de espera de respuesta (cuánto tiempo
esperar una respuesta).

Unidifusión, multidifusión y difusión

Una opción de entrega uno a uno se conoce como unidifusión , lo que significa que solo hay un
único destino para el mensaje, como se muestra en la Figura siguiente:
2

Bloque IV. Redes

Cuando un host necesita enviar mensajes usando una opción de entrega de uno a muchos, se lo
conoce como multidifusión , como se muestra en la Figura siguiente:

Si todos los hosts de la red necesitan recibir el mensaje al mismo tiempo, se puede utilizar una
transmisión.

Bloque IV. Redes

Modelos de referencia

Número Nombre de capa Descripción

7 Aplicación La capa de aplicación contiene protocolos utilizados para
comunicaciones de proceso a proceso.
6 Presentación La capa de presentación proporciona una representación
2

común de los datos transferidos entre los servicios de la

capa de aplicación.
5 Sesión La capa de sesión proporciona servicios a la capa de
presentación para organizar su diálogo y gestionar el
intercambio de datos.
4 Transporte La capa de transporte define los servicios para segmentar,
transferir y volver a ensamblar los datos para las
comunicaciones individuales entre los dispositivos finales.
3 Red La capa de red proporciona servicios para intercambiar
datos individuales a través de la red entre dispositivos
finales identificados.

Bloque IV. Redes

2 Enlace de datos
1 física
Los protocolos de la capa de enlace de datos describen
métodos para intercambiar tramas de datos entre
dispositivos a través de un medio común.
Los protocolos de capa física describen los medios
mecánicos, eléctricos, funcionales y de procedimiento para
activar, mantener y desactivar conexiones físicas para la
transmisión de bits hacia y desde un dispositivo de red.

El modelo de protocolo TCP/IP

El modelo de protocolo TCP/IP para las comunicaciones entre redes se creó a principios de la
década de 1970. Como se muestra en la Figura siguiente, define cuatro categorías de funciones
que deben ocurrir para que las comunicaciones sean exitosas.

Los protocolos de red requieren que se utilicen direcciones para la comunicación de red. El
cliente utiliza el direccionamiento para enviar solicitudes y otros datos a un servidor. El servidor
utiliza la dirección del cliente para devolver los datos solicitados al cliente que los solicitó.
Los protocolos operan en capas. Las capas de enlace de datos, red y transporte OSI utilizan
direccionamiento de alguna forma. La capa de transporte utiliza direcciones de protocolo en
forma de números de puerto para identificar aplicaciones de red que deben manejar datos de
clientes y servidores. La capa de red especifica direcciones que identifican las redes a las que
están conectados los clientes y servidores y los propios clientes y servidores. Finalmente, la
capa de enlace de datos especifica los dispositivos en la LAN local que deben manejar tramas
de datos.
2

Bloque IV. Redes

Encapsulación
Como ha visto, los datos se dividen en partes más pequeñas y más manejables para enviar a
través de la red. Esta división de datos en partes más pequeñas se llama segmentación. La
segmentación de mensajes tiene dos beneficios principales:
Segmentación (Figura siguiene): Este proceso aumenta la eficiencia de las comunicaciones de
red. Si parte del mensaje no llega al destino, debido a una falla en la red o a la congestión de la
red, solo se deben retransmitir las partes faltantes.

Multiplexación (Figura siguiente): al enviar piezas individuales más pequeñas desde el origen
al destino, se pueden intercalar muchas conversaciones diferentes en la red. Esto se llama
multiplexación.

Bloque IV. Redes

En las comunicaciones de red, cada segmento del mensaje debe etiquetarse correctamente para
garantizar que llegue al destino correcto y pueda volver a ensamblarse en el contenido del
mensaje original, como se muestra en la figura siguiente:

A medida que los datos de la aplicación pasan por la pila de protocolos para ser transmitidos a
través de los medios de la red, se encapsulan con información de varios protocolos en cada
nivel.
La forma que adopta un dato encapsulado en cualquier capa se denomina unidad de datos de
protocolo (PDU). Cada capa sucesiva encapsula la PDU que recibe de la capa superior de
acuerdo con el protocolo que se utiliza. En cada etapa del proceso, una PDU tiene un nombre
diferente para reflejar sus nuevas funciones.

Bloque IV. Redes

Al enviar mensajes en una red, el proceso de encapsulación funciona de arriba a abajo. En cada
capa, la información de la capa superior se considera datos dentro del protocolo encapsulado;
por ejemplo, el segmento TCP se considera datos dentro del paquete IP. Las cinco figuras
siguientes muestran el proceso de encapsulación cuando un servidor web envía una página web
a un cliente web.

Bloque IV. Redes

 2

Bloque IV. Redes

Los mensajes enviados a través de la red son convertidos primero en bits por el host emisor.
Cada bit está codificado en un patrón de sonidos, ondas de luz o impulsos eléctricos según el
medio de la red por el que se transmiten los bits. El host de destino recibe y decodifica las
señales para interpretar el mensaje.
Este proceso se invierte en el host receptor y se conoce como desencapsulación. Los datos se
desencapsulan a medida que ascienden en la pila hacia la aplicación del usuario final. Las dos
figuras siguientes muestran el proceso de desencapsulación.

Bloque IV. Redes

Escenario: Envío y recepción de una página web
La Figura siguiente enumera algunos de los protocolos utilizados entre un servidor web y un
cliente web:
HTTP: este protocolo de aplicación rige la forma en que interactúan un servidor web y un
cliente web.
TCP: este protocolo de transporte gestiona conversaciones individuales. TCP divide los
mensajes HTTP en partes más pequeñas, llamadas segmentos. TCP también es responsable de
controlar el tamaño y la velocidad a la que se intercambian los mensajes entre el servidor y el
cliente.
IP: este protocolo de Internet es responsable de tomar los segmentos formateados de TCP,
encapsularlos en paquetes, asignarles las direcciones adecuadas y entregarlos al host de destino.
Ethernet: Este protocolo de acceso a la red se encarga de tomar los paquetes de IP y
formatearlos para ser transmitidos por los medios.

1) El servidor web preparó la página de lenguaje de marcado de hipertexto (HTML) como

datos para enviar.
2) El encabezado HTTP del protocolo de aplicación se agrega al frente de los datos
HTML. El encabezado contiene información diversa, incluida la versión HTTP que
utiliza el servidor y un código de estado que indica que tiene información para el
cliente web.
2

3) El protocolo de la capa de aplicación HTTP entrega los datos de la página web con
formato HTML a la capa de transporte. TCP segmenta los datos agregando números de
puerto de origen y destino.
4) La información de IP se agrega al frente de la información de TCP. IP asigna las
direcciones IP de origen y destino adecuadas. El segmento TCP ahora se ha
encapsulado en un paquete IP.
5) El protocolo Ethernet agrega información a ambos extremos del paquete IP para crear
un marco. Este marco se entrega a través de la red hacia el cliente web.
6) El cliente recibe las tramas de enlace de datos que contienen los datos. Cada
encabezado de protocolo se procesa y luego se elimina en el orden opuesto al que se

Bloque IV. Redes

 agregó. La información de Ethernet se procesa y elimina, seguida de la información del
protocolo IP, la información de TCP y, finalmente, la información de HTTP.
7) La información de la página web luego se pasa al software del navegador web del
cliente.

El protocolo Ethernet
Ethernet opera en la capa de enlace de datos y la capa física, como se muestra en la Figura
siguiente. Es una familia de tecnologías de red que se definen en los estándares IEEE 802.2 y
802.3. Ethernet se basa en las dos subcapas separadas de la capa de enlace de datos para operar,
las subcapas de control de enlace lógico (LLC) y control de acceso a medios (MAC).

LLC es responsable de la comunicación con la capa de red. MAC se implementa mediante la

tarjeta de interfaz de red (NIC) de la computadora. La subcapa MAC tiene dos
responsabilidades principales:
 Encapsulación de datos: Ethernet encapsula el paquete IP en un marco, agregando
información de tiempo, direcciones MAC de origen y destino, y una función de
verificación de errores.
 Control de acceso a los medios: Ethernet gestiona el proceso de convertir la trama en
bits y enviar la trama a la red. En las redes cableadas más antiguas, los dispositivos no
podían enviar y recibir datos al mismo tiempo. Este sigue siendo el caso de las redes
inalámbricas. En tales situaciones, Ethernet usa un proceso para determinar cuándo un
dispositivo puede enviar y qué hacer si los datos enviados por dos dispositivos chocan
en la red.

El marco Ethernet
2

El tamaño mínimo de la trama de Ethernet es de 64 bytes y el máximo es de 1518 bytes.

Esto incluye todos los bytes desde el campo Dirección MAC de destino hasta el campo
Secuencia de verificación de trama (FCS). El campo Preámbulo no se incluye cuando se
describe el tamaño de un marco.
Cualquier trama de menos de 64 bytes de longitud se considera un "fragmento de colisión"
o "trama runt". Las tramas con más de 1518 bytes se consideran "tramas jumbo" o
"tramas baby giant".
Si el tamaño de una trama transmitida es menor que el mínimo o mayor que el máximo, el
dispositivo receptor descarta la trama. Es probable que los frames perdidos sean el resultado
de colisiones u otras señales no deseadas y, por lo tanto, se consideran no válidos.

Bloque IV. Redes

Figura 20: Estructura de la trama Ethernet.

Campo de marco Descripción

Campos Preámbulo y Delimitador de
trama inicial
Campo de dirección MAC de destino
Campo de dirección MAC de origen
campo EtherType
Campo de datos
El campo Preámbulo (7 bytes) y el
Delimitador de trama de inicio (SFD),
también llamado Campo de inicio de trama (1
byte) se utilizan para la sincronización entre
los dispositivos de envío y recepción. Estos
primeros 8 bytes de la trama se utilizan para
llamar la atención de los nodos receptores.
Esencialmente, los primeros bytes dicen a los
receptores que se preparen para recibir una
nueva trama.
Este campo de 6 bytes es el identificador
del destinatario previsto. Como recordará, la
Capa 2 utiliza esta dirección para ayudar a los
dispositivos a determinar si una trama está
dirigida a ellos. La dirección en el marco se
compara con la dirección MAC en el
dispositivo. Si hay una coincidencia, el
dispositivo acepta el marco. Puede ser una
dirección de unidifusión, multidifusión o
difusión.
Este campo de 6 bytes identifica la NIC o
interfaz de origen de la trama. Debe ser
una dirección de unidifusión.
Este campo de 2 bytes identifica el
protocolo de capa superior encapsulado en
la trama de Ethernet. Los valores comunes
son, en hexadecimal, 0x800 para IPv4,
0x86DD para IPv6 y 0x806 para ARP.
Este campo (46–1500 bytes) contiene los
datos encapsulados de una capa superior,
que es una PDU de capa 3 genérica o, más
comúnmente, un paquete IPv4. Todos los
marcos deben tener al menos 64 bytes de
longitud. Si se encapsula un paquete
pequeño, se utilizan bits adicionales
2

llamados relleno para aumentar el tamaño

de la trama a este tamaño mínimo.
Campo Secuencia de comprobación de El campo Frame Check Sequence (FCS) (4
fotogramas bytes) se utiliza para detectar errores en
una trama. Utiliza una verificación de
redundancia cíclica (CRC). El dispositivo
emisor incluye los resultados de un CRC en
el campo FCS de la trama. El dispositivo
receptor recibe la trama y genera un CRC
para buscar errores. Si los cálculos
coinciden, no ocurrió ningún error. Los

Bloque IV. Redes

 cálculos que no coinciden son una indicación
de que los datos han cambiado; por lo tanto, el
marco se descarta. Un cambio en los datos
podría ser el resultado de una interrupción de
las señales eléctricas que representan los bits.

Formato de dirección MAC

Una dirección MAC Ethernet es un valor binario de 48 bits expresado como 12 dígitos
hexadecimales (4 bits por dígito hexadecimal).

IPv4

Encapsulación IPv4
Como sabemos, Ethernet opera en el enlace de datos y en las capas físicas del modelo OSI.
Ahora nos centraremos en la capa de red. Así como la capa de enlace de datos encapsula
paquetes IP como marcos, la capa de red encapsula segmentos de la capa de transporte en
paquetes IP, como se muestra en la Figura siguiente:
2

Bloque IV. Redes

IP encapsula el segmento de la capa de transporte agregando un encabezado IP. Este
encabezado incluye información necesaria para entregar el paquete al host de destino.
La Figura siguiente ilustra cómo la PDU de la capa de transporte encapsula la PDU de la capa
de red para crear un paquete IP.

Características de IPv4
Las características básicas de IP, como se muestra en la siguiente, son

Bloque IV. Redes

  Sin conexión: no se establece ninguna conexión con el destino antes de enviar los
paquetes de datos.
 Mejor esfuerzo: IP es intrínsecamente poco confiable porque la entrega de paquetes no
está garantizada.
 Medio independiente: la operación es independiente del medio (es decir, cobre, fibra
óptica o inalámbrico) que transporta los datos.

sin conexión
IP no tiene conexión, lo que significa que no se crea ninguna conexión dedicada de
extremo a extremo antes de que se envíen los datos. Como se muestra en la Figura siguiente,
la comunicación sin conexión es conceptualmente similar a enviar una carta a alguien sin
notificar al destinatario por adelantado.

IP no requiere un intercambio inicial de información de control para establecer una conexión de

extremo a extremo antes de que se reenvíen los paquetes.

Bloque IV. Redes

IP tampoco requiere campos adicionales en el encabezado para mantener una conexión
establecida. Este proceso reduce en gran medida la sobrecarga de IP. Sin embargo, sin una
conexión de extremo a extremo preestablecida, los remitentes no saben si los dispositivos de
destino están presentes y funcionan cuando envían paquetes, ni saben si el destino recibe el
paquete, o si pueden acceder y leer el paquete.
Mejor esfuerzo
El protocolo IP no garantiza que todos los paquetes que se entregan sean, de hecho, recibidos.

No confiable significa que IP no tiene la capacidad de administrar y recuperarse de

paquetes corruptos o no entregados. Esto se debe a que, si bien los paquetes IP se envían con

Bloque IV. Redes

información sobre la ubicación de la entrega, no contienen información que pueda procesarse
para informar al remitente si la entrega se realizó correctamente. Los paquetes pueden llegar al
destino dañados, fuera de secuencia o no llegar en absoluto. IP no proporciona capacidad para
retransmisiones de paquetes si se producen errores.
Si se entregan paquetes desordenados o faltan paquetes, los servicios de capa superior
deben resolver estos problemas. Esto permite que IP funcione de manera muy eficiente.
Independiente de los medios
IP opera independientemente de los medios que transportan los datos en las capas
inferiores de la pila de protocolos.

Es responsabilidad de la capa de enlace de datos tomar un paquete IP y prepararlo para la

transmisión por el medio de comunicación. Esto significa que el transporte de paquetes IP
no se limita a ningún medio en particular.
Sin embargo, hay una característica principal de los medios que la capa de red considera: el
2

tamaño máximo de la PDU que cada medio puede transportar. Esta característica se
denomina unidad máxima de transmisión (MTU). Parte de la comunicación de control entre
la capa de enlace de datos y la capa de red es el establecimiento de un tamaño máximo para el
paquete. La capa de enlace de datos pasa el valor de MTU a la capa de red. Luego, la capa de
red determina como de grandes pueden ser los paquetes.

En algunos casos, un dispositivo intermedio, generalmente un enrutador, debe dividir un

paquete cuando lo reenvía de un medio a otro con una MTU más pequeña. Este proceso se
denomina fragmentación del paquete o fragmentación.

Bloque IV. Redes

El paquete IPv4
Un encabezado de paquete IPv4 consta de campos que contienen información importante sobre
el paquete. Estos campos contienen números binarios que son examinados por el proceso de
Capa 3. Los valores binarios de cada campo identifican varias configuraciones del paquete IP.
Los diagramas de encabezado de protocolo, que se leen de izquierda a derecha y de arriba hacia
abajo, proporcionan una imagen para consultar cuando se analizan los campos de protocolo. El
diagrama de encabezado del protocolo IP en la Figura siguiente identifica los campos de un
paquete IPv4.

Conceptos básicos de direccionamiento IPv4

Notación de direcciones IPv4

Una dirección IPv4 es simplemente una serie de 32 bits binarios (unos y ceros). Es muy difícil
para los humanos leer una dirección IPv4 binaria. Por este motivo, los 32 bits se agrupan en
cuatro bytes de 8 bits denominados octetos. Cada octeto se representa como su valor decimal,
separado por un punto o punto decimal. Esto se conoce como notación decimal con puntos.
2

Bloque IV. Redes

Estructura de direcciones de host IPv4
Una dirección IPv4 es una dirección jerárquica que se compone de una porción de red y una
porción de host. Al determinar la parte de la red frente a la parte del host, es necesario observar
el flujo de 32 bits. Dentro del flujo de 32 bits, una parte de los bits identifica la red y una parte
de los bits identifica el host, como se muestra en la Figura siguiente:

Los bits dentro de la porción de red de la dirección deben ser idénticos para todos los
dispositivos que residen en la misma red. Los bits dentro de la porción de host de la dirección
deben ser únicos para identificar un host específico dentro de una red.
2

Bloque IV. Redes

Máscara de subred IPv4 y dirección de red
La máscara de subred tiene un AND lógico con la dirección del host para determinar la
dirección de la red. AND lógico es la comparación de 2 bits que produce los resultados que se
muestran en la Figura siguiente:
Para identificar la dirección de red de un host IPv4, la dirección IPv4 se combina lógicamente
con AND, bit a bit, con la máscara de subred. La operación AND entre la dirección y la máscara
de subred produce la dirección de red.

La dirección binaria de la máscara de subred del host se agrega en la Figura siguiente:

Las secciones resaltadas en amarillo en la figura siguiente identifican los bits AND que
produjeron un 1 binario en la fila de resultados AND. Todas las demás comparaciones de bits
produjeron ceros binarios. Observe cómo el último octeto ya no tiene bits 1 binarios.

Finalmente, la Figura siguiente muestra la dirección de red resultante 192.168.10.0

255.255.255.0. Por lo tanto, el host 192.168.10.10 está en la red 192.168.10.0 255.255.255.0.
2

Bloque IV. Redes

Tipos de direcciones IPv4

Clases de direcciones IPv4 y máscaras de subred predeterminadas

Hay varios tipos y clases de direcciones IPv4. Si bien las clases de direcciones se están
volviendo menos importantes en las redes, todavía se usan y se mencionan comúnmente en la
documentación de la red.
Clases de direcciones
En 1981, las direcciones IPv4 se asignaron utilizando direccionamiento con clase, tal como se
define en RFC 790. A los clientes se les asignaba una dirección de red basada en una de tres
clases, A, B o C. RFC dividió los rangos de unidifusión en clases específicas:
 Clase A (0.0.0.0/8 a 127.0.0.0/8): diseñado para admitir redes extremadamente grandes
con más de 16 millones de direcciones de host. Usó un prefijo /8 fijo con el primer
octeto para indicar la dirección de red y los tres octetos restantes para direcciones de
host.
 Clase B (128.0.0.0/16 a 191.255.0.0/16): diseñado para satisfacer las necesidades de
redes de tamaño moderado a grande con hasta aproximadamente 65 000 direcciones de
host. Usó un prefijo /16 fijo con los dos octetos de orden superior para indicar la
dirección de red y los dos octetos restantes para direcciones de host.
 Clase C (192.0.0.0/24 a 223.255.255.0/24): diseñado para admitir redes pequeñas con
un máximo de 254 hosts. Usó un prefijo /24 fijo con los primeros tres octetos para
indicar la red y el octeto restante para las direcciones de host.
2

También hay un bloque de multidifusión Clase D que consta de 224.0.0.0 a 239.0.0.0 y un

bloque de direcciones experimental Clase E que consta de 240.0.0.0 a 255.0.0.0.
El direccionamiento con clase se abandonó a fines de la década de 1990 por el sistema de
direccionamiento sin clase más nuevo y actual. Sin embargo, el direccionamiento sin clase fue
solo una solución temporal al agotamiento de las direcciones IPv4.
Direcciones privadas reservadas
Las direcciones IPv4 públicas son direcciones que se enrutan globalmente entre
enrutadores ISP. Sin embargo, no todas las direcciones IPv4 disponibles se pueden utilizar en

Bloque IV. Redes

Internet. Hay bloques de direcciones llamadas direcciones privadas que la mayoría de las
organizaciones utilizan para asignar direcciones IPv4 a hosts internos.
A mediados de la década de 1990, se introdujeron las direcciones IPv4 privadas debido al
agotamiento del espacio de direcciones IPv4. Las direcciones IPv4 privadas no son únicas y
pueden ser utilizadas por cualquier red interna.
Estos son los bloques de direcciones privadas:
 10.0.0.0/8 o 10.0.0.0 a 10.255.255.255
 172.16.0.0/12 o 172.16.0.0 a 172.31.255.255
 192.168.0.0/16 o 192.168.0.0 a 192.168.255.255
Es importante saber que las direcciones dentro de estos bloques de direcciones no están
permitidas en Internet y deben ser filtradas (descartadas) por los enrutadores de Internet.
La mayoría de las organizaciones utilizan direcciones IPv4 privadas para sus hosts internos. Sin
embargo, estas direcciones RFC 1918 no se pueden enrutar en Internet y deben traducirse a
direcciones IPv4 públicas. La traducción de direcciones de red (NAT) se utiliza para traducir
entre direcciones IPv4 privadas e IPv4 públicas. Esto generalmente se hace en el enrutador que
conecta la red interna a la red del ISP.
Los enrutadores domésticos brindan la misma capacidad; por ejemplo, la mayoría de los
enrutadores domésticos asignan direcciones IPv4 a sus hosts cableados e inalámbricos desde la
dirección privada 192.168.1.0/24. A la interfaz del enrutador doméstico que se conecta a la red
del proveedor de servicios de Internet (ISP) a menudo se le asigna una dirección IPv4 pública
para usar en Internet.

La puerta de enlace predeterminada

Decisión de reenvío de host

Sí mismo: un host puede hacer ping a sí mismo enviando un paquete a una dirección IPv4
especial de 127.0.0.1, que se conoce como la interfaz de bucle invertido. Hacer ping a la
interfaz de bucle invertido prueba la pila de protocolos TCP/IP en el host.
Host local: este es un host en la misma red local que el host de envío (de PC1 a PC2). Los
hosts comparten la misma dirección de red.
Host remoto: Este es un host en una red remota. Los hosts no comparten la misma dirección de
red. Observe que R1, un enrutador, se encuentra entre la PC1 y el host remoto. R1 es la puerta

Bloque IV. Redes

de enlace predeterminada para PC1 y PC2. El trabajo de R1 es enrutar cualquier tráfico
destinado a redes remotas.
Como hemos visto, la máscara de subred se utiliza para determinar a qué red pertenece una
dirección de host IPv4. El destino de un paquete para un host local o un host remoto se
determina por la combinación de dirección IP y máscara de subred del dispositivo de origen en
comparación con la combinación de dirección IP y máscara de subred del dispositivo de destino.
La PC 1 sabe que está en la red 192.168.10.0/24. Por lo tanto, sabe que la PC 2 también está en
la misma red y que el servidor, Remote Host, no está en la misma red. Cuando un dispositivo de
origen envía un paquete a un host remoto, se necesita la ayuda de los enrutadores y el
enrutamiento. El enrutamiento es el proceso de identificar la mejor ruta a un destino. El
enrutador conectado al segmento de la red local se denomina puerta de enlace
predeterminada.
Puerta de enlace predeterminada

 Dirección IPv4: dirección IPv4 única del host

 Máscara de subred: se utiliza para identificar la porción de red/host de la dirección
2

IPv4
 Puerta de enlace predeterminada: identifica la puerta de enlace local (es decir, la
dirección IPv4 de la interfaz del enrutador local) para llegar a las redes remotas
La puerta de enlace predeterminada es el dispositivo de red que puede enrutar el tráfico a otras
redes. Es el enrutador el que puede enrutar el tráfico fuera de la red local.
Si usa la analogía de que una red es como una habitación, entonces la puerta de enlace
predeterminada es como una entrada. Si desea llegar a otra habitación o red, debe encontrar la
puerta.

Bloque IV. Redes

Uso de la puerta de enlace predeterminada
La tabla de enrutamiento de un host generalmente incluirá una puerta de enlace predeterminada.
El host recibe la dirección IPv4 de la puerta de enlace predeterminada de forma dinámica desde
el Protocolo de configuración dinámica de host (DHCP) o configurada manualmente. En la
Figura siguiente, la PC1 y la PC2 están configuradas con la dirección IPv4 de la puerta de
enlace predeterminada de 192.168.10.1. Tener una puerta de enlace predeterminada configurada
crea una ruta predeterminada en la tabla de enrutamiento de la PC. Una ruta predeterminada es
la ruta que tomará su computadora cuando intente comunicarse con una red remota.

La ruta predeterminada se deriva de la configuración de puerta de enlace predeterminada y se

coloca en la tabla de enrutamiento de la computadora host. Tanto la PC1 como la PC2 tendrán
una ruta predeterminada para enviar todo el tráfico destinado a redes remotas al R1.
Puede ver la tabla de enrutamiento para un host de Windows usando el comando netstat -r
o route print.

Bloque IV. Redes

IPv6

IPv6 está diseñado para ser el sucesor de IPv4. IPv6 tiene un espacio de direcciones de 128 bits,
lo que proporciona 340 undecillones de direcciones. (Ese es el número 340, seguido de 36
ceros). Sin embargo, IPv6 es más que un grupo más grande de direcciones. Cuando el Grupo de

Bloque IV. Redes

trabajo de ingeniería de Internet (IETF) comenzó a desarrollar un sucesor de IPv4, aprovechó
esta oportunidad para corregir las limitaciones de IPv4 e incluir mejoras adicionales. Un
ejemplo es el Protocolo de mensajes de control de Internet versión 6 (ICMPv6), que incluye
resolución de direcciones y configuración automática de direcciones que no se encuentran en
ICMP para IPv4 (ICMPv4).
Las direcciones IPv6 se escriben como una cadena de valores hexadecimales. Cada 4 bits está
representado por un solo dígito hexadecimal, para un total de 32 valores hexadecimales. Las
direcciones IPv6 no distinguen entre mayúsculas y minúsculas y se pueden escribir en
minúsculas o en mayúsculas.

Cuando nos referimos a 8 bits de una dirección IPv4, usamos el término octeto. En IPv6, un
hexteto es el término no oficial que se usa para referirse a un segmento de 16 bits o cuatro
valores hexadecimales. Cada “x” es un solo hexteto, 16 bits o cuatro dígitos hexadecimales.
Descripción Dirección Ipv6
Completamente expandido 2001:0DB8:0000:1111:0000:0000:0000:0200
Sin ceros iniciales 2001:DB8:0:1111:0:0:0:200
Comprimido 2001:DB8:0:1111::200

Verificación de conectividad
2

ICMP

Mensajes ICMPv4
Aunque IP es solo un protocolo de mejor esfuerzo, la suite TCP/IP proporciona el envío de
mensajes en caso de ciertos errores. Estos mensajes se envían utilizando los servicios de ICMP.
El propósito de estos mensajes es proporcionar comentarios sobre problemas relacionados con
el procesamiento de paquetes IP bajo ciertas condiciones, no hacer que IP sea confiable. Los

Bloque IV. Redes

mensajes ICMP no son obligatorios y, por lo general, no se permiten dentro de una red por
razones de seguridad.
ICMP está disponible tanto para IPv4 como para IPv6. ICMPv4 es el protocolo de mensajería
para IPv4. ICMPv6 proporciona estos mismos servicios para IPv6 pero incluye funcionalidad
adicional. En este curso, se usará el término ICMP cuando se haga referencia tanto a ICMPv4
como a ICMPv6.
Los mensajes ICMP comunes a ICMPv4 e ICMPv6 incluyen:
 Confirmación del anfitrión
 Destino o servicio inalcanzable
 Tiempo excedido
 Redirección de ruta
Confirmación de anfitrión
Se puede usar un mensaje de eco ICMP para determinar si un host está operativo. El host local
envía una solicitud de eco ICMP a un host. Si el host está disponible, el host de destino
responde con una respuesta de eco. Estos mensajes ICMP Echo son la base de la utilidad ping.

