Administración de redes de área local. Gestión de usuarios. Gestión de dispositivos. Monitorización y control de tráfico.

Índice

1. Por qué este tema es de NOMBRES DE PRODUCTO
2. La red de área local y sus elementos
3. Segmentación: VLAN, enlaces troncales y SVI
4. Servicios de red: DHCP, DNS y NAT
5. Gestión de usuarios
6. Gestión de dispositivos
7. Movilidad: MDM y los cuatro modelos de propiedad
8. Monitorización: qué se vigila y con qué
9. SNMP por dentro
10. Control de tráfico y calidad de servicio
11. El proxy caché y el filtrado
12. Diagnóstico de red
13. Cuadros para memorizar
14. Los errores que más caen
15. Autoevaluación

1. Por qué este tema es de NOMBRES DE PRODUCTO

Los tres temas anteriores del bloque se preguntan por órdenes, por cifras y por puertos. Este tiene una firma distinta y muy reconocible: se pregunta por el nombre del producto.

Sobre las 28 preguntas del corpus que tocan esta materia, la construcción se repite: un enunciado que describe una necesidad y cuatro nombres propios, de los que solo uno hace lo que se pide. Los ejemplos son elocuentes:

• «Un proxy caché que soporte HTTP, HTTP/2 y HTTPS» → Squid, frente a InfluxDB, Grafana y Check_MK, que son los tres reales pero de monitorización.
• «Software de monitorización para Linux» → Check_MK, frente a Redis —base de datos en memoria—, Jenkins —integración continua— y Nagstamon, que es solo un visor de escritorio para Nagios.
• «Plataforma integrada de monitorización y seguridad con vigilancia del rendimiento de aplicaciones» → Datadog, frente a Voldemort, Atohalan y Cockroach.
• «Gestión de dispositivos móviles exclusiva para Apple» → Jamf, frente a Citrix Endpoint Management, Miradore y Scalefusion, que son multiplataforma.

La segunda firma del tema son las siglas de cuatro letras de la gestión de dispositivos —BYOD, COPE, CYOD, COBO—, que se ofrecen las cuatro juntas y se distinguen únicamente por de quién es el aparato y quién elige. Y la tercera, la orden de configuración de red: una sola pregunta, pero muy específica, sobre el reenvío de DHCP en un equipo Cisco.

2. La red de área local y sus elementos

Una red de área local conecta equipos en un ámbito geográfico reducido —un edificio, un campus— bajo una misma administración. Es el escenario de todo este tema.

2.1 Los equipos de interconexión

Conviene tenerlos ordenados por la capa en la que trabajan, porque el examen los usa unos como distractores de otros:

Equipo	Capa	Qué hace
Repetidor y concentrador	Física (1)	Regeneran la señal y la repiten por todos los puertos. Todos comparten el mismo dominio de colisión, y por eso están en desuso.
Puente y conmutador	Enlace (2)	Reenvían tramas según la dirección MAC, aprendiendo en qué puerto está cada equipo. Cada puerto es un dominio de colisión propio, pero todos comparten el dominio de difusión.
Encaminador	Red (3)	Reenvía paquetes entre redes distintas según la dirección IP. Separa dominios de difusión.
Conmutador de nivel 3	2 y 3	Conmuta y además encamina entre sus VLAN. Es la pieza típica de la capa de distribución.
Cortafuegos	3 a 7	Filtra según reglas; los modernos inspeccionan también la aplicación.
Punto de acceso	1 y 2	Extiende la red por radio, uniendo el medio inalámbrico con el cableado.

Las dos ideas que se preguntan como consecuencia: un conmutador divide dominios de colisión y un encaminador divide dominios de difusión; y una difusión enviada en una red conmutada plana llega a todos los equipos, que es precisamente el problema que resuelven las VLAN.

2.2 La arquitectura por capas

El diseño clásico de una red corporativa tiene tres niveles, y sus nombres se preguntan:

• Acceso: donde se conectan los puestos y los puntos de acceso. Aquí viven la seguridad de puerto y las VLAN de usuario.
• Distribución: agrega los conmutadores de acceso, encamina entre VLAN y aplica políticas.
• Núcleo: transporta a gran velocidad entre zonas, sin aplicar políticas que lo ralenticen.

En redes pequeñas se colapsan las dos últimas en una sola capa. Y sobre esa base se añade la zona desmilitarizada, un segmento intermedio donde se colocan los servicios accesibles desde Internet —correo, web, resolución de nombres— de modo que un compromiso de esos servidores no dé acceso directo a la red interna.

2.3 El medio

Medio	Rasgos que se preguntan
Par trenzado	El del cableado estructurado. Categorías 5e, 6, 6A y 7. Distancia máxima de 100 metros por enlace, incluidos los latiguillos.
Fibra monomodo	Núcleo muy fino y un solo camino para la luz: distancias de kilómetros. Para troncales y enlaces entre edificios.
Fibra multimodo	Núcleo mayor y varios caminos, lo que provoca dispersión: distancias cortas, dentro del edificio. Más barata de terminar.
Fibra plástica (POF)	Núcleo de plástico, muy fácil de manipular y muy tolerante a curvas, pero con mucha atenuación: alcances cortos y velocidades modestas. Se usa en domótica e industria, no en troncales.
Radio	Medio compartido y no confinado: el alcance depende del entorno y la seguridad no puede apoyarse en el cable.

La fibra plástica aparece en el corpus con una pregunta negativa, y lo que hay que tener claro es su perfil completo: fácil de instalar y barata, pero de alcance corto por su atenuación. Cualquier afirmación que le atribuya largas distancias o el papel de troncal es falsa.

2.4 Conmutación de circuitos y de paquetes

Una pregunta del corpus pide el rasgo definitorio de la conmutación de circuitos frente a la de paquetes:

	Conmutación de circuitos	Conmutación de paquetes
Rasgo definitorio	Se establece un camino dedicado y exclusivo entre los extremos mientras dura la comunicación.	Cada paquete se encamina por separado y puede seguir una ruta distinta.
Recursos	Reservados aunque no se usen.	Compartidos: mejor aprovechamiento.
Retardo	Constante una vez establecido.	Variable, con fluctuación.
Establecimiento	Hay una fase previa.	No la hay en el modelo sin conexión.
Ejemplo	La telefonía clásica.	Internet.

Los tres distractores del examen describían rasgos de la conmutación de paquetes —aprovechamiento eficiente por compartición, rutas distintas por paquete y almacenamiento en nodos intermedios—, que es la técnica habitual del tribunal: atribuir a un concepto las propiedades de su pareja.

2.5 El cableado estructurado

La red física de un edificio no se improvisa: se diseña conforme a una norma —la serie ANSI/TIA-568 y su equivalente internacional— que la divide en subsistemas con nombre propio:

Subsistema	Qué comprende
Área de trabajo	Desde la roseta hasta el equipo: el latiguillo del puesto.
Cableado horizontal	De la roseta al armario de planta. Es donde manda el límite de 90 metros de cable fijo, que con los latiguillos suma los 100 metros del enlace completo.
Armario de telecomunicaciones	El punto de concentración de la planta, con sus paneles de parcheo y su electrónica.
Cableado vertical o troncal	Une los armarios de planta con la sala principal. Suele ser fibra.
Sala de equipos	Donde se concentran los servicios del edificio.
Acometida	La entrada del operador al edificio.

