Tema 39. Redes informáticas: OSI, TCP/IP y direccionamiento IP

Una red es un grupo de equipos unidos que se pasan información y comparten recursos, gracias a medios de transmisión, interfaces, direcciones y protocolos comunes.

Nodo: cualquier cosa conectada. Host: equipo final que se comunica. Enlace: la unión entre nodos, con o sin cable. Protocolo: las reglas sobre formato, significado, orden y tratamiento de los mensajes.

Internet es una red de redes que funciona, sobre todo, con la familia TCP/IP.

El modelo OSI es un modelo de referencia de la ISO con 7 capas. De abajo arriba: 1 física, 2 enlace de datos, 3 red, 4 transporte, 5 sesión, 6 presentación, 7 aplicación. Cada capa sirve a la de encima y se apoya en la de debajo.

Física (1): bits por el medio (señales, conectores, velocidades). Enlace (2): tramas, direcciones MAC (48 bits, en hexadecimal), detección de errores del enlace y acceso al medio; aquí están Ethernet y la parte de enlace del Wi-Fi.

Red (3): direcciones lógicas y encaminamiento entre redes; protocolo central IP; dispositivo típico, el router. Transporte (4): comunica procesos extremo a extremo mediante puertos: TCP (orientado a conexión, fiable, ordenado) o UDP (datagramas sin garantías, más ligero).

Sesión (5): abre, mantiene y cierra diálogos. Presentación (6): representación de los datos (codificación, compresión, cifrado). Aplicación (7): servicios al usuario: HTTP, DNS, SMTP, FTP, DHCP.

Dispositivos por capa: hub en capa 1; bridge y switch en capa 2; router en capa 3.

TCP/IP se presenta normalmente con 4 capas: acceso a la red (física + enlace OSI), Internet (≈ red), transporte y aplicación (aplicación + presentación + sesión). Hay autores que separan la física y cuentan 5.

Protocolos típicos: Ethernet y Wi-Fi (acceso); IPv4, IPv6 e ICMP (Internet); TCP y UDP (transporte); HTTP, DNS, DHCP, SMTP y SSH (aplicación). No hay equivalencia exacta protocolo a protocolo con OSI.

Encapsulación: al bajar, cada capa añade su cabecera: datos → segmento TCP / datagrama UDP → paquete IP → trama → bits. En destino se hace lo contrario (desencapsulación).

MTU: tamaño máximo de paquete que cabe en un enlace sin fragmentar; en Ethernet, normalmente 1500 bytes. La trama cambia en cada salto; el paquete IP conserva sus direcciones de extremo a extremo (salvo traducción).

Hub o concentrador: repite por todos los puertos lo que recibe; no aprende direcciones ni decide destinos. Todos sus puertos forman un único dominio de colisión y comparten ancho de banda; suele trabajar en semidúplex. Hoy casi sustituido por el switch.

Switch o conmutador: aprende las MAC mirando el origen de las tramas y las anota en su tabla con el puerto. Si conoce el destino, envía solo por ese puerto; si no lo conoce o es broadcast, inunda los demás. Cada puerto = un dominio de colisión y puede ir en dúplex completo. No separa por sí solo el broadcast (las VLAN sí). Existen switches multicapa que encaminan.

Router o encaminador: une redes IP distintas y reenvía según la IP de destino y su tabla de rutas (gana la ruta más específica; si no hay, la ruta por defecto). Separa dominios de broadcast y suele ser la puerta de enlace predeterminada.

El «router» doméstico reúne router, switch, punto de acceso, DHCP, NAT y firewall, pero son funciones distintas.

El firewall decide qué tráfico pasa según reglas: direcciones, protocolos, puertos, estado de la conexión, aplicación o contenido, según el tipo.

Puede ser un aparato de red, un programa en el propio equipo o un servicio virtual. Con inspección de estado recuerda las conexiones y deja pasar las respuestas a comunicaciones iniciadas legítimamente.

Política restrictiva: denegar todo lo no autorizado y permitir expresamente lo necesario. El firewall no sustituye actualizaciones, autenticación, cifrado ni copias.