La figura siguiente muestra un mensaje de respuesta de eco que se envía de H2 a H1 para

confirmar que H2 está en la red.
2

Bloque IV. Redes

Destino o servicio inalcanzable
Cuando un host o puerta de enlace recibe un paquete que no puede entregar, puede usar un
mensaje de destino inalcanzable de ICMP para notificar al origen que el destino o el servicio
no son accesibles. El mensaje incluirá un código que indica por qué no se pudo entregar el
paquete.
Estos son algunos de los códigos de destino inalcanzable para ICMPv4:
0: red inalcanzable
1: Host inalcanzable
2: Protocolo inalcanzable
3: Puerto inalcanzable
Tiempo excedido
Un enrutador utiliza un mensaje ICMPv4 Tiempo excedido para indicar que un paquete no se
puede reenviar porque el campo Tiempo de vida (TTL) del paquete se redujo a 0. Si un
enrutador recibe un paquete y reduce el campo TTL en el paquete IPv4 a cero, descarta el
paquete y envía un mensaje de tiempo excedido al host de origen.
ICMPv6 también envía un mensaje de tiempo excedido si el enrutador no puede reenviar un
paquete IPv6 porque el paquete ha caducado. IPv6 no tiene un campo TTL; utiliza el campo
Hop Limit para determinar si el paquete ha caducado.
Mensajes ICMPv6 RS y RA
Los mensajes informativos y de error que se encuentran en ICMPv6 son muy similares a los
2

mensajes de control y de error implementados por ICMPv4; sin embargo, ICMPv6 tiene nuevas
funciones mejoradas que no se encuentran en ICMPv4. Los mensajes ICMPv6 se encapsulan en
IPv6.
ICMPv6 incluye cuatro nuevos protocolos como parte del Protocolo de descubrimiento de
vecinos (ND o NDP).
Mensajería entre un enrutador IPv6 y un dispositivo IPv6:
 Mensaje de solicitud de enrutador (RS)
 Mensaje de anuncio de enrutador (RA)
 Mensajería entre dispositivos IPv6:

Bloque IV. Redes

  Mensaje de solicitud de vecino (NS)
 Mensaje de anuncio de vecino (NA)
Los mensajes de solicitud de vecino y anuncio de vecino se utilizan para la resolución de
direcciones y la detección de direcciones duplicadas (DAD) .
Resolución de direcciones
La resolución de direcciones se usa cuando un dispositivo en la LAN conoce la dirección de
unidifusión IPv6 de un destino, pero no conoce su dirección MAC de Ethernet. Para determinar
la dirección MAC del destino, el dispositivo enviará un mensaje NS a la dirección del nodo
solicitado. El mensaje incluirá la dirección IPv6 conocida (destinada). El dispositivo que tiene la
dirección IPv6 de destino responderá con un mensaje NA que contiene su dirección MAC de
Ethernet.

Detección de direcciones duplicadas

Cuando a un dispositivo se le asigna una dirección de unidifusión global o de unidifusión local
de enlace, se recomienda realizar DAD en la dirección para asegurarse de que sea única. Para
comprobar la unicidad de una dirección, el dispositivo enviará un mensaje NS con su propia
dirección IPv6 como la dirección IPv6 de destino.
Si otro dispositivo en la red tiene esta dirección, responderá con un mensaje NA. Este mensaje
NA notificará al dispositivo de envío que la dirección está en uso. Si no se devuelve un mensaje
NA correspondiente dentro de un cierto período de tiempo, la dirección de unidifusión es única
y aceptable para su uso.

Utilidades de Ping y Traceroute

Ping es una utilidad de prueba que utiliza la solicitud de eco ICMP y los mensajes de
respuesta de eco para probar la conectividad entre hosts. Ping funciona con hosts IPv4 e
IPv6.

Bloque IV. Redes

Para probar la conectividad con otro host en una red, se envía una solicitud de eco a la dirección
del host mediante el comando ping. Si el host en la dirección especificada recibe la solicitud de
eco, responde con una respuesta de eco. A medida que se recibe cada respuesta de eco, ping
proporciona información sobre el tiempo transcurrido entre el envío de la solicitud y el
momento en que se recibió la respuesta. Esto puede ser una medida del rendimiento de la red.
Ping tiene un valor de tiempo de espera para la respuesta. Si no se recibe una respuesta dentro
del tiempo de espera, ping proporciona un mensaje que indica que no se recibió una respuesta.
Esto generalmente indica que hay un problema, pero también podría indicar que las funciones
de seguridad que bloquean los mensajes de ping se han habilitado en la red.
Una vez que se envían todas las solicitudes, la utilidad ping proporciona un resumen que
incluye la tasa de éxito y el tiempo promedio de ida y vuelta al destino.

Figura 21: utilidad ping

Figura 22: ping a la puerta de enlace

Bloque IV. Redes

Traceroute: prueba de la ruta
Ping se usa para probar la conectividad entre dos hosts, pero no brinda información sobre los
detalles de los dispositivos entre los hosts. Traceroute (tracert) es una utilidad que genera una
lista de saltos que se alcanzaron con éxito a lo largo de la ruta. Esta lista puede proporcionar
información importante de verificación y resolución de problemas. Si los datos llegan al destino,
el seguimiento enumera la interfaz de cada enrutador en la ruta entre los hosts. Si los datos
fallan en algún salto en el camino, la dirección del último enrutador que respondió al
seguimiento puede proporcionar una indicación de dónde está el problema o dónde se
encuentran las restricciones de seguridad.
Tiempo de ida y vuelta (RTT)
El uso de traceroute proporciona tiempo de ida y vuelta para cada salto a lo largo de la ruta e
indica si un salto no responde. El tiempo de ida y vuelta es el tiempo que tarda un paquete en
llegar al host remoto y para que regrese la respuesta del host. Se utiliza un asterisco (*) para
indicar un paquete perdido o no reconocido.
Esta información se puede utilizar para localizar un enrutador problemático en la ruta. Si la
pantalla muestra tiempos de respuesta altos o pérdidas de datos de un salto en particular, esto es
una indicación de que los recursos del enrutador o sus conexiones pueden estar sobrecargados.
Límite de saltos IPv4 TTL e IPv6
Traceroute hace uso de una función del campo TTL en IPv4 y el campo Hop Limit en IPv6 en
los encabezados de Capa 3, junto con el mensaje de tiempo excedido de ICMP.

Formato de paquete ICMP

ICMP se encapsula directamente en paquetes IP. En este sentido, es casi como un protocolo de
capa de transporte, porque está encapsulado en un paquete; sin embargo, se considera que es
un protocolo de Capa 3. ICMP actúa como una carga útil de datos dentro del paquete IP. Tiene
un campo de datos de encabezado especial, como se muestra en la Figura siguiente:

Bloque IV. Redes

ICMP usa códigos de mensaje para diferenciar entre diferentes tipos de mensajes ICMP. Estos
son algunos códigos de mensaje comunes:
 0: Respuesta de eco (respuesta a un ping)
 3: Destino inalcanzable
 5: Redirigir (usa otra ruta a tu destino)
 8: Solicitud de eco (para ping)
 11: Tiempo excedido (TTL se convirtió en 0)

Protocolo de resolución de direcciones

MAC e IP

Destino en la Misma Red (4.4.1.1)

Hay dos direcciones primarias asignadas a un dispositivo en una LAN Ethernet:
Dirección física (la dirección MAC): se utiliza para comunicaciones de NIC de Ethernet a
NIC de Ethernet en la misma red.
Dirección lógica (la dirección IP): se utiliza para enviar el paquete desde el origen original
hasta el destino final.

Las direcciones IP se utilizan para identificar la dirección del dispositivo de origen original y el
dispositivo de destino final. La dirección IP de destino puede estar en la misma red IP que la
fuente o puede estar en una red remota.
Las direcciones físicas o de capa 2, como las direcciones MAC de Ethernet, tienen un
propósito diferente. Estas direcciones se utilizan para entregar la trama de enlace de datos
con el paquete IP encapsulado de una NIC a otra NIC en la misma red. Si la dirección IP
de destino está en la misma red, la dirección MAC de destino será la del dispositivo de
destino.

Bloque IV. Redes

Figura 23: Comunicación en una red local

La trama Ethernet de capa 2 contiene:

 Dirección MAC de destino: esta es la dirección MAC de la NIC Ethernet del servidor
de archivos.
 Dirección MAC de origen: esta es la dirección MAC de la NIC Ethernet de la PC A.
El paquete IP de capa 3 contiene:
 Dirección IP de origen: Esta es la dirección IP de la fuente original, PC A.
 Dirección IP de destino: esta es la dirección IP del destino final, el servidor de archivos.

Destino en una Red Remota

Cuando la dirección IP de destino está en una red remota, la dirección MAC de destino
será la dirección de la puerta de enlace predeterminada del host, que es la NIC del
enrutador, como se muestra en la Figura siguiente:
2

Bloque IV. Redes

Usando una analogía postal, esto sería similar a una persona que lleva una carta a su oficina de
correos local. Todo lo que necesitan hacer es llevar la carta a la oficina de correos y luego es
responsabilidad de la oficina de correos enviar la carta a su destino final.
La Figura anterior muestra las direcciones MAC de Ethernet y las direcciones IPv4 para la PC
A que envía un paquete IP a un servidor de archivos en una red remota. Los enrutadores
examinan la dirección IPv4 de destino para determinar la mejor ruta para reenviar el paquete
IPv4. Esto es similar a cómo el servicio postal reenvía el correo en función de la dirección del
destinatario.
Cuando el enrutador recibe la trama de Ethernet, desencapsula la información de la Capa 2.
Utilizando la dirección IP de destino, determina el dispositivo del próximo salto y luego
encapsula el paquete IP en una nueva trama de enlace de datos para la interfaz de salida. A lo
largo de cada enlace en una ruta, un paquete IP se encapsula en un marco específico para la
tecnología de enlace de datos particular asociada con ese enlace, como Ethernet. Si el
dispositivo del siguiente salto es el destino final, la dirección MAC de destino será la de la NIC
Ethernet del dispositivo.
¿Cómo se asocian las direcciones IPv4 de los paquetes IPv4 en un flujo de datos con las
direcciones MAC en cada enlace a lo largo de la ruta al destino? Esto se hace a través de un
proceso llamado Protocolo de resolución de direcciones (ARP).
2

ARP
Recuerde que cada dispositivo con una dirección IP en una red Ethernet también tiene una
dirección MAC Ethernet. Cuando un dispositivo envía una trama Ethernet, contiene estas dos
direcciones:

 Dirección MAC de destino: la dirección MAC de la NIC de Ethernet, que será la

dirección MAC del dispositivo de destino final o la dirección MAC del enrutador.
 Dirección MAC de origen: la dirección MAC de la NIC Ethernet del remitente.

Bloque IV. Redes

Para determinar la dirección MAC de destino, el dispositivo utiliza ARP, como se muestra en la
Figura siguiente. ARP resuelve las direcciones IPv4 en direcciones MAC y mantiene una
tabla de asignaciones.

Funciones ARP
Cuando se envía un paquete a la capa de enlace de datos para encapsularlo en una trama de
Ethernet, el dispositivo consulta una tabla en su memoria para encontrar la dirección MAC que
se asigna a la dirección IPv4. Esta tabla se denomina tabla ARP o caché ARP. La tabla ARP
se almacena en la memoria RAM del dispositivo.
El dispositivo de envío buscará en su tabla ARP una dirección IPv4 de destino y una dirección
MAC correspondiente. Si la dirección IPv4 de destino del paquete está en la misma red que la
dirección IPv4 de origen, el dispositivo buscará en la tabla ARP la dirección IPv4 de destino. Si
la dirección IPv4 de destino está en una red diferente a la dirección IPv4 de origen, el
dispositivo buscará en la tabla ARP la dirección IPv4 de la puerta de enlace predeterminada.
En ambos casos, la búsqueda es para una dirección IPv4 y una dirección MAC correspondiente
para el dispositivo.
Cada entrada o fila de la tabla ARP vincula una dirección IPv4 con una dirección MAC.
Llamamos mapa a la relación entre los dos valores. Simplemente significa que puede ubicar
una dirección IPv4 en la tabla y descubrir la dirección MAC correspondiente . La tabla ARP
guarda temporalmente (cachés) la asignación de los dispositivos en la LAN.
2

Si el dispositivo localiza la dirección IPv4, su dirección MAC correspondiente se utiliza como

dirección MAC de destino en la trama. Si no se encuentra ninguna entrada, el dispositivo envía
una solicitud ARP, como se muestra en la Figura siguiente:

Bloque IV. Redes

El destino envía una respuesta ARP, como se muestra en la Figura siguiente:

Eliminación de entradas de una tabla ARP

Para cada dispositivo, un temporizador de caché ARP elimina las entradas ARP que no se han
utilizado durante un período de tiempo específico. Los tiempos difieren según el sistema
operativo del dispositivo; por ejemplo, algunos sistemas operativos Windows almacenan
entradas de caché ARP durante 2 minutos.
2

Los comandos también se pueden usar para eliminar manualmente todas o algunas de las
entradas en la tabla ARP. Después de eliminar una entrada, el proceso para enviar una solicitud
ARP y recibir una respuesta ARP debe ocurrir nuevamente para ingresar el mapa en la tabla
ARP.
Tablas ARP en dispositivos de red
Los hosts de red y los enrutadores mantienen tablas ARP. La información ARP se mantiene en
la memoria de estos dispositivos en lo que comúnmente se denomina caché ARP. Las entradas
de la tabla se retienen durante un período de tiempo hasta que caducan y se eliminan
automáticamente de la memoria caché ARP. Esto asegura la precisión de las asignaciones.

Bloque IV. Redes

Mantener las tablas ARP en la memoria ayuda a mejorar la eficiencia de la red al disminuir el
tráfico ARP.

Suplantación de ARP
En algunos casos, el uso de ARP puede conducir a un posible riesgo de seguridad conocido
como suplantación de identidad de ARP o envenenamiento de ARP. Esta es una técnica
utilizada por un atacante para responder a una solicitud ARP de una dirección IPv4 que
pertenece a otro dispositivo, como la puerta de enlace predeterminada, como se muestra en la
Figura siguiente. El atacante envía una respuesta ARP con su propia dirección MAC. El
receptor de la respuesta ARP agregará la dirección MAC incorrecta a su tabla ARP y
enviará estos paquetes al atacante.

La capa de transporte

Función del protocolo de la capa de transporte en la comunicación de red

Bloque IV. Redes

La capa de transporte es responsable de establecer una sesión de comunicación temporal entre
dos aplicaciones y entregar datos entre ellas. Una aplicación genera datos que se envían desde
una aplicación en un host de origen a una aplicación en un host de destino. Esto es sin tener en
cuenta el tipo de host de destino, el tipo de medio por el que deben viajar los datos, la ruta que
toman los datos, la congestión en un enlace o el tamaño de la red. La capa de transporte es el
enlace entre la capa de aplicación y las capas inferiores que son responsables de la transmisión
de la red.

Seguimiento de conversaciones individuales

En la capa de transporte, cada conjunto de datos que fluye entre una aplicación de origen y una
aplicación de destino se conoce como conversación (Figura siguiente). Un host puede tener
múltiples aplicaciones que se comunican a través de la red simultáneamente. Cada una de estas
aplicaciones se comunica con una o más aplicaciones en uno o más hosts remotos. Es
responsabilidad de la capa de transporte mantener y rastrear estas múltiples conversaciones.
2

Bloque IV. Redes

Segmentación de datos y reensamblaje de segmentos
Los datos deben estar preparados para ser enviados a través de los medios en partes manejables.
La mayoría de las redes tienen una limitación en la cantidad de datos que se pueden incluir en
un solo paquete. Los protocolos de la capa de transporte tienen servicios que segmentan los
datos de la aplicación en bloques de un tamaño adecuado. Este servicio incluye el encapsulado
requerido en cada dato. Se agrega un encabezado, utilizado para el reensamblaje, a cada bloque
de datos. Este encabezado se utiliza para rastrear el flujo de datos.
En el destino, la capa de transporte debe poder reconstruir los datos en un flujo de datos
completo que sea útil para la capa de aplicación. Los protocolos en la capa de transporte
describen cómo se usa la información del encabezado de la capa de transporte para volver a
ensamblar las piezas de datos en flujos que se pasarán a la capa de aplicación.
Identificación de las aplicaciones
Para pasar flujos de datos a las aplicaciones adecuadas, la capa de transporte debe identificar la
aplicación de destino. Para lograr esto, la capa de transporte asigna a cada aplicación un
identificador denominado número de puerto. A cada proceso de software que necesita acceder
a la red se le asigna un número de puerto único para ese host.
Mecanismos de la capa de transporte
2

Enviar algunos tipos de datos (por ejemplo, una transmisión de video) a través de una red, como
una transmisión de comunicación completa, puede consumir todo el ancho de banda disponible.
Esto evitará que se produzcan otras comunicaciones al mismo tiempo; también dificultaría la
recuperación de errores y la retransmisión de datos dañados.
La figura siguiente muestra que la segmentación de los datos en fragmentos más pequeños
permite que muchas comunicaciones diferentes, de muchos usuarios diferentes, se intercalen
(multiplexen) en la misma red.

Bloque IV. Redes

Para identificar cada segmento de datos, la capa de transporte agrega un encabezado que
contiene datos binarios organizados en varios campos. Son los valores en estos campos los que
permiten que varios protocolos de la capa de transporte realicen diferentes funciones en la
gestión de la comunicación de datos.
La capa de transporte también es responsable de administrar los requisitos de
confiabilidad de una conversación. Diferentes aplicaciones tienen diferentes requisitos de
confiabilidad de transporte.
IP solo se ocupa de la estructura, el direccionamiento y el enrutamiento de los paquetes. IP
no especifica cómo se realiza la entrega o el transporte de los paquetes. Los protocolos de
transporte especifican cómo transferir mensajes entre hosts. TCP/IP proporciona dos
protocolos de capa de transporte, el Protocolo de control de transmisión (TCP) y el
Protocolo de datagramas de usuario (UDP), como se muestra en la Figura siguiente. IP utiliza
estos protocolos de transporte para permitir que los hosts se comuniquen y transfieran datos. 2

Bloque IV. Redes

TCP se considera un protocolo de capa de transporte confiable y con todas las funciones, que
garantiza que todos los datos lleguen al destino. Sin embargo, esto requiere campos adicionales
en el encabezado TCP, lo que aumenta el tamaño del paquete y también aumenta la demora;
por el contrario, UDP es un protocolo de capa de transporte más simple que no brinda
confiabilidad. Por lo tanto, tiene menos campos y es más rápido que TCP.
Puertos TCP locales y remotos
La capa de transporte debe poder separar y administrar múltiples comunicaciones con diferentes
necesidades de requisitos de transporte. Los usuarios esperan poder recibir y enviar
simultáneamente correo electrónico y mensajes instantáneos, ver sitios web y realizar una
llamada telefónica VoIP. Cada una de estas aplicaciones envía y recibe datos a través de la red
al mismo tiempo, a pesar de los diferentes requisitos de confiabilidad.
TCP y UDP administran estas múltiples conversaciones simultáneas mediante el uso de campos
de encabezado que pueden identificar de manera única estas aplicaciones. Estos identificadores
únicos son los números de puerto.
El número de puerto de origen está asociado con la aplicación de origen en el host local, como
se muestra en la Figura siguiente. El número de puerto de destino está asociado con la
aplicación de destino en el host remoto.
2

Bloque IV. Redes

Puerto de origen
El dispositivo de envío genera dinámicamente el número de puerto de origen para identificar
una conversación entre dos dispositivos. Este proceso permite que se produzcan varias
conversaciones simultáneamente. Es común que un dispositivo envíe varias solicitudes de
servicio HTTP a un servidor web al mismo tiempo. Cada conversación HTTP separada se
rastrea en función de los puertos de origen.
Puerto de destino
El cliente coloca un número de puerto de destino en el segmento para decirle al servidor de
destino qué servicio se está solicitando.

Bloque IV. Redes

Por ejemplo, cuando un cliente especifica el puerto 80 en el puerto de destino, el servidor que
recibe el mensaje sabe que se están solicitando servicios web. Un servidor puede ofrecer más de
un servicio simultáneamente, como servicios web en el puerto 80, al mismo tiempo que ofrece
el establecimiento de una conexión de Protocolo de transferencia de archivos (FTP) en el puerto
21.
Pares de sockets
os puertos de origen y destino se colocan dentro del segmento, como se muestra en la Figura
siguiente:

Luego, los segmentos se encapsulan dentro de un paquete IP. El paquete IP contiene la

dirección IP del origen y el destino. La combinación de la dirección IP de origen y el número
de puerto de origen, o la dirección IP de destino y el número de puerto de destino, se
conoce como socket. El socket se utiliza para identificar el servidor y el servicio solicitado por
el cliente. Un socket de cliente podría verse así, con 1099 representando el número de puerto de
origen: 192.168.1.5:1099
El socket en un servidor web podría ser: 192.168.1.7:80
2

Juntos, estos dos sockets se combinan para formar un par de sockets: 192.168.1.5:1099,
192.168.1.7:80
Los sockets permiten que varios procesos, que se ejecutan en un cliente, se distingan entre sí y
que varias conexiones a un proceso de servidor se distingan entre sí.
El número de puerto de origen actúa como una dirección de retorno para la aplicación
solicitante. La capa de transporte realiza un seguimiento de este puerto y la aplicación que inició
la solicitud para que cuando se devuelva una respuesta, se pueda reenviar a la aplicación
correcta.

Bloque IV. Redes

TCP frente a UDP
Para algunas aplicaciones, los segmentos deben llegar en una secuencia muy específica para que
se procesen correctamente. Con otras aplicaciones, todos los datos deben recibirse en su
totalidad antes de que se considere útil. En ambos casos, TCP se utiliza como protocolo de
transporte. Los desarrolladores de aplicaciones deben elegir qué tipo de protocolo de transporte
es apropiado según los requisitos de las aplicaciones; por ejemplo, aplicaciones como bases de
datos, navegadores web y clientes de correo electrónico requieren que todos los datos que se
envían lleguen al destino en su estado original. Cualquier dato que falte podría causar una
comunicación corrupta que sea incompleta o ilegible. Estas aplicaciones están diseñadas para
usar TCP.
El transporte TCP es similar al envío de paquetes que se rastrean desde el origen hasta el
destino. Si una orden de envío se divide en varios paquetes, un cliente puede consultar en línea
para ver el orden de la entrega.
Con TCP, hay tres operaciones básicas de confiabilidad:
 Numeración y seguimiento de segmentos de datos transmitidos a un host específico
desde una aplicación específica
 Confirmación de los datos recibidos
 Retransmitir cualquier dato no reconocido después de un cierto período de tiempo
Las figuras siguientes muestran cómo se transmiten los segmentos TCP y los reconocimientos
entre el remitente y el receptor.

Bloque IV. Redes

 2

Bloque IV. Redes

En otros casos, una aplicación puede tolerar cierta pérdida de datos durante la transmisión a
través de la red, pero los retrasos en la transmisión son inaceptables. UDP es la mejor opción
para estas aplicaciones porque se requiere menos sobrecarga de red. Existe una compensación
entre el valor de la confiabilidad y la carga que impone sobre los recursos de la red. Agregar
sobrecarga para garantizar la confiabilidad de algunas aplicaciones podría reducir la utilidad de
la aplicación e incluso puede ser perjudicial. En tales casos, UDP es un mejor protocolo de
transporte. UDP es preferible para aplicaciones como transmisión de audio en vivo, video en
vivo y voz sobre IP (VoIP). Los acuses de recibo y la retransmisión retrasarían la entrega; por
ejemplo, si uno o dos segmentos de una transmisión de video en vivo no llegan, crea una
interrupción momentánea en la transmisión. Esto puede aparecer como una distorsión en la
imagen o el sonido, pero puede que el usuario no lo note. Si el dispositivo de destino tuviera que
dar cuenta de la pérdida de datos, la transmisión podría retrasarse mientras espera las
retransmisiones, lo que provocaría una gran degradación de la imagen o el sonido. En este caso,
es mejor generar los mejores medios posibles con los segmentos recibidos y renunciar a la
confiabilidad.
UDP proporciona las funciones básicas para entregar segmentos de datos entre las aplicaciones
apropiadas, con muy poca sobrecarga y verificación de datos. UDP se conoce como un
protocolo de entrega de mejor esfuerzo. En el contexto de las redes, la entrega del mejor
2

esfuerzo se denomina "poco confiable" porque no se reconoce que los datos se reciben en
el destino. Con UDP, no hay procesos de capa de transporte que informen al remitente de
una entrega exitosa.
UDP es similar a colocar una carta regular, no registrada, en el correo. El remitente de la carta
no tiene conocimiento de la disponibilidad del destinatario para recibir la carta. La oficina de
correos tampoco es responsable de rastrear la carta o informar al remitente si la carta no llega a
su destino final.

Bloque IV. Redes

Figura 24; Comparación entre UDP y TCP

Cabeceras TCP y UDP

TCP es un protocolo con estado. Un protocolo con estado es un protocolo que realiza un
seguimiento del estado de la sesión de comunicación. Para rastrear el estado de una sesión, TCP
registra qué información ha enviado y qué información ha sido reconocida. La sesión con estado
comienza con el establecimiento de la sesión y finaliza cuando se cierra con la finalización de la
sesión.
Cada segmento TCP tiene 20 bytes de sobrecarga en el encabezado que encapsula los datos de
la capa de aplicación:
 Puerto de origen (16 bits) y Puerto de destino (16 bits): se utilizan para identificar la
aplicación.
 Número de secuencia (32 bits): se utiliza con fines de reensamblaje de datos.
 Número de reconocimiento (32 bits): indica los datos que se han recibido.
 Longitud del encabezado (4 bits): esto se conoce como "compensación de datos".
Indica la longitud del encabezado del segmento TCP.
2

Bloque IV. Redes

  Reservado (6 bits): este campo está reservado para el futuro.
 Bits de control (6 bits): Esto incluye códigos de bit o banderas, que indican el
propósito y la función del segmento TCP.
 Ventana (16 bits): Esto indica el número de bytes que se pueden aceptar a la vez.
 Suma de verificación (16 bits): se utiliza para verificar errores en el encabezado y los
datos del segmento.
 Urgente (16 bits): Esto indica si los datos son urgentes.
Hay 6 bits de control:
URG: Indica que el segmento debe clasificarse como urgente.
ACK: Esto indica que el campo Número de acuse de recibo es significativo. Todos los
segmentos en una conexión establecida tendrán este bit establecido.
PSH: Esta es la función de empuje. Indica que el segmento no debe almacenarse en búfer, sino
que debe enviarse inmediatamente a la aplicación receptora.
RST: Esto indica que se ha producido una condición inesperada y que se debe restablecer la
conexión.
SYN: Esto se utiliza para iniciar una conexión. Esto solo debe configurarse en los segmentos
iniciales en la fase de establecimiento de la conexión de la comunicación de datos.
END: Esto indica que no se transferirán más datos y que se debe terminar la conexión.
2

UDP es un protocolo sin estado, lo que significa que ni el cliente ni el servidor están
obligados a realizar un seguimiento del estado de la sesión de comunicación. Si se requiere
confiabilidad al usar UDP como protocolo de transporte, debe ser manejada por la aplicación.

Uno de los requisitos más importantes para entregar video en vivo y voz a través de la red es
que los datos continúen fluyendo rápidamente. Las aplicaciones de video y voz en vivo pueden
tolerar cierta pérdida de datos con un efecto mínimo o no perceptible, y se adaptan
perfectamente a UDP.

Bloque IV. Redes

Las piezas de comunicación en UDP se denominan datagramas, como se muestra en la
Figura siguiente. Estos datagramas son enviados como mejor esfuerzo por el protocolo de la
capa de transporte. UDP tiene una sobrecarga baja de 8 bytes.

Operación de la capa de transporte

Asignación de puertos TCP

Cada proceso de aplicación que se ejecuta en un servidor está configurado para usar un número
de puerto, ya sea de forma predeterminada o manual, por un administrador del sistema. Un
servidor individual no puede tener dos servicios asignados al mismo número de puerto dentro de
los mismos servicios de capa de transporte; por ejemplo, un servidor que ejecuta una aplicación
de servidor web y una aplicación de transferencia de archivos no pueden configurarse para usar
el mismo puerto (por ejemplo, el puerto TCP 80). Una aplicación de servidor activa asignada
a un puerto específico se considera abierta. Esto significa que la capa de transporte que se
ejecuta en el servidor acepta y procesa segmentos dirigidos a ese puerto. Se acepta cualquier
solicitud de cliente entrante dirigida al socket correcto y los datos se pasan a la aplicación del
servidor. Puede haber muchos puertos abiertos simultáneamente en un servidor, uno para cada
aplicación de servidor activa.
Al establecer una conexión con un servidor, la capa de transporte del cliente establece un puerto
de origen para realizar un seguimiento de los datos enviados desde el servidor. Así como un
servidor puede tener muchos puertos abiertos para procesos de servidor, los clientes pueden
tener muchos puertos abiertos para conexiones a múltiples sockets. Los puertos de origen
locales se asignan aleatoriamente a partir de un rango de números que suele ser del 49152
al 65535. Los segmentos enviados al cliente desde un servidor utilizarán el número de puerto
del cliente como puerto de destino para los datos del socket.
2

Bloque IV. Redes

 2

Bloque IV. Redes

Una Sesión TCP Parte I: Establecimiento y Terminación de la Conexión
En algunas culturas, cuando dos personas se encuentran, a menudo se saludan dándose la mano.
El acto de darse la mano es entendido por ambas partes como una señal de saludo amistoso. Las
conexiones en la red son similares. En las conexiones TCP, el cliente host establece la conexión
con el servidor.
Los hosts rastrean cada segmento de datos dentro de una sesión e intercambian información
sobre qué datos se reciben utilizando la información en el encabezado TCP. TCP es un
protocolo full-duplex, donde cada conexión representa dos flujos o sesiones de comunicación
unidireccionales. Para establecer la conexión, los anfitriones realizan un apretón de manos de
tres vías. Los bits de control en el encabezado TCP indican el progreso y el estado de la
conexión.
El apretón de manos de tres vías logra tres cosas:

 Establece que el dispositivo de destino está presente en la red.