Dos ideas que se preguntan como consecuencia. La primera: el enlace se certifica con un equipo que mide atenuación, diafonía y retardo, y esa certificación —no la mera continuidad— es lo que acredita que el cableado cumple su categoría. La segunda: la categoría del enlace es la del componente más bajo. Un latiguillo de categoría 5e en un cableado de categoría 6A degrada el enlace entero, que es el error de campo más frecuente.

Y una pieza cada vez más presente: la alimentación por el propio cable de red, que lleva corriente a puntos de acceso, teléfonos y cámaras por el mismo par trenzado. Obliga a dimensionar el presupuesto de potencia del conmutador, porque la suma de lo que consumen los equipos conectados tiene un tope.

2.6 La red inalámbrica

Hoy la mayor parte de los puestos se conecta por radio, así que la red de área local incluye siempre una parte inalámbrica. La familia de normas es IEEE 802.11, y sus versiones se preguntan por su letra y por su banda:

Norma	Banda	Rasgo
802.11b y g	2,4 GHz	Las antiguas. Mucho alcance y mucha interferencia.
802.11a	5 GHz	Contemporánea de las anteriores, en la banda alta.
802.11n	2,4 y 5 GHz	Introduce varias antenas simultáneas, lo que multiplica el caudal.
802.11ac	5 GHz	Canales más anchos y transmisión a varios clientes a la vez.
802.11ax	2,4, 5 y 6 GHz	Optimiza los entornos con MUCHOS clientes repartiendo el canal, más que la velocidad de uno solo.

Las dos bandas se comportan de forma muy distinta, y es la comparación que se pregunta: 2,4 GHz llega más lejos y atraviesa mejor los muros, pero tiene pocos canales sin solapar —el 1, el 6 y el 11— y comparte espectro con microondas y otros aparatos; 5 GHz tiene muchos más canales y menos interferencia, a costa de menor alcance. De ahí que el diseño de una red corporativa privilegie 5 GHz y use 2,4 GHz como respaldo.

El medio es compartido y half-duplex: el ancho de banda anunciado se reparte entre quienes están conectados al mismo punto de acceso y en el mismo canal. Por eso un diseño serio no se hace por cobertura —que haya señal en todas partes— sino por densidad: cuántos clientes simultáneos hay que atender en cada zona.

Seguridad inalámbrica

Mecanismo	Estado
WEP	Roto desde hace dos décadas. No debe usarse.
WPA	Transición desde WEP; también superado.
WPA2	Con cifrado robusto. Sigue siendo el mínimo aceptable.
WPA3	El actual: mejora el intercambio de claves y protege incluso las redes abiertas con cifrado oportunista.

Y la distinción que decide muchas preguntas: modo personal frente a modo empresarial. El personal usa una clave compartida por todos, con dos problemas evidentes —quien la conoce entra, y cambiarla obliga a reconfigurar todos los equipos—. El empresarial usa 802.1X con un servidor RADIUS, de modo que cada persona entra con sus credenciales, se puede revocar individualmente y queda registro de quién se conectó. En una organización, la red corporativa va en modo empresarial y la de invitados, aislada y con portal de acceso.

Las medidas que suelen ofrecerse como seguridad y no lo son, porque se preguntan como distractores: ocultar el nombre de la red —se descubre en cuanto un cliente legítimo se conecta— y filtrar por dirección MAC, que se falsifica con una orden. Sirven de estorbo menor, no de control de acceso.

Por último, la gestión centralizada: en una organización los puntos de acceso no se configuran uno a uno, sino desde un controlador —físico o en la nube— que reparte la configuración, elige canales y potencias para minimizar interferencias entre ellos y permite la itinerancia de un punto a otro sin cortar la sesión.

2.7 Diagnóstico de la red inalámbrica

Los problemas de radio se confunden con los de red y tienen su propio método. Las tres causas que explican casi todo:

• Cobertura insuficiente: la señal llega débil. Se mide con un estudio del emplazamiento, y se corrige moviendo o añadiendo puntos de acceso, no subiendo la potencia sin más: potencia alta en el punto de acceso no mejora la señal que devuelve el móvil, que emite mucho menos.
• Interferencia y solapamiento: dos puntos de acceso cercanos en el mismo canal se estorban entre sí. En la banda de 2,4 GHz, con solo tres canales sin solapar, es casi inevitable en un edificio con muchos equipos.
• Saturación por densidad: la cobertura es buena pero hay demasiados clientes compartiendo el mismo canal. Es el caso de un salón de actos, y se resuelve con más puntos de acceso a menos potencia, no con uno más grande.

De ahí la regla de diseño que se pregunta: en entornos densos se baja la potencia y se ponen más puntos de acceso, para que cada celda sea pequeña y los clientes se repartan. Subir la potencia agranda la celda, mete más clientes en el mismo canal y empeora justo lo que se quería arreglar.

3. Segmentación: VLAN, enlaces troncales y SVI

Una VLAN es una red de área local lógica: un grupo de puertos que se comportan como si estuvieran en un conmutador aparte, aunque estén repartidos por varios equipos físicos.

3.1 Para qué sirven

• Dividir el dominio de difusión sin comprar más equipos. Una difusión de una VLAN no sale de ella.
• Separar por función y no por ubicación: la VLAN de voz, la de administración, la de invitados, la de cámaras.
• Aplicar políticas distintas a cada grupo, porque el tráfico entre VLAN pasa obligatoriamente por un elemento de nivel 3 donde se filtra.
• Contener incidentes: un equipo comprometido en la VLAN de invitados no ve la red interna.

3.2 Los tres conceptos que se preguntan

Concepto	Qué es
Puerto de acceso	Pertenece a una sola VLAN y a él se conecta un equipo final. Las tramas viajan sin etiqueta.
Enlace troncal	Transporta varias VLAN por el mismo cable, etiquetando cada trama con su identificador. El etiquetado lo normaliza IEEE 802.1Q, que añade cuatro bytes a la trama.
SVI (Switched Virtual Interface)	La interfaz virtual de una VLAN dentro de un conmutador de nivel 3. Le da dirección IP a la VLAN y es la puerta de enlace de sus equipos: es donde se encamina entre VLAN.

La VLAN nativa de un enlace troncal es aquella cuyo tráfico viaja sin etiquetar. Debe coincidir en los dos extremos y, por seguridad, conviene que no sea la VLAN 1 ni ninguna con equipos dentro, para evitar el salto entre VLAN por doble etiquetado.

3.3 La orden del examen: el reenvío de DHCP

Aquí está la pregunta más específica del tema, y merece entenderse porque explica un mecanismo importante. El problema: las peticiones de DHCP son difusiones, y una difusión no sale de su VLAN. Si el servidor de direcciones está en otra red, los equipos de la VLAN 10 no lo alcanzan nunca.

La solución es el agente de reenvío (DHCP relay): el elemento de nivel 3 recoge la difusión, la convierte en un mensaje dirigido al servidor y le reenvía la petición, añadiendo la información necesaria para que el servidor sepa de qué red venía y elija el ámbito correcto. En equipos Cisco se configura sobre la interfaz virtual de esa VLAN con:

ip helper-address 10.30.20.5

Los tres distractores del examen —ip dhcp server, service dhcp forward y relay dhcp— no existen. El nombre real, helper address, es poco intuitivo y por eso es preguntable: describe «la dirección del que ayuda», no la función.

3.4 Redundancia y bucles

Un anillo de conmutadores sin protección provoca una tormenta de difusión: las tramas circulan indefinidamente y la red se cae. Lo evita el protocolo de árbol de expansión (IEEE 802.1D y sus versiones rápidas y por VLAN), que bloquea lógicamente los enlaces redundantes y los activa si el principal cae.

