Bloque IV · Tema 7 · Cuerpo de Técnicos Auxiliares de Informática
Así lo numera la convocatoria: Bloque IV. Sistemas y comunicaciones. En nuestro temario es el tema 30 de 33.
El modelo TCP/IP y el modelo de referencia de interconexión de sistemas abiertos (OSI) de ISO. Protocolos TCP/IP.
El tema más rentable de los treinta y tres: 133 preguntas oficiales se responden con él, porque el direccionamiento, los puertos y los comandos reaparecen dentro de los supuestos de todos los demás. Aquí no se piden definiciones, se piden cálculos y datos exactos: la máscara mínima para 600 subredes es /18, la difusión de la primera /25 de 10.30.16.0/20 es la .127, FF00::/8 es multidifusión, SIP usa el 5060 en TCP y en UDP, el correo seguro va por 995, 465 y 993, y la capa que cifra y comprime es la de presentación. Y una cita que acaba de cambiar: TLS 1.3 ya no es la RFC 8446, es la RFC 9846.
Índice
- Por qué este es el tema más rentable de los treinta y tres
- El modelo de referencia OSI de ISO
- Servicios, primitivas y encapsulación
- El modelo TCP/IP
- La correspondencia entre los dos modelos
- Capa de acceso a la red: Ethernet, ARP y MACsec
- Capa de Internet: IPv4
- Subredes: el ejercicio que cae siempre
- NAT, PAT y CG-NAT
- IPv6
- ICMP, IGMP y los protocolos auxiliares
- Enrutamiento y protocolos de encaminamiento
- Capa de transporte: TCP, UDP y SCTP
- Puertos: el cuadro que hay que saberse
- Capa de aplicación: DNS, DHCP y los servicios clásicos
- HTTP, HTTPS y TLS
- Correo y transferencia de ficheros
- Segmentación: VLAN, DMZ y túneles
- Gestión de red: FCAPS, SNMP y CMIP
- Diagnóstico: los comandos que pregunta el tribunal
- Cuadros para memorizar
- Los errores que más caen
- Lo que ya ha preguntado el tribunal
- Autoevaluación
1. Por qué este es el tema más rentable de los treinta y tres
Hay una cifra que decide cómo hay que estudiar este tema: de las 1.115 preguntas oficiales que tenemos cargadas de los nueve exámenes del INAP, 133 se responden con esta materia. Ningún otro tema del programa se acerca. No es que el tribunal dedique 133 preguntas al epígrafe «modelo TCP/IP y modelo OSI»: es que el direccionamiento, los puertos, los protocolos y los comandos de red reaparecen dentro de los supuestos prácticos de todos los demás temas. Se pregunta una máscara de subred dentro de un supuesto de bases de datos, y un puerto seguro de IMAP dentro de uno de correo.
De ahí sale la primera decisión de estudio, y conviene tomarla con los ojos abiertos: este tema no se termina de estudiar nunca del todo, y es el que más puntos da por hora invertida. Si el opositor solo tuviera tiempo para preparar dos temas del bloque IV, serían este y el de sistemas operativos.
La segunda característica es la forma de las preguntas. Aquí el tribunal no pregunta definiciones, pregunta cálculos y datos exactos. Las tres familias, medidas sobre el corpus:
- Cálculo de subredes: dada una red y un requisito —tantas subredes, tantos hosts, la tercera subred, la última IP válida—, dar la máscara, la dirección de red o la de difusión. Cayó en 2019, en 2023, en 2024 y tres veces en 2026. Es la pregunta más repetida de todo el temario.
- Puertos y protocolos: qué puerto usa Telnet, cuáles son los puertos seguros de POP, SMTP e IMAP, qué puerto pide MySQL, qué puerto usa SIP. Se responde con una tabla memorizada, no razonando.
- Comandos de diagnóstico: cuál de estas cuatro órdenes muestra la tabla de rutas, vacía la caché DNS, captura tráfico o abre un puerto en el cortafuegos. Las cuatro opciones son casi idénticas y solo cambia una letra o una palabra.
El aviso que ahorra disgustos. En las preguntas de comandos, los distractores son órdenes que existen con la opción cambiada: tail -f frente a tail -r, -w y -u; ip route show frente a ip route list all. No hay pista de redacción que salve al que no lo ha tecleado nunca. La forma barata de estudiar esta parte es abrir una terminal y ejecutar cada comando del apartado 20 una vez.