 Verifica que el dispositivo de destino tenga un servicio activo y esté aceptando
solicitudes en el número de puerto de destino que el cliente que inicia tiene la
intención de usar.
 Informa al dispositivo de destino que el cliente de origen tiene la intención de
establecer una sesión de comunicación en ese número de puerto.
2

Bloque IV. Redes

 1. El cliente iniciador solicita una sesión de comunicación de cliente a servidor con el
servidor.
2. El servidor reconoce la sesión de comunicación de cliente a servidor y solicita una
sesión de comunicación de servidor a cliente.
3. El cliente que inicia reconoce la sesión de comunicación de servidor a cliente.

El servidor
reconoce la
El cliente iniciador
sesión de El cliente que
solicita una sesión
comunicación de inicia reconoce la
de comunicación
cliente a servidor sesión de
de cliente a
y solicita una comunicación de
servidor con el
sesión de servidor a cliente.
servidor.
comunicación de
servidor a cliente.
Terminación de conexión
Una vez completada la comunicación, las sesiones se cierran y la conexión finaliza. Los
mecanismos de conexión y sesión permiten la función de confiabilidad de TCP.

Para cerrar una conexión, el indicador de control Finalizar (END) debe establecerse en el
encabezado del segmento. Para finalizar cada sesión TCP unidireccional, se utiliza un protocolo
de enlace bidireccional, que consta de un segmento END y un segmento de reconocimiento
(ACK). Por lo tanto, para finalizar una sola conversación respaldada por TCP, se necesitan
cuatro intercambios para finalizar ambas sesiones. 2

1. Cuando el cliente no tiene más datos para enviar en el flujo, envía un segmento con el
indicador END establecido.

Bloque IV. Redes

 2. El servidor envía un ACK para acusar recibo de END para finalizar la sesión del cliente
al servidor.
3. El servidor envía un END al cliente para finalizar la sesión de servidor a cliente.
4. El cliente responde con un ACK para reconocer el END del servidor.

Cuando el
El servidor
cliente no tiene El servidor El
envía un ACK
más datos para envía un END al cliente
para acusar
enviar en el cliente para responde con
recibo de END
flujo, envía un finalizar la un ACK para
para finalizar la
segmento con sesión de reconocer el
sesión del
el indicador servidor a END del
cliente al
END cliente. servidor.
servidor
establecido

Cuando todos los segmentos han sido reconocidos, la sesión se cierra.

Los 6 bits en el campo Bits de control (Figura siguiente) del encabezado del segmento TCP
también se conocen como banderas. Una bandera es un bit que se establece en "activado" o
"desactivado". Para nuestros propósitos, son importantes cuatro banderas: SYN, ACK, end y
RST. El indicador RST se utiliza para restablecer una conexión cuando se produce un error o
se agota el tiempo de espera.

Una Sesión TCP Parte II: Transferencia de Datos

Bloque IV. Redes

Entrega ordenada TCP
Los segmentos TCP pueden llegar a su destino desordenados. Para que el destinatario entienda
el mensaje original, los datos de estos segmentos se vuelven a ensamblar en el pedido original.
Los números de secuencia se asignan en el encabezado de cada paquete para lograr este
objetivo. El número de secuencia representa el primer byte de datos del segmento TCP.
Durante la configuración de la sesión, se establece un número de secuencia inicial (ISN). Este
ISN representa el valor inicial de los bytes para esta sesión que se transmite a la aplicación
receptora. A medida que se transmiten datos durante la sesión, el número de secuencia se
incrementa por el número de bytes que se han transmitido. Este seguimiento de bytes de datos
permite que cada segmento sea identificado y reconocido de forma única. Entonces se pueden
identificar los segmentos que faltan.
El ISN no comienza en 1, sino que es un número aleatorio. Esto es para prevenir ciertos tipos de
ataques.
Los números de secuencia de segmento indican cómo volver a ensamblar y reordenar los
segmentos recibidos, como se muestra en la Figura siguiente:

El proceso TCP de recepción coloca los datos de un segmento en un búfer de recepción. Los
segmentos se colocan en el orden de secuencia adecuado y se pasan a la capa de aplicación
cuando se vuelven a ensamblar. Cualquier segmento que llegue con números de secuencia fuera
de orden se retiene para su procesamiento posterior. Luego, cuando llegan los segmentos con
los bytes que faltan, estos segmentos se procesan en orden.
Control de flujo
TCP también proporciona mecanismos para el control de flujo, que es la cantidad de datos
que el destino puede recibir y procesar de manera confiable. El control de flujo ayuda a
mantener la confiabilidad de la transmisión TCP al ajustar la velocidad del flujo de datos entre

Bloque IV. Redes

el origen y el destino para una sesión determinada. Para lograr esto, el encabezado TCP incluye
un campo de 16 bits llamado ventana.

El tamaño de la ventana es la cantidad de bytes que el dispositivo de destino de una sesión

TCP puede aceptar y procesar al mismo tiempo. En este ejemplo, el tamaño de ventana
inicial de la PC B para la sesión TCP es de 10 000 bytes. Comenzando con el primer byte, el
byte número 1, el último byte que la PC A puede enviar sin recibir un acuse de recibo es el byte
10.000. Esto se conoce como la ventana de envío de la PC A. El tamaño de la ventana se
incluye en cada segmento TCP para que el destino pueda modificar el tamaño de la ventana en
cualquier momento dependiendo de la disponibilidad del búfer.
El tamaño de la ventana inicial se acuerda cuando se establece la sesión TCP durante el
protocolo de enlace de tres vías. El dispositivo de origen debe limitar la cantidad de bytes
enviados al dispositivo de destino según el tamaño de la ventana de destino. Solo después de
que el dispositivo de origen reciba un reconocimiento de que se han recibido los bytes, puede
continuar enviando más datos para la sesión. Por lo general, el destino no esperará a que se
reciban todos los bytes para su tamaño de ventana antes de responder con un acuse de recibo. A
medida que se reciben y procesan los bytes, el destino enviará acuses de recibo para informar al
origen que puede continuar enviando bytes adicionales.
2

El proceso de envío de reconocimientos del destino a medida que procesa los bytes recibidos y
el ajuste continuo de la ventana de envío del origen se conoce como ventanas deslizantes.
Si la disponibilidad del espacio de búfer del destino disminuye, puede reducir el tamaño de su
ventana e informar a la fuente para que reduzca la cantidad de bytes que debe enviar sin recibir
un acuse de recibo.

Una sesión UDP

Al igual que los segmentos con TCP, cuando los datagramas UDP se envían a un destino, a
menudo toman rutas diferentes y llegan en el orden incorrecto. UDP no rastrea los números de
secuencia como lo hace TCP. UDP no tiene forma de reordenar los datagramas en su orden

Bloque IV. Redes

de transmisión; por lo tanto, UDP simplemente vuelve a ensamblar los datos en el orden en
que fueron recibidos y los reenvía a la aplicación, como se muestra en la Figura siguiente. Si
la secuencia de datos es importante para la aplicación, la aplicación debe identificar la secuencia
adecuada y determinar cómo deben procesarse los datos.

Al igual que las aplicaciones basadas en TCP, a las aplicaciones de servidor basadas en UDP se
les asignan números de puerto bien conocidos o registrados, como se muestra en la Figura
siguiente:

Cuando estas aplicaciones o procesos se ejecutan en un servidor, aceptan los datos que
coinciden con el número de puerto asignado. Cuando UDP recibe un datagrama destinado a uno

Bloque IV. Redes

de estos puertos, reenvía los datos de la aplicación a la aplicación adecuada en función de su
número de puerto.
Al igual que con TCP, la comunicación cliente-servidor la inicia una aplicación cliente que
solicita datos de un proceso de servidor. El proceso del cliente UDP selecciona dinámicamente
un número de puerto del rango de números de puerto y lo utiliza como puerto de origen para la
conversación. El puerto de destino suele ser el número de puerto conocido o registrado asignado
al proceso del servidor.
Después de que un cliente haya seleccionado los puertos de origen y destino, se utiliza el mismo
par de puertos en el encabezado de todos los datagramas utilizados en la transacción. Para los
datos que regresan al cliente desde el servidor, los números de puerto de origen y destino en el
encabezado del datagrama se invierten.

Figura 25: exploración de puertos con nmap

Servicios de red

DHCP

El Protocolo de configuración dinámica de host (DHCP) para el servicio IPv4 automatiza

la asignación de direcciones IPv4, máscaras de subred, puertas de enlace y otros
2

parámetros de red IPv4. Esto se conoce como direccionamiento dinámico. La alternativa al

direccionamiento dinámico es el direccionamiento estático. Cuando se utiliza el
direccionamiento estático, el administrador de la red ingresa manualmente la información de la
dirección IP en los hosts. DHCPv6 (DHCP para IPv6) proporciona servicios similares para
clientes IPv6.

Cuando un dispositivo IPv4 configurado con DHCP se inicia o se conecta a la red, el cliente
transmite un mensaje de detección de DHCP (DHCPDISCOVER) para identificar los servidores
DHCP disponibles en la red. Un servidor DHCP responde con un mensaje de oferta de DHCP
(DHCPOFFER), que ofrece una concesión al cliente, como se muestra en la Figura siguiente:

Bloque IV. Redes

El mensaje de oferta contiene la dirección IPv4 y la máscara de subred que se asignarán, la
dirección IPv4 del servidor DNS y la dirección IPv4 de la puerta de enlace predeterminada. La
oferta de alquiler también incluye la duración del arrendamiento.
El cliente puede recibir varios mensajes DHCPOFFER si hay más de un servidor DHCP en la
red local. Por lo tanto, debe elegir entre ellos y envía un mensaje de solicitud de DHCP
(DHCPREQUEST) que identifica el servidor explícito y la oferta de arrendamiento que el
cliente está aceptando. Un cliente también puede optar por solicitar una dirección que le había
sido asignada previamente por el servidor.
Suponiendo que la dirección IPv4 solicitada por el cliente u ofrecida por el servidor aún está
disponible, el servidor devuelve un mensaje de reconocimiento de DHCP (DHCPACK) que
reconoce al cliente que se ha finalizado el arrendamiento. Si la oferta ya no es válida, el servidor
seleccionado responde con un mensaje de reconocimiento negativo de DHCP(DHCPNAK). Si
se devuelve un mensaje DHCPNAK, entonces el proceso de selección debe comenzar
nuevamente con la transmisión de un nuevo mensaje DHCPDISCOVER. Una vez que el cliente
tiene la concesión, debe renovarse antes de que caduque la concesión a través de otro mensaje
DHCPREQUEST. Las dos figuras siguientes ilustran los pasos del funcionamiento de DHCPv4.

Bloque IV. Redes

El servidor DHCP garantiza que todas las direcciones IP sean únicas (no se puede asignar la
misma dirección IP a dos dispositivos de red diferentes simultáneamente). La mayoría de los
proveedores de Internet utilizan DHCP para asignar direcciones a sus clientes.
DHCPv6 tiene un conjunto de mensajes similar a los que se usan para DHCP para IPv4. Los
mensajes de DHCPv6 son SOLICITUD, PUBLICIDAD, SOLICITUD DE INFORMACIÓN y
RESPUESTA.
Formato de mensaje DHCPv4
El formato de mensaje de DHCPv4 se utiliza para todas las transacciones de DHCPv4. Los
mensajes DHCPv4 se encapsulan dentro del protocolo de transporte UDP. Los mensajes
DHCPv4 enviados desde el cliente usan el puerto de origen UDP 68 y el puerto de destino
67. Los mensajes DHCPv4 enviados desde el servidor al cliente usan el puerto de origen
UDP 67 y el puerto de destino 68.
2

Bloque IV. Redes

Campos de encabezado de DHCPv4

Código de operación (OP): especifica el tipo general de mensaje. Un valor de 1 indica un

mensaje de solicitud; un valor de 2 es un mensaje de respuesta.
Tipo de hardware: identifica el tipo de hardware utilizado en la red. Por ejemplo, 1 es
Ethernet, 15 es Frame Relay y 20 es una línea serie. Estos son los mismos códigos utilizados en
los mensajes ARP.
Longitud de dirección de hardware: especifica la longitud de la dirección.
Hops: Controla el reenvío de mensajes. Establecido en 0 por un cliente antes de transmitir una
solicitud.
Identificador de transacción: utilizado por el cliente para hacer coincidir la solicitud con las
respuestas recibidas de los servidores DHCPv4.
Segundos: identifica la cantidad de segundos transcurridos desde que un cliente comenzó a
intentar adquirir o renovar un contrato de arrendamiento. Lo utilizan los servidores DHCPv4
para priorizar las respuestas cuando hay varias solicitudes de clientes pendientes.

Flags: Utilizado por un cliente que no conoce su dirección IPv4 cuando envía una solicitud.
Solo se usa uno de los 16 bits, que es el indicador de transmisión. Un valor de 1 en este campo
le dice al servidor DHCPv4 o al agente de retransmisión que recibe la solicitud que la respuesta
debe enviarse como una difusión.
Dirección IP del cliente: utilizada por un cliente durante la renovación del contrato de
arrendamiento cuando la dirección del cliente es válida y utilizable, no durante el proceso de
adquisición de una dirección. El cliente pone su propia dirección IPv4 en este campo si y solo si
tiene una dirección IPv4 válida mientras está en el estado enlazado; de lo contrario, establece el
campo en 0.
Su dirección IP: Utilizada por el servidor para asignar una dirección IPv4 al cliente.
Dirección IP del servidor: utilizada por el servidor para identificar la dirección del servidor
que el cliente debe usar para el siguiente paso en el proceso de arranque, que puede o no ser el
servidor que envía esta respuesta. El servidor de envío siempre incluye su propia dirección IPv4
en un campo especial denominado opción DHCPv4 del Identificador de servidor.
Dirección IP de la puerta de enlace: enruta los mensajes de DHCPv4 cuando están
involucrados agentes de retransmisión de DHCPv4. La dirección de puerta de enlace facilita las
comunicaciones de solicitudes y respuestas de DHCPv4 entre el cliente y un servidor que se
encuentran en diferentes subredes o redes.
2

Dirección de hardware del cliente: especifica la capa física del cliente.

Nombre del servidor: utilizado por el servidor que envía un mensaje DHCPOFFER o
DHCPACK. El servidor puede opcionalmente poner su nombre en este campo. Puede ser un
apodo de texto simple o un nombre de dominio DNS.
Nombre de archivo de inicio: opcionalmente utilizado por un cliente para solicitar un tipo
particular de archivo de inicio en un mensaje DHCPDISCOVER. Utilizado por un servidor en
un DHCPOFFER para especificar completamente un directorio de archivos de inicio y un
nombre de archivo.

Bloque IV. Redes

Opciones de DHCP: Contiene opciones de DHCP, incluidos varios parámetros necesarios para
el funcionamiento básico de DHCP. Este campo es de longitud variable. Tanto el cliente como
el servidor pueden usar este campo.

DNS
Los servidores web a los que tan a menudo nos conectamos usando nombres como
https://www.lne.es/ en realidad se alcanzan mediante la asignación de direcciones IP a los
paquetes. En Internet, estos nombres de dominio son mucho más fáciles de recordar que
198.133.219.25 Si La nueva España decide cambiar la dirección numérica de www. lne.es es
transparente para el usuario porque el nombre de dominio sigue siendo el mismo. La nueva
dirección simplemente se vincula al nombre de dominio existente y se mantiene la conectividad.
El Sistema de Nombres de Dominio (DNS) fue desarrollado para proporcionar un medio
confiable de administrar y proporcionar nombres de dominio y sus direcciones IP
asociadas. DNS consta de una jerarquía global de servidores distribuidos que contienen bases
de datos de asignaciones de nombres a direcciones IP. La computadora cliente en la Figura
siguiente enviará una solicitud al servidor DNS para obtener la dirección IP de www.cisco.com.

La jerarquía de dominio DNS

El DNS consta de una jerarquía de dominios genéricos de nivel superior (gTLD) que consisten
en .com, .net, .org, .gov, .edu y numerosos dominios a nivel de país, como .br (Brasil), .es
(España), .uk (Reino Unido), etc. En el siguiente nivel de la jerarquía DNS se encuentran los
dominios de segundo nivel. Estos están representados por un nombre de dominio seguido de un
dominio de nivel superior. Los subdominios se encuentran en el siguiente nivel de la jerarquía
de DNS y representan alguna división del dominio de segundo nivel. Finalmente, un cuarto
nivel puede representar un host en un subdominio. Cada elemento de una especificación de
dominio a veces se denomina etiqueta. Las etiquetas se mueven desde la parte superior de la
2

jerarquía hacia abajo de derecha a izquierda. Un punto (".") al final de un nombre de dominio
representa el servidor raíz en la parte superior de la jerarquía.

Bloque IV. Redes

El proceso de búsqueda de DNS

 Resolver: un cliente DNS que envía mensajes DNS para obtener información sobre el
espacio de nombres de dominio solicitado.
 Recursividad: la acción que se realiza cuando se solicita a un servidor DNS que realice
una consulta en nombre de un sistema de resolución de DNS.
 Servidor autorizado: un servidor DNS que responde a los mensajes de consulta con
información almacenada en registros de recursos (RR) para un espacio de nombres de
dominio almacenado en el servidor.
 Resolución recursiva: un servidor DNS que recursivamente consulta la información
solicitada en la consulta DNS.
 FQDN: un nombre de dominio completo es el nombre absoluto de un dispositivo dentro
de la base de datos DNS distribuida.
 RR: un registro de recursos es un formato utilizado en los mensajes DNS que se
compone de los siguientes campos: NOMBRE, TIPO, CLASE, TTL, RDLENGTH y
RDATA.
 Zona DNS:una base de datos que contiene información sobre el espacio de nombres de
dominio almacenado en un servidor autorizado.
Al intentar resolver un nombre en una dirección IP, un host de usuario, conocido en el sistema
como resolutor, primero verificará su caché de DNS local. Si la asignación no se encuentra allí,
2

se emitirá una consulta al servidor o servidores DNS que están configurados en las propiedades
de direccionamiento de red para la resolución. Estos servidores pueden estar presentes en una
empresa o ISP. Si la asignación no se encuentra allí, el servidor DNS consultará a otros
servidores DNS de nivel superior que tienen autoridad para el dominio de nivel superior para
encontrar la asignación. Estas se conocen como consultas recursivas.
Debido a la posible carga sobre los servidores de dominio autorizados de nivel superior, algunos
servidores DNS en la jerarquía mantienen cachés de todos los registros DNS que han resuelto
durante un período de tiempo. Estos servidores DNS de almacenamiento en caché pueden
resolver consultas recursivas sin reenviar las consultas a servidores de nivel superior. Si un
servidor requiere datos para una zona, solicitará una transferencia de esos datos desde un

Bloque IV. Redes

servidor autorizado para esa zona. El proceso de transferir bloques de datos DNS entre
servidores se conoce como transferencia de zona.

Bloque IV. Redes

Formato de mensaje DNS (
DNS utiliza el puerto UDP 53 para consultas y respuestas de DNS. Las consultas DNS se
originan en un cliente y las respuestas se emiten desde los servidores DNS. Si una respuesta de
DNS supera los 512 bytes, se utiliza el puerto TCP 53 para manejar el mensaje. Incluye el
formato para consultas, respuestas y datos. Las comunicaciones del protocolo DNS utilizan un
único formato denominado mensaje. Este formato de mensaje, que se muestra en la Figura
siguiente , se usa para todos los tipos de consultas de clientes y respuestas del servidor,
mensajes de error y la transferencia de información de registros de recursos entre servidores.
2

Bloque IV. Redes

El servidor DNS almacena diferentes tipos de RR utilizados para resolver nombres. Estos
registros contienen el nombre, la dirección y el tipo de registro. Aquí hay una lista de algunos de
estos tipos de registro:
 A: una dirección IPv4 del dispositivo final
 NS: un servidor de nombres autorizado
 AAAA: una dirección IPv6 del dispositivo final (se pronuncia quad-A)
 MX: un registro de intercambio de correo.
Cuando un cliente realiza una consulta, el proceso DNS del servidor primero busca en sus
propios registros para resolver el nombre. Si no puede resolver el nombre utilizando sus
registros almacenados, se comunica con otros servidores para resolver el nombre. Después de
encontrar una coincidencia y devolverla al servidor solicitante original, el servidor almacena
temporalmente la dirección numerada en caso de que se vuelva a solicitar el mismo nombre.
El servicio de cliente DNS en PC con Windows también almacena nombres resueltos
previamente en la memoria. El comando ipconfig /displaydns muestra todas las
entradas DNS almacenadas en caché.

DNS dinámico
El DNS requiere que los registradores acepten y distribuyan asignaciones de DNS de
organizaciones que deseen registrar asignaciones de nombres de dominio y direcciones IP. Una
vez creada la asignación inicial, un proceso que puede demorar 24 horas o más, se pueden
realizar cambios en la dirección IP asignada al nombre de dominio comunicándose con el
registrador o utilizando un formulario en línea para realizar el cambio. Sin embargo, debido al
tiempo que lleva este proceso y que la nueva asignación se distribuya en el DNS, el cambio
2

puede tardar horas antes de que la nueva asignación esté disponible para los resolutores. En
situaciones en las que un ISP utiliza DHCP para proporcionar direcciones a un dominio, es
posible que la dirección asignada al dominio caduque y el ISP otorgue una nueva dirección.
Esto daría como resultado una interrupción de la conectividad al dominio a través de DNS. Era
necesario un nuevo enfoque para permitir a las organizaciones realizar cambios rápidos en la
dirección IP que se asigna a un dominio.
El DNS dinámico (DDNS) permite que un usuario u organización registre una dirección IP con
un nombre de dominio como en DNS. Sin embargo, cuando cambia la dirección IP de la
asignación, la nueva asignación se puede propagar a través del DNS casi instantáneamente. Para
que esto ocurra, un usuario obtiene un subdominio de un proveedor de DDNS. Ese subdominio
se asigna a la dirección IP del servidor del usuario o la conexión del enrutador doméstico a

Bloque IV. Redes

Internet. El software del cliente se ejecuta en el enrutador o en una PC host que detecta un
cambio en la dirección IP de Internet del usuario. Cuando se detecta un cambio, se informa
inmediatamente al proveedor de DDNS del cambio y la asignación entre el subdominio del
usuario y la dirección IP de Internet se actualiza inmediatamente, como se muestra en la Figura
siguiente:

DDNS no utiliza una entrada DNS verdadera para la dirección IP de un usuario. En cambio,
actúa como un intermediario. El dominio del proveedor de DDNS está registrado con el DNS,
pero el subdominio está asignado a una dirección IP totalmente diferente. El servicio del
proveedor de DDNS proporciona esa dirección IP al servidor DNS de segundo nivel del
resolutor. Ese servidor DNS, ya sea en la organización o en el ISP, proporciona la dirección IP
de DDNS al resolutor.

El Protocolo WHOIS
WHOIS es un protocolo basado en TCP que se utiliza para identificar a los propietarios de
dominios de Internet a través del sistema DNS. Cuando se registra un dominio de Internet y
se asigna a una dirección IP para el sistema DNS, el registrante debe proporcionar información
sobre quién está registrando el dominio. La aplicación WHOIS utiliza una consulta, en forma de
FQDN. La consulta se emite a través de un servicio o aplicación WHOIS. El registro oficial de
registro de propiedad es devuelto al usuario por el servicio WHOIS. Esto puede ser útil para
identificar los destinos a los que han accedido los hosts en una red. WHOIS tiene limitaciones y
los piratas informáticos tienen formas de ocultar sus identidades; sin embargo, WHOIS es un
punto de partida para identificar ubicaciones de Internet potencialmente peligrosas a las que se
puede haber accedido a través de la red.
2

Bloque IV. Redes

Figura 26: página whois

NAT

No hay suficientes direcciones IPv4 públicas para asignar una dirección única a cada dispositivo
conectado a Internet. Las redes se implementan comúnmente usando direcciones IPv4 privadas,
como se define en RFC 1918. La Tabla siguiente muestra el rango de direcciones incluidas en
RFC 1918.
Clase Rango de direcciones Prefijo CIDR
internas RFC 1918
A 10.0.0.0 a 10.255.255.255 10.0.0.0/8
B 172.16.0.0 a 172.31.255.255 172.16.0.0/12
C 192.168.0.0 a 192.168.0.0/16
192.168.255.255

Estas direcciones privadas se utilizan dentro de una organización o sitio para permitir que los
dispositivos se comuniquen localmente. Sin embargo, debido a que estas direcciones no
identifican a ninguna empresa u organización en particular, las direcciones IPv4 privadas no se
pueden enrutar a través de Internet. Para permitir que un dispositivo con una dirección IPv4
privada acceda a dispositivos y recursos fuera de la red local, primero se debe traducir la
dirección privada a una dirección pública
Enrutadores habilitados para NAT
Los enrutadores habilitados para NAT se pueden configurar con una o más direcciones IPv4
públicas válidas. Estas direcciones públicas se conocen como el grupo NAT. Cuando un
dispositivo interno envía tráfico fuera de la red, el enrutador habilitado para NAT traduce la
dirección IPv4 interna del dispositivo a una dirección pública del conjunto de NAT. Para los
dispositivos externos, todo el tráfico que entra y sale de la red parece tener una dirección IPv4
pública del conjunto de direcciones proporcionado.
Un enrutador NAT generalmente opera en el borde de una red stub. Una red stub es una red
que tiene una sola conexión a su red vecina, una entrada y una salida de la red. En el ejemplo de
la Figura siguiente, R2 es un enrutador de borde. Como se ve desde el ISP, R2 forma una red
stub.

Bloque IV. Redes

Cuando un dispositivo dentro de la red auxiliar quiere comunicarse con un dispositivo fuera de
su red, el paquete se reenvía al enrutador de borde (stub) El enrutador de borde realiza el
proceso NAT, traduciendo la dirección privada interna del dispositivo a una dirección pública,
externa y enrutable.
Traducción de dirección de puerto
NAT se puede implementar como asignaciones estáticas uno a uno de direcciones privadas a
direcciones públicas, o muchas direcciones internas se pueden asignar a una sola dirección
pública. Esto se conoce como traducción de dirección de puerto (PAT). PAT se usa con
bastante frecuencia en redes domésticas cuando un ISP proporciona una única dirección IP
pública al enrutador doméstico. En la mayoría de los hogares, varios dispositivos requerirán
acceso a Internet. PAT permite que todos los dispositivos de red dentro de la red doméstica
compartan la única dirección IP proporcionada por el ISP. En redes más grandes, PAT también
se puede usar para asignar muchas direcciones internas a varias direcciones públicas.
Con PAT, se pueden asignar varias direcciones a una o varias direcciones, porque cada
dirección privada también se rastrea mediante un número de puerto. Cuando un dispositivo
inicia una sesión TCP/IP, genera un valor de puerto de origen TCP o UDP o un ID de consulta
especialmente asignado para ICMP, para identificar de forma exclusiva la sesión. Cuando el
enrutador NAT recibe un paquete del cliente, utiliza su número de puerto de origen para
identificar de manera única la traducción NAT específica. El proceso PAT también valida que
se solicitaron los paquetes entrantes, lo que agrega un grado de seguridad a la sesión.
2

Bloque IV. Redes

A medida que R2 procesa cada paquete, utiliza un número de puerto (1331 y 1555, en este
ejemplo) para identificar el dispositivo desde el que se originó el paquete. La dirección de
origen (SA) es la dirección local interna con el número de puerto asignado por TCP/IP
agregado. La dirección de destino (DA) es la dirección local externa con el número de puerto de
servicio agregado. En este ejemplo, el puerto de servicio es 80, que es HTTP.
Para la dirección de origen, R2 traduce la dirección privada (conocida como dirección local
interna) a una dirección pública global externa con el número de puerto agregado. La dirección
de destino no cambia, pero ahora se denomina dirección IPv4 global externa. Cuando el
servidor web responde, la ruta se invierte.

Servicios de transferencia y uso compartido de archivos

FTP y TFTP

FTP es otro protocolo de capa de aplicación de uso común. FTP fue desarrollado para permitir
la transferencia de datos entre un cliente y un servidor. Un cliente FTP es una aplicación que se
ejecuta en una computadora que se utiliza para enviar y recibir datos de un servidor FTP.
Como ilustra la Figura siguiente, para transferir datos con éxito, FTP requiere dos conexiones
entre el cliente y el servidor, una para comandos y respuestas, la otra para la transferencia de
2

archivos real.

Bloque IV. Redes

 1. El cliente establece la primera conexión con el servidor para controlar el tráfico
utilizando el puerto TCP 21, que consta de comandos del cliente y respuestas del
servidor.
2. El cliente establece la segunda conexión con el servidor para la transferencia de datos
real utilizando el puerto TCP 20. Esta conexión se crea cada vez que hay datos para
transferir.
La transferencia de datos puede ocurrir en cualquier dirección. El cliente puede descargar
(extraer) datos del servidor o cargar datos al servidor.
FTP no fue diseñado para ser un protocolo de capa de aplicación segura. Por esta razón, el
protocolo de transferencia de archivos SSH, que es una forma segura de FTP que utiliza el
protocolo Secure Shell para proporcionar un canal seguro, es la implementación de
transferencia de archivos preferida.
Protocolo trivial de transferencia de archivos (TFTP)
TFTP es un protocolo de transferencia de archivos simplificado que utiliza el conocido
número de puerto UDP 69. Carece de muchas de las funciones de FTP, como las operaciones
de administración de archivos para enumerar, eliminar o cambiar el nombre de los archivos.
Debido a su simplicidad, TFTP tiene una sobrecarga de red muy baja y es popular para
aplicaciones de transferencia de archivos no críticos; sin embargo, es fundamentalmente
inseguro porque no tiene funciones de inicio de sesión o control de acceso. Por esta razón,
TFTP debe implementarse con cuidado y solo cuando sea absolutamente necesario.
SMB
El bloque de mensajes del servidor (SMB) es un protocolo de uso compartido de archivos
2

cliente/servidor que describe la estructura de los recursos de red compartidos, como

directorios, archivos, impresoras y puertos seriales, como se muestra en la Figura siguiente.
Es un protocolo de solicitud-respuesta. Todos los mensajes SMB comparten un formato
común. Este formato utiliza un encabezado de tamaño fijo, seguido de un parámetro de tamaño
variable y un componente de datos.