Los puertos TCP/UDP identifican servicios dentro de un host: números de 16 bits (0 a 65535); 0-1023 = puertos bien conocidos. Un servicio puede moverse de su puerto habitual.

Puertos que caen: FTP 20/21, SSH 22, Telnet 23, SMTP 25, DNS 53 (UDP y TCP), DHCP 67/68 UDP, HTTP 80, POP3 110, NTP 123 UDP, IMAP 143, HTTPS 443, SMB 445.

DNS va por UDP en consultas normales y por TCP en respuestas grandes o transferencias de zona. HTTPS = HTTP protegido con TLS. La IP señala el equipo; el puerto, el servicio.

DHCP reparte automáticamente la configuración de red: IP, máscara o prefijo, puerta de enlace, DNS y tiempo de concesión, entre otros.

En IPv4 el arranque se resume en DORA: Discover, Offer, Request, Acknowledge. El cliente empieza por broadcast, porque aún no está configurado.

Va sobre UDP: servidor 67, cliente 68. Un agente de retransmisión permite atender otras subredes sin poner un servidor en cada una. DHCP configura; DNS resuelve nombres.

El DNS convierte nombres de dominio en datos (sobre todo direcciones IP) mediante una base de datos distribuida y jerárquica: la raíz está por encima de los dominios de primer nivel (.es, .com).

El resolvedor pregunta a servidores recursivos, que tiran de caché o consultan a los raíz, TLD y autoritativos. El TTL marca cuánto tiempo puede guardarse una respuesta en caché.

Registros: A (IPv4), AAAA (IPv6), CNAME (alias), MX (correo), NS (servidores de la zona), PTR (inversa), TXT (texto). Puerto 53 UDP y TCP. No asigna direcciones ni cifra por defecto.

Proxy: intermediario que recibe la petición del cliente, puede aplicar políticas o caché y la reenvía en su nombre. Trabaja normalmente en capa de aplicación.

Proxy directo: da la cara por los clientes internos ante servidores de fuera (controla navegación, registra, oculta direcciones). Proxy inverso: da la cara por los servidores ante los clientes (balancea carga, termina TLS, protege el origen).

NAT traduce direcciones IP entre ámbitos (típico: IPv4 privadas que salen a Internet con una pública). PAT o NAT con sobrecarga distingue conexiones por puerto y deja que muchos equipos compartan una IP pública. Ahorra IPv4, pero rompe la conectividad extremo a extremo y no es por sí misma una protección completa. NAT no es un proxy.

IPv4 = 32 bits, en cuatro octetos decimales (0-255) separados por puntos: 192.168.1.25. Se divide en red y host; la máscara pone 1 en la parte de red y 0 en la de host; CIDR indica la longitud del prefijo (/24).

Host todo a 0 = dirección de red; host todo a 1 = broadcast dirigido; en medio, los hosts. La puerta de enlace es el router al que se mandan los destinos de fuera.

Clases históricas: A 1-126 (/8), B 128-191 (/16), C 192-223 (/24), D 224-239 multicast, E 240-255 experimental/reservada. 127/8 = bucle local (loopback). Las clases fueron sustituidas por CIDR (prefijos variables), pero siguen cayendo en examen.

Privadas (RFC 1918): 10.0.0.0/8, 172.16.0.0/12 (172.16.0.0-172.31.255.255) y 192.168.0.0/16; se repiten en redes privadas y no se encaminan en Internet. 169.254.0.0/16: autoconfiguración sin DHCP (APIPA en Windows). 255.255.255.255: broadcast limitado. 0.0.0.0: no especificada o ruta por defecto.

IPv6 = 128 bits, en 8 grupos hexadecimales de 16 bits separados por dos puntos. Se pueden quitar los ceros iniciales de cada grupo y sustituir una sola secuencia continua de grupos a cero por ::.

Amplía el espacio, simplifica la cabecera básica y usa cabeceras de extensión. No hay broadcast: solo unicast, multicast y anycast (anycast = una dirección en varias interfaces; se entrega a la más próxima).

Direcciones: global unicast (2000::/3), link-local fe80::/10, loopback ::1, no especificada ::, multicast ff00::/8, unique local fc00::/7.