Junto a él, la agregación de enlaces (IEEE 802.3ad) une varios cables entre dos equipos en uno lógico, sumando ancho de banda y aportando tolerancia sin crear bucle.

3.5 Seguridad en el puerto del conmutador

La segmentación separa; el control de acceso decide quién entra. Las medidas que se aplican en la capa de acceso, y que el examen presenta como conjunto:

• Deshabilitar los puertos sin usar y asignarlos a una VLAN sin salida. Una roseta activa en una sala de reuniones es una puerta abierta.
• Seguridad de puerto: limitar cuántas direcciones MAC distintas se admiten y qué hacer si aparecen más —avisar, descartar o apagar el puerto—. Frena el enchufe de un conmutador doméstico no autorizado.
• 802.1X: nada pasa hasta que el equipo se autentica contra el servidor central. Es el control fuerte, y admite asignar la VLAN según quién se autentique, de modo que la misma roseta sirva a un empleado y a un invitado con resultados distintos.
• Inspección de DHCP: marcar qué puertos pueden alojar un servidor legítimo y descartar las ofertas que vengan de los demás.
• Inspección del protocolo de resolución de direcciones: impedir que un equipo se haga pasar por la puerta de enlace, que es la base del ataque de intermediario dentro de la red local.
• Protección contra bucles en los puertos de usuario, para que un cable enchufado por error en dos rosetas no tumbe la planta.
• Control de tormentas: limitar el porcentaje de tráfico de difusión que se admite por puerto.

La idea que ordena todas ellas: la red de acceso no se fía de lo que se conecta. Y de ahí sale también la respuesta a la pregunta clásica de «cómo impido que alguien enchufe un portátil y esté dentro», que es 802.1X con RADIUS, no el filtrado por dirección física.

4. Servicios de red: DHCP, DNS y NAT

4.1 DHCP

El protocolo de configuración dinámica de equipos entrega a cada máquina su dirección IP, su máscara, su puerta de enlace y sus servidores de nombres. Su diálogo tiene cuatro mensajes cuyas iniciales forman una regla mnemotécnica clásica:

Mensaje	Quién y qué
DISCOVER	El cliente pregunta por difusión si hay algún servidor.
OFFER	El servidor ofrece una dirección concreta.
REQUEST	El cliente pide formalmente la que acepta —también por difusión, para que los demás servidores retiren su oferta—.
ACK	El servidor confirma y entrega la configuración con su tiempo de concesión.

Los conceptos de administración: el ámbito es el rango de direcciones de una red; la concesión tiene un tiempo tras el cual hay que renovar —el cliente lo intenta a la mitad—; la reserva ata una dirección a una MAC concreta para que un equipo reciba siempre la misma; y las exclusiones apartan las direcciones que se asignan a mano, como las de los servidores y la electrónica.

Dos problemas característicos y preguntables: un servidor no autorizado —alguien enchufa un encaminador doméstico y empieza a repartir direcciones erróneas—, que se ataja con la inspección de DHCP en los conmutadores; y el agotamiento del ámbito, cuando hay más equipos que direcciones o cuando las concesiones son demasiado largas para una red de rotación alta como la de invitados.

4.2 DNS

El sistema de nombres de dominio traduce nombres a direcciones y es, en la práctica, la primera pieza que se rompe en cualquier incidencia. Sus tipos de registro se han visto en el tema anterior; aquí interesa la administración:

• Zona directa e inversa: de nombre a dirección y al revés.
• Servidor autoritativo, que tiene la verdad de una zona, frente a recursivo, que resuelve preguntando a otros y guarda el resultado en caché.
• Tiempo de vida: cuánto conservan los demás una respuesta. Bajarlo antes de un cambio planificado es la práctica que evita horas de resultados antiguos.
• Reenviadores: a quién pregunta el servidor interno cuando no sabe.
• DNS dividido: respuestas distintas para el interior y para el exterior, para no publicar la estructura interna.

4.3 NAT

La traducción de direcciones de red permite que muchos equipos con direcciones privadas salgan a Internet compartiendo una pública. Los rangos privados hay que sabérselos: 10.0.0.0/8, 172.16.0.0/12 y 192.168.0.0/16.

Las modalidades: estática, una a una; dinámica, desde un conjunto de públicas; y la habitual, la sobrecarga o traducción de puertos, en la que muchos equipos comparten una dirección distinguiéndose por el puerto de origen. Su consecuencia práctica —y preguntable— es que desde fuera no se puede iniciar una conexión hacia dentro salvo que se publique explícitamente un puerto, lo que le da un efecto colateral de aislamiento que no debe confundirse con un cortafuegos.

4.4 Direccionamiento y subredes en la práctica

Administrar una red local exige repartir el espacio de direcciones con criterio. Las piezas:

• La máscara separa la parte de red de la parte de equipo. En notación abreviada se escribe con una barra y el número de bits de red: una /24 deja ocho bits para equipos.
• En cada subred hay dos direcciones que no se asignan: la primera identifica la red y la última es la de difusión. Por eso una /24 tiene 256 direcciones y 254 utilizables.
• Cada bit que se le quita a la máscara duplica el número de equipos; cada bit que se le añade lo divide por dos. Una /25 son 126 útiles, una /26 son 62 y una /30 son 2, que es la habitual para un enlace entre dos encaminadores.

El criterio de diseño que se pregunta: una subred por VLAN, dimensionada con holgura pero sin exagerar. Subredes enormes multiplican el tráfico de difusión que todos los equipos deben procesar; subredes justas obligan a rehacer el direccionamiento cuando crece el departamento. Y conviene reservar rangos por función —servidores, puestos, impresión, voz, gestión— para que las reglas de filtrado se puedan escribir por bloques y no equipo a equipo.

Dos reservas que hay que conocer porque aparecen en diagnósticos: 127.0.0.0/8 es el bucle local, y 169.254.0.0/16 es el rango de autoconfiguración que un equipo se asigna cuando no ha encontrado servidor de direcciones. Ver una dirección de ese rango en un puesto es el síntoma inequívoco de que el DHCP no está llegando, y remite directamente al reenvío del apartado 3.3.

5. Gestión de usuarios

El enunciado oficial nombra expresamente la gestión de usuarios, y en una red corporativa eso significa una cosa: centralizar.

5.1 El servicio de directorio

Un directorio es una base de datos jerárquica optimizada para lectura que guarda los objetos de la organización —personas, grupos, equipos, impresoras— y permite consultarlos con LDAP. Su implantación dominante en el mundo Windows es Active Directory, con su estructura de bosque, dominio y unidad organizativa que se desarrolla en el tema IV·1; en el mundo libre, OpenLDAP y sus derivados.

Lo que aporta y por lo que se pregunta: una sola alta y una sola baja. Sin directorio, dar de baja a una persona obliga a recorrer cada sistema, y siempre queda alguno olvidado —que es exactamente el hallazgo más repetido de cualquier auditoría—.

5.2 El ciclo de vida de la cuenta

1. Alta, preferiblemente automatizada desde el sistema de personal, para que la fuente de verdad sea una sola.
2. Asignación de permisos por ROL, no persona a persona: se pertenece a un grupo y el grupo tiene los permisos. Es lo que hace revisable el modelo.
3. Modificaciones por cambio de puesto, que es el punto donde se acumulan privilegios si no se retiran los anteriores.
4. Revisión periódica de quién tiene qué, con responsable que certifique.
5. Baja: deshabilitar de inmediato, conservar los datos el plazo previsto y borrar después.