Bloque IV. Redes

Los mensajes SMB pueden iniciar, autenticar y finalizar sesiones, controlar el acceso a archivos
e impresoras y permitir que una aplicación envíe o reciba mensajes hacia o desde otro
dispositivo.
Los servicios de impresión y uso compartido de archivos SMB se han convertido en el pilar de
las redes de Microsoft,

Email
El correo electrónico es una aplicación de red esencial. Para ejecutarse en una computadora u
otro dispositivo final, requiere varias aplicaciones y servicios, como se muestra en la Figura
siguiente. El correo electrónico es un método de almacenar y reenviar para enviar, almacenar y
recuperar mensajes electrónicos a través de una red. Los mensajes de correo electrónico se
almacenan en bases de datos en servidores de correo.

Los clientes de correo electrónico se comunican con los servidores de correo para enviar y
recibir correo electrónico. Los servidores de correo se comunican con otros servidores de correo
para transportar mensajes de un dominio a otro. Un cliente de correo electrónico no se comunica

Bloque IV. Redes

directamente con otro cliente de correo electrónico cuando envía un correo electrónico. En
cambio, ambos clientes confían en el servidor de correo para transportar mensajes.
El correo electrónico admite tres protocolos separados para la operación: Protocolo simple de
transferencia de correo (SMTP), Protocolo de oficina de correos versión 3 (POP3) y
Protocolo de acceso a mensajes de Internet (IMAP). El proceso de la capa de aplicación
que envía el correo utiliza SMTP; sin embargo, un cliente recupera el correo electrónico
utilizando uno de los dos protocolos de capa de aplicación: POP3 o IMAP.
SMTP
Los formatos de mensaje SMTP requieren un encabezado de mensaje y un cuerpo de mensaje.
Si bien el cuerpo del mensaje puede contener cualquier cantidad de texto, el encabezado del
mensaje debe tener una dirección de correo electrónico del destinatario y una dirección del
remitente con el formato correcto.
Cuando un cliente envía un correo electrónico, el proceso SMTP del cliente se conecta con un
proceso SMTP del servidor en el puerto conocido 25. Una vez realizada la conexión, el
cliente intenta enviar el correo electrónico al servidor a través de la conexión. Cuando el
servidor recibe el mensaje, coloca el mensaje en una cuenta local, si el destinatario es local, o
reenvía el mensaje a otro servidor de correo para su entrega, como se muestra en la Figura
siguiente:

Es posible que el servidor de correo electrónico de destino no esté en línea o que esté ocupado
cuando se envían mensajes de correo electrónico. Por lo tanto, SMTP pone en cola los mensajes
2

para enviarlos más adelante. Periódicamente, el servidor comprueba la cola de mensajes e

intenta enviarlos de nuevo. Si el mensaje aún no se entrega después de un tiempo de
vencimiento predeterminado, se devuelve al remitente como no entregado.
Una aplicación utiliza POP3 para recuperar correo de un servidor de correo. Con POP3, el
correo se descarga del servidor al cliente y luego se elimina en el servidor, como se muestra en
la Figura siguiente:
El servidor inicia el servicio POP3 escuchando pasivamente en el puerto TCP 110 las
solicitudes de conexión del cliente. Cuando un cliente quiere hacer uso del servicio, envía una
solicitud para establecer una conexión TCP con el servidor. Cuando se establece la conexión, el

Bloque IV. Redes

servidor POP3 envía un saludo. El cliente y el servidor POP3 luego intercambian comandos y
respuestas hasta que la conexión se cierra o se cancela.
Con POP3, los mensajes de correo electrónico se descargan al cliente y se eliminan del servidor,
por lo que no hay una ubicación centralizada donde se guarden los mensajes de correo
electrónico. Debido a que POP3 no almacena mensajes, no es deseable para una pequeña
empresa que necesita una solución de copia de seguridad centralizada.
IMAP
IMAP es otro protocolo que describe un método para recuperar mensajes de correo electrónico,
como se muestra en la Figura siguiente:

A diferencia de POP3, cuando el usuario se conecta a un servidor compatible con IMAP, se

descargan copias de los mensajes en la aplicación cliente. Los mensajes originales se mantienen
en el servidor hasta que se eliminan manualmente. Los usuarios ven copias de los mensajes en
su software de cliente de correo electrónico.
Los usuarios pueden crear una jerarquía de archivos en el servidor para organizar y almacenar el
correo. Esa estructura de archivos también se duplica en el cliente de correo electrónico.
Cuando un usuario decide eliminar un mensaje, el servidor sincroniza esa acción y elimina el
mensaje del servidor.
HTTP
2

Primero, el navegador interpreta las tres partes de la URL:

 http (el protocolo o esquema)
 www.cisco.com (el nombre del servidor)
 index.html (se solicita la página de inicio predeterminada)
El navegador verifica con un servidor de nombres para convertir www.cisco.com en una
dirección IP numérica, que utiliza para conectarse al servidor.

Bloque IV. Redes

Utilizando los requisitos de HTTP, el navegador envía una solicitud GET al servidor y solicita
el archivo index.html. El servidor, como se muestra en la Figura siguiente, envía el código
HTML de esta página web al navegador.

Finalmente, como se muestra en la Figura siguiente, el navegador descifra el código HTML y

formatea la página para la ventana del navegador.

La URL HTTP
Una URL HTTP también puede especificar el puerto en el servidor que debe manejar los
2

métodos HTTP. Además, puede especificar una cadena de consulta y un fragmento. La cadena
de consulta generalmente contiene información que no es manejada por el propio proceso del
servidor HTTP, sino que es manejada por otro proceso que se ejecuta en el servidor. Las
cadenas de consulta están precedidas por un "?" carácter y típicamente consisten en una serie de
pares de nombre y valor. Un fragmento está precedido por un carácter "#". Hace referencia a
una parte subordinada del recurso que se solicita en la URL, por ejemplo, un fragmento podría
hacer referencia a un ancla con nombre en un documento HTML. La URL accederá al
documento y luego se moverá a la parte del documento especificada por el fragmento si existe
un enlace de anclaje con nombre coincidente en el documento. Una URL HTTP que incluye
estas partes se muestra en la figura siguiente:

Bloque IV. Redes

El Protocolo HTTP

HTTP es un protocolo de solicitud/respuesta que utiliza el puerto TCP 80, aunque se

pueden utilizar otros puertos. Cuando un cliente, generalmente un navegador web, envía una
solicitud a un servidor web, utilizará uno de los cinco métodos especificados por el protocolo
HTTP:
 GET: una solicitud de datos del cliente. Un cliente (navegador web) envía el mensaje
GET al servidor web para solicitar páginas HTML.
 POST: envía datos para que los procese un recurso.
 PUT: Sube recursos o contenido al servidor web como una imagen.
 DELETE: Elimina el recurso especificado.
 OPTIONS: Devuelve los métodos HTTP que admite el servidor.
 CONECT: solicita que un servidor proxy HTTP reenvíe la sesión HTTP TCP al destino
deseado.
Protección de HTTP
Para una comunicación segura a través de Internet, se utiliza el protocolo HTTP Secure
(HTTPS). HTTPS usa el puerto TCP 443. HTTPS usa autenticación y cifrado para proteger
los datos mientras viajan entre el cliente y el servidor. HTTPS utiliza el mismo proceso de
solicitud de cliente-respuesta del servidor que HTTP, pero el flujo de datos se cifra con Secure
Sockets Layer (SSL) o Transport Layer Security (TLS), antes de ser transportado a través de
la red. Aunque SSL es el predecesor de TLS, ambos protocolos suelen denominarse SSL.
Gran parte de la información confidencial, como contraseñas, información de tarjetas de
crédito e información médica, se transmite a través de Internet mediante HTTPS.
Códigos de estado HTTP
Las respuestas del servidor HTTP se identifican con varios códigos de estado que informan a la
aplicación host sobre el resultado de las solicitudes del cliente al servidor. Los códigos están
organizados en cinco grupos. Los códigos son numéricos; el primer número del código indica el
tipo de mensaje. Los cinco grupos de códigos de estado son:
2

 1xx: informativo
 2xx: Éxito
 3xx: Redirección
 4xx: error del cliente
 5xx: error del servidor

Infraestructura de red
(cap. 5 de Cybersecurity Operati ons Companion Guide)

Bloque IV. Redes

La infraestructura de red define la forma en que los dispositivos se conectan entre sí para
lograr comunicaciones de extremo a extremo. Así como hay muchos tamaños de redes, también
hay muchas formas de construir una infraestructura. Sin embargo, existen algunos diseños
estándar que la industria de redes recomienda para lograr redes disponibles y seguras.

Dispositivos de comunicación de red

Figura 27: Desde un dispositivo inicial se envia un paquete a través de un dispositivo intermediario para que llegue
a un dispositivo final.

 Los dispositivos de red intermediarios realizan algunas o todas estas funciones:

 Regenerar y retransmitir señales de datos
 Mantener información sobre qué vías existen a través de la red y la interconexión de
redes.
 Notificar a otros dispositivos de errores y fallas de comunicación
 Datos directos a lo largo de rutas alternativas cuando hay una falla en el enlace
 Clasificar y dirigir mensajes según prioridades
 Permitir o denegar el flujo de datos, según la configuración de seguridad.

Routers (enrutadores)
2

Los enrutadores son dispositivos que operan en la capa de red OSI. Utilizan el proceso de
enrutamiento para reenviar paquetes de datos entre redes o subredes, como se muestra en
la figura siguiente:

Bloque IV. Redes

El proceso de enrutamiento utiliza tablas de enrutamiento de red, protocolos y algoritmos
para determinar la ruta más eficiente para reenviar un paquete IP. Los enrutadores
recopilan información de enrutamiento y actualizan otros enrutadores sobre cambios en la
red. Los enrutadores aumentan la escalabilidad de las redes al segmentar los dominios de
transmisión.
Los enrutadores tienen dos funciones principales: determinación de ruta y reenvío de
paquetes: para realizar la determinación de la ruta, cada enrutador crea y mantiene una tabla de
enrutamiento, que es una base de datos de redes conocidas y cómo llegar a ellas. La tabla de
enrutamiento se puede construir manualmente y contener rutas estáticas o se puede construir
usando un protocolo de enrutamiento dinámico.
El reenvío de paquetes se logra mediante el uso de una función de conmutación. La
conmutación es el proceso utilizado por un enrutador para aceptar un paquete en una
interfaz y reenviarlo desde otra interfaz. Una responsabilidad principal de la función de
conmutación es encapsular paquetes en el tipo de trama de enlace de datos apropiado para
el enlace de datos saliente. La figura siguiente muestra que R1 recibe un paquete en una red y
se prepara para reenviar el paquete desde otra red hacia la red de destino:
2

Bloque IV. Redes

Una vez que el enrutador ha determinado la interfaz de salida mediante la función de
determinación de ruta, el enrutador debe encapsular el paquete en la trama de enlace de datos de
la interfaz de salida.
¿Qué hace un enrutador con un paquete recibido de una red y destinado a otra red? El enrutador
realiza los siguientes tres pasos principales:
1. Desencapsula el encabezado y el tráiler de la trama de Capa 2 para exponer el
paquete de Capa 3.
2. Examina la dirección IP de destino del paquete IP para encontrar la mejor ruta en
la tabla de enrutamiento.
3. Si el enrutador encuentra una ruta al destino, encapsula el paquete de Capa 3 en
una nueva trama de Capa 2 y reenvía esa trama a la interfaz de salida.
Como se muestra en la Figura siguiente, los dispositivos tienen direcciones IPv4 de Capa 3,
mientras que las interfaces Ethernet tienen direcciones de enlace de datos de Capa 2.
2

Bloque IV. Redes

Las direcciones MAC se acortan para simplificar la ilustración; por ejemplo, la PC1 está
configurada con la dirección IPv4 192.168.1.10 y una dirección MAC de ejemplo de 0A-10. A
medida que un paquete viaja desde el dispositivo de origen hasta el dispositivo de destino final,
las direcciones IP de la Capa 3 no cambian. Esto se debe a que la PDU de capa 3 no cambia.; sin
embargo, las direcciones de enlace de datos de Capa 2 cambian en cada enrutador en la ruta al
destino, ya que el paquete se desencapsula y se vuelve a encapsular en una nueva trama de Capa
2.

Operación del enrutador

Para aumentar la escalabilidad, las redes se pueden dividir en subredes. Las subredes crean los
segmentos de red que admiten dispositivos finales y crean una estructura jerárquica. Una
función principal de un enrutador es determinar la mejor ruta a utilizar para enviar paquetes a
cada subred. Para determinar la mejor ruta, el enrutador busca en su tabla de enrutamiento una
dirección de red que coincida con la dirección IP de destino del paquete.
La búsqueda en la tabla de enrutamiento da como resultado una de tres determinaciones de ruta:
 Red conectada directamente: si la dirección IP de destino del paquete pertenece a un
dispositivo en una red que está directamente conectada a una de las interfaces del
enrutador, ese paquete se reenvía directamente al dispositivo de destino. Esto significa
que la dirección IP de destino del paquete es una dirección de host en la misma red que
la interfaz del enrutador.
2

 Red remota: si la dirección IP de destino del paquete pertenece a una red remota, el
paquete se reenvía a otro enrutador. Solo se puede acceder a las redes remotas mediante
el reenvío de paquetes a otro enrutador.

 Ninguna ruta determinada: si la dirección IP de destino del paquete no pertenece a

una red remota o conectada, entonces el enrutador determina si hay una puerta de enlace
de último recurso disponible. Se establece una puerta de enlace de último recurso
cuando se configura o aprende una ruta predeterminada en un enrutador. Si hay una ruta

Bloque IV. Redes

 predeterminada, el paquete se reenvía a la puerta de enlace de último recurso. Si el
enrutador no tiene una ruta predeterminada, el paquete se descarta.

Figura 28: Diagrama de flujo de reenvio de paquetes el router

Debido a que los enrutadores no reenvían tramas de transmisión Ethernet, separan una red en
dominios de transmisión separados. Esto mantiene el tráfico de difusión aislado en una red
determinada conectada a una interfaz de enrutador.

PC1 debe determinar si la dirección IPv4 de destino está en la misma red. PC1 determina su
propia subred realizando una operación AND en su propia dirección IPv4 y máscara de
subred. Esto produce la dirección de red a la que pertenece PC1. A continuación, la PC1
realiza esta misma operación AND utilizando la dirección IPv4 de destino del paquete y la
máscara de subred de la PC1. El resultado le dice a la PC1 que la PC2 no está en la misma red

Bloque IV. Redes

que la PC1. Por lo tanto, PC1 crea un paquete para enviarlo a su puerta de enlace
predeterminada, R1.

Información de enrutamiento
La tabla de enrutamiento de un enrutador almacena la siguiente información:
 Rutas conectadas directamente: estas rutas provienen de las interfaces activas del
enrutador. Los enrutadores agregan una ruta conectada directamente cuando una
interfaz está configurada con una dirección IP y está activada.
 Rutas remotas: Son redes remotas conectadas a otros routers. Las rutas a estas redes
pueden configurarse estáticamente o aprenderse dinámicamente a través de protocolos
de enrutamiento dinámico.
Específicamente, una tabla de enrutamiento es un archivo de datos en RAM que se utiliza
para almacenar información de ruta sobre redes remotas y conectadas directamente. La
tabla de enrutamiento contiene asociaciones de red o de siguiente salto. Estas asociaciones le
dicen a un enrutador que se puede llegar de manera óptima a un destino en particular enviando
el paquete a un enrutador específico que representa el siguiente salto en el camino hacia el
destino final. La asociación de siguiente salto también puede ser la interfaz de salida o de salida
al siguiente destino.

Figura 29: redes remotas o redes conectadas directamente en R1

Las entradas de la red de destino en la tabla de enrutamiento se pueden agregar de varias

maneras:
 Interfaces de rutas locales: se agregan cuando una interfaz está configurada y activa.
Esta entrada solo se muestra en IOS 15 o posterior para rutas IPv4 y todas las versiones
de IOS para rutas IPv6.
2

 Interfaces conectadas directamente: se agregan a la tabla de enrutamiento cuando una

interfaz está configurada y activa.
 Rutas estáticas: se agregan cuando una ruta se configura manualmente y la interfaz de
salida está activa.
 Protocolo de enrutamiento dinámico: se agrega cuando se implementan protocolos de
enrutamiento que aprenden dinámicamente sobre la red, como EIGRP u OSPF, y se
identifican las redes.
Los protocolos de enrutamiento dinámico se han utilizado en redes desde finales de la década de
1980. Uno de los primeros protocolos de enrutamiento fue el Protocolo de información de
enrutamiento (RIP). RIPv1 se lanzó en 1988. A medida que las redes evolucionaron y se

Bloque IV. Redes

volvieron más complejas, surgieron nuevos protocolos de enrutamiento. El protocolo RIP se
actualizó a RIPv2 para adaptarse al crecimiento del entorno de red; sin embargo, RIPv2
aún no se adapta a las implementaciones de redes más grandes de la actualidad. Para abordar las
necesidades de redes más grandes, se desarrollaron dos protocolos de enrutamiento avanzados:
Open Shortest Path First (OSPF) e Intermediate Sistem a Sistema Intermedio (IS-IS). Cisco
desarrolló el Protocolo de enrutamiento de puerta de enlace interior (IGRP) y el IGRP
mejorado (EIGRP), que también se escala bien en implementaciones de redes más grandes.

Concentradores, puentes, conmutadores LAN

Un concentrador Ethernet actúa como un repetidor multipuerto que recibe una señal eléctrica
entrante (datos) en un puerto. Luego envía inmediatamente una señal regenerada a todos los
demás puertos. Los concentradores usan procesamiento de capa física para reenviar datos. No
miran la dirección MAC de origen y destino de la trama de Ethernet. Los concentradores
conectan la red en una topología en estrella con el concentrador como punto de conexión
central. Cuando dos o más dispositivos finales conectados a un concentrador envían datos al
mismo tiempo, se produce una colisión eléctrica que corrompe las señales. Todos los
dispositivos conectados a un concentrador pertenecen al mismo dominio de colisión. Solo un
dispositivo puede transmitir tráfico en un momento dado en un dominio de colisión. Si ocurre
una colisión, los dispositivos finales utilizan la lógica CSMA/CD para evitar la transmisión
hasta que la red esté libre de tráfico.
Los puentes(bridges) tienen dos interfaces y están conectados entre concentradores para dividir
la red en varios dominios de colisión. Cada dominio de colisión solo puede tener un remitente a
la vez. Las colisiones están aisladas por el puente a un solo segmento y no impactan dispositivos
en otros segmentos. Al igual que un conmutador, un puente toma decisiones de reenvío en
función de las direcciones MAC de Ethernet.
Los switches LAN son esencialmente puentes multipuerto que conectan dispositivos en una
topología en estrella. Al igual que los puentes, los switches segmentan una LAN en dominios de
colisión separados, uno para cada puerto de switch. Un conmutador toma decisiones de reenvío
en función de las direcciones MAC de Ethernet.

Figura 30; Switches Cisco

Los conmutadores (switches) utilizan direcciones MAC para dirigir las comunicaciones de red a
través del conmutador, al puerto apropiado y hacia el destino. Un conmutador se compone de
circuitos integrados y el software que lo acompaña que controla las rutas de datos a través del
conmutador. Para que un switch sepa qué puerto usar para transmitir una trama, primero debe
aprender qué dispositivos existen en cada puerto. A medida que el conmutador aprende la

Bloque IV. Redes

relación de los puertos con los dispositivos, crea una tabla llamada tabla de direcciones MAC o
tabla de memoria direccionable de contenido (CAM). CAM es un tipo especial de memoria que
se utiliza en aplicaciones de búsqueda de alta velocidad.
Los conmutadores LAN determinan cómo manejar las tramas de datos entrantes al mantener la
tabla de direcciones MAC. Un conmutador construye su tabla de direcciones MAC al registrar
la dirección MAC de cada dispositivo conectado a cada uno de sus puertos. El conmutador
utiliza la información de la tabla de direcciones MAC para enviar tramas destinadas a un
dispositivo específico por el puerto que se ha asignado a ese dispositivo.
El siguiente proceso de dos pasos se realiza en cada trama Ethernet que ingresa a un
conmutador (switch)
Paso 1. Aprender: examinar la dirección MAC de origen
Cada marco que ingresa a un interruptor se verifica en busca de nueva información para
aprender. El conmutador hace esto al examinar la dirección MAC de origen de la trama y el
número de puerto donde la trama ingresó al conmutador. Si la dirección MAC de origen no
existe, se agrega a la tabla junto con el número de puerto entrante, como se muestra en la Figura
siguiente. Si la dirección MAC de origen existe, el conmutador actualiza el temporizador de
actualización para esa entrada. De forma predeterminada, la mayoría de los conmutadores
Ethernet mantienen una entrada en la tabla durante 5 minutos.

Paso 2. Reenviar: examen de la dirección MAC de destino

Si la dirección MAC de destino es una dirección de unidifusión, el conmutador buscará una
coincidencia entre la dirección MAC de destino de la trama y una entrada en su tabla de
direcciones MAC. Si la dirección MAC de destino está en la tabla, reenviará la trama al puerto
especificado. Si la dirección MAC de destino no está en la tabla, el switch reenviará la trama a
todos los puertos excepto al puerto de entrada, como se muestra en la Figura siguiente. Esto se
denomina unidifusión desconocida.

Bloque IV. Redes

VLAN
Dentro de una red conmutada, las LAN virtuales (VLAN) brindan segmentación y flexibilidad
organizacional. Las VLAN proporcionan una forma de agrupar dispositivos dentro de una LAN.
Un grupo de dispositivos dentro de una VLAN se comunica como si estuvieran conectados al
mismo segmento de red. Las VLAN se basan en conexiones lógicas, en lugar de conexiones
físicas.
Las VLAN permiten que un administrador segmente las redes en función de factores como la
función, el equipo del proyecto o la aplicación, sin tener en cuenta la ubicación física del
usuario o dispositivo, como se muestra en la Figura siguiente:

Bloque IV. Redes

Los dispositivos dentro de una VLAN actúan como si estuvieran en su propia red independiente,
incluso si comparten una infraestructura común con otras VLAN. Cualquier puerto de switch
puede pertenecer a una VLAN. Los paquetes de unidifusión, difusión y multidifusión se
reenvían e inundan solo a los dispositivos finales dentro de la VLAN donde se originan los
paquetes. Cada VLAN se considera una red lógica separada. Los paquetes destinados a
dispositivos que no pertenecen a la VLAN deben reenviarse a través de un dispositivo que
admita enrutamiento.
Una VLAN crea un dominio de transmisión lógica que puede abarcar varios segmentos de
LAN físicos. Las VLAN mejoran el rendimiento de la red al separar los grandes dominios de
difusión en otros más pequeños. Si un dispositivo en una VLAN envía una trama Ethernet de
difusión, todos los dispositivos en la VLAN reciben la trama, pero los dispositivos en otras
VLAN no.

STP
Es necesario gestionar varias rutas para que no se creen bucles de capa 2. Se eligen las mejores
rutas y una ruta alternativa está disponible de inmediato en caso de que falle una ruta principal.
El protocolo de árbol de expansión (STP) se utiliza para mantener una ruta sin bucles en la red
de capa 2, en cualquier momento.

La redundancia aumenta la disponibilidad de la topología de la red al proteger la red de un único

punto de falla, como un cable o conmutador de red defectuoso. Cuando se introduce
redundancia física en un diseño, se producen bucles y tramas duplicadas. Los bucles y las
tramas duplicadas tienen graves consecuencias para una red conmutada. STP fue desarrollado
para abordar estos problemas.
Si alguna vez se necesita la ruta para compensar la falla de un cable de red o un interruptor, STP
vuelve a calcular las rutas y desbloquea los puertos necesarios para permitir que la ruta
redundante se active.
STP evita que se produzcan bucles mediante la configuración de una ruta sin bucles a través de
la red utilizando puertos de "estado de bloqueo" colocados estratégicamente. Los switches que
ejecutan STP pueden compensar las fallas desbloqueando dinámicamente los puertos
previamente bloqueados y permitiendo que el tráfico atraviese las rutas alternativas.

Conmutación multicapa
Los conmutadores multicapa (también conocidos como conmutadores de capa 3) no solo
realizan conmutación de capa 2, sino que también reenvían tramas basadas en información de
capa 3 y 4.
Puerto enrutado: una interfaz pura de capa 3 similar a una interfaz física en un enrutador Cisco
IOS.
2

Switch virtual interface (SVI): una interfaz de VLAN virtual para el enrutamiento entre
VLAN. En otras palabras, las SVI son las interfaces VLAN de enrutamiento virtual.
Puertos enrutados
Un puerto enrutado es un puerto físico que actúa de manera similar a una interfaz en un router.

Bloque IV. Redes

Comunicaciones inalámbricas

Protocolos y funciones
Las LAN inalámbricas (WLAN) utilizan frecuencias de radio (RF) en lugar de cables en la capa
física y la subcapa MAC de la capa de enlace de datos. Las WLAN comparten un origen similar
con las LAN Ethernet. El IEEE ha adoptado la cartera 802 LAN/MAN de estándares de
arquitectura de redes informáticas. Los dos grupos de trabajo 802 dominantes son 802.3
Ethernet, que definió Ethernet para LAN cableadas, y 802.11, que definió Ethernet para WLAN.
Característica LAN inalámbrica 802.11 LAN ethernet 802.3
Capa física Radiofrecuencia(RF) Cable
Acceso a los medios Evitación de colisiones Detección de colisiones
Disponibilidad Cualquier persona con una Requiere conexión de cable
NIC de radio dentro del
alcance de un punto de acceso
Interferrenca de señal Sí Inconsecuente
Regulación Regulación adicional por Dicta el estándar IEEE
parte de las autoridades del
país
Tabla 1: Diferencias entre WLAN y VLAN
2

Las WLAN también difieren de las LAN cableadas de la siguiente manera:

 Las WLAN conectan a los clientes a la red a través de un punto de acceso inalámbrico
(AP) o un enrutador inalámbrico, en lugar de un conmutador Ethernet.
 Las WLAN conectan dispositivos móviles que a menudo funcionan con batería, a
diferencia de los dispositivos LAN enchufados. Las NIC inalámbricas tienden a reducir
la duración de la batería de un dispositivo móvil.
 Las WLAN admiten hosts que compiten por el acceso a los medios de RF (bandas de
frecuencia). 802.11 prescribe la prevención de colisiones (CSMA/CA) en lugar de la
detección de colisiones (CSMA/CD) para el acceso a los medios para evitar de manera
proactiva las colisiones dentro de los medios.

Bloque IV. Redes

  Las WLAN utilizan un formato de trama diferente al de las LAN Ethernet cableadas.
Las WLAN requieren información adicional en el encabezado de capa 2 del marco.
 Las WLAN plantean más problemas de privacidad porque las frecuencias de radio
pueden llegar fuera de las instalaciones.
Todas las tramas de Capa 2 constan de un encabezado, una carga útil y una sección FCS,
como se muestra en la Figura siguiente. El formato de trama 802.11 es similar al formato de
trama Ethernet, con la excepción de que contiene campos adicionales.

Todas las tramas inalámbricas 802.11 contienen los siguientes campos:

 Control de tramas: identifica el tipo de trama inalámbrica y contiene subcampos para
Versión de protocolo, Tipo de trama, Tipo de dirección, Administración de energía y
Configuración de seguridad.
 Duración: normalmente se utiliza para indicar el tiempo restante necesario para recibir
la siguiente transmisión de trama.
 Dirección 1: por lo general, contiene la dirección MAC del dispositivo inalámbrico
receptor o AP.
 Dirección 2: por lo general, contiene la dirección MAC del dispositivo inalámbrico o
AP que transmite.
 Dirección 3: a veces contiene la dirección MAC del destino, como la interfaz del
enrutador (puerta de enlace predeterminada) a la que está conectado el AP.
 Control de secuencia: contiene los subcampos Número de secuencia y Número de
fragmento. El Número de secuencia indica el número de secuencia de cada cuadro. El
número de fragmento indica el número de cada trama enviada de una trama
fragmentada.
 Dirección 4: Suele estar vacía porque se usa solo en modo ad hoc.
 Carga útil: contiene los datos para la transmisión.
 FCS: Secuencia de verificación de tramas; utilizado para el control de errores de capa
2.
Los parámetros inalámbricos configurables comunes incluyen
2

 Modo de red: se refiere a los estándares WLAN 802.11. Los puntos de acceso y los
enrutadores inalámbricos pueden operar en un modo mixto, lo que significa que pueden
usar múltiples estándares simultáneamente.
 SSID: un identificador de conjunto de servicios (SSID) es un identificador único
que utilizan los clientes inalámbricos para distinguir entre múltiples redes
inalámbricas en la misma vecindad. Si la transmisión de SSID está habilitada, el
nombre de SSID aparece en la lista de redes inalámbricas disponibles en un cliente.
Según la configuración de la red, varios puntos de acceso de una red pueden compartir
un SSID. Los nombres suelen tener entre 2 y 32 caracteres.