Y una advertencia de orden práctico sobre el reparto de esfuerzo: la parte teórica —las siete capas de OSI y sus funciones— se despacha en una tarde y aporta dos o tres preguntas por examen. La parte de cálculo y catálogo aporta el resto. Conviene invertir en consecuencia.
2. El modelo de referencia OSI de ISO
El modelo de referencia de interconexión de sistemas abiertos (Open Systems Interconnection) lo publicó la ISO junto con la IEC, y la referencia exacta es la que pregunta el tribunal: ISO/IEC 7498-1:1994, segunda edición, que anuló y sustituyó a la primera de 1984. Esa es la versión vigente del estándar, y cayó tal cual en el examen: «la versión actual del estándar OSI es la ISO/IEC 7498-1:1994».
Conviene tener clara la naturaleza de lo que se está estudiando. OSI es un modelo de referencia, no una pila de protocolos que nadie use. Su valor es doble: da un vocabulario común —cuando alguien dice «esto es un problema de capa 3» todo el mundo entiende de qué habla— y organiza el trabajo de normalización. La pila que efectivamente se implantó en Internet es la de TCP/IP, y por eso el tema pregunta siempre las dos y su correspondencia.
El modelo completo son cuatro documentos: el 7498-1 es el modelo básico; el 7498-2 añade la arquitectura de seguridad; el 7498-3 la denominación y direccionamiento; y el 7498-4 el marco de gestión, del que sale el FCAPS del apartado 19.
Las siete capas, de arriba abajo
La regla de oro del modelo es que cada capa presta un servicio a la capa inmediatamente superior y se apoya en la inmediatamente inferior, sin saltarse ninguna y sin que las capas se conozcan por dentro. Esta es la tabla que hay que saberse del derecho y del revés:
| Nº | Capa | Función principal | Unidad de datos | Ejemplos |
|---|---|---|---|---|
| 7 | Aplicación | Da a los procesos de usuario acceso a los servicios de red | Datos / APDU | HTTP, FTP, SMTP, DNS, SNMP |
| 6 | Presentación | Sintaxis de transferencia, cifrado y compresión | Datos / PPDU | ASN.1, JPEG, TLS en sentido amplio |
| 5 | Sesión | Establece, gestiona y sincroniza el diálogo; puntos de control | Datos / SPDU | RPC, NetBIOS, PPTP |
| 4 | Transporte | Comunicación extremo a extremo, fiabilidad y control de flujo | Segmento (TCP) / datagrama (UDP) | TCP, UDP, SCTP |
| 3 | Red | Direccionamiento lógico y encaminamiento entre redes | Paquete | IP, ICMP, IPsec, OSPF |
| 2 | Enlace de datos | Acceso al medio, direccionamiento físico y detección de errores | Trama | Ethernet, PPP, ARP, 802.1AE |
| 1 | Física | Transmisión de bits por el medio: tensiones, conectores, sincronía | Bit | RJ-45, fibra, 10BASE-T |
Las cuatro capas de abajo se llaman capas de transmisión o de soporte de red y las tres de arriba capas de aplicación o de soporte al usuario. La de transporte hace de bisagra entre ambos grupos.
Lo que se pregunta de cada capa
Capa física (1). Transmite bits sin interpretarlos. Define niveles de tensión, duración del bit, velocidad de transmisión, conectores y su patillaje, y si la transmisión es símplex, semidúplex o dúplex. Los repetidores y los concentradores trabajan aquí, y por eso no filtran nada: repiten la señal por todos los puertos.
Capa de enlace (2). Convierte el medio en un enlace libre de errores para la capa superior. Hace el entramado, el direccionamiento físico con la dirección MAC, el control de acceso al medio y la detección de errores con el CRC de la trama. Se subdivide en dos subcapas del IEEE 802: LLC (802.2), que habla con la capa de red, y MAC, que gestiona el acceso al medio. Aquí trabajan los conmutadores y los puentes.
Capa de red (3). Encamina paquetes entre redes distintas. Le corresponden el direccionamiento lógico, la determinación de la ruta, la fragmentación cuando el paquete no cabe en la MTU del siguiente enlace y el control de congestión en su vertiente de red. Los enrutadores son equipos de capa 3: esa pregunta —cuál de estos equipos trabaja a nivel de red— ha caído literal.