El defecto clásico tiene nombre: la acumulación de privilegios, que se produce cuando alguien cambia de departamento y conserva los accesos de todos sus puestos anteriores. Se combate con el mínimo privilegio y con la revisión periódica, no con buena voluntad.

5.3 Autenticación

Mecanismo	Para qué
Kerberos	Autenticación por tiques dentro del dominio. Exige relojes sincronizados.
LDAP	Consulta del directorio; también se usa para validar credenciales contra él.
RADIUS	Autenticación, autorización y contabilidad centralizadas para el acceso a la red: es lo que hay detrás del acceso inalámbrico corporativo y del acceso remoto.
IEEE 802.1X	Control de acceso al puerto: el conmutador o el punto de acceso no dejan pasar tráfico hasta que el equipo se autentica contra el servidor RADIUS.
SAML y OpenID Connect	Identidad federada y sesión única entre aplicaciones web.
Segundo factor	Algo que se tiene o se es, además de la contraseña. Es hoy la medida con mejor relación entre coste y eficacia.

La combinación 802.1X más RADIUS es la respuesta estándar a «cómo impido que alguien enchufe un portátil a una roseta y esté dentro», y conviene tenerla asociada a esa pregunta.

5.4 Contraseñas y segundo factor

La política de contraseñas ha cambiado de doctrina y conviene conocer la actual, porque los exámenes recientes ya no premian la antigua:

• La longitud manda sobre la complejidad. Una frase larga resiste mejor que ocho caracteres con símbolos, y además se recuerda.
• La caducidad periódica obligatoria se desaconseja si no hay indicio de compromiso: empuja a variaciones previsibles del mismo patrón. Lo que sí se exige es el cambio inmediato ante sospecha.
• Comprobar contra listas de contraseñas filtradas es más eficaz que exigir un símbolo.
• Bloqueo o retardo progresivo tras intentos fallidos, para frenar el ensayo sistemático.
• Nunca reutilizar la contraseña corporativa fuera del trabajo, que es la vía por la que una filtración ajena se convierte en un incidente propio.

Por encima de todo eso está el segundo factor, que es hoy la medida con mejor relación entre coste y eficacia, porque una contraseña robada deja de bastar. Los factores se clasifican en tres familias —algo que se sabe, algo que se tiene y algo que se es— y la autenticación es de varios factores cuando combina familias distintas: una contraseña y una pregunta de seguridad son dos cosas que se saben, y por tanto no son dos factores.

Mecanismo	Cómo funciona y qué resistencia tiene
Código por mensaje corto	Cómodo y universal, pero el más débil: el número se puede duplicar o desviar.
Código temporal de una aplicación	Se genera en el dispositivo a partir de una semilla compartida y de la hora, y cambia cada pocos segundos. No viaja por la red, así que no se intercepta.
Notificación de aprobación	Se acepta desde el móvil. Cuidado con la fatiga: recibir muchas lleva a aprobar por inercia, que es un ataque real.
Llave física	Un dispositivo que firma el desafío y comprueba el dominio, lo que la hace resistente al engaño: no funciona en una web falsa aunque el usuario caiga.
Certificado en el equipo	Autenticación por clave pública, habitual en el acceso corporativo.

El código temporal depende de que los relojes coincidan, y de ahí que un desfase de hora sea causa habitual de que deje de funcionar. Y la advertencia de administración: los procedimientos de recuperación son el eslabón débil: si se puede saltar el segundo factor llamando al servicio de asistencia, el segundo factor no protege nada.

6. Gestión de dispositivos

6.1 El inventario

No se puede administrar lo que no se conoce, y por eso la primera pieza es el inventario de equipos: qué hay, dónde está, quién lo usa, qué software tiene y en qué versión. Es también el punto de partida del parcheo —sin inventario no se sabe si una vulnerabilidad afecta— y de la gestión de licencias.

Se alimenta de tres fuentes que conviene distinguir: el descubrimiento de red, que encuentra lo que responde; los agentes instalados, que informan con detalle; y la gestión de la configuración, que declara cómo debe estar cada equipo.

6.2 El puesto de trabajo

Las tareas que se preguntan como conjunto:

• Despliegue de imagen: preparar un sistema base y clonarlo, con arranque por red para instalar sin tocar el equipo.
• Distribución de software centralizada, con paquetes aprobados.
• Aplicación de políticas, mediante directivas de grupo o su equivalente.
• Control remoto para asistencia, con consentimiento y con registro de quién entró.
• Cifrado del disco, con la clave de recuperación custodiada en el directorio.
• Protección del puesto: antivirus y, en organizaciones grandes, detección y respuesta con capacidad de aislar el equipo.

6.3 Impresión y periféricos de red

Las impresoras y los equipos multifunción son, en la práctica, servidores completos con disco y sistema operativo propio, y por eso pertenecen a la gestión de dispositivos y no al mobiliario. Lo que hay que administrar en ellas:

• Direccionamiento fijo por reserva, para que no cambien de dirección y rompan las colas configuradas.
• Colas centralizadas en un servidor de impresión, que permite desplegar la impresora por directiva en vez de instalarla equipo a equipo, y cambiar el aparato sin tocar los puestos.
• Impresión segura: el trabajo no sale hasta que la persona se identifica en el aparato, lo que evita el documento olvidado en la bandeja y ahorra papel.
• Endurecimiento: cambiar las credenciales de administración, apagar los protocolos que no se usen y actualizar el firmware. Una impresora con la contraseña de fábrica y acceso a la red interna es un punto de entrada cómodo.
• Disco y datos: muchos modelos guardan copia de lo impreso y escaneado. Al retirar el aparato hay que borrar ese almacenamiento, que es un descuido habitual con consecuencias en protección de datos.

Lo mismo vale, con más motivo, para el resto de aparatos conectados: cámaras, control de accesos, pantallas y climatización. Todos ellos forman lo que suele llamarse internet de las cosas corporativo, y la práctica recomendada es la misma: inventariarlos, ponerlos en su propia VLAN y no dejarles hablar con la red interna salvo lo imprescindible.

7. Movilidad: MDM y los cuatro modelos de propiedad

7.1 Qué es y cómo se llama

La gestión de dispositivos móviles (MDM) permite administrar teléfonos y tabletas de forma centralizada. El término ha ido creciendo y conviene conocer los tres escalones, porque se usan como distractores entre sí:

• MDM: gestión del dispositivo —inscripción, políticas, bloqueo, borrado—.
• MAM: gestión de las aplicaciones y de sus datos, sin tomar el control del aparato entero.
• UEM: gestión unificada de todos los puestos, móviles y de escritorio, desde una sola consola.

7.2 El enrolamiento

Es una pregunta literal del corpus, y su respuesta conviene retenerla con esas palabras: enrolar consiste en emparejar, en el sistema MDM de la organización, a cada usuario con su dispositivo. A partir de ese emparejamiento el aparato queda bajo gestión y recibe perfiles, aplicaciones y políticas.

Los distractores del examen enseñan lo que no es: no es dar de alta los aparatos en una base de datos —eso es inventariar—, no es insertar la tarjeta del operador y no es formatear a fábrica, aunque el restablecimiento sea a veces el paso previo para inscribir un equipo que ya tenía dueño.

Las modalidades de inscripción que existen: por el usuario, instalando un perfil; automática, en la que el aparato queda asociado a la organización desde su compra y se inscribe solo al encenderse; y por lotes para despliegues grandes.

7.3 Las cuatro siglas de propiedad

Esta tabla es la pregunta. Las cuatro se ofrecen juntas y solo se distinguen por dos cosas: de quién es el aparato y quién elige el modelo.