Bloque IV. Redes

  Configuración de canales: se refiere a las bandas de frecuencia que se utilizan para
transmitir datos inalámbricos. Los enrutadores inalámbricos y los puntos de acceso
pueden elegir la configuración del canal o se puede configurar manualmente si hay
interferencia con otro punto de acceso o dispositivo inalámbrico.
 Modo de seguridad: se refiere a la configuración de los parámetros de seguridad,
como WEP, WPA o WPA2. Habilite siempre el nivel de seguridad más alto admitido.
Para una casa o una oficina pequeña, usaría WPA2 Personal.
 Cifrado: WPA2 requiere que elija un cifrado. Utilice AES siempre que sea posible.
 Contraseña: requerida del cliente inalámbrico para autenticarse en el AP. Una
contraseña a veces se denomina clave de seguridad. Evita que los intrusos y otros
usuarios no deseados accedan a la red inalámbrica.
Los dispositivos inalámbricos deben descubrir y conectarse a un AP o enrutador inalámbrico.
Los clientes inalámbricos se conectan al AP mediante un proceso de exploración (sondeo). Este
proceso puede ser pasivo o activo:
 Modo pasivo: el AP anuncia abiertamente su servicio mediante el envío periódico de
tramas de balizas de difusión que contienen el SSID, los estándares admitidos y la
configuración de seguridad. El objetivo principal de la baliza es permitir que los
clientes inalámbricos sepan qué redes y puntos de acceso están disponibles en un área
determinada, lo que les permite elegir qué red y punto de acceso utilizar.
 Modo activo: los clientes inalámbricos deben conocer el nombre del SSID. El cliente
inalámbrico inicia el proceso transmitiendo una trama de solicitud de sonda en
múltiples canales. La solicitud de sondeo incluye el nombre del SSID y los estándares
admitidos. Es posible que se requiera el modo activo si un punto de acceso o enrutador
inalámbrico está configurado para no transmitir marcos de baliza.
El estándar 802.11 se desarrolló originalmente con dos mecanismos de autenticación:
Autenticación abierta: fundamentalmente una autenticación NULL donde el cliente
inalámbrico dice "autentícame" y el AP responde con "sí". La autenticación abierta proporciona
conectividad inalámbrica a cualquier dispositivo inalámbrico y solo debe usarse en situaciones
en las que la seguridad no es una preocupación.
Autenticación de clave compartida: la técnica se basa en una clave que se comparte
previamente entre el cliente y el AP.

Dispositivos inalámbricos: AP, LWAP, WLC

Una implementación común de datos inalámbricos es permitir que los dispositivos se conecten
de forma inalámbrica a través de una LAN. En general, una LAN inalámbrica requiere puntos
de acceso inalámbricos y clientes que tengan NIC inalámbricas. Los enrutadores inalámbricos
domésticos y de pequeñas empresas integran las funciones de un enrutador, conmutador y punto
de acceso en un solo dispositivo, como se muestra en la Figura siguiente. Tenga en cuenta que
en redes pequeñas, el enrutador inalámbrico puede ser el único AP porque solo un área pequeña
requiere cobertura inalámbrica. En redes más grandes, puede haber muchos AP.
2

Bloque IV. Redes

Todas las funciones de control y administración de los puntos de acceso en una red se pueden
centralizar en un controlador de LAN inalámbrica (WLC). Cuando se utiliza un WLC, los
puntos de acceso ya no actúan de forma autónoma, sino que actúan como puntos de acceso
ligeros (LWAP). Los LWAP solo reenvían datos entre la LAN inalámbrica y el WLC. Todas las
funciones de administración, como la definición de SSID y la autenticación, se realizan en el
WLC centralizado en lugar de en cada AP individual. Un beneficio importante de centralizar las
funciones de administración de AP en el WLC es la configuración y el monitoreo simplificados
de numerosos puntos de acceso, entre muchos otros beneficios.

Infraestructura de seguridad de red

Dispositivos de seguridad

Cortafuegos
Un firewall es un sistema, o grupo de sistemas, que impone una política de control de acceso
entre redes, como se muestra en la Figura siguiente:
2

Bloque IV. Redes

Todos los cortafuegos comparten algunas propiedades comunes:
 Los cortafuegos son resistentes a los ataques de red.
 Los cortafuegos son el único punto de tránsito entre las redes corporativas
internas y las redes externas porque todo el tráfico fluye a través del cortafuegos.
 Los cortafuegos hacen cumplir la política de control de acceso.
Hay varios beneficios de usar un firewall en una red:
 Evitan la exposición de hosts, recursos y aplicaciones confidenciales a usuarios que no
son de confianza.
 Desinfectan el flujo de protocolo, lo que evita la explotación de fallas de protocolo.
 Bloquean datos maliciosos de servidores y clientes.
 Reducen la complejidad de la administración de la seguridad al descargar la mayor
parte del control de acceso a la red a unos pocos firewalls en la red.
Los cortafuegos también presentan algunas limitaciones:
 Un firewall mal configurado puede tener graves consecuencias para la red, como
convertirse en un único punto de falla.
 Los datos de muchas aplicaciones no se pueden pasar a través de los cortafuegos de
forma segura.
2

 Los usuarios pueden buscar de manera proactiva formas de evitar el firewall para
recibir material bloqueado, lo que expone la red a posibles ataques.
 El rendimiento de la red puede ralentizarse.
 El tráfico no autorizado puede canalizarse u ocultarse como tráfico legítimo a través
del cortafuegos.

Descripciones de tipos de cortafuegos

Cortafuegos de filtrado de paquetes (sin estado) :por lo general, un enrutador con la
capacidad de filtrar algunos contenidos de paquetes, como información de Capa 3 y, a veces, de
Capa 4 de acuerdo con un conjunto de reglas configuradas:

Bloque IV. Redes

Firewall de estado: un firewall de inspección de estado permite o bloquea el tráfico según el
estado, el puerto y el protocolo. Supervisa toda la actividad desde que se abre una conexión
hasta que se cierra. Las decisiones de filtrado se toman según las reglas definidas por el
administrador y el contexto, que se refiere al uso de información de conexiones anteriores y
paquetes que pertenecen a la misma conexión.

Cortafuegos de puerta de enlace de aplicaciones (cortafuegos de proxy): filtra la

información en las capas 3, 4, 5 y 7 del modelo de referencia OSI. La mayor parte del control
y filtrado del cortafuegos se realiza mediante software. Cuando un cliente necesita acceder a un
servidor remoto, se conecta a un servidor proxy. El servidor proxy se conecta al servidor remoto
en nombre del cliente. Por lo tanto, el servidor solo ve una conexión desde el servidor proxy.

Bloque IV. Redes

Otros métodos para implementar cortafuegos incluyen:
Cortafuegos basado en host (servidor y personal): una PC o servidor con software de
cortafuegos ejecutándose en él.
Cortafuegos transparente: filtra el tráfico IP entre un par de interfaces puenteadas.
Cortafuegos híbrido: una combinación de varios tipos de cortafuegos, por ejemplo, un firewall
de inspección de aplicaciones combina un firewall con estado con un firewall de puerta de
enlace de aplicaciones.
Los cortafuegos de próxima generación van más allá de los cortafuegos con estado al
proporcionar
 Capacidades de firewall estándar como inspección de estado
 Prevención de intrusiones integrada
 Conocimiento y control de aplicaciones para ver y bloquear aplicaciones de riesgo
 Actualice las rutas para incluir fuentes de información futuras
 Técnicas para hacer frente a las amenazas de seguridad en evolución

Servicios de seguridad

Control de tráfico con ACL

Una lista de control de acceso (ACL) es una serie de comandos que controlan si un
dispositivo reenvía o descarta paquetes según la información que se encuentra en el
encabezado del paquete. Cuando se configuran, las ACL realizan las siguientes tareas:
2

 Limitan el tráfico de red para aumentar el rendimiento de la red, por ejemplo, si la

política corporativa no permite el tráfico de video en la red, se pueden configurar y
aplicar ACL que bloquean el tráfico de video. Esto reduciría en gran medida la carga de
la red y aumentaría el rendimiento de la red.

 Proporcionan control de flujo de tráfico. Las ACL pueden restringir la entrega de

actualizaciones de enrutamiento para garantizar que las actualizaciones provengan de
una fuente conocida.

Bloque IV. Redes

  Proporcionan un nivel básico de seguridad para el acceso a la red. Las ACL pueden
permitir que un host acceda a una parte de la red y evitar que otro host acceda a la
misma área; por ejemplo, el acceso a la red de Recursos Humanos puede estar
restringido a usuarios autorizados.
 Filtran el tráfico según el tipo de tráfico; por ejemplo, una ACL puede permitir el
tráfico de correo electrónico, pero bloquear todo el tráfico de Telnet.
 Examinan los hosts para permitir o denegar el acceso a los servicios de red. Las
ACL pueden permitir o denegar a un usuario el acceso a tipos de archivos, como FTP o
HTTP.
Además de permitir o denegar el tráfico, las ACL se pueden utilizar para seleccionar tipos de
tráfico que se analizarán, reenviarán o procesarán de otras formas; por ejemplo, las ACL se
pueden usar para clasificar el tráfico para habilitar el procesamiento prioritario. Esta capacidad
es similar a tener un pase VIP en un concierto o evento deportivo.

ACL Para La Configuración De IPv4

(sacado del cap. 5 de Enterprise Networking, Security, and Automation Companion Guide
(CCNAv7))

Configurar ACL de IPv4 estándar

Todas las ACL deben planificarse, pero la planificación es especialmente importante para las
ACL que requieren varias entradas de control de acceso (ACE).
Al configurar una ACL compleja, se sugiere que
 Utilice un editor de texto para escribir los detalles de la política que se implementará.
 Agregue los comandos de configuración de IOS para realizar esas tareas.
 Incluya comentarios para documentar la ACL.
 Copie y pegue los comandos en el dispositivo.
 Pruebe minuciosamente cada ACL para asegurarse de que aplica correctamente la
política deseada.
Parámetro Descripción
número de lista de acceso  Este es el número decimal de la ACL.

 El rango de números de ACL estándar es de 1 a 99

o de 1300 a 1999.
deny Esto deniega el acceso si se cumple la condición.
permit Esto permite el acceso si se cumple la condición
remark text  (Opcional) Esto agrega una entrada de texto con
fines de documentación.

 Cada comentario está limitado a 100 caracteres.

2

source  Esto identifica la red de origen o la dirección del

host para filtrar.

 Utilice la palabra clave any para especificar todas

las redes.

 Utilice la palabra clave de la dirección IP del host

o simplemente ingrese una dirección IP (sin la
palabra clave del host) para identificar una
dirección IP específica.

Bloque IV. Redes

source-wildcard (Opcional) Esta es una máscara comodín de 32 bits que se
aplica a la fuente. Si se omite este parámetro, se asume
una máscara predeterminada 0.0.0.0.
log  (Opcional) Esta palabra clave genera y envía un
mensaje informativo cada vez que coincide con el
ACE.

 El mensaje incluye el número de ACL, la condición

coincidente (es decir, permitida o denegada), la
dirección de origen y la cantidad de paquetes.

 Este mensaje se genera para el primer paquete

coincidente.

 Esta palabra clave debe implementarse solo por

razones de seguridad o solución de problemas.

Bloque IV. Redes

 2

Bloque IV. Redes

ACL extendidas
Las ACL extendidas se usan con más frecuencia que las ACL estándar porque brindan un mayor
grado de control. Pueden filtrar por dirección de origen, dirección de destino, protocolo (es
decir, IP, TCP, UDP, ICMP) y número de puerto. Esto proporciona una mayor variedad de
criterios en los que basar la ACL, por ejemplo, una ACL extendida puede permitir el tráfico de
correo electrónico desde una red a un destino específico y negar la transferencia de archivos y la
navegación web.
Al igual que las ACL estándar, las ACL extendidas se pueden crear numeradas o con nombre:
ACL extendida numerada: creada con el comando de configuración global access-list
access-list-number.
ACL extendida con nombre: creada con el nombre de la lista de acceso extendida de la lista de
acceso IP.
Los pasos del procedimiento para configurar ACL extendidas son los mismos que para las ACL
estándar. Primero se configura la ACL extendida y luego se activa en una interfaz. Sin embargo,
la sintaxis y los parámetros del comando son más complejos para admitir las funciones
adicionales proporcionadas por las ACL extendidas.
Parámetro descripción
access-list-number  Este es el número decimal de la ACL.

 El rango extendido de números de ACL es de 100 a 199 y

2

de 2000 a 2699.
deny Esto deniega el acceso si se cumple la condición.
permit Esto permite el acceso si se cumple la condición.
remark text  (Opcional) Esto agrega una entrada de texto con fines de
documentación.

 Cada comentario está limitado a 100 caracteres.

protocol  Este es el nombre o número de un protocolo de Internet.

 Las palabras clave comunes incluyen ip , tcp , udp e icmp .

Bloque IV. Redes

  La palabra clave ip coincide con todos los protocolos IP.
source  Esto identifica la red de origen o la dirección del host
para filtrar.

 Utilice la palabra clave any para especificar todas las

redes.

 Utilice la palabra clave de la dirección IP del host o

simplemente ingrese una dirección IP (sin la palabra clave
del host ) para identificar una dirección IP específica.
source-wildcard (Opcional) Esta es una máscara comodín de 32 bits que se aplica
a la fuente.
destination  Esto identifica la red de destino o la dirección del host
para filtrar.

 Utilice la palabra clave any para especificar todas las

redes.

 Utilice la palabra clave de la dirección IP del host o la

dirección IP .
destination-wildcard (Opcional) Esta es una máscara comodín de 32 bits que se aplica
al destino.
operator  (Opcional) Esto compara los puertos de origen o destino.

 Los posibles operandos incluyen lt (menor que), gt

(mayor que), eq (igual), neq (diferente) y range (rango
inclusivo).
port (Opcional) Este es el número decimal o el nombre de un puerto
TCP o UDP.
established  (Opcional) Esto es solo para TCP.

 Es una función de firewall de primera generación.

log  (Opcional) Esta palabra clave genera y envía un mensaje
informativo cada vez que coincide con el ACE.

 Este mensaje incluye el número de ACL, la condición

coincidente (es decir, permitida o denegada), la dirección
de origen y la cantidad de paquetes.

 Este mensaje se genera para el primer paquete

2

coincidente.

 Esta palabra clave debe implementarse solo por razones

de seguridad o solución de problemas.

Bloque IV. Redes

En el Ejemplo siguiente, la ACL permite que el tráfico HTTP y HTTPS de la red 192.168.10.0
vaya a cualquier destino. Las ACL extendidas se pueden aplicar en varias ubicaciones; sin
embargo, comúnmente se aplican cerca de la fuente.

El parámetro established permite que solo las respuestas al tráfico que se origina en la red
192.168.10.0/24 regresen a esa red. Específicamente, se produce una coincidencia si el
segmento TCP que regresa tiene los bits de marca ACK o reset (RST) establecidos Esto indica
que el paquete pertenece a una conexión existente. Sin el parámetro established en la
2

declaración de ACL, los clientes podrían enviar tráfico a un servidor web pero no recibirían
tráfico de regreso del servidor web.

SNMP
(sacado de CCNA Cybersecurity Operati ons Companion Guide, First Editi on)

Bloque IV. Redes

El Protocolo simple de administración de redes (SNMP) permite a los administradores
administrar dispositivos finales, como servidores, estaciones de trabajo, enrutadores,
conmutadores y dispositivos de seguridad, en una red IP. Permite a los administradores de red
monitorear y administrar el rendimiento de la red, encontrar y resolver problemas de red y
planificar el crecimiento de la red.
SNMP es un protocolo de capa de aplicación que proporciona un formato de mensaje para
la comunicación entre administradores y agentes. El sistema SNMP consta de tres
elementos, como se muestra en la Figura siguiente:
 Administrador de SNMP: ejecuta el software de administración de SNMP
 Agentes SNMP: los nodos que se supervisan y gestionan
 Base de información de administración (MIB): una base de datos en el agente que
almacena datos y estadísticas operativas sobre el dispositivo.

Servidores Syslog
Cuando ocurren ciertos eventos en una red, los dispositivos de red tienen mecanismos
confiables para notificar al administrador con mensajes detallados del sistema. Estos mensajes
pueden ser no críticos o significativos. Los administradores de red tienen una variedad de
opciones para almacenar, interpretar y mostrar estos mensajes, y para recibir alertas sobre
aquellos mensajes que podrían tener el mayor impacto en la infraestructura de la red.
El método más común para acceder a los mensajes del sistema es usar un protocolo
llamado syslog.
2

Muchos dispositivos de red admiten syslog , incluidos enrutadores, conmutadores, servidores de

aplicaciones, cortafuegos y otros dispositivos de red. El protocolo syslog permite que los
dispositivos de red envíen sus mensajes del sistema a través de la red a los servidores syslog,
como se muestra en la Figura siguiente:

Bloque IV. Redes

El servicio de registro de syslog proporciona tres funciones principales:
 La capacidad de recopilar información de registro para monitorear y solucionar
problemas
 La capacidad de seleccionar el tipo de información de registro que se captura
 La capacidad de especificar el destino de los mensajes syslog capturados.

NTP
Es importante sincronizar la hora en todos los dispositivos de la red porque todos los aspectos
de la gestión, la protección, la resolución de problemas y la planificación de las redes requieren
una marca de tiempo precisa y coherente. Cuando la hora no está sincronizada entre
dispositivos, será imposible determinar el orden de los eventos que han ocurrido en diferentes
partes de la red.
Por lo general, la configuración de fecha y hora en un dispositivo de red se puede establecer
mediante uno de dos métodos:
 Configuración manual de la fecha y la hora
 Configuración del protocolo de tiempo de red (NTP)
A medida que crece una red, se vuelve difícil garantizar que todos los dispositivos de la
infraestructura funcionen con tiempo sincronizado. Incluso en un entorno de red más pequeño,
el método manual no es ideal. Si un dispositivo se reinicia, ¿cómo obtendrá una fecha y una
marca de tiempo precisas?
Una mejor solución es configurar NTP en la red. Este protocolo permite que los enrutadores de
la red sincronicen su configuración de hora con un servidor NTP. Un grupo de clientes NTP que
obtienen información de hora y fecha de una sola fuente tienen configuraciones de hora más
consistentes. Cuando se implementa NTP en la red, se puede configurar para sincronizar con un
reloj maestro privado o se puede sincronizar con un servidor NTP disponible públicamente en
Internet.
2

Las redes NTP utilizan un sistema jerárquico de fuentes de tiempo. Cada nivel en este
sistema jerárquico se denomina estrato. El nivel del estrato se define como el número de
conteos de saltos desde la fuente autorizada. El tiempo sincronizado se distribuye a través
de la red usando NTP. La Figura siguiente muestra una red NTP de muestra:

Bloque IV. Redes

  Estrato 0: una red NTP obtiene la hora de fuentes horarias autorizadas. Estas fuentes
autorizadas de tiempo, también denominadas dispositivos de estrato 0, son dispositivos
de cronometraje de alta precisión que se supone que son precisos y que tienen poco o
ningún retraso asociado.
 Estrato 1: Los dispositivos del estrato 1 están conectados directamente a las fuentes de
tiempo autorizadas. Actúan como el estándar de tiempo de la red principal.
 Estrato 2 e inferior: los servidores del estrato 2 están conectados a los dispositivos del
estrato 1 a través de conexiones de red. Dispositivos Stratum 2, como clientes NTP,
sincronizar su tiempo utilizando los paquetes NTP de los servidores de estrato 1.
También podrían actuar como servidores para dispositivos de estrato 3.
Los números de estrato más pequeños indican que el servidor está más cerca de la fuente horaria
autorizada que los números de estrato más grandes. Cuanto mayor sea el número de estrato,
menor será el nivel del estrato.

Servidores AAA
AAA es un marco arquitectónico para configurar un conjunto de tres funciones de seguridad
independientes:

Autenticación: Los usuarios y administradores deben demostrar que son quienes dicen
ser. La autenticación se puede establecer mediante combinaciones de nombre de usuario y
contraseña, preguntas de desafío y respuesta, tarjetas de token y otros métodos; por ejemplo:
2

“Soy usuario 'estudiante' y conozco la contraseña para comprobarlo”. La autenticación AAA

proporciona una forma centralizada de controlar el acceso a la red.
Autorización: después de autenticar al usuario, los servicios de autorización determinan a qué
recursos puede acceder el usuario y qué operaciones puede realizar. Un ejemplo es "El usuario
'estudiante' puede acceder al servidor host XYZ usando solo SSH".
Contabilidad y auditoría: la contabilidad registra lo que hace el usuario, incluido lo que se
accede, la cantidad de tiempo que se accede al recurso y cualquier cambio que se haya
realizado. La contabilidad realiza un seguimiento de cómo se utilizan los recursos de la red. Un

Bloque IV. Redes

ejemplo es "El usuario 'estudiante' accedió al servidor host XYZ mediante SSH durante 15
minutos".
Terminal Access Controller Access-Control System Plus (TACACS+) y Remote
Authentication Dial-In User Service (RADIUS) son protocolos de autenticación que se
utilizan para comunicarse con servidores AAA. La selección de TACACS+ o RADIUS
depende de las necesidades de la organización.
Si bien ambos protocolos se pueden usar para comunicarse entre un enrutador y
servidores AAA, TACACS+ se considera el protocolo más seguro. Esto se debe a que todos
los intercambios del protocolo TACACS+ están encriptados, mientras que RADIUS solo
encripta la contraseña del usuario. RADIUS no cifra los nombres de usuario, la información
contable ni ninguna otra información contenida en el mensaje RADIUS.

VPN
Una red privada virtual (VPN) es una red privada que se crea a través de una red pública,
generalmente Internet, como se muestra en la Figura siguiente:

En lugar de utilizar una conexión física dedicada, una VPN utiliza conexiones virtuales
enrutadas a través de Internet desde la organización hasta el sitio remoto.
Una VPN es virtual porque transporta información dentro de una red privada, pero esa
información en realidad se transporta a través de una red pública. Una VPN es privada porque el
tráfico está encriptado para mantener la confidencialidad de los datos mientras se transporta a
través de la red pública.
2

Una VPN es un entorno de comunicaciones en el que el acceso está estrictamente controlado

para permitir conexiones entre pares dentro de una comunidad de interés definida. La
confidencialidad se logra cifrando el tráfico dentro de la VPN. Hoy en día, una implementación
segura de VPN con cifrado es lo que generalmente se equipara con el concepto de red privada
virtual.
En el sentido más simple, una VPN conecta dos puntos finales, como una oficina remota a una
oficina central, a través de una red pública, para formar una conexión lógica. Las conexiones
lógicas se pueden realizar en la capa 2 o en la capa 3. Los ejemplos comunes de VPN de capa
3 son GRE, conmutación de etiquetas multiprotocolo (MPLS) e IPsec. Las VPN de capa 3

Bloque IV. Redes

pueden ser conexiones de sitio punto a punto, como GRE e IPsec, o pueden establecer
conectividad entre todos a muchos sitios mediante MPLS.
IPsec es un conjunto de protocolos desarrollado con el respaldo de IETF para lograr servicios
seguros sobre redes de conmutación de paquetes IP.
Los servicios de IPsec permiten la autenticación, la integridad, el control de acceso y la
confidencialidad. Con IPsec, la información intercambiada entre sitios remotos se puede cifrar y
verificar. Tanto las VPN de acceso remoto como de sitio a sitio se pueden implementar
mediante IPsec.

Principios de la seguridad de la red

(sacado de cap. 6 de Cybersecurity Operati ons Companion Guide)

Amenaza, vulnerabilidad y riesgo

Estamos bajo ataque y los atacantes quieren acceder a nuestros activos. Los activos son
cualquier cosa de valor para una organización, como datos y otra propiedad intelectual,
servidores, computadoras, teléfonos inteligentes, tablets y más.

Para comprender mejor cualquier discusión sobre la seguridad de la red, es importante conocer
los siguientes términos:
Amenaza: un peligro potencial para un activo, como los datos o la propia red.
Vulnerabilidad: Una debilidad en un sistema o su diseño que podría ser explotada por una
amenaza.
Superficie de ataque: La suma total de las vulnerabilidades en un sistema dado que es
accesible para un atacante. La superficie de ataque describe diferentes puntos en los que un
atacante podría acceder a un sistema y en los que podría obtener datos del sistema; por ejemplo,
su sistema operativo y su navegador web podrían necesitar parches de seguridad. Cada uno de
ellos es vulnerable a los ataques. Juntos, crean una superficie de ataque que el actor de
amenazas puede explotar.
Explotación: el mecanismo que se utiliza para aprovechar una vulnerabilidad para
comprometer un activo. Los exploits pueden ser remotos o locales. Un exploit remoto es aquel
que funciona a través de la red sin ningún acceso previo al sistema de destino. El atacante no
necesita una cuenta en el sistema final para aprovechar la vulnerabilidad. En un exploit local, el
actor de la amenaza tiene algún tipo de usuario o acceso administrativo al sistema final. Un
2

exploit local no significa necesariamente que el atacante tenga acceso físico al sistema final.
Riesgo: La probabilidad de que una amenaza particular explote una vulnerabilidad
particular de un activo y resulte en una consecuencia indeseable.
La gestión de riesgos es el proceso que equilibra los costos operativos de proporcionar
medidas de protección con las ganancias obtenidas al proteger el activo. Hay cuatro formas
comunes de gestionar el riesgo:
Aceptación del riesgo: esto es cuando el costo de las opciones de gestión del riesgo supera el
costo del riesgo en sí. El riesgo se acepta sin acción.

Bloque IV. Redes

Evitación del riesgo: Es una acción que evita cualquier exposición al riesgo. Esta suele ser la
opción de mitigación de riesgos más costosa.
Limitación de riesgo: esto limita la exposición al riesgo de una empresa al tomar alguna
acción. Es una estrategia que emplea un poco de aceptación del riesgo junto con un poco de
evitación del riesgo. Es la estrategia de mitigación de riesgos más utilizada.
Transferencia de riesgo: el riesgo se transfiere a un tercero dispuesto, como una compañía de
seguros.
Otros términos de seguridad de red de uso común incluyen
Contramedida: La solución de protección que mitiga una amenaza o riesgo.
Impacto: El daño resultante a la organización causado por la amenaza.

Evolución de las herramientas de seguridad

La siguiente lista destaca las categorías de herramientas comunes de prueba de penetración de
red. Observe cómo los sombreros blancos y los sombreros negros usan algunas herramientas.
Tenga en cuenta que la lista no es exhaustiva ya que continuamente se desarrollan nuevas
herramientas.

Crackers de contraseñas: las contraseñas son la amenaza de seguridad más vulnerable. Las
herramientas para descifrar contraseñas a menudo se denominan herramientas de recuperación
de contraseñas y se pueden usar para descifrar o recuperar la contraseña. Esto se logra mediante
la eliminación de la contraseña original, después de pasar por alto el cifrado de datos, o
mediante el descubrimiento total de la contraseña. Los descifradores de contraseñas adivinan
repetidamente para descifrar la contraseña y acceder al sistema. Entre los ejemplos de
herramientas para descifrar contraseñas se incluyen John the Ripper, Ophcrack, L0phtCrack,
THC Hydra, RainbowCrack y Medusa.
Herramientas de piratería inalámbrica: las redes inalámbricas son más susceptibles a las
amenazas de seguridad de la red. Las herramientas de piratería inalámbrica se utilizan para
piratear intencionalmente una red inalámbrica para detectar vulnerabilidades de seguridad. Los
ejemplos de herramientas de piratería inalámbrica incluyen Aircrack-ng, Kismet, InSSIDer,
KisMAC, Firesheep y NetStumbler.
Herramientas de piratería y escaneo de red: las herramientas de escaneo de red se utilizan
para sondear dispositivos de red, servidores y hosts en busca de puertos TCP o UDP abiertos.
Los ejemplos de herramientas de escaneo incluyen Nmap, SuperScan, Angry IP Scanner y
NetScanTools.
Herramientas de creación de paquetes: estas herramientas se utilizan para sondear y probar la
robustez de un firewall mediante paquetes falsificados especialmente diseñados. Ejemplos de
tales herramientas incluyen Hping, Scapy, Socat, Yersinia, Netcat, Hping, Nping y Nemesis.
2

Rastreadores de paquetes: estas herramientas se utilizan para capturar y analizar paquetes

dentro de LAN o WLAN Ethernet tradicionales. Las herramientas incluyen Wireshark,
Tcpdump, Ettercap, Dsniff, EtherApe, Paros, Fiddler, Ratproxy y SSLstrip.
Detectores de rootkits: estas herramientas son verificadores de integridad de directorios y
archivos que utilizan los sombreros blancos para detectar kits de raíz instalados. Las
herramientas de ejemplo incluyen AIDE, Netfilter y PF OpenBSD Packet Filter.
Fuzzers para buscar vulnerabilidades: Los fuzzers son herramientas utilizadas por los piratas
informáticos cuando intentan descubrir las vulnerabilidades de seguridad de un sistema
informático. Ejemplos de fuzzers incluyen Skipfish, Wapiti y W3af.