Configuración: SLAAC (anuncios de router), DHCPv6 o ambos; toda interfaz IPv6 activa tiene link-local. NDP (sobre ICMPv6) sustituye a ARP. Subred habitual: /64, con 64 bits de interfaz.

Por alcance: PAN (personal, muy corta distancia), LAN (casa, oficina, recinto), MAN (ciudad), WAN (grandes zonas). WLAN = LAN inalámbrica; intranet = tecnologías de Internet dentro de una organización. No hay distancias exactas universales.

Topologías: estrella (nodo central; la habitual de Ethernet con switch: si cae el centro, caen todos), bus, anillo y malla (varios caminos; la completa es muy redundante pero exige muchos enlaces). Física y lógica pueden no coincidir.

Medios: par trenzado (UTP sin blindaje; conector RJ-45), fibra óptica (luz, gran ancho de banda, inmune a interferencias electromagnéticas; monomodo = más distancia, multimodo = tramos cortos) y medios no guiados (radio, microondas, infrarrojos).

Ethernet = IEEE 802.3. Su trama lleva MAC destino y origen, tipo o longitud, datos y la comprobación FCS. En Ethernet conmutada y dúplex completo no hay colisiones normales, por lo que CSMA/CD pierde utilidad práctica.

Dominio de colisión: donde dos transmisiones simultáneas chocan (el switch crea uno por puerto). Dominio de broadcast: lo que alcanza una difusión de capa 2 (lo limitan routers y VLAN).

Wi-Fi = IEEE 802.11; el punto de acceso une estaciones inalámbricas con la red cableada; el SSID nombra la red. 2,4 GHz: más alcance y más interferencias; 5 GHz: más canales y capacidad, menos penetración; 6 GHz: espectro extra. WPA2 (con AES) y WPA3 son seguros; WEP está obsoleto. Ocultar el SSID o filtrar MAC no sustituye al cifrado.

ARP (IPv4) averigua la MAC que corresponde a una IP del mismo enlace; si el destino está fuera, el host busca la MAC de su puerta de enlace. En IPv6 lo hace NDP.

VLAN: divide un switch en varios dominios de broadcast lógicos. Puerto de acceso = una VLAN; enlace troncal = varias VLAN etiquetadas (IEEE 802.1Q). Para hablar entre VLAN hace falta router o switch de capa 3.

Subredes: direcciones totales = 2 elevado a los bits de host; hosts útiles = total − 2 (red y broadcast). /24 → 256 y 254; /25 → 128 y 126; /30 = 255.255.255.252. A más bits de prefijo, subred más pequeña.

Ejemplo: 192.168.10.130/26 → bloques de 64 → red 192.168.10.128, broadcast 192.168.10.191, hosts .129 a .190.

ICMP transmite errores y control. ping (Echo Request/Reply) mide alcance y tiempo, pero si falla no prueba que el equipo esté apagado (puede haber filtrado). traceroute/tracert descubre saltos jugando con el TTL. ipconfig (Windows), ip (Linux), nslookup/dig (DNS), netstat (conexiones y puertos). Diagnosticar de abajo arriba.

Enrutamiento: primero gana el prefijo más largo; la métrica desempata. Rutas conectadas, estáticas o dinámicas. Ruta por defecto: 0.0.0.0/0 (IPv4) y ::/0 (IPv6). El TTL (IPv4) o Hop Limit (IPv6) baja en cada router; a cero, el paquete se descarta y se evitan bucles.

VPN: túnel lógico sobre una red no confiable (normalmente Internet), para unir sedes o dar acceso remoto. Protocolos: IPsec (capa IP), TLS, WireGuard. Solo protege lo que va por el túnel, no el dispositivo.

Amenazas: escucha, suplantación, intermediario, envenenamiento ARP o DNS, escaneo de puertos, puntos de acceso falsos, robo de credenciales y ataques de denegación de servicio.

Defensas combinadas (defensa en profundidad): segmentación, firewall, cifrado, MFA, parches, control de acceso, monitorización, copias y formación. IDS detecta y alerta; IPS puede bloquear.