Sigla	Significado	De quién es	Uso personal
BYOD	Bring Your Own Device	Del usuario, que usa el suyo para el trabajo	Sí, es su aparato
COPE	Corporate Owned, Personally Enabled	De la organización	Sí, permitido
CYOD	Choose Your Own Device	De la organización	Según política; el usuario elige de un catálogo
COBO	Corporate Owned, Business Only	De la organización	No: solo uso profesional

La respuesta a «modalidad que permite al usuario usar su propio dispositivo personal para tareas profesionales» es, por tanto, BYOD. Y las implicaciones que se preguntan como consecuencia son de dos clases: legales y de privacidad —no se puede borrar el teléfono personal de alguien sin más, ni acceder a sus datos privados— y de seguridad, porque la organización no controla ni la versión del sistema ni las aplicaciones instaladas.

La solución técnica a esa tensión es el perfil de trabajo o contenedor: una zona separada del dispositivo con las aplicaciones y los datos corporativos, cifrada y sujeta a política, que se puede borrar selectivamente sin tocar lo personal. Es la diferencia entre el borrado completo y el corporativo, que conviene tener nombrada.

7.4 Las plataformas

Producto	Rasgo
Jamf	Exclusiva del ecosistema Apple. Es la respuesta a la pregunta del corpus.
Microsoft Intune	Multiplataforma, integrada con el directorio y con la ofimática de Microsoft.
Citrix Endpoint Management	Multiplataforma.
Miradore, Scalefusion	Multiplataforma, orientadas a organizaciones medianas.
VMware Workspace ONE	Gestión unificada de puestos, multiplataforma.

Lo que hay que retener es sencillo: de todas las que se citan, la única atada a un fabricante concreto es Jamf, y ese fabricante es Apple.

7.5 Seguridad del dispositivo móvil

Las políticas que un sistema de gestión aplica y que conviene tener enumeradas, porque el examen las presenta como conjunto:

Política	Qué impone
Bloqueo de pantalla	Código o biometría obligatorios, con tiempo máximo de inactividad.
Cifrado	Del almacenamiento del dispositivo, que en los sistemas actuales viene activado si hay bloqueo.
Versión mínima	Impedir el acceso a los recursos corporativos desde un sistema desactualizado.
Detección de manipulación	Bloquear los aparatos con el sistema liberado, porque el aislamiento entre aplicaciones deja de garantizarse.
Catálogo de aplicaciones	Distribuir las corporativas y, según el modelo, limitar la instalación de otras.
Borrado remoto	Completo o solo del perfil de trabajo, según de quién sea el aparato.
Localización	Con las cautelas legales evidentes: en un dispositivo personal no cabe sin más.

Y las dos decisiones que suelen plantearse en un supuesto. La primera: ante la pérdida de un aparato corporativo, el procedimiento es bloquear, localizar si procede y borrar, en ese orden, y dejar constancia. La segunda: al cesar la relación laboral con un dispositivo BYOD, lo que se ejecuta es el borrado corporativo, que retira el perfil de trabajo y sus datos y deja intacto lo personal. Borrar el teléfono entero de alguien que era su dueño es, además de desproporcionado, jurídicamente problemático.

8. Monitorización: qué se vigila y con qué

Es la parte del tema con más nombres propios, y por tanto la más preguntable.

8.1 Qué se vigila

La monitorización clásica se organiza en cuatro planos, y conviene tenerlos separados porque cada herramienta se especializa en unos:

Plano	Qué se mide
Disponibilidad	¿Responde? Sondas contra el servicio, no solo contra la máquina: que el servidor conteste al ping no significa que la web funcione.
Rendimiento	Procesador, memoria, disco, red, y tiempos de respuesta.
Capacidad	Tendencias: cuándo se llenará el disco, cuándo se agotará el ámbito de direcciones. Es la que permite anticipar en vez de apagar fuegos.
Registro y sucesos	Qué ha ido pasando, centralizado y correlacionado.

Sobre eso se definen umbrales y avisos. Y el criterio que separa un buen sistema de uno inútil es la tasa de falsos positivos: si avisa de todo, nadie lo mira, y el aviso que importa se pierde entre los demás. De ahí las prácticas de agrupar avisos relacionados, silenciar durante las ventanas de mantenimiento y escalar solo lo que exige acción.

8.2 Los productos, que es lo que se pregunta

Producto	Qué es exactamente
Nagios	El sistema de monitorización clásico, basado en comprobaciones ejecutadas periódicamente y en estados con avisos. Muy extensible mediante complementos.
Check_MK	Sistema de monitorización para Linux y otros, nacido en el entorno de Nagios pero con descubrimiento automático de servicios y su propia interfaz. Es la respuesta del corpus a «software de monitorización para Linux».
Nagstamon	⚠ No es un sistema de monitorización: es un visor de escritorio que muestra los avisos de Nagios y compatibles. Es el distractor fino del examen.
Zabbix	Monitorización completa con agentes, descubrimiento, plantillas y su propia base de datos.
Prometheus	Recolector de métricas por consulta, con base de datos de series temporales y su lenguaje de consulta. El modelo moderno, muy usado con contenedores.
Grafana	Solo paneles: pinta lo que otros recogen. No monitoriza por sí misma, y por eso aparece como distractor de proxy y de monitorización.
InfluxDB	Base de datos de series temporales: guarda métricas. Tampoco monitoriza ni hace de proxy.
Datadog	Plataforma integrada de monitorización y seguridad en modo servicio, con vigilancia del rendimiento de aplicaciones entre sus servicios. Es la respuesta del corpus a esa descripción.
Elastic y su pila	Recogida, indexación y visualización de registros; con capacidades de seguridad.
Cacti, MRTG	Gráficas históricas a partir de SNMP. Los clásicos del ancho de banda por interfaz.

8.3 Comprobar la configuración de Nagios

Una pregunta del corpus pide cómo verificar que Nagios está bien configurado antes de añadir una comprobación. La respuesta es lanzar el propio ejecutable en modo de verificación sobre su fichero de configuración:

nagios -v /usr/local/nagios/etc/nagios.cfg

La opción -v analiza la configuración, informa de errores y avisos y no arranca el servicio. El distractor más plausible es systemctl status nagios, que dice si el servicio está corriendo pero no valida la configuración: un fichero con un error puede convivir con un servicio en marcha que aún tiene cargada la versión anterior. Es la misma distinción que en el tema IV·1 entre comprobar y consultar estado.

8.4 Gestionar la red, no solo vigilarla

La monitorización dice qué pasa; la gestión es lo que evita que pase. Cuatro prácticas que se preguntan como criterio:

• Documentación viva: esquema lógico y físico, plan de direccionamiento, inventario de VLAN, mapa de armarios y de rosetas. Una red sin documentar se administra a base de arqueología, y las incidencias duran el triple.
• Copia de la configuración de la electrónica, automatizada y versionada. Sustituir un conmutador averiado sin su configuración guardada convierte quince minutos en una tarde.
• Gestión del cambio: ventana, prueba, plan de vuelta atrás y registro. La mayoría de las caídas de red no las provoca un fallo del equipo, sino un cambio hecho sin red de seguridad.
• Línea base de rendimiento: saber cómo es un martes normal es lo único que permite reconocer un martes anormal. Sin línea base, el aviso por umbral se fija a ojo y genera ruido.

Y una regla que conviene tener presente al diseñar la vigilancia: la red de gestión se separa de la red de datos siempre que sea posible. Si el acceso a la electrónica viaja por la misma red que se ha caído, no se puede diagnosticar nada; y si viaja por la misma que usan los usuarios, cualquiera que comprometa un puesto alcanza la interfaz de administración de los conmutadores.