Bloque IV. Redes

Herramientas forenses: estas herramientas son utilizadas por hackers de sombrero blanco para
detectar cualquier rastro de evidencia existente en un sistema informático en particular.
Ejemplos de herramientas incluyen Sleuth Kit, Helix, Maltego y EnCase.
Depuradores: los black hats utilizan estas herramientas para aplicar ingeniería inversa a los
archivos binarios al escribir exploits. También son utilizados por sombreros blancos cuando
analizan malware. Las herramientas de depuración incluyen GDB, WinDbg, IDA Pro e
Immunity Debugger.
Sistemas operativos de hacking: Son sistemas operativos especialmente diseñados y
precargados con herramientas y tecnologías optimizadas para hacking. Los ejemplos de
sistemas operativos de piratería especialmente diseñados incluyen Kali Linux, SELinux, y
BackBox Linux.

Herramientas de cifrado: estas herramientas protegen el contenido de los datos en reposo y en

movimiento de una organización. Las herramientas de cifrado utilizan esquemas de algoritmos
para codificar los datos para evitar el acceso no autorizado a los datos cifrados. Ejemplos de
estas herramientas incluyen TrueCrypt, OpenSHH, OpenSSL, Tor, OpenVPN y Stunnel.
Herramientas de explotación de vulnerabilidades: estas herramientas identifican si un host
remoto es vulnerable a un ataque de seguridad. Los ejemplos de herramientas de explotación de
vulnerabilidades incluyen Metasploit, Core Impact, Sqlmap, Social Engineer Toolkit y
Netsparker.
Escáneres de vulnerabilidad: estas herramientas escanean una red o sistema para identificar
puertos abiertos. También se pueden usar para escanear vulnerabilidades conocidas y escanear
máquinas virtuales (VM), dispositivos BYOD y bases de datos de clientes. Los ejemplos de
herramientas incluyen Nipper, Secunia PSI, Core Impact, Nessus v6, SAINT y Open VAS.

Categorías de Ataques (
Los actores de amenazas pueden usar las herramientas mencionadas anteriormente o una
combinación de herramientas para crear varios ataques. La siguiente lista de ataques no es
exhaustiva, ya que continuamente se descubren nuevas formas de atacar las redes.
Ataque de escucha: Esto es cuando un hacker captura y “escucha” el tráfico de la red. Este
ataque se conoce como sniffing o snooping.
Ataque de modificación de datos: si los piratas informáticos capturaron el tráfico empresarial,
pueden alterar los datos en el paquete sin el conocimiento del remitente o el receptor.
Ataque de suplantación de dirección IP: un hacker construye un paquete IP que parece
originarse en una dirección válida dentro de la intranet corporativa.
Ataques basados en contraseña: si los piratas informáticos descubren una cuenta de usuario
válida, los atacantes tienen los mismos derechos que el usuario real. Los piratas informáticos
podrían obtener listas de usuarios válidos y nombres de equipos e información de red. También
2

podrían modificar las configuraciones del servidor y la red, y modificar, redirigir o eliminar
datos.
Ataque de denegación de servicio (DoS): un ataque DoS impide el uso normal de una
computadora o red por parte de usuarios válidos. Después de obtener acceso a su red, un ataque
DoS puede bloquear aplicaciones o servicios de red, inundar una computadora o inundar toda la
red con tráfico hasta que se produce un apagado debido a la sobrecarga. Un ataque DoS también
puede bloquear el tráfico, lo que resulta en una pérdida de acceso a los recursos de la red por
parte de los usuarios autorizados.

Bloque IV. Redes

Ataque Man-in-the-middle: Este ataque ocurre cuando los piratas informáticos se han
posicionado entre un origen y un destino. Ahora pueden monitorear, capturar y controlar
activamente la comunicación de manera transparente.
Ataque de clave comprometida: si un hacker obtiene una clave secreta, esa clave se denomina
clave comprometida. Se puede usar una clave comprometida para obtener acceso a una
comunicación segura sin que el remitente o el receptor se den cuenta del ataque.

Ataque de rastreador: un rastreador es una aplicación o dispositivo que puede leer,

monitorear y capturar intercambios de datos de red y leer paquetes de red. Si los paquetes
no están encriptados, un sniffer proporciona una vista completa de los datos dentro del paquete.
Incluso los paquetes encapsulados (tunelizados) se pueden abrir y leer a menos que estén
cifrados y el atacante no tenga acceso a la clave.
Es importante entender que los actores de amenazas usan una variedad de herramientas de
seguridad para llevar a cabo estos ataques.

Tipos de ataques de red

El malware es un medio para obtener una carga útil entregada. Cuando se entrega e instala,
la carga útil se puede utilizar para provocar una variedad de ataques relacionados con la red
desde el interior. Los actores de amenazas también pueden atacar la red desde el exterior.
¿Por qué los actores de amenazas atacan las redes? Hay muchos motivos, incluido el dinero, la
codicia, la venganza o las creencias políticas, religiosas o sociológicas.
Para mitigar los ataques, es útil clasificar primero los distintos tipos de ataques. Al categorizar
los ataques de red, es posible abordar tipos de ataques en lugar de ataques individuales.
Aunque no existe una forma estandarizada de categorizar los ataques a la red, el método
utilizado aquí clasifica los ataques en tres categorías principales.
 Ataques de reconocimiento
 Ataques de acceso
 Ataques DoS
Ataques de reconocimiento
El reconocimiento se conoce como recopilación de información. Es análogo a un ladrón que
inspecciona un vecindario yendo de puerta en puerta fingiendo vender algo. Lo que el ladrón
en realidad está haciendo es buscar hogares vulnerables para entrar, como residencias
desocupadas, residencias con puertas o ventanas fáciles de abrir y aquellas residencias sin
sistemas de seguridad o cámaras de seguridad.
Los actores de amenazas usan ataques de reconocimiento para realizar descubrimientos y
mapeos no autorizados de sistemas, servicios o vulnerabilidades. Cuando se dirige a un punto
2

final en la red, como PC y servidores, un ataque de reconocimiento también se denomina

perfilado de host. Esto se debe a que el atacante puede obtener un perfil del sistema, incluidos
el tipo y la versión del sistema operativo. Si un sistema no está completamente parcheado, el
atacante buscará vulnerabilidades conocidas para explotar.
Los ataques de reconocimiento preceden a los ataques de acceso intrusivo o ataques DoS y, a
menudo, emplean el uso de herramientas ampliamente disponibles.
Ejemplos de ataques de reconocimiento
Estas son algunas de las técnicas utilizadas por los actores de amenazas maliciosos que realizan
ataques de reconocimiento:

Bloque IV. Redes

Realizar una consulta de información de un objetivo: el actor de amenazas está buscando
información inicial sobre un objetivo. Se utilizan herramientas fácilmente disponibles, incluida
una búsqueda en Google del sitio web de la organización. La información pública sobre la red
de destino está disponible en los registros DNS utilizando las utilidades dig, nslookup y
whois .
Iniciar un barrido de ping de las redes de destino: el actor de amenazas inicia un barrido de
ping de las redes de destino reveladas por las consultas de DNS anteriores para identificar las
direcciones de red de destino. El barrido de ping identifica qué direcciones IP están activas. Esto
permite la creación de una topología lógica de la red de destino.
Iniciar un escaneo de puertos de direcciones IP activas: el actor de amenazas luego inicia
escaneos de puertos en los hosts activos identificados por el barrido de ping para determinar qué
puertos o servicios están disponibles. Las herramientas de exploración de puertos como Nmap,
SuperScan, Angry IP Scanner y NetScanTools inician conexiones a los hosts de
destino mediante la exploración de puertos que están abiertos en las computadoras de destino.
Ejecutar escáneres de vulnerabilidades: el actor de amenazas utiliza una herramienta de
escaneo de vulnerabilidades como Nipper, Secuna PSI, Core Impact, Nessus v6,
SAINT u Open VAS para consultar los puertos identificados. El objetivo es identificar posibles
vulnerabilidades en los hosts de destino.
Ejecutar herramientas de explotación: el actor de amenazas ahora intenta explotar las
vulnerabilidades identificadas en el sistema. El actor de amenazas utiliza herramientas de
explotación de vulnerabilidades como Metasploit, Core Impact, Sqlmap, Social
Engineer Toolkit y Netsparker.

Ataques de acceso
Los ataques de acceso aprovechan las vulnerabilidades conocidas en los servicios de
autenticación, los servicios FTP y los servicios web para acceder a cuentas web, bases de datos
confidenciales y otra información confidencial. El objetivo del actor de amenazas puede ser
robar información o controlar de forma remota el host interno.
Hay al menos tres razones por las que los actores de amenazas usarían ataques de acceso en
redes o sistemas:
 Para recuperar datos
 Para acceder a los sistemas
 Para escalar los privilegios de acceso
Tipos de ataques de acceso
Hay varios tipos comunes de ataques de acceso:
Ataque de contraseña: los actores de amenazas intentan descubrir contraseñas críticas del
sistema utilizando varios métodos, como ataques de phishing, ataques de diccionario, ataques de
fuerza bruta, rastreo de redes o técnicas de ingeniería social. Los ataques de contraseña de
2

fuerza bruta implican intentos repetidos de usar herramientas como Ophcrack, L0phtCrack,
THC Hydra, RainbowCrack y Medusa.

Pass-the-hash: el actor de amenazas ya tiene acceso a la máquina del usuario y usa malware
para obtener acceso a los hash de contraseña almacenados. Luego, el actor de amenazas usa los
hashes para autenticarse en otros servidores o dispositivos remotos sin usar la fuerza bruta
Explotación de confianza: los actores de amenazas utilizan un host confiable para obtener
acceso a los recursos de la red; por ejemplo, se confía en un host externo que accede a una red

Bloque IV. Redes

interna a través de VPN. Si ese host es atacado, el atacante puede usar el host de confianza para
obtener acceso a la red interna.
Redirección de puertos: Esto es cuando un actor de amenazas usa un sistema comprometido
como base para ataques contra otros objetivos.
Ataque man-in-the-middle: el actor de amenazas se coloca entre dos entidades legítimas para
leer, modificar o redirigir los datos que pasan entre las dos partes.
Suplantación de IP, MAC, DHCP: los ataques de suplantación de identidad son ataques en los
que un dispositivo intenta hacerse pasar por otro falsificando los datos de la dirección. Hay
varios tipos de ataques de suplantación de identidad; por ejemplo, la suplantación de direcciones
MAC ocurre cuando una computadora acepta paquetes de datos basados en la dirección MAC
de otra computadora que es el destino real de los datos.

Figura 31: Ataque man in the middle

Paso 1. Cuando una víctima solicita una página web, la solicitud se dirige a la computadora
del atacante.
Paso 2. La computadora del atacante recibe la solicitud y recupera la página real del sitio web
legítimo.
Paso 3. Ese atacante puede alterar la página web legítima y aplicar transformaciones a los
datos.
2

Paso 4. El atacante reenvía la página solicitada a la víctima.

Ataques de ingeniería social (6.2.2.6)

La ingeniería social es un tipo de ataque de acceso que intenta manipular a las personas
para que realicen acciones o divulguen información confidencial, como contraseñas y
nombres de usuario; por lo general, implica el uso de habilidades sociales para manipular a los
usuarios internos de la red para divulgar la información necesaria para acceder a la red.
Los ingenieros sociales a menudo confían en la disposición de las personas para ayudar.
También se aprovechan de las debilidades de las personas; por ejemplo, un actor de amenazas
podría llamar a un empleado autorizado con un problema urgente que requiere acceso inmediato

Bloque IV. Redes

a la red. El actor de la amenaza podría apelar a la vanidad del empleado, invocar la autoridad
utilizando técnicas de nombre o apelar a la codicia del empleado.
Ejemplos de ataques de ingeniería social incluyen
Pretexting: cuando un actor de amenazas llama a un individuo y le miente en un intento de
obtener acceso a datos privilegiados. Un ejemplo involucra a un actor de amenazas que finge
necesitar datos personales o financieros para confirmar la identidad del destinatario.
Spam: los actores de amenazas pueden usar el correo electrónico no deseado para engañar a un
usuario para que haga clic en un enlace infectado o descargue un archivo infectado.
Phishing: existen muchas variaciones de esta técnica de ingeniería social. Una versión común
es que el actor de amenazas envía correos electrónicos no deseados atractivos y personalizados
a las personas con la esperanza de que los usuarios objetivo hagan clic en un enlace o
descarguen un código malicioso.
Algo por algo (quid pro quo): Esto es cuando un actor de amenazas solicita información
personal de una parte a cambio de algo como un obsequio.
Tailgating: cuando un actor de amenazas sigue rápidamente a una persona autorizada con una
insignia corporativa a una ubicación segura con insignia. El actor de amenazas entonces tiene
acceso a un área segura.
Cebo: cuando un actor de amenazas deja un dispositivo físico infectado con malware, como una
unidad flash USB, en un lugar público, como un baño corporativo. El buscador encuentra el
dispositivo y lo inserta en su computadora. En un host de Windows, la función de reproducción
automática puede instalar automáticamente el malware.
Hackeo visual: aquí es donde un actor de amenazas observa físicamente a la víctima ingresando
credenciales como un inicio de sesión de estación de trabajo, un PIN de cajero automático o la
combinación en un candado físico. Esta práctica también se conoce como “shoulder surfing”.

Ataques de ingeniería social de phishing

El phishing es una técnica común de ingeniería social que utilizan los atacantes para
enviar correos electrónicos que parecen ser de una organización legítima (como un banco).
El objetivo es lograr que la víctima envíe información personal o confidencial, como nombres
de usuario, contraseñas, información de cuenta, información financiera y más. El correo
electrónico también podría intentar engañar al destinatario para que instale malware en su
dispositivo.
Las variaciones de los ataques de phishing incluyen
Spear phishing: este es un ataque de phishing dirigido a una persona u organización específica
y es más probable que engañe con éxito al objetivo.
Caza de ballenas: es similar al phishing selectivo, pero se centra en grandes objetivos, como
los altos ejecutivos de una organización.
2

Pharming: este ataque compromete los servicios de nombres de dominio al inyectar entradas en
los archivos del host local. Pharming también incluye envenenar el DNS al comprometer los
servidores DHCP que especifican los servidores DNS a sus clientes.
Abrevadero: este ataque primero determina los sitios web que un grupo objetivo visita
regularmente. Luego, el actor de amenazas intenta comprometer esos sitios web infectándolos
con malware que puede identificar y apuntar solo a los miembros del grupo objetivo.
Vishing: este es un ataque de phishing que utiliza la voz y el sistema telefónico en lugar del
correo electrónico.

Bloque IV. Redes

Smishing: este es un ataque de phishing que utiliza mensajes de texto SMS en lugar de correo
electrónico.
El kit de herramientas de ingeniería social (SET) fue diseñado por TrustedSec para ayudar a
los hackers de sombrero blanco y otros profesionales de seguridad de redes a crear ataques de
ingeniería social para probar sus propias redes.

Ataques de denegación de servicio

Los ataques de denegación de servicio (DoS) son ataques de red muy publicitados. Un ataque
DoS da como resultado algún tipo de interrupción del servicio a los usuarios, dispositivos o
aplicaciones.
Hay dos fuentes principales de ataques DoS:
Cantidad abrumadora de tráfico: esto ocurre cuando una red, host o aplicación no puede
manejar una enorme cantidad de datos, lo que hace que el sistema se bloquee o se vuelva
extremadamente lento.
Paquetes formateados maliciosamente: esto es cuando los paquetes formateados
maliciosamente se reenvían a un host o aplicación y el receptor no puede manejar una condición
inesperada. Un ataque de desbordamiento de búfer es un método utilizado en este tipo de ataque
DoS; por ejemplo, un actor de amenazas reenvía paquetes que contienen errores que la
aplicación no puede identificar o reenvía paquetes con un formato incorrecto. Esto hace que el
dispositivo receptor se bloquee o funcione muy lentamente.
Los ataques DoS se consideran un riesgo importante porque pueden interrumpir fácilmente los
procesos comerciales o los servicios de red esenciales y causar pérdidas significativas. Estos
ataques son relativamente simples de realizar, incluso por parte de un actor de amenazas no
calificado.
Ataques DDoS
Si los actores de amenazas pueden comprometer muchos hosts, pueden realizar un ataque DoS
distribuido (DDoS). Los ataques DDoS tienen una intención similar a los ataques DoS, excepto
que un ataque DDoS aumenta en magnitud porque se origina en múltiples fuentes coordinadas.
Un ataque DDoS puede usar cientos o miles de fuentes, como en los ataques DDoS basados en
IoT.
Los siguientes términos se utilizan para describir los componentes de un ataque DDoS:
Zombis: se refiere a un grupo de hosts comprometidos (es decir, agentes). Estos hosts ejecutan
código malicioso denominado robots (es decir, bots). El malware zombie intenta continuamente
autopropagarse como un gusano.
Bots: los bots son malware que están diseñados para infectar un host y comunicarse con un
sistema controlador. Los bots también pueden registrar pulsaciones de teclas, recopilar
contraseñas, capturar y analizar paquetes y más.
2

Botnet: se refiere a un grupo de zombis que han sido infectados mediante malware de
autopropagación (es decir, bots) y están controlados por controladores.
Controladores: se refiere a un servidor maestro de comando y control (CnC o C2) que controla
grupos de zombis. El creador de un botnet puede usar Internet Relay Chat (IRC) o un servidor
web en el servidor C2 para controlar de forma remota a los zombis.
Botmaster: este es el actor de amenazas que controla el botnet y los controladores.
Ejemplo de ataque DDoS
 El actor de amenazas crea o compra una red de bots de hosts zombis.

Bloque IV. Redes

  Las computadoras zombi continúan escaneando e infectando más objetivos para crear
más zombis.
 Cuando está listo, el botmaster usa los sistemas de manejo para hacer que la red de
zombis lleve a cabo el ataque DDoS en el objetivo elegido.

Figura 32: Ejemplo de ataque DDoS

Ataque de desbordamiento de búfer

El objetivo de un actor de amenazas cuando usa un ataque de desbordamiento de búfer es
encontrar una falla relacionada con la memoria del sistema en un servidor y explotarla. Explotar
la memoria del búfer al abrumarla con valores inesperados generalmente hace que el sistema
quede inoperable, creando un ataque DoS.
Por ejemplo, un actor de amenazas ingresa una entrada que es más grande de lo esperado por
la aplicación que se ejecuta en un servidor. La aplicación acepta la gran cantidad de entrada y
la almacena en la memoria. El resultado es que puede consumir el búfer de memoria asociado y
potencialmente sobrescribir la memoria adyacente, eventualmente corrompiendo el sistema y
causando que se bloquee.
Un ejemplo temprano del uso de paquetes con formato incorrecto fue el Ping of Death. En este
ataque heredado, el actor de la amenaza envió un ping de muerte, que era una solicitud de eco
en un paquete IP mayor que el tamaño máximo de paquete de 65 535 bytes. El host receptor no
podría manejar un paquete de ese tamaño y fallaría.

Métodos de evasión
Los actores de amenazas aprendieron hace mucho tiempo que “esconderse es prosperar”. Esto
significa que sus métodos de ataque y malware son más efectivos cuando no se detectan, por
esta razón, muchos ataques utilizan técnicas de evasión sigilosa para disfrazar la carga útil del
ataque. Su objetivo es evitar la detección por parte de las defensas de la red y del host.
2

Algunos de los métodos de evasión utilizados por los actores de amenazas incluyen:
Cifrado y tunelización: esta técnica de evasión utiliza la tunelización para ocultar el contenido,
o el cifrado para codificar su contenido, lo que dificulta que muchas técnicas de detección de
seguridad detecten e identifiquen el malware.
Agotamiento de recursos: esta técnica de evasión mantiene al host demasiado ocupado para
utilizar correctamente las técnicas de detección de seguridad.
Fragmentación del tráfico: esta técnica de evasión divide una carga útil maliciosa en paquetes
más pequeños para eludir la detección de seguridad de la red. Una vez que los paquetes

Bloque IV. Redes

fragmentados pasan por alto el sistema de detección de seguridad, el malware se vuelve a
ensamblar y puede comenzar a enviar datos confidenciales fuera de la red.
Interpretación errónea a nivel de protocolo: esta técnica de evasión ocurre cuando las
defensas de la red no manejan correctamente las características de una PDU como una suma de
verificación o un valor TTL. Esto puede engañar a un cortafuegos para que ignore los paquetes
que debería comprobar.
Sustitución de tráfico: en esta técnica de evasión, el actor de amenazas intenta engañar al IPS
ofuscando los datos en la carga útil. Esto se hace codificándolo en un formato diferente.; por
ejemplo, el actor de amenazas podría usar tráfico codificado en Unicode en lugar de ASCII. El
IPS no reconoce el verdadero significado de los datos, pero el sistema final de destino puede
leer los datos.
Inserción de tráfico: similar a la sustitución de tráfico, pero el actor de amenazas inserta bytes
adicionales de datos en una secuencia maliciosa de datos. Las reglas de IPS pasan por alto los
datos maliciosos y aceptan la secuencia completa de datos.
Pivote: esta técnica asume que el actor de la amenaza ha comprometido un host interno y quiere
expandir su acceso aún más a la red comprometida. Un ejemplo es un actor de amenazas que
obtuvo acceso a la contraseña de administrador en un host comprometido y está intentando
iniciar sesión en otro host con las mismas credenciales.
Rootkits: un rootkit es una herramienta de atacante compleja utilizada por actores de amenazas
experimentados. Se integra con los niveles más bajos del sistema operativo. Cuando un
programa intenta enumerar archivos, procesos o conexiones de red, el rootkit presenta una
versión limpia de la salida, eliminando cualquier salida incriminatoria. El objetivo del rootkit es
ocultar por completo las actividades del atacante en el sistema local.
Constantemente se desarrollan nuevos métodos de ataque. El personal de seguridad de la red
debe conocer los últimos métodos de ataque para poder detectarlos.

Ataques de red: una mirada más profunda

Network Monitoring y herramientas

Introducción a la supervisión de redes

Topología de seguridad de red

“Todas las redes son objetivos” es un adagio común utilizado para describir el panorama
actual de la seguridad de la red. Por lo tanto, para mitigar las amenazas, todas las redes deben
estar seguras y protegidas lo mejor posible.
2

Esto requiere un enfoque de defensa en profundidad. Requiere el uso de métodos probados y

una infraestructura segura que consiste en firewalls, sistemas de detección de intrusos
(IDS)/sistemas de prevención de intrusos (IPS) y software de seguridad de punto final. Estos
métodos y tecnologías se utilizan para introducir el monitoreo automatizado en la red, creando
alertas o incluso bloqueando automáticamente los dispositivos ofensivos cuando algo sale mal.
Sin embargo, para redes grandes, se debe agregar una capa adicional de protección. Los
dispositivos como los firewalls y los IPS funcionan según reglas preconfiguradas. Supervisan el
tráfico y lo comparan con las reglas configuradas. Si hay una coincidencia, el tráfico se maneja
de acuerdo con la regla. Esto funciona relativamente bien, pero a veces, el tráfico legítimo se
confunde con el tráfico no autorizado. Llamadas falsas positivas, estas situaciones requieren

Bloque IV. Redes

ojos humanos para verlas y evaluarlas antes de que puedan validarse. Una parte importante del
trabajo del analista de seguridad es revisar todas las alertas generadas por los dispositivos de red
y validar su naturaleza. ¿Ese archivo fue realmente descargado por el usuario X? ¿malware?
¿Ese sitio web visitado por el usuario Y es realmente malicioso? ¿La impresora del tercer piso
está realmente comprometida porque está tratando de conectarse a un servidor que está fuera de
Internet? Todas estas preguntas son comúnmente formuladas por los analistas de seguridad a
diario. Es su trabajo determinar las respuestas correctas.
Monitoreo de la Red
Para descubrir el comportamiento normal de la red, se debe implementar el monitoreo de la red.
Se utilizan varias herramientas para ayudar a descubrir el comportamiento normal de la red,
incluidos IDS, analizadores de paquetes, SNMP, NetFlow y otros.

Algunas de estas herramientas requieren datos de red capturados. Hay dos métodos comunes
que se utilizan para capturar el tráfico y enviarlo a los dispositivos de monitoreo de red:
 Puntos de acceso a terminales de red (TAP)
 Duplicación de tráfico mediante Switched Port Analyzer (SPAN)
TAP de red
Un TAP de red suele ser un dispositivo de división pasivo implementado en línea entre un
dispositivo de interés y la red. Un TAP reenvía todo el tráfico, incluidos los errores de la capa
física, a un dispositivo de análisis.
Duplicación de tráfico y SPAN
Los conmutadores de red segmentan la red por diseño, limitando la cantidad de tráfico visible
por el dispositivo de monitoreo de red. Debido a que la captura de datos para el monitoreo de la
red requiere que se capture todo el tráfico, se deben emplear técnicas especiales para evitar la
segmentación de la red impuesta por los conmutadores de red. La duplicación de puertos es una
de estas técnicas. Compatible con muchos conmutadores empresariales, la duplicación de
puertos permite que el conmutador copie marcos de uno o más puertos a un puerto Switch Port
Analyzer (SPAN) conectado a un dispositivo de análisis.
La terminología SPAN incluye
 Tráfico de ingreso: tráfico que ingresa al switch.
 Tráfico de salida: tráfico que sale del conmutador.
 Puerto de origen (SPAN): un puerto que se supervisa a medida que ingresa el tráfico
antes de replicarse (reflejarse) en los puertos de destino.
 Puerto de destino (SPAN): un puerto que refleja los puertos de origen. Los puertos
SPAN de destino a menudo se conectan a dispositivos de análisis, como un analizador
de paquetes o un IDS.
2

Bloque IV. Redes

La asociación entre los puertos de origen y un puerto de destino se denomina sesión SPAN. En
una sola sesión, se pueden monitorear uno o varios puertos.
Introducción a las herramientas de monitoreo de red

Herramientas de monitoreo de seguridad de red

Las herramientas comunes utilizadas para el monitoreo de la seguridad de la red incluyen:
 Analizadores de protocolos de red (Wireshark y tcpdump )
 Flujo de red
 Sistemas de gestión de eventos e información de seguridad (SIEM)
SNMP permite a los analistas solicitar y recibir información sobre el funcionamiento de los
dispositivos de red y es otra buena herramienta para monitorear el comportamiento de una red.
Analizadores de protocolos de red
Los analizadores de protocolos de red (o aplicaciones "rastreadores de paquetes") son
programas que se utilizan para capturar el tráfico. Los analizadores de protocolos, que a menudo
incluyen una interfaz gráfica, muestran qué está pasando en la red. Los analistas pueden usar
estas aplicaciones para ver los intercambios de red hasta el nivel de paquete. Si una
computadora ha sido infectada con malware y actualmente está atacando a otras computadoras
en la red, el analista puede verlo claramente capturando el tráfico de la red en tiempo real y
analizando los paquetes.
2

No solo se utilizan para el análisis de seguridad, los analizadores de protocolos de red también
son muy útiles para la resolución de problemas de red, el desarrollo de software y protocolos y
la educación.
Wireshark se ha convertido en una herramienta de análisis de protocolo de red muy
popular que se utiliza en entornos Windows, Linux y Mac OS. Los fotogramas capturados se
guardan en un archivo PCAP. Los archivos PCAP contienen la información del marco, la
información de la interfaz, la longitud del paquete y las marcas de tiempo.
Wireshark también puede abrir archivos que contienen tráfico capturado de otro software, como
la utilidad tcpdump. Popular entre los sistemas similares a UNIX como Linux, tcpdump es una
potente utilidad con numerosas opciones de línea de comandos.

Bloque IV. Redes

SIEM
La gestión de eventos e información de seguridad (SIEM) es una tecnología utilizada en
organizaciones empresariales para proporcionar informes en tiempo real y análisis a largo plazo
de eventos de seguridad.
SIEM incluye las siguientes funciones esenciales:
 Análisis forense: brinda la capacidad de buscar registros y registros de eventos de
fuentes en toda la organización. Proporciona información más completa para el análisis
forense.
 Correlación: examina registros y eventos de diferentes sistemas o aplicaciones, lo que
acelera la detección y la reacción a las amenazas de seguridad.

 Agregación: reduce el volumen de datos de eventos mediante la consolidación de

registros de eventos duplicados.
 Informes: presenta los datos de eventos correlacionados y agregados en seguimiento en
tiempo real y resúmenes a largo plazo.
SIEM proporciona detalles sobre el origen de la actividad sospechosa:
 Información del usuario como nombre de usuario, estado de autenticación, ubicación
 Información del dispositivo, como fabricante, modelo, versión del sistema operativo,
dirección MAC, método de conexión a la red y ubicación
 Información de postura, como si el dispositivo cumple con la política de seguridad,
tiene archivos antivirus actualizados y está actualizado con los últimos parches del
sistema operativo.
Con esta información, los analistas de seguridad de la red pueden evaluar de manera rápida y
precisa la importancia de cualquier evento de seguridad y responder preguntas críticas, como:
¿Quién está asociado con este evento?
¿El usuario tiene acceso a otros recursos confidenciales?
¿Este evento representa un posible problema de cumplimiento?
¿Es un usuario importante con acceso a propiedad intelectual o información sensible?
¿El usuario está autorizado para acceder a ese recurso?
¿Qué tipo de dispositivo se está utilizando?