9. SNMP por dentro

El protocolo simple de administración de red es el estándar para consultar y configurar dispositivos, y el corpus le dedica tres preguntas, así que conviene dominarlo.

9.1 Los tres elementos

Elemento	Qué es
Gestor	El sistema que pregunta y recibe avisos.
Agente	El programa que corre en el dispositivo y responde.
MIB (Management Information Base)	El conjunto de identificadores de objeto que un dispositivo tiene disponibles: su catálogo de lo que se puede consultar. Es la respuesta literal del corpus.

Cada dato consultable es un OID, un identificador numérico jerárquico —una secuencia de números separados por puntos— que sitúa el objeto en un árbol global. La MIB es la descripción de ese árbol para un dispositivo, y por eso la pregunta la define como «el conjunto de OID que tiene disponible un dispositivo». Los distractores del examen —MIR, «OID Database», «OID Group»— no existen.

9.2 Las operaciones

Operación	Qué hace
GET	Pide el valor de un objeto concreto.
GETNEXT	Pide el siguiente objeto del árbol. Permite recorrerlo, pero de uno en uno.
GETBULK	Recupera datos voluminosos de una tabla grande en una sola petición. Es la respuesta del corpus, y se introdujo en la versión 2 precisamente para evitar la sucesión de GETNEXT.
SET	Escribe un valor: es la operación de configuración, y la que hay que restringir.
RESPONSE	La respuesta del agente. No es una petición del gestor, aunque el examen la ofrezca como si lo fuera.
TRAP e INFORM	Avisos que envía el dispositivo por iniciativa propia. El segundo exige confirmación; el primero no.

La distinción que decide la pregunta: GETBULK trae mucho de golpe y GETNEXT trae de uno en uno. Y la otra que conviene tener: GET, GETNEXT, GETBULK y SET los inicia el GESTOR; TRAP e INFORM los inicia el DISPOSITIVO.

9.3 Las versiones

Versión	Qué aporta y qué le falta
v1	La original. Autenticación por cadena de comunidad en claro, que viaja legible por la red.
v2c	Añade GETBULK y mejoras de tipos y de errores, pero mantiene la comunidad en claro.
v3	La última versión. Añade seguridad de verdad: autenticación de usuario, integridad del mensaje y cifrado, con sus tres niveles —sin autenticación, con autenticación sin cifrado y con las dos—.

La respuesta a «cuál es la última versión de SNMP» es la v3: no existen ni la v4 ni la v5, que son los distractores. Y la consecuencia de administración que se pregunta: usar v1 o v2c equivale a publicar la credencial, así que en cualquier red que no sea de laboratorio se configura v3 —y, si hay que convivir con equipos antiguos, se restringe por dirección de origen y se separa la red de gestión—.

Un último detalle preguntable: las comunidades de v1 y v2c son dos, una de solo lectura y otra de lectura y escritura, y sus valores por omisión —public y private— son de los primeros que prueba cualquier análisis de seguridad. Dejarlos sin cambiar es un hallazgo clásico de auditoría.

10. Control de tráfico y calidad de servicio

La última parte del enunciado oficial es la monitorización y el control de tráfico. Lo primero ya está; lo segundo es decidir qué pasa antes cuando no cabe todo.

10.1 Por qué hace falta

Cuando un enlace se satura, los paquetes se encolan y, si la cola se llena, se descartan. Sin política, eso ocurre indiscriminadamente: una descarga masiva puede dejar sin servicio a la telefonía o a la aplicación de gestión. La calidad de servicio consiste en decidir a quién se le da preferencia.

Y hay tráficos con exigencias distintas que conviene tener nombradas: la voz tolera muy poca latencia y muy poca fluctuación, pero consume poco ancho de banda; una copia de seguridad consume muchísimo y le da igual llegar un segundo tarde; una aplicación interactiva necesita respuestas cortas. La fluctuación —la variación del retardo entre paquetes— es lo que rompe una llamada, más que el retardo en sí.

10.2 Los mecanismos

Mecanismo	En qué consiste
Clasificación y marcado	Identificar a qué clase pertenece cada paquete y marcarlo, en la etiqueta de VLAN o en el campo correspondiente de la cabecera IP, para que el resto de la red lo respete.
Encolado con prioridad	Varias colas por interfaz y una disciplina que decide de cuál se saca antes.
Conformado (shaping)	Retiene el exceso en una cola y lo va soltando: suaviza el tráfico.
Vigilancia (policing)	Descarta o remarca el exceso en el acto, sin encolarlo.
Reserva de ancho de banda	Garantizar un mínimo a una clase, con posibilidad de usar más si sobra.
Descarte anticipado	Empezar a descartar antes de que la cola se llene, para evitar que todas las conexiones reduzcan su ritmo a la vez.

La pareja que se pregunta es conformado frente a vigilancia: el primero retrasa y el segundo tira. El conformado es preferible cuando el tráfico admite retardo; la vigilancia, cuando hay que hacer cumplir un contrato de forma estricta.

10.3 Dónde se aplica

Un principio de diseño que se pregunta como criterio: marcar lo más cerca posible del origen y aplicar la política donde está el cuello de botella. Dentro de la red local suele sobrar ancho de banda; el punto crítico es la salida a Internet o el enlace entre sedes, y ahí es donde la calidad de servicio cambia algo. Marcar en el núcleo lo que ya venía sin marcar del acceso es trabajo perdido.

Y una advertencia sobre la confianza: los conmutadores de acceso deben no fiarse del marcado que trae un equipo de usuario, porque cualquiera puede marcar su tráfico como prioritario. La confianza se concede a los teléfonos y a los enlaces con otros equipos de red, no a las rosetas.

10.4 Dimensionar el ancho de banda

Antes de repartir hace falta saber cuánto hay y cuánto se necesita. Las magnitudes que se confunden y que el examen usa como distractores unas de otras:

Magnitud	Qué mide
Ancho de banda	La capacidad nominal del enlace, en bits por segundo.
Caudal efectivo	Lo que de verdad se transfiere, siempre menor por las cabeceras y los reintentos.
Latencia	El tiempo que tarda un paquete en llegar. No mejora por contratar más ancho de banda.
Fluctuación	La variación de esa latencia entre paquetes consecutivos.
Pérdida	El porcentaje de paquetes que no llegan. Un 1 % ya degrada seriamente una llamada.

La confusión más extendida —y muy preguntable— es creer que más ancho de banda arregla la latencia. No lo hace: el ancho de banda es cuántos coches caben en la autopista y la latencia es lo que se tarda en recorrerla. Una aplicación lenta por latencia seguirá lenta con el doble de caudal, y lo que la mejora es acercar el servicio, reducir el número de idas y vueltas o cachear.

Para dimensionar se parte del percentil del tráfico observado, no del pico absoluto ni de la media: lo habitual es el percentil 95 sobre un mes, que descarta los picos aislados sin ocultar la carga real. Y se reserva margen de crecimiento, porque un enlace que trabaja al 90 % ya sufre encolamiento aunque no esté saturado del todo.

10.5 Medir el tráfico: los flujos

Para decidir a qué se le da prioridad hay que saber antes quién consume qué, y ahí SNMP se queda corto: dice cuántos bits pasan por una interfaz, pero no de quién son. Para eso están los registros de flujo.

Un flujo es el conjunto de paquetes que comparten origen, destino, puertos y protocolo. El equipo de red los contabiliza y exporta resúmenes a un recolector, que permite responder a las preguntas que de verdad importan: qué conversaciones consumen el enlace, hacia dónde va el tráfico y qué equipo empezó a hablar con un destino desconocido a las tres de la mañana. Las tecnologías se llaman NetFlow, sFlow e IPFIX según el fabricante y la norma, y su diferencia práctica es que unas contabilizan cada paquete y otras trabajan por muestreo.

Dos usos que conviene tener separados: el de capacidad —dimensionar, justificar una ampliación, ver tendencias— y el de seguridad, porque un patrón de tráfico anómalo delata un equipo comprometido antes que ninguna otra señal. Es también el material con el que se detectan las fugas de información hacia el exterior.

Frente a la captura completa de paquetes, el registro de flujos ocupa poquísimo y puede conservarse meses, a costa de no ver el contenido. La captura completa se reserva para diagnósticos puntuales, porque su volumen la hace inviable como práctica permanente.

11. El proxy caché y el filtrado

11.1 Qué es un proxy

Un proxy es un intermediario que hace las peticiones en nombre de los clientes. Hay dos sentidos, y confundirlos es un error clásico:

Tipo	Quién lo usa	Para qué
Proxy directo	Los clientes internos para salir a Internet.	Caché, filtrado, control de acceso, registro de la navegación.
Proxy inverso	Los clientes externos para llegar a los servidores internos.	Reparto de carga, terminación del cifrado, caché de contenido, protección del servidor.

El proxy caché es el directo con almacenamiento: guarda lo que se descarga y lo sirve a la siguiente petición sin volver a salir. Aporta tres cosas que se preguntan: ahorro de ancho de banda, menor latencia para lo que ya está guardado y un punto único donde aplicar política y registro.

11.2 Squid

La respuesta del corpus a «servidor proxy caché que soporte HTTP, HTTP/2 y HTTPS» es Squid, el proxy caché libre de referencia. Sus conceptos de administración:

• Listas de control de acceso: se definen conjuntos —redes de origen, destinos, horarios, tipos de contenido— y después se permite o se deniega en función de ellos. El orden de las reglas importa: gana la primera que casa.
• Almacén de caché: en disco o en memoria, con su tamaño y su política de reemplazo.
• Jerarquía de proxies: un proxy puede tener por encima a otro, en cascada.
• Autenticación del usuario para registrar y aplicar política por persona o por grupo del directorio.
• Modo transparente: el tráfico se desvía hacia el proxy sin configurar los navegadores, a costa de perder algunas capacidades.

El punto delicado es HTTPS: como el tráfico va cifrado de extremo a extremo, el proxy no puede ver el contenido salvo que se interponga descifrando y volviendo a cifrar, lo que exige instalar su certificado en todos los clientes y tiene implicaciones legales y de privacidad. La alternativa menos intrusiva es filtrar por el nombre del servidor, que sí es visible al inicio de la conexión.

11.3 Filtrado de contenido

Junto al proxy, las capas de filtrado de salida que se nombran en los exámenes:

• Por categorías, con listas mantenidas por un proveedor.
• Por reputación del destino.
• Por tipo de fichero, bloqueando ejecutables o limitando descargas grandes.
• Antivirus en el proxy, analizando lo que se descarga antes de entregarlo.
• Filtrado en el DNS: impedir la resolución de dominios maliciosos, que es barato y ataja mucho antes de que se abra ninguna conexión.

Y una consideración que en el sector público es determinante: registrar la navegación de personas identificadas es un tratamiento de datos personales. Exige base jurídica, información previa, plazo de conservación y control de quién puede consultar esos registros. No es una decisión técnica.

11.4 El proxy inverso y la publicación de servicios

La cara opuesta del proxy directo, y la que aparece en cuanto una organización publica algo hacia Internet. Un proxy inverso se sitúa delante de los servidores y recibe él las peticiones externas, de modo que quien está fuera nunca habla directamente con la aplicación. Lo que aporta:

• Terminación del cifrado: el certificado y su renovación viven en un solo sitio, no en cada servidor.
• Reparto de carga entre varias instancias, con comprobación de estado para sacar de la rotación las que fallan.
• Un solo nombre público que enruta a servicios distintos según la ruta o el nombre de máquina.
• Caché del contenido estático, que descarga a los servidores.
• Protección: filtra peticiones malformadas y, con un cortafuegos de aplicación delante, ataques conocidos.

Es también la pieza que hace posible la actualización sin corte: se saca una instancia del reparto, se actualiza, se comprueba y se devuelve, y así con las demás. Los productos habituales son los mismos servidores web configurados en ese modo, además de balanceadores dedicados.

Y la advertencia de diseño: un proxy inverso concentra el riesgo. Si cae, cae todo lo que publica, así que se despliega redundado; y como ve el tráfico ya descifrado, es un objetivo valioso y se endurece y se vigila en consecuencia.

12. Diagnóstico de red

El cierre práctico del tema: qué se ejecuta y en qué orden cuando algo no llega.

Herramienta	Qué responde
ping	¿Hay conectividad de red y cuánto tarda? Su ausencia de respuesta no prueba que el equipo esté caído: muchos filtran el eco.
traceroute / tracert	¿Por dónde va y dónde se corta? Se apoya en el campo de límite de saltos.
ip / ipconfig	¿Qué configuración tiene este equipo? Dirección, máscara, puerta de enlace.
ip route / route print	¿Por dónde sale el tráfico hacia ese destino?
arp	¿Qué MAC corresponde a esa IP en la red local?
dig / nslookup	¿Resuelve el nombre, y qué contesta cada servidor?
ss / netstat	¿Qué puertos están a la escucha y qué conexiones hay abiertas?
tcpdump / Wireshark	¿Qué se está enviando exactamente? Es el recurso cuando lo demás no explica nada.
iperf	¿Cuánto ancho de banda hay de verdad entre estos dos puntos?
mtr	Traza y estadística de pérdida por salto, en continuo.

El orden de trabajo que evita perder tiempo va de dentro afuera: primero la configuración del equipo, luego la puerta de enlace, luego la resolución de nombres, luego el destino y solo entonces la captura de tráfico. Y una regla que se pregunta como criterio: si funciona por dirección IP pero no por nombre, el problema es de DNS; si no funciona ni por dirección, es de encaminamiento o de filtrado.

12.2 Cuatro averías típicas y su causa

El diagnóstico se acelera mucho cuando se reconocen los patrones. Los cuatro más frecuentes en una red de área local:

Síntoma	Causa habitual
Un puesto con dirección del rango de autoconfiguración	No llega el servidor de direcciones: cable, VLAN mal asignada al puerto o reenvío de DHCP sin configurar.
Funciona por dirección IP pero no por nombre	Resolución de nombres: servidor caído, reenviador mal puesto o caché con un resultado antiguo.
La red va lenta a ratos y con pérdidas	Enlace saturado, negociación de velocidad o dúplex desajustada entre los dos extremos, o un bucle que el árbol de expansión no está conteniendo.
Un grupo de puestos pierde la red al mismo tiempo	Algo compartido: el conmutador de esa planta, la VLAN, la alimentación del armario o un cambio reciente de configuración.

La regla que más tiempo ahorra es delimitar el alcance antes de investigar la causa: ¿le pasa a un puesto, a una planta o a todo el edificio? Cada respuesta descarta media red. Y la segunda: preguntar qué ha cambiado, porque la mayoría de las averías no aparecen solas.