Vulnerabilidades de IP
Hay diferentes tipos de ataques dirigidos a IP. Estos son algunos de los ataques más comunes
relacionados con IP:
2

Ataques ICMP: los actores de amenazas utilizan paquetes de eco ICMP (pings) para descubrir
subredes y hosts en una red protegida, para generar ataques de inundación DoS y para alterar las
tablas de enrutamiento del host.
Ataques de denegación de servicio (DoS): los actores de amenazas intentan evitar que los
usuarios legítimos accedan a información o servicios.
Ataques DoS distribuidos (DDoS): similares a un ataque DoS, pero presenta un ataque
simultáneo y coordinado desde múltiples máquinas de origen.
Ataques de suplantación de direcciones: los actores de amenazas suplantan la dirección IP de
origen en un paquete IP para realizar una suplantación ciega o no ciega.

Bloque IV. Redes

Ataques Man-in-the-middle (MITM): los actores de amenazas se posicionan entre un origen y
un destino para monitorear, capturar y controlar la comunicación de manera transparente.
Simplemente podrían escuchar a escondidas inspeccionando los paquetes capturados o alterar
los paquetes y reenviarlos a su destino original.
Secuestro de sesión: los actores de amenazas obtienen acceso a la red física y luego usan un
ataque MITM para secuestrar una sesión.
Ataques ICMP
ICMP se desarrolló para transmitir mensajes de diagnóstico y para informar sobre condiciones
de error cuando las rutas, los hosts y los puertos no están disponibles. Los dispositivos generan
mensajes ICMP cuando se produce un error o una interrupción de la red. El comando ping es un
mensaje ICMP generado por el usuario, denominado Solicitud de eco, que se utiliza para
verificar la conectividad a un destino.
Los actores de amenazas usan ICMP para ataques de reconocimiento y escaneo. Esto les
permite lanzar ataques de recopilación de información para mapear una topología de red,
descubrir qué hosts están activos (accesibles), identificar el sistema operativo del host (huellas
digitales del sistema operativo) y determinar el estado de un firewall.
Los mensajes ICMP comunes de interés para los actores de amenazas incluyen:
 Solicitud de eco ICMP y respuesta de eco: se utilizan para realizar la verificación del
host y los ataques DoS.
 ICMP inalcanzable: se utiliza para realizar ataques de exploración y reconocimiento
de red.
 Respuesta de máscara ICMP: Esto se utiliza para mapear una red IP interna.
 Redirección ICMP: Esto se usa para atraer a un host de destino para que envíe todo el
tráfico a través de un dispositivo comprometido y cree un ataque MITM.
 Detección de enrutador ICMP: se utiliza para inyectar entradas de ruta falsas en la
tabla de enrutamiento de un host de destino.
Las redes deben tener un filtrado estricto de la lista de control de acceso (ACL) de ICMP
en el perímetro de la red para evitar el sondeo de ICMP desde Internet.
Ataques DoS
DoS es uno de los tipos de ataques más comunes. El objetivo de un ataque DoS es evitar que los
usuarios legítimos obtengan acceso a sitios web, correo electrónico, cuentas en línea y otros
servicios.
Hay dos fuentes principales de ataques DoS:
Paquetes con formato malicioso: los actores de amenazas crean un paquete con formato
malicioso y lo reenvían a un host susceptible, lo que hace que se bloquee o se vuelva
extremadamente lento.
Cantidad abrumadora de tráfico: los actores de amenazas abruman una red, host o aplicación
2

de destino, lo que hace que se bloquee o se vuelva extremadamente lento.

Ataques de amplificación y reflexión
Los actores de amenazas a menudo usan técnicas de amplificación y reflexión para crear
ataques DoS.

Bloque IV. Redes

Amplificación: el actor de amenazas reenvía mensajes de solicitud de eco ICMP que contienen
la dirección IP de origen de la víctima a una gran cantidad de hosts.
Reflexión: todos estos hosts responden a la dirección IP falsificada de la víctima para
abrumarla.
Ataques DDoS
Un ataque DDoS tiene una intención similar a un ataque DoS, excepto que un ataque DDoS
aumenta en magnitud porque se origina en múltiples fuentes coordinadas. Los ataques DDoS
también introducen nuevos términos como botnet, sistemas de manejo y computadoras zombi.
Un ataque DDoS podría proceder de la siguiente manera:
1) El actor de amenazas (botmaster) crea o compra el uso de una red de bots de hosts
zombis. El servidor de comando y control (CnC) se comunica con los zombis a través
de un canal encubierto mediante IRC, P2P, DNS, HTTP o HTTPS.
2) Las computadoras zombis continúan escaneando e infectando más objetivos para crear
más zombis.
3) Cuando está listo, el botmaster usa los sistemas de manejo para hacer que la red de
zombis lleve a cabo el ataque DDoS en el objetivo elegido.
2

Bloque IV. Redes

Figura 33: Ataque DDos

Los bots tienen una capacidad similar a la de los gusanos para autopropagarse, pero también se
pueden usar para registrar pulsaciones de teclas, recopilar contraseñas, capturar y analizar
paquetes, recopilar información financiera, lanzar ataques DoS, transmitir spam y abrir puertas
traseras en el host infectado.
Hay muchas fuentes potenciales de ataques DoS y DDoS. Si bien los ataques DDoS son muy
fáciles de detectar, son difíciles de combatir. Se han explotado dispositivos IoT inseguros para
aumentar exponencialmente el tamaño de las botnets. Hay algunas contramedidas que se pueden
utilizar para luchar contra estos ataques:
 Implementar firewalls y monitoreo de IPS
 Tasa de límite de tráfico entrante y saliente a la configuración de referencia
normal
 Maximice la memoria y endurezca todos los dispositivos

Vulnerabilidades de TCP y UDP

TCP (7.2.2.1)
Al igual que IP, TCP también es vulnerable. La información del segmento TCP aparece
inmediatamente después del encabezado IP. Los campos del segmento TCP y las banderas del
2

campo Bits de control se muestran en la Figura siguiente:

Bloque IV. Redes

Ataques TCP
Aunque TCP es un protocolo confiable y orientado a la conexión, todavía tiene
vulnerabilidades que pueden ser explotadas.
El protocolo TCP es vulnerable al escaneo de puertos. Las aplicaciones de red utilizan
puertos TCP o UDP. Los actores de amenazas realizan escaneos de puertos de los dispositivos
de destino para descubrir qué servicios ofrecen.
El ataque de inundación TCP SYN explota el protocolo de enlace de tres vías TCP. Como se
ilustra en la Figura siguiente, el actor de amenazas envía continuamente paquetes de solicitud de
sesión TCP SYN con una dirección IP de origen suplantada aleatoriamente a un objetivo
previsto.

El dispositivo de destino responde con un paquete TCP SYN-ACK a la dirección IP falsificada

y espera un paquete TCP ACK. Esas respuestas nunca llegan. Eventualmente, el host de destino

Bloque IV. Redes

se ve abrumado con conexiones TCP semiabiertas y niega los servicios TCP (por ejemplo,
correo electrónico, transferencia de archivos o http) a usuarios legítimos.
Una conexión TCP también se puede romper cuando recibe un bit RST. Esta es una forma
abrupta de interrumpir la conexión TCP e informar al host receptor que deje de usar la conexión
TCP de inmediato. Un actor de amenazas podría realizar un ataque de restablecimiento de TCP
y enviar un paquete falsificado que contenga un TCP RST a uno o ambos puntos finales.
El secuestro de sesiones TCP es otra vulnerabilidad de TCP. Aunque es difícil de realizar,
permite que un actor de amenazas supere a un host ya autenticado mientras se comunica con el
objetivo. El actor de amenazas tendría que falsificar la dirección IP de un host, predecir el
siguiente número de secuencia y enviar un ACK al otro host. Si tiene éxito, el actor de
amenazas podría enviar datos, pero no recibir datos del dispositivo de destino.
La baja sobrecarga de UDP lo hace muy deseable para los protocolos que realizan transacciones
simples de solicitud y respuesta. Por ejemplo, el uso de TCP para DHCP generaría un tráfico de
red innecesario. Si hay un problema con una solicitud o una respuesta, el dispositivo
simplemente envía la solicitud nuevamente si no recibe respuesta.
UDP no está protegido por ningún cifrado. Es posible agregar cifrado a UDP, pero no está
disponible de forma predeterminada. La falta de encriptación permite que cualquiera vea el
tráfico, lo cambie y lo envíe a su destino. Cambiar los datos en el tráfico alterará la suma de
verificación de 16 bits, pero la suma de verificación es opcional y no siempre se usa. Cuando se
usa la suma de verificación, el atacante puede crear una nueva suma de verificación basada en la
nueva carga útil de datos y registrarla en el encabezado como una nueva suma de verificación.
El dispositivo de destino encontrará que la suma de verificación coincide con los datos sin saber
que los datos han sido alterados.
ste tipo de ataque no es el más utilizado. Es más común ver un ataque UDP en el que se
consumen todos los recursos de una red. Esto se denomina ataque de inundación UDP. Para
hacer esto, el atacante debe usar una herramienta como UDP Unicorn o Low Orbit Ion
Cannon (LOIC) que envía una avalancha de paquetes UDP, a menudo desde un host
falsificado, a un servidor en la subred. El programa barrerá todos los puertos conocidos tratando
de encontrar puertos cerrados. Esto hará que el servidor responda con un mensaje de puerto
ICMP inalcanzable. Debido a que hay tantos puertos cerrados en el servidor, esto provoca tanto
tráfico en el segmento que se usa casi todo el ancho de banda. El resultado es muy similar a
un ataque DoS.

Attacking What We Do

Vulnerabilidades ARP

Envenenamiento de caché ARP

Ejemplo: la PC-A requiere la dirección MAC de su puerta de enlace predeterminada (R1) y, por
2

lo tanto, envía una solicitud ARP para la dirección MAC de 192.168.10.1. (ver imagen
siguiente)

Bloque IV. Redes

En la Figura siguiente, el R1 actualiza su caché ARP con las direcciones IP y MAC de la PC-A
y envía una respuesta ARP a la PC-A, que luego actualiza su caché ARP con las direcciones IP
y MAC del R1.

En la Figura siguiente, el actor de amenazas envía dos respuestas ARP gratuitas suplantadas
utilizando su propia dirección MAC para las direcciones IP de destino indicadas. La PC-A
actualiza su caché ARP con su puerta de enlace predeterminada que ahora apunta al host MAC
del actor de amenazas. R1 también actualiza su caché ARP con la dirección IP de PC-A que
apunta a la dirección MAC del actor de amenazas.

Bloque IV. Redes

El host del actor de amenazas ahora está realizando un ataque de envenenamiento ARP.
El ataque de envenenamiento ARP puede ser
Pasivo: los actores de amenazas roban información confidencial.
Activo: los actores de amenazas modifican los datos en tránsito o inyectan datos maliciosos.

Ataques DNS
El protocolo del Servicio de nombres de dominio (DNS) define un servicio automatizado que
hace coincidir los nombres de los recursos con la dirección de red numérica requerida. Incluye
el formato para consultas, respuestas y datos y utiliza registros de recursos (RR) para identificar
el tipo de respuesta DNS.
A menudo se pasa por alto la protección de DNS; sin embargo, es crucial para el
funcionamiento de una red y debe protegerse en consecuencia.
Muchas organizaciones utilizan los servicios de servidores DNS abiertos públicamente, como
Google DNS (8.8.8.8), para proporcionar respuestas a las consultas. Este tipo de servidor DNS
se denomina resolución abierta. Una resolución abierta de DNS responde consultas de clientes
fuera de su dominio administrativo.
Los resolutores abiertos de DNS son vulnerables a múltiples actividades maliciosas, incluidas:
2

Ataques de envenenamiento de caché de DNS: los actores de amenazas envían información

de RR suplantada y falsificada a un sistema de resolución de DNS para redirigir a los usuarios
de sitios legítimos a sitios maliciosos. Todos los ataques de envenenamiento de caché de DNS
se pueden usar para informar a la resolución de DNS que use un servidor de nombres malicioso
que proporcione información de RR para actividades maliciosas.

Ataques de reflexión y amplificación de DNS: los actores de amenazas utilizan resoluciones

abiertas de DNS para aumentar el volumen de ataques y ocultar la verdadera fuente de un
ataque. Esta técnica se utiliza en ataques DoS o DDoS. Estos ataques son posibles porque la
resolución abierta responderá a las consultas de cualquiera que haga una pregunta. Los actores

Bloque IV. Redes

de amenazas envían mensajes DNS a los resolutores abiertos utilizando la dirección IP de un
host de destino (víctima).
Ataques de utilización de recursos de DNS: los actores de amenazas lanzan un ataque DoS
que consume los recursos de las resoluciones abiertas de DNS. Los ejemplos de dichos recursos
incluyen CPU, memoria y búferes de socket. Este ataque DoS consume todos los recursos
disponibles para afectar negativamente las operaciones de resolución abierta de DNS. El
impacto de este ataque DoS puede requerir que se reinicie la resolución abierta de DNS o que se
detengan y reinicien los servicios.
Para ocultar su identidad, los actores de amenazas también utilizan las siguientes técnicas de
sigilo de DNS para llevar a cabo sus ataques:
Flujo rápido: los actores de amenazas utilizan esta técnica para ocultar sus sitios de entrega de
phishing y malware detrás de una red que cambia rápidamente de hosts DNS comprometidos.
Las direcciones IP de DNS se cambian continuamente en cuestión de minutos. Las botnets a
menudo emplean técnicas de flujo rápido para ocultar (es decir, encubrir) de manera efectiva los
servidores maliciosos para que no sean detectados.
Doble flujo de IP: los actores de amenazas utilizan esta técnica para cambiar rápidamente el
nombre de host a las asignaciones de direcciones IP y también para cambiar el servidor de
nombres autorizado. Esto aumenta la dificultad de identificar la fuente del ataque.
Algoritmos de generación de dominios: los actores de amenazas utilizan esta técnica en
malware para generar aleatoriamente nombres de dominio que luego se pueden usar como
puntos de encuentro para sus servidores de comando y control (CnC).

HTTP y HTTPS
Para investigar los ataques basados en la web, los analistas de seguridad deben comprender bien
cómo funciona un ataque estándar basado en la web. Estas son las etapas comunes de un ataque
web típico:
La víctima, sin saberlo, visita una página web que ha sido comprometida por malware.
1) La página web comprometida redirige al usuario, a menudo a través de muchos
servidores comprometidos, a un sitio que contiene código malicioso.
2) El usuario visita este sitio con código malicioso y su computadora se infecta. Esto se
conoce como descarga oculta. Cuando el usuario visita el sitio, un kit de explotación
escanea el software que se ejecuta en la computadora de la víctima, incluidos el sistema
operativo, Java y Flash Player, en busca de una exploit en el software. El kit de exploit
suele ser un script PHP y proporciona al atacante una consola de gestión para gestionar
el ataque.

3) Después de identificar un paquete de software vulnerable que se ejecuta en la

computadora de la víctima, el kit de explotación se comunica con el servidor del kit de
2

explotación para descargar el código que puede usar la vulnerabilidad para ejecutar
código malicioso en la computadora de la víctima.
4) Una vez que la computadora de la víctima ha sido comprometida, se conecta al servidor
de malware y descarga una carga útil. Esto podría ser malware o un servicio de descarga
de archivos que descarga otro malware.
5) El paquete de malware final se ejecuta en la computadora de la víctima.
Para defenderse de los ataques basados en la web, se deben utilizar las siguientes
contramedidas:
 Siempre actualice el sistema operativo y los navegadores con parches y actualizaciones
actuales.

Bloque IV. Redes

  Utilice un proxy web como Cisco Cloud Web Security o Cisco Web Security Appliance
para bloquear sitios maliciosos.
 Utilice las mejores prácticas de seguridad del Proyecto de seguridad de aplicaciones
web abiertas (OWASP) al desarrollar aplicaciones web.
 Educar a los usuarios finales mostrándoles cómo evitar los ataques basados en la web.
Amortiguación HTTP 302
Otro tipo de ataque HTTP es el ataque de protección HTTP 302. Los actores de amenazas
utilizan el código de estado de respuesta HTTP 302 Found para dirigir el navegador web del
usuario a la nueva ubicación. Los actores de amenazas suelen utilizar funciones HTTP
legítimas, como los redireccionamientos HTTP, para llevar a cabo sus ataques. HTTP permite a
los servidores redirigir la solicitud HTTP de un cliente a un servidor diferente. La redirección
HTTP se usa, por ejemplo, cuando el contenido web se ha movido a una URL o nombre de
dominio diferente. Esto permite que las direcciones URL y los marcadores antiguos sigan
funcionando. Por lo tanto, los analistas de seguridad deben comprender cómo funciona una
función como la redirección HTTP y cómo se puede utilizar durante los ataques.
Cuando la respuesta del servidor es un estado 302 Encontrado, también proporciona la URL en
el campo de ubicación. El navegador cree que la nueva ubicación es la URL proporcionada en el
encabezado. Se invita al navegador a solicitar esta nueva URL. Esta función de redirección se
puede usar varias veces hasta que el navegador finalmente llega a la página que contiene el
exploit. Los redireccionamientos pueden ser difíciles de detectar debido al hecho de que los
redireccionamientos legítimos ocurren con frecuencia en la red.

Correo electrónico
En los últimos 25 años, el correo electrónico ha pasado de ser una herramienta utilizada
principalmente por profesionales técnicos y de investigación a convertirse en la columna
vertebral de las comunicaciones corporativas. Cada día, se intercambian más de 100 mil
millones de mensajes de correo electrónico corporativos. A medida que aumenta el nivel de
uso, la seguridad se convierte en una prioridad mayor. La forma en que los usuarios acceden al
correo electrónico hoy también aumenta la oportunidad de que se introduzca la amenaza del
malware. Antes, los usuarios corporativos accedían al correo electrónico basado en texto desde
un servidor corporativo. El servidor corporativo estaba en una estación de trabajo protegida por
el firewall de la empresa. Hoy en día, se accede a los mensajes HTML desde muchos
dispositivos diferentes que a menudo no están protegidos por el firewall de la empresa. HTML
permite más ataques debido a la cantidad de acceso que a veces puede pasar por alto diferentes
capas de seguridad.
Los siguientes son ejemplos de amenazas de correo electrónico:
Ataques basados en archivos adjuntos: los actores de amenazas incorporan contenido
malicioso en archivos comerciales, como un correo electrónico del departamento de TI. Los
usuarios legítimos abren contenido malicioso. El malware se usa en ataques amplios que a
menudo se dirigen a una vertical comercial específica para parecer legítimos, lo que atrae a los
usuarios que trabajan en esa vertical para abrir archivos adjuntos o hacer clic en enlaces
2

incrustados.
Suplantación de identidad por correo electrónico: los actores de amenazas crean mensajes de
correo electrónico con una dirección de remitente falsificada que pretende engañar al
destinatario para que proporcione dinero o información confidencial; por ejemplo, un banco le
envía un correo electrónico pidiéndole que actualice sus credenciales. Cuando este correo
electrónico muestra el logotipo del banco idéntico al correo que abrió anteriormente que era
legítimo, tiene una mayor probabilidad de que se abra, se abran los archivos adjuntos y se haga
clic en los enlaces. El correo electrónico falso puede incluso pedirle que verifique sus
credenciales para que el banco esté seguro de que usted es usted, exponiendo su información de
inicio de sesión.

Bloque IV. Redes

Correo electrónico no deseado: los actores de amenazas envían correos electrónicos no
solicitados que contienen anuncios o archivos maliciosos. Este tipo de correo electrónico se
envía con mayor frecuencia para solicitar una respuesta, diciéndole al actor de amenazas que el
correo electrónico es válido y que un usuario ha abierto el correo no deseado.
Servidor de retransmisión de correo abierto: los actores de amenazas se aprovechan de los
servidores empresariales que están mal configurados como retransmisiones de correo abierto
para enviar grandes volúmenes de spam o malware a usuarios desprevenidos. La retransmisión
de correo abierta es un servidor SMTP que permite que cualquiera en Internet envíe correo.
Debido a que cualquiera puede usar el servidor, son vulnerables a los spammers y gusanos. Se
pueden enviar grandes volúmenes de spam mediante el uso de una retransmisión de correo
abierta. Es importante que los servidores de correo electrónico corporativos nunca se configuren
como una retransmisión abierta. Esto reducirá considerablemente la cantidad de correos
electrónicos no solicitados.
Homoglifos: los actores de amenazas pueden usar caracteres de texto que son muy similares o
incluso idénticos a los caracteres de texto legítimos. Estos pueden usarse en correos electrónicos
de phishing para que parezcan muy convincentes. En DNS, estos caracteres son muy diferentes
a los reales. Cuando se busca el registro DNS, se encuentra una URL completamente diferente
cuando se usa el enlace con el homoglífico en la búsqueda.
Al igual que cualquier otro servicio que escucha un puerto en busca de conexiones entrantes, los
servidores SMTP también pueden tener vulnerabilidades. Mantenga siempre actualizado el
software SMTP con parches y actualizaciones de seguridad y software. Para evitar aún más que
los actores de amenazas completen su tarea de engañar al usuario final, implemente
contramedidas. Utilice un dispositivo de seguridad específico para el correo electrónico; esto
ayudará a detectar y bloquear muchos tipos conocidos de amenazas, como phishing, spam y
malware. Además, eduque al usuario final. Cuando los ataques lo hacen por las medidas de
seguridad implementadas, y lo harán a veces, el usuario final es la última línea de defensa.
Enséñeles a reconocer el spam, los intentos de phishing, los enlaces y URL sospechosos y los
homoglifos, y enséñeles a nunca abrir archivos adjuntos sospechosos.

Bases de datos expuestas a la Web

Las aplicaciones web comúnmente se conectan a una base de datos relacional para acceder a los
datos. Debido a que las bases de datos relacionales a menudo contienen datos confidenciales, las
bases de datos son un objetivo frecuente de los ataques.
Inyección de comandos

Inyección sql
Uno de los ataques de base de datos más comunes es el ataque de inyección SQL . El ataque de
inyección SQL consiste en insertar una consulta SQL a través de los datos de entrada del cliente
a la aplicación. Un exploit de inyección SQL exitoso puede leer datos confidenciales de la base
de datos, modificar datos de la base de datos, ejecutar operaciones de administración en la base
2

de datos y, a veces, emitir comandos al sistema operativo.

A menos que una aplicación use una validación de datos de entrada estricta, será vulnerable al
ataque de inyección SQL. Si una aplicación acepta y procesa datos proporcionados por el
usuario sin ninguna validación de datos de entrada, un actor de amenazas podría enviar una
cadena de entrada creada con fines malintencionados para desencadenar el ataque de inyección
SQL.
Los analistas de seguridad deberían poder reconocer consultas SQL sospechosas para detectar si
la base de datos relacional ha sido objeto de ataques de inyección SQL. Deben poder determinar
qué ID de usuario usó el actor de amenazas para iniciar sesión, luego identificar cualquier

Bloque IV. Redes

información o acceso adicional que el actor de amenazas podría haber aprovechado después de
un inicio de sesión exitoso.
Secuencias de comandos entre sitios
No todos los ataques se inician desde el lado del servidor. Cross-site scripting (XSS) es donde
las páginas web que se ejecutan en el lado del cliente, dentro de su propio navegador web, se
inyectan con scripts maliciosos. Estos scripts pueden ser utilizados por Visual Basic, JavaScript
y otros para acceder a una computadora, recopilar información confidencial o implementar más
ataques y propagar malware. Al igual que con la inyección SQL, esto a menudo se debe a que el
atacante publica contenido en un sitio web confiable sin validación de entrada. Los futuros
visitantes del sitio web de confianza estarán expuestos al contenido proporcionado por el
atacante.
Estos son los dos tipos principales de XSS:
Almacenado (persistente): Esto se almacena permanentemente en el servidor infectado y lo
reciben todos los visitantes de la página infectada.
Reflejado (no persistente): esto solo requiere que el script malicioso esté ubicado en un enlace
y los visitantes deben hacer clic en el enlace infectado para infectarse.

Estas son algunas formas de prevenir o reducir los ataques de inyección de comandos:
Utilice los elementos enumerados en la hoja de trucos de prevención de OWASP XSS para
desarrolladores de aplicaciones web
(https://cheatsheetseries.owasp.org/cheatsheets/Cross_Site_Scripting_Prevention_Cheat_Sheet.
html )
Use una implementación de IPS para detectar y prevenir scripts maliciosos.
Utilice un proxy web para bloquear sitios maliciosos.
Al igual que con todas las demás medidas de seguridad, asegúrese de educar a los usuarios
finales. Enséñeles a identificar ataques de phishing y notifique al personal de seguridad de la
información cuando sospechen de algo relacionado con la seguridad.

Conceptos de enrutamiento
(sacado de Routing and Switching Essentials Companion Guide)
Un enrutador (o router)conecta una red a otra red. El enrutador es responsable de la entrega de
paquetes a través de diferentes redes. El destino del paquete IP puede ser un servidor web en
otro país o un servidor de correo electrónico en la LAN.
2

El enrutador utiliza su tabla de enrutamiento para determinar la mejor ruta a utilizar

para reenviar un paquete. Es responsabilidad de los enrutadores entregar esos paquetes de
manera oportuna. La efectividad de las comunicaciones entre redes depende, en gran medida, de
la capacidad de los enrutadores para reenviar paquetes de la manera más eficiente posible.
Cuando un host envía un paquete a un dispositivo en una red IP diferente, el paquete se reenvía
a la puerta de enlace predeterminada porque un dispositivo host no puede comunicarse
directamente con dispositivos fuera de la red local. La puerta de enlace predeterminada es el
dispositivo intermediario que enruta el tráfico desde la red local a dispositivos en redes remotas.
A menudo se utiliza para conectar una red local a Internet.

Bloque IV. Redes

Configuración inicial del enrutador
Un enrutador debe configurarse con ajustes específicos antes de que pueda implementarse. Los
nuevos enrutadores no están configurados. Deben configurarse inicialmente utilizando el puerto
de la consola.

Características de una Red

 Topología: hay topologías físicas y lógicas. La topología física es la disposición de los

cables, dispositivos de red y sistemas finales. Describe cómo los dispositivos de red
están realmente interconectados con alambres y cables. La topología lógica es la ruta a
través de la cual se transfieren los datos en una red. Describe cómo los dispositivos de
red aparecen conectados a los usuarios de la red.
 Velocidad: la velocidad es una medida de la tasa de datos en bits por segundo (b/s) de
un enlace dado en la red.
 Costo: el costo indica el gasto general por la compra de componentes de red y la
instalación y mantenimiento de la red.
 Seguridad: la seguridad indica cómo de protegida está la red, incluida la información
2

que se transmite a través de la red.

o Disponibilidad: la disponibilidad es la probabilidad de que la red esté
disponible para su uso cuando sea necesario.
o Escalabilidad: la escalabilidad indica con qué facilidad la red puede adaptarse
a más usuarios y requisitos de transmisión de datos. Si el diseño de una red está
optimizado para cumplir solo con los requisitos actuales, puede ser muy difícil
y costoso satisfacer las nuevas necesidades cuando la red crezca.
o Confiabilidad: indica la confiabilidad de los componentes que componen la
red, como enrutadores, conmutadores, PC y servidores. La confiabilidad a

Bloque IV. Redes

 menudo se mide como una probabilidad de falla o como el tiempo medio
entre fallas (MTBF).

¿Por qué enrutamiento?

La comunicación entre redes no sería posible sin un enrutador que determine la mejor ruta hacia
el destino y reenvíe el tráfico al siguiente enrutador a lo largo de esa ruta. El enrutador es
responsable del enrutamiento del tráfico entre redes

Cuando un paquete llega a la interfaz de un enrutador, el enrutador usa su tabla de enrutamiento

para determinar cómo llegar a la red de destino. El destino del paquete IP puede ser un servidor
web en otro país o un servidor de correo electrónico en la LAN. Es responsabilidad de los
enrutadores entregar esos paquetes de manera eficiente. La efectividad de las comunicaciones
entre redes depende, en gran medida, de la capacidad de los enrutadores para reenviar paquetes
de la manera más eficiente posible. 2

Bloque IV. Redes

Figura 34: tipos de memoria del router

A diferencia de una computadora, un enrutador no tiene adaptadores de video o adaptadores de

tarjeta de sonido. En cambio, los enrutadores tienen puertos especializados y tarjetas de interfaz
de red para interconectar dispositivos a otras redes.

Bloque IV. Redes

Las siguientes son las funciones principales de un enrutador:
 Determinar la mejor ruta para enviar paquetes
 Reenviar paquetes hacia su destino

El enrutador utiliza su tabla de enrutamiento para determinar la mejor ruta a utilizar para
reenviar un paquete. Cuando el enrutador recibe un paquete, examina la dirección de destino del
paquete y utiliza la tabla de enrutamiento para buscar la mejor ruta a esa red. La tabla de
enrutamiento también incluye la interfaz que se utilizará para reenviar paquetes para cada red
conocida. Cuando se encuentra una coincidencia, el enrutador encapsula el paquete en la trama
de enlace de datos de la interfaz de salida o de salida, y el paquete se reenvía hacia su destino.
Es posible que un enrutador reciba un paquete que está encapsulado en un tipo de trama de
enlace de datos y reenvíe el paquete fuera de una interfaz que utiliza un tipo diferente de trama
de enlace de datos. Por ejemplo, un enrutador puede recibir un paquete en una interfaz Ethernet,
pero debe reenviar el paquete desde una interfaz configurada con el Protocolo punto a punto
(PPP). La encapsulación del enlace de datos depende del tipo de interfaz en el enrutador y el
tipo de medio al que se conecta. Las diferentes tecnologías de enlace de datos a las que se puede
conectar un enrutador incluyen Ethernet, PPP, Frame Relay, DSL, cable e inalámbrico (802.11,
2

Bluetooth, etc.).
Mecanismos de reenvío de paquetes
Los enrutadores admiten tres mecanismos de reenvío de paquetes:
Conmutación de procesos: se muestra en la Figura siguiente, este es un mecanismo de reenvío
de paquetes más antiguo que todavía está disponible para los enrutadores Cisco. Cuando un
paquete llega a una interfaz, se reenvía al plano de control donde la CPU hace coincidir la
dirección de destino con una entrada en su tabla de enrutamiento y luego determina la interfaz
de salida y reenvía el paquete. Es importante comprender que el enrutador hace esto para cada

Bloque IV. Redes

paquete, incluso si el destino es el mismo para un flujo de paquetes. Este mecanismo de
conmutación de procesos es lento y rara vez se implementa en las redes modernas.

Conmutación rápida: como se muestra en la Figura siguiente, este es un mecanismo común de

reenvío de paquetes que utiliza una memoria caché de conmutación rápida para almacenar
información del siguiente salto. Cuando un paquete llega a una interfaz, se reenvía al plano de
control, donde la CPU busca una coincidencia en la memoria caché de conmutación rápida. Si
no está allí, se cambia de proceso y se reenvía a la interfaz de salida. La información de flujo del
paquete también se almacena en la memoria caché de conmutación rápida. Si otro paquete que
va al mismo destino llega a una interfaz, la información del próximo salto en el caché se
reutiliza sin intervención de la CPU.

Bloque IV. Redes

Conectar dispositivos

Conectarse a una red

Los dispositivos de red y los usuarios finales normalmente se conectan a una red mediante una
conexión Ethernet por cable o inalámbrica.

Bloque IV. Redes

Puertas de enlace predeterminadas
Para habilitar el acceso a la red, los dispositivos deben configurarse con información de
dirección IP para identificar la
1) Dirección IP: identifica un host único en una red local.
2) Máscara de subred: identifica con qué subred de red se puede comunicar el host.
3) Puerta de enlace predeterminada: identifica la dirección IP del enrutador para enviar
un paquete cuando el destino no está en la misma subred de la red local.
Cuando un host envía un paquete a un dispositivo que está en la misma red IP, el paquete
simplemente se reenvía desde la interfaz del host al dispositivo de destino.
Cuando un host envía un paquete a un dispositivo en una red IP diferente, el paquete se reenvía
a la puerta de enlace predeterminada porque un dispositivo host no puede comunicarse
directamente con dispositivos fuera de la red local. La puerta de enlace predeterminada es el
destino que enruta el tráfico desde la red local a los dispositivos en las redes remotas. A menudo
se utiliza para conectar una red local a Internet.
La puerta de enlace predeterminada suele ser la dirección de la interfaz en el enrutador
conectado a la red local. El enrutador mantiene las entradas de la tabla de enrutamiento de todas
las redes conectadas, así como las entradas de las redes remotas, y determina la mejor ruta para
llegar a esos destinos.

Figura 35: puertos y cables necesarios para una conexión con consola

Habilitar IP en un Switch
Los dispositivos de infraestructura de red requieren direcciones IP para habilitar la
administración remota. Con la dirección IP del dispositivo, el administrador de la red puede
conectarse de forma remota al dispositivo mediante Telnet, SSH, HTTP o HTTPS.
Un conmutador no tiene una interfaz dedicada a la que se pueda asignar una dirección IP.
En su lugar, la información de la dirección IP se configura en una interfaz virtual
denominada interfaz virtual conmutada (SVI).

Bloque IV. Redes

Configuración básica del enrutador

Bloque IV. Redes

 2

Bloque IV. Redes

 2

Bloque IV. Redes

Configurar una interfaz de loopback IPv4
2

Otra configuración común de los enrutadores Cisco IOS es habilitar una interfaz de bucle
invertido.
La interfaz loopback es una interfaz lógica interna al enrutador. No está asignado a un
puerto físico y, por lo tanto, nunca se puede conectar a ningún otro dispositivo. Se
considera una interfaz de software que se coloca automáticamente en un estado "activo",
siempre que el enrutador esté funcionando.

La interfaz loopback es útil para probar y administrar un dispositivo Cisco IOS porque
garantiza que al menos una interfaz siempre estará disponible; por ejemplo, se puede utilizar

Bloque IV. Redes

con fines de prueba, como probar los procesos de enrutamiento interno, mediante la emulación
de redes detrás del enrutador.
Además, la dirección IPv4 asignada a la interfaz de bucle invertido puede ser importante para
los procesos en el enrutador que utilizan una dirección IPv4 de interfaz con fines de
identificación, como el proceso de enrutamiento OSPF (Open Shortest Path First). Al habilitar
una interfaz de bucle invertido, el enrutador utilizará la dirección de la interfaz de bucle
invertido siempre disponible para la identificación, en lugar de una dirección IP asignada a un
puerto físico que puede fallar.
La tarea de habilitar y asignar una dirección de loopback es simple:

Verificar la configuración de la interfaz

Hay varios comandos show del modo EXEC privilegiado que se pueden usar para verificar el
funcionamiento y la configuración de una interfaz. Los siguientes tres comandos son
especialmente útiles para identificar rápidamente el estado de una interfaz:
show ip interface brief: muestra un resumen de todas las interfaces, incluida la
dirección IPv4 de la interfaz y el estado operativo actual.
show ip route: muestra el contenido de la tabla de enrutamiento IPv4 almacenada en la
RAM. En Cisco IOS 15, las interfaces activas deben aparecer en la tabla de enrutamiento con
dos entradas relacionadas identificadas con el código ' C ' (Conectado) o ' L ' (Local). En
versiones anteriores de IOS, solo aparecerá una sola entrada con el código ' C '.
show running-config interface interface-id Muestra los comandos configurados
en la interfaz especificada.
Los siguientes dos comandos se utilizan para recopilar información de interfaz más detallada:
show interfaces: muestra la información de la interfaz y el conteo de flujo de paquetes
para todas las interfaces en el dispositivo.
show ip interface: muestra la información relacionada con IPv4 para todas las interfaces
en un enrutador.
2

Otra función útil que mejora la experiencia del usuario en la interfaz de línea de comandos
(CLI) es el filtrado de la salida del programa. Los comandos de filtrado se pueden utilizar para
mostrar secciones específicas de la salida. Para habilitar el comando de filtrado, ingrese un
carácter de barra vertical (|) después del comando show y luego ingrese un parámetro de
filtrado y una expresión de filtrado.

Decisiones de enrutamiento

Conmutación de paquetes entre redes

Bloque IV. Redes

Función de cambio de enrutador
Una función principal de un enrutador es reenviar paquetes hacia su destino. Esto se logra
mediante una función de conmutación, que es el proceso que utiliza un enrutador para
aceptar un paquete en una interfaz y reenviarlo a otra interfaz. Una responsabilidad clave
de la función de conmutación es encapsular paquetes en el tipo de trama de enlace de
datos apropiado para el enlace de datos saliente.
Una vez que el enrutador ha determinado la interfaz de salida mediante la función de
determinación de ruta, el enrutador debe encapsular el paquete en la trama de enlace de
datos de la interfaz de salida.
¿Qué hace un enrutador con un paquete recibido de una red y destinado a otra red? (Figura
siguiente)

El enrutador realiza los siguientes tres pasos principales:

Paso 1. Desencapsula el encabezado y el tráiler de la trama de Capa 2 para exponer el paquete
de Capa 3.

Paso 2. Examina la dirección IP de destino del paquete IP para encontrar la mejor ruta en la
2

tabla de enrutamiento.
Paso 3. Si el enrutador encuentra una ruta al destino, encapsula el paquete de capa 3 en una
nueva trama de capa 2 y reenvía la trama por la interfaz de salida.

Bloque IV. Redes

 Si el enrutador
Examina la encuentra una
Desencapsula el
dirección IP de ruta al destino,
encabezado y el
destino del encapsula el
tráiler de la trama
paquete IP para paquete de capa
de Capa 2 para
encontrar la 3 en una nueva
exponer el
mejor ruta en la trama de capa 2 y
paquete de Capa
tabla de reenvía la trama
3.
enrutamiento. por la interfaz de
salida.

Como se muestra en la Figura anterior, los dispositivos tienen direcciones IPv4 de Capa 3 y
las interfaces Ethernet tienen direcciones de enlace de datos de Capa 2. Por ejemplo, la PC1
está configurada con la dirección IPv4 192.168.1.10 y una dirección MAC de ejemplo de 0A-
10. A medida que un paquete viaja desde el dispositivo de origen hasta el dispositivo de destino
final, las direcciones IP de la Capa 3 no cambian. Sin embargo, las direcciones de enlace de
datos de Capa 2 cambian en cada salto, ya que cada enrutador desencapsula y vuelve a
encapsular el paquete en una nueva trama de Capa 2.
Es común que los paquetes requieran encapsulación en un tipo de trama de capa 2 diferente a
aquella en la que se recibieron.
Observe en la Figura anterior que los puertos entre R2 y R3 no tienen direcciones MAC
asociadas. Esto se debe a que es un enlace serial. Las direcciones MAC solo se requieren en
redes Ethernet de acceso múltiple. Un enlace serial es una conexión punto a punto y utiliza un
marco de capa 2 diferente que no requiere el uso de una dirección MAC.
Enviar un paquete
En la Figura siguiente, la PC1 envía un paquete a la PC2. PC1 debe determinar si la dirección
IPv4 de destino está en la misma red. PC1 determina su propia subred realizando una
operación AND en su propia dirección IPv4 y máscara de subred. Esto produce la
dirección de red a la que pertenece PC1. A continuación, la PC1 realiza esta misma
operación AND utilizando la dirección IPv4 de destino del paquete y la máscara de subred
de la PC1.
2

Bloque IV. Redes

Si la dirección de la red de destino es la misma red que la PC1, entonces la PC1 no usa la
puerta de enlace predeterminada. En su lugar, PC1 se refiere a su caché de Protocolo de
resolución de direcciones (ARP) para la dirección MAC del dispositivo con esa dirección
IPv4 de destino. Si la dirección MAC no está en la memoria caché, la PC1 genera una
solicitud ARP para adquirir la dirección para completar el paquete y enviarlo al destino.
Si la dirección de la red de destino está en una red diferente, la PC1 reenvía el paquete a
su puerta de enlace predeterminada.
Para determinar la dirección MAC de la puerta de enlace predeterminada, PC1 verifica
su tabla ARP para la dirección IPv4 de la puerta de enlace predeterminada y su dirección
MAC asociada.
Si no existe una entrada ARP en la tabla ARP para el gateway predeterminado, la PC1
envía una solicitud ARP. El enrutador R1 devuelve una respuesta ARP. Luego, la PC1
puede reenviar el paquete a la dirección MAC de la puerta de enlace predeterminada, la
interfaz Fa0/0 del enrutador R1.
Se utiliza un proceso similar para los paquetes IPv6. Sin embargo, en lugar del proceso
ARP, la resolución de direcciones IPv6 utiliza mensajes de solicitud de vecino y anuncio de
vecino ICMPv6. Las asignaciones de direcciones de IPv6 a MAC se guardan en una tabla
similar a la caché ARP, denominada caché vecina.
2

Bloque IV. Redes

Reenviar al siguiente salto

1. R1 examina la dirección MAC de destino, que coincide con la dirección MAC de la

interfaz receptora en R1, FastEthernet 0/0. R1, por lo tanto, copia el marco en su búfer.
2. R1 identifica el campo Tipo de Ethernet como 0 × 800, lo que significa que la trama de
Ethernet contiene un paquete IPv4 en la porción de datos de la trama.
3. R1 desencapsula la trama de Ethernet para examinar la información de la Capa 3.
4. Debido a que la dirección IPv4 de destino del paquete no coincide con ninguna de las
redes conectadas directamente de R1, R1 consulta su tabla de enrutamiento para enrutar
este paquete. R1 busca en la tabla de enrutamiento una dirección de red que incluya la
dirección IPv4 de destino del paquete como una dirección de host dentro de esa red. En
este ejemplo, la tabla de enrutamiento tiene una ruta para la red 192.168.4.0/24. La
dirección IPv4 de destino del paquete es 192.168.4.10, que es una dirección IPv4 de
host en esa red.
La ruta que encuentra R1 a la red 192.168.4.0/24 tiene una dirección IPv4 de siguiente salto de
192.168.2.2 y una interfaz de salida de FastEthernet 0/1. Esto significa que el paquete IPv4 se
encapsula en una nueva trama Ethernet con la dirección MAC de destino de la dirección IPv4
del enrutador del siguiente salto.
La Figura siguiente muestra los procesos que tienen lugar cuando R1 reenvía el paquete a R2.
2

Bloque IV. Redes

Debido a que la interfaz de salida está en una red Ethernet, el R1 debe resolver la dirección IPv4
del siguiente salto con una dirección MAC de destino mediante ARP:
1. R1 busca la dirección IPv4 del siguiente salto de 192.168.2.2 en su caché ARP. Si la
entrada no está en la memoria caché ARP, R1 enviaría una solicitud ARP desde su
interfaz FastEthernet 0/1 y R2 devolvería una respuesta ARP. R1 luego actualizaría su
caché ARP con una entrada para 192.168.2.2 y la dirección MAC asociada.
2. El paquete IPv4 ahora está encapsulado en una nueva trama Ethernet y se reenvía a
través de la interfaz FastEthernet 0/1 de R1.
Enrutamiento de paquetes
La figura siguiente muestra los procesos que tienen lugar cuando el R2 recibe la trama en su
interfaz Fa0/0.
2

Bloque IV. Redes

 1. R2 examina la dirección MAC de destino, que coincide con la dirección MAC de la
interfaz receptora, FastEthernet 0/0. R2, por lo tanto, copia el marco en su búfer.
2. R2 identifica el campo Tipo de Ethernet como 0 × 800, lo que significa que la trama de
Ethernet contiene un paquete IPv4 en la porción de datos de la trama.
3. R2 desencapsula la trama de Ethernet.
La Figura siguiente muestra los procesos que tienen lugar cuando R2 reenvía el paquete a R3.

Bloque IV. Redes

 1. Debido a que la dirección IPv4 de destino del paquete no coincide con ninguna de las
direcciones de interfaz de R2, R2 consulta su tabla de enrutamiento para enrutar este
paquete. R2 busca en la tabla de enrutamiento la dirección IPv4 de destino del paquete
mediante el mismo proceso que usó R1.
La tabla de enrutamiento de R2 tiene una ruta a la red 192.168.4.0/24, con una dirección
IPv4 de siguiente salto de 192.168.3.2 y una interfaz de salida de Serial 0/0/0. Debido a
que la interfaz de salida no es una red Ethernet, el R2 no tiene que resolver la dirección
IPv4 del siguiente salto con una dirección MAC de destino.
2. El paquete IPv4 ahora se encapsula en una nueva trama de enlace de datos y se envía a
través de la interfaz de salida Serial 0/0/0.
Cuando la interfaz es una conexión en serie punto a punto (P2P), el enrutador encapsula
el paquete IPv4 en el formato de trama de enlace de datos adecuado utilizado por la
interfaz de salida (HDLC, PPP, etc.). Debido a que no hay direcciones MAC en las
interfaces seriales, el R2 establece la dirección de destino del enlace de datos en un
equivalente de una transmisión.
Llegar al Destino
Los siguientes procesos tienen lugar cuando la trama llega a R3:
1. R3 copia la trama PPP del enlace de datos en su búfer.
2. R3 desencapsula la trama PPP del enlace de datos.
3. R3 busca en la tabla de enrutamiento la dirección IPv4 de destino del paquete. La tabla
de enrutamiento tiene una ruta a una red conectada directamente en R3. Esto significa
que el paquete se puede enviar directamente al dispositivo de destino y no es necesario
enviarlo a otro enrutador.

La Figura siguiente muestra los procesos que tienen lugar cuando el R3 reenvía el paquete a la
PC2.

Bloque IV. Redes

Debido a que la interfaz de salida es una red Ethernet conectada directamente, el R3 debe
resolver la dirección IPv4 de destino del paquete con una dirección MAC de destino:
1. R3 busca la dirección IPv4 de destino del paquete en su caché ARP. Si la entrada no
está en la caché de ARP, el R3 envía una solicitud de ARP desde su interfaz
FastEthernet 0/0. PC2 devuelve una respuesta ARP con su dirección MAC. Luego, R3
actualiza su caché ARP con una entrada para 192.168.4.10 y la dirección MAC que se
devuelve en la respuesta ARP.
2. El paquete IPv4 se encapsula en una nueva trama de enlace de datos Ethernet y se envía
a través de la interfaz FastEthernet 0/0 de R3.
3. Cuando la PC2 recibe la trama, examina la dirección MAC de destino, que coincide con
la dirección MAC de la interfaz receptora, su tarjeta de interfaz de red (NIC) Ethernet.
PC2, por lo tanto, copia el resto del marco en su búfer.
4. PC2 identifica el campo Tipo de Ethernet como 0 × 800, lo que significa que la trama
de Ethernet contiene un paquete IPv4 en la porción de datos de la trama.
5. La PC2 desencapsula la trama Ethernet y pasa el paquete IPv4 al proceso IPv4 de su
sistema operativo.

Determinación de ruta

Determinación de ruta
Una función principal de un enrutador es determinar la mejor ruta a utilizar para enviar
paquetes. Para determinar la mejor ruta, el enrutador busca en su tabla de enrutamiento
una dirección de red que coincida con la dirección IP de destino del paquete.
La búsqueda en la tabla de enrutamiento da como resultado una de tres determinaciones de ruta:
Red conectada directamente: si la dirección IP de destino del paquete pertenece a un
dispositivo en una red que está conectada directamente a una de las interfaces del enrutador, ese
paquete se reenvía directamente al dispositivo de destino. Esto significa que la dirección IP de
destino del paquete es una dirección de host en la misma red que la interfaz del enrutador.
Red remota: si la dirección IP de destino del paquete pertenece a una red remota, el paquete se
reenvía a otro enrutador. Solo se puede acceder a las redes remotas mediante el reenvío de
paquetes a otro enrutador.
Ninguna ruta determinada: si la dirección IP de destino del paquete no pertenece a una red
remota o conectada, el enrutador determina si hay una puerta de enlace de último recurso
disponible. Se establece una puerta de enlace de último recurso cuando se configura o aprende
una ruta predeterminada en un enrutador. Si hay una ruta predeterminada, el paquete se reenvía
a la puerta de enlace de último recurso. Si el enrutador no tiene una ruta predeterminada, el
paquete se descarta.
2

Bloque IV. Redes

Mejor ruta
Determinar la mejor ruta implica la evaluación de múltiples rutas a la misma red de destino y la
selección de la ruta óptima o más corta para llegar a esa red. Siempre que existan varias rutas a
la misma red, cada ruta utiliza una interfaz de salida diferente en el enrutador para llegar a esa
red.

La mejor ruta se selecciona mediante un protocolo de enrutamiento basado en el valor o la

métrica que utiliza para determinar la distancia para llegar a una red. Una métrica es el valor
cuantitativo utilizado para medir la distancia a una red determinada. La mejor ruta a una red es
la ruta con la métrica más baja.
Los protocolos de enrutamiento dinámico suelen utilizar sus propias reglas y métricas para crear
y actualizar las tablas de enrutamiento. El algoritmo de enrutamiento genera un valor, o una
métrica, para cada ruta a través de la red. Las métricas se pueden basar en una sola característica
o en varias características de una ruta. Algunos protocolos de enrutamiento pueden basar la
selección de rutas en múltiples métricas, combinándolas en una sola métrica.
A continuación, se enumeran algunos protocolos dinámicos y las métricas que utilizan:
2

 Protocolo de información de enrutamiento (RIP): conteo de saltos

 Open Shortest Path First (OSPF): costo de Cisco basado en el ancho de banda
acumulado desde el origen hasta el destino
 Protocolo de enrutamiento de puerta de enlace interior mejorado (EIGRP): ancho
de banda, demora, carga, confiabilidad
Equilibrio de carga
¿Qué sucede si una tabla de enrutamiento tiene dos o más rutas con métricas idénticas a la
misma red de destino?

Bloque IV. Redes

Cuando un enrutador tiene dos o más rutas a un destino con métricas de igual costo, el enrutador
reenvía los paquetes utilizando ambas rutas por igual. Esto se denomina balanceo de carga de
igual costo. La tabla de enrutamiento contiene la red de destino único, pero tiene varias
interfaces de salida, una para cada ruta de igual costo. El enrutador reenvía paquetes utilizando
las múltiples interfaces de salida enumeradas en la tabla de enrutamiento.
Si se configura correctamente, el equilibrio de carga puede aumentar la eficacia y el rendimiento
de la red. El equilibrio de carga de igual costo se puede configurar para usar protocolos de
enrutamiento dinámico y rutas estáticas.
Distancia Administrativa
Es posible configurar un enrutador con múltiples protocolos de enrutamiento y rutas estáticas.
Si esto ocurre, la tabla de enrutamiento puede tener más de un origen de ruta para la misma red
de destino; por ejemplo, si tanto RIP como EIGRP están configurados en un enrutador, ambos
protocolos de enrutamiento pueden conocer la misma red de destino; sin embargo, cada
protocolo de enrutamiento puede decidir una ruta diferente para llegar al destino según las
métricas de ese protocolo de enrutamiento. RIP elige una ruta en función del número de
saltos, mientras que EIGRP elige una ruta en función de su métrica compuesta. ¿Cómo
sabe el enrutador qué ruta usar?
Cisco IOS utiliza lo que se conoce como distancia administrativa (AD) para determinar la ruta
para instalar en la tabla de enrutamiento IP. El AD representa la “confiabilidad” de la ruta;
cuanto menor sea el AD, más confiable será la fuente de la ruta; por ejemplo, una ruta estática
tiene un AD de 1, mientras que una ruta descubierta por EIGRP tiene un AD de 90. Dadas dos
rutas separadas al mismo destino, el enrutador elige la ruta con el AD más bajo. Cuando un
enrutador tiene la opción de una ruta estática y una ruta EIGRP, la ruta estática tiene prioridad.
De manera similar, una ruta conectada directamente con un AD de 0 tiene prioridad sobre una
ruta estática con un AD de 1.

Operación del enrutador

Bloque IV. Redes

La tabla de enrutamiento
La tabla de enrutamiento de un enrutador almacena información sobre lo siguiente:
Rutas conectadas directamente: estas rutas provienen de las interfaces activas del enrutador.
Los enrutadores agregan una ruta conectada directamente cuando una interfaz está configurada
con una dirección IP y está activada.
Rutas remotas: son redes remotas conectadas a otros enrutadores. Las rutas a estas redes
pueden configurarse estáticamente o aprenderse dinámicamente a través de protocolos de
enrutamiento dinámico.
Específicamente, una tabla de enrutamiento es un archivo de datos en RAM que almacena
información de ruta sobre redes remotas y conectadas directamente. La tabla de
enrutamiento contiene asociaciones de red o de siguiente salto. Estas asociaciones le dicen a un
enrutador que se puede llegar de manera óptima a un destino particular enviando el paquete a un
enrutador específico que representa el siguiente salto en el camino hacia el destino final. La
asociación de siguiente salto también puede ser la interfaz de salida o de salida al próximo
destino.
Las entradas en la tabla de enrutamiento se pueden agregar de la siguiente manera:

 Interfaces de rutas locales: se agregan cuando una interfaz está configurada y activa.
Esta entrada solo se muestra en IOS 15 o posterior para rutas IPv4 y todas las versiones
de IOS para rutas IPv6.
 Interfaces conectadas directamente: se agregan a la tabla de enrutamiento cuando una
interfaz está configurada y activa.
 Rutas estáticas: se agregan cuando una ruta se configura manualmente y la interfaz de
salida está activa.
 Protocolo de enrutamiento dinámico: se agrega cuando se implementan protocolos
de enrutamiento que aprenden dinámicamente sobre la red, como EIGRP y OSPF,
y se identifican las redes.
Las fuentes de las entradas de la tabla de enrutamiento se identifican mediante un código. El
código identifica cómo se aprendió la ruta; por ejemplo, los códigos comunes incluyen lo
siguiente:
 L: identifica la dirección asignada a la interfaz de un enrutador. Esto permite que el
enrutador determine de manera eficiente cuándo recibe un paquete para la interfaz en
lugar de reenviarlo.
 C: identifica una red conectada directamente.
 S: identifica una ruta estática creada para llegar a una red específica.
 D: identifica una red aprendida dinámicamente de otro enrutador mediante EIGRP.
 O: identifica una red aprendida dinámicamente de otro enrutador mediante el protocolo
de enrutamiento OSPF.
2

Rutas Aprendidas Estáticamente

Rutas estáticas

Bloque IV. Redes

Después de configurar y agregar las interfaces directamente conectadas a la tabla de
enrutamiento, se puede implementar el enrutamiento estático o dinámico.
Las rutas estáticas se configuran manualmente. Definen una ruta explícita entre dos
dispositivos de red. A diferencia de un protocolo de enrutamiento dinámico, las rutas estáticas
no se actualizan automáticamente y deben reconfigurarse manualmente si cambia la topología
de la red. Los beneficios de usar rutas estáticas incluyen seguridad mejorada y eficiencia de
recursos. Las rutas estáticas usan menos ancho de banda que los protocolos de
enrutamiento dinámico y no se usan ciclos de CPU para calcular y comunicar rutas. La
principal desventaja de usar rutas estáticas es la falta de reconfiguración automática si
cambia la topología de la red.
Hay dos tipos comunes de rutas estáticas en la tabla de enrutamiento:
 Ruta estática a una red específica
 Ruta estática predeterminada
Una ruta estática predeterminada es similar a una puerta de enlace predeterminada en un host.
La ruta estática predeterminada especifica el punto de salida que se utilizará cuando la tabla de
enrutamiento no contenga una ruta para la red de destino. Una ruta estática predeterminada es
útil cuando un enrutador tiene solo un punto de salida a otro enrutador, como cuando el
enrutador se conecta a un enrutador central o proveedor de servicios.

Protocolos de enrutamiento dinámico

Enrutamiento dinámico

Los enrutadores utilizan los protocolos de enrutamiento dinámico para compartir información
sobre la accesibilidad y el estado de las redes remotas. Los protocolos de enrutamiento dinámico

Bloque IV. Redes

realizan varias actividades, incluido el descubrimiento de redes y el mantenimiento de tablas de
enrutamiento.
El descubrimiento de redes es la capacidad de un protocolo de enrutamiento para compartir
información sobre las redes que conoce con otros enrutadores que también utilizan el mismo
protocolo de enrutamiento. En lugar de depender de rutas estáticas configuradas manualmente a
redes remotas en cada enrutador, un protocolo de enrutamiento dinámico permite que los
enrutadores aprendan automáticamente sobre estas redes de otros enrutadores. Estas redes, y la
mejor ruta para cada una, se agregan a la tabla de enrutamiento del enrutador y se identifican
como una red aprendida por un protocolo de enrutamiento dinámico específico.
Durante el descubrimiento de la red, los enrutadores intercambian rutas y actualizan sus tablas
de enrutamiento. Los enrutadores han convergido después de haber terminado de intercambiar y
actualizar sus tablas de enrutamiento. Luego, los enrutadores mantienen las redes en sus tablas
de enrutamiento.

Protocolos de enrutamiento IPv4

Un enrutador que ejecuta un protocolo de enrutamiento dinámico no solo determina la mejor
ruta a una red; también determina una nueva mejor ruta si la ruta inicial se vuelve inutilizable (o
si cambia la topología). Por estas razones, los protocolos de enrutamiento dinámico tienen una
ventaja sobre las rutas estáticas. Los enrutadores que utilizan protocolos de enrutamiento
dinámico comparten automáticamente la información de enrutamiento con otros enrutadores y
compensan cualquier cambio de topología sin involucrar al administrador de la red.
 EIGRP: protocolo de enrutamiento de puerta de enlace interior mejorado
 OSPF: abrir primero la ruta más corta
 IS-IS— Sistema intermedio a sistema intermedio
 RIP: protocolo de información de enrutamiento

CompTIA Network+ Certification All-in-One Exam Guide, Eighth Edition

(Exam N10-008), 8th Edition (cap. 7), Networking Essentials: A CompTIA
Network+ N10-008 Textbook, CCNP Enterprise Advanced Routing ENARSI
300-410 Official Cert Guide; después cap 7,9,11,12 de Cybersecurity Operations
Companion Guide ;Network Security: Private Communications in a Public
World, 3rd Edition
CompTIA Network+ Study Guide, 5th Edition, caps:9,10,11, CompTIA
Network+ N10-008 Certification Guide - Second Edition (cap.9) . Enterprise
Networking, Security, and Automation Companion Guide (CCNAv7; , luego
Después cap 1de Network Programmability and Automation Fundamentals,
Network Programmability and Automation 2nd Edition
2

Bloque IV. Redes