13. Cuadros para memorizar

13.1 Los nombres propios: a qué familia pertenece cada uno

Nombre	Familia
Squid	Proxy caché. Es la respuesta a HTTP, HTTP/2 y HTTPS.
Check_MK	Monitorización para Linux y otros.
Nagios	Monitorización clásica por comprobaciones.
Nagstamon	⚠ Visor de escritorio de avisos, no un monitor.
Zabbix	Monitorización con agentes y plantillas.
Prometheus	Recolector de métricas.
Grafana	Solo paneles. No monitoriza.
InfluxDB	Base de series temporales. Guarda métricas.
Datadog	Plataforma integrada de monitorización y seguridad, con rendimiento de aplicaciones.
Jamf	Gestión de dispositivos EXCLUSIVA de Apple.
Intune, Citrix Endpoint, Miradore, Scalefusion	Gestión de dispositivos multiplataforma.
Redis	Almacén clave-valor en memoria.
Jenkins	Integración continua.
Voldemort, Cockroach	Bases de datos distribuidas.

13.2 SNMP

Pregunta	Respuesta
Conjunto de OID de un dispositivo	MIB
Recuperar datos voluminosos de una tabla grande	GETBULK
Recorrer el árbol de uno en uno	GETNEXT
Escribir un valor	SET
Aviso que envía el dispositivo	TRAP, o INFORM si se confirma
Última versión	SNMP v3
Versión que introduce GETBULK	v2c
Versión que añade cifrado y autenticación	v3

13.3 Dispositivos móviles

Sigla o término	Qué es
Enrolamiento	Emparejar en el MDM cada usuario con su dispositivo.
BYOD	El aparato es del usuario.
COPE	De la organización, con uso personal permitido.
CYOD	De la organización, elegido por el usuario de un catálogo.
COBO	De la organización, solo uso profesional.
MDM / MAM / UEM	Dispositivo / aplicaciones / puestos unificados.
Borrado corporativo	Elimina el perfil de trabajo sin tocar lo personal.

13.4 Órdenes y parejas

Uno	El otro	La diferencia
ip helper-address	—	Habilita el reenvío de DHCP en la interfaz virtual de la VLAN.
nagios -v fichero	systemctl status	Valida la configuración / dice si el servicio corre.
Conmutador	Encaminador	Divide dominios de colisión / divide dominios de difusión.
Puerto de acceso	Enlace troncal	Una VLAN sin etiqueta / varias VLAN etiquetadas.
Conmutación de circuitos	De paquetes	Camino dedicado y exclusivo / cada paquete por su ruta.
Fibra monomodo	Multimodo	Kilómetros / dentro del edificio.
Conformado	Vigilancia	Retiene y suelta / descarta el exceso.
Proxy directo	Proxy inverso	Los internos salen / los externos entran.
GETBULK	GETNEXT	Mucho de golpe / de uno en uno.
RADIUS	802.1X	El servidor que autentica / el control en el puerto.

14. Los errores que más caen

1. Tomar Grafana o InfluxDB por un proxy caché. El proxy es Squid; esos dos pintan paneles y guardan métricas.
2. Tomar Nagstamon por un sistema de monitorización. Es un visor de escritorio de avisos.
3. Creer que Jamf es multiplataforma. Es exclusiva de Apple; las demás del examen no lo son.
4. Confundir BYOD con COPE. En BYOD el aparato es del usuario; en COPE es de la organización con uso personal permitido.
5. Definir el enrolamiento como dar de alta en un inventario. Es emparejar usuario y dispositivo en el MDM.
6. Decir que la MIB es un protocolo o una base de datos externa. Es el conjunto de OID que el dispositivo tiene disponible.
7. Elegir GETNEXT para traer una tabla grande. Eso es GETBULK; GETNEXT va de uno en uno.
8. Poner la v4 o la v5 como última de SNMP. La última es la v3, y es la que añade cifrado y autenticación.
9. Dejar las comunidades por omisión en v1 o v2c. Viajan en claro y son las primeras que se prueban.
10. Buscar una orden de DHCP en el reenvío. Es ip helper-address, que no lleva la palabra dhcp.
11. Validar Nagios con systemctl status. Eso dice si corre, no si la configuración es correcta.
12. Atribuir a la conmutación de circuitos el aprovechamiento eficiente del ancho de banda. Eso es de la de paquetes; lo suyo es el camino dedicado.
13. Creer que un conmutador separa dominios de difusión. Separa colisión; la difusión la separa el encaminador o una VLAN.
14. Dar a la fibra plástica alcances largos. Es fácil de instalar pero muy atenuante: distancias cortas.
15. Confundir conformado con vigilancia. El primero retiene, el segundo descarta.
16. Confiar en el marcado de calidad de servicio que llega de una roseta de usuario. Cualquiera puede marcarse como prioritario.
17. Creer que ocultar el nombre de la red inalámbrica o filtrar por MAC son medidas de seguridad. Se descubren y se falsifican con una orden.
18. Usar clave compartida en la red corporativa. Lo que corresponde es el modo empresarial con 802.1X, donde cada persona entra con sus credenciales y se puede revocar.
19. Pensar que más ancho de banda arregla la latencia. Son magnitudes distintas: una es cuántos caben y la otra, cuánto se tarda.
20. Contar 256 direcciones útiles en una /24. Son 254: la primera identifica la red y la última es la de difusión.
21. Tomar una contraseña más una pregunta de seguridad por doble factor. Las dos son algo que se sabe: no son familias distintas.
22. Borrar por completo un dispositivo BYOD al cesar la relación laboral. Lo que procede es el borrado corporativo, que retira el perfil de trabajo y deja lo personal.

15. Autoevaluación

1. ¿Qué producto es un proxy caché con soporte de HTTP, HTTP/2 y HTTPS, y qué son Grafana e InfluxDB?
2. Cita un sistema de monitorización para Linux y di por qué Nagstamon no lo es.
3. ¿Qué plataforma integrada de monitorización y seguridad incluye el rendimiento de aplicaciones?
4. ¿Qué solución de gestión de dispositivos móviles es exclusiva de Apple?
5. Define el enrolamiento de un dispositivo móvil y di qué NO es.
6. Diferencia BYOD, COPE, CYOD y COBO por propiedad y por uso personal.
7. ¿Qué es la MIB en SNMP y qué es un OID?
8. ¿Qué operación de SNMP recupera datos voluminosos de una tabla grande, y en qué se diferencia de GETNEXT?
9. ¿Cuál es la última versión de SNMP y qué aporta frente a las anteriores?
10. ¿Qué orden habilita el reenvío de DHCP hacia un servidor en la interfaz virtual de una VLAN?
11. ¿Por qué hace falta ese reenvío, si el servidor está en otra red?
12. ¿Qué orden valida la configuración de Nagios, y por qué no vale consultar el estado del servicio?
13. Enumera los cuatro mensajes del diálogo de DHCP en orden.
14. ¿Qué es una SVI y para qué sirve en un conmutador de nivel 3?
15. Diferencia un puerto de acceso de un enlace troncal, y di qué norma etiqueta las tramas.
16. ¿Qué separa un conmutador y qué separa un encaminador?
17. ¿Cuál es el rasgo definitorio de la conmutación de circuitos frente a la de paquetes?
18. Diferencia el conformado de la vigilancia en el control de tráfico.
19. ¿Qué combinación de protocolos impide que alguien enchufe un portátil a una roseta y esté dentro?
20. ¿Qué diferencia hay entre un proxy directo y uno inverso?

Autonota. Diecisiete o más de veinte, el tema está. Entre catorce y dieciséis, repasa el cuadro 13.1 de nombres propios: es lo que más cae de este tema. Por debajo de catorce, vuelve a SNMP y a las siglas de movilidad.