Capa de transporte (4). Es la primera que es extremo a extremo: los equipos intermedios no la miran. Se ocupa de la segmentación y el reensamblado, del direccionamiento de servicio por puertos, del control de flujo y de la recuperación de errores. Es donde se decide si la comunicación es fiable o no.
Capa de sesión (5). Abre, mantiene y cierra el diálogo entre dos aplicaciones. Aporta tres cosas con nombre propio: el control del diálogo —quién habla y cuándo, con el testigo—, la sincronización mediante puntos de control que permiten retomar una transferencia larga sin empezar de cero, y la gestión de la actividad.
Capa de presentación (6). Es la de la sintaxis. Negocia la sintaxis de transferencia entre dos sistemas que representan los datos de forma distinta —el caso clásico es el orden de los bytes o la tabla de caracteres— y aplica transformaciones: cifrado y compresión. Esta es la definición que preguntó el tribunal en 2026 con estas palabras: «negociación de la sintaxis de transferencia y aplicación de transformaciones de datos tales como el cifrado y la compresión». Quien la lea deprisa contesta «sesión» o «aplicación» y falla.
Capa de aplicación (7). No es la aplicación del usuario, sino la interfaz que la aplicación usa para llegar a la red. El navegador no es la capa 7; HTTP sí lo es.
Regla mnemotécnica y su trampa. «Felipe Enseña Rápido Todas Sus Preciosas Actividades» sirve para el orden de abajo arriba (Física, Enlace, Red, Transporte, Sesión, Presentación, Aplicación). La trampa del examen no es el orden, sino colocar un protocolo en su capa: ARP es de enlace en el modelo de la casa del TAI —el tribunal lo ha preguntado como el protocolo que obtiene una dirección física a partir de una lógica—, FTP es de aplicación y no de red (pregunta literal: «cuál de los siguientes NO es un protocolo de nivel de red», respuesta FTP), e ICMP es de la capa de Internet y no de transporte.
3. Servicios, primitivas y encapsulación
Este apartado parece teoría inútil y ha caído dos veces, así que conviene aprendérselo tal como lo formula la norma.
Las cuatro primitivas
La comunicación entre una capa y la que tiene encima se describe con primitivas de servicio, y son cuatro:
- Request (petición): el usuario del servicio pide algo a la capa.
- Indication (indicación): la capa avisa al usuario remoto de que ha llegado una petición.
- Response (respuesta): el usuario remoto contesta.
- Confirm (confirmación): la capa entrega al solicitante el resultado.
Y de ahí sale la distinción que se pregunta: un servicio confirmado utiliza las cuatro primitivas —Request, Indication, Response y Confirm—, mientras que un servicio no confirmado utiliza solo dos, Request e Indication, porque nadie contesta. Esa frase, con las cuatro primitivas enumeradas, fue la opción correcta de una pregunta de 2024.
Orientado a conexión y no orientado a conexión
Un servicio orientado a conexión tiene tres fases —establecimiento, transferencia y liberación—, entrega los datos en orden y suele ser fiable; el ejemplo es TCP, y su análogo del mundo real es la llamada telefónica. Un servicio no orientado a conexión manda cada unidad por su cuenta, sin establecimiento previo y sin garantía de orden ni de entrega; el ejemplo es UDP, y su análogo es echar una carta al buzón.
Cuidado con una confusión frecuente: fiable no es sinónimo de orientado a conexión. Son propiedades distintas, aunque en TCP viajen juntas.
Encapsulación, PDU y SDU
Cuando los datos bajan por la pila, cada capa añade su propia cabecera —y la de enlace, además, una cola con el CRC—. El resultado tiene nombres formales que el tribunal usa:
- SDU (Service Data Unit): los datos que llegan de la capa superior, que para la capa actual son carga útil opaca.
- PCI (Protocol Control Information): la cabecera que añade la capa.
- PDU (Protocol Data Unit): la suma de las dos, que es lo que la capa entrega a la de abajo y lo que dialoga con su capa par del otro extremo.
Los nombres coloquiales de las PDU por capa son los de la tabla del apartado anterior: bit, trama, paquete, segmento y datos. En el sentido ascendente el proceso es el inverso, el desencapsulado: cada capa retira su cabecera y entrega el resto a la de arriba. Y la regla que lo cierra todo: cada capa dialoga con su capa par del otro extremo, aunque físicamente solo haya un cable por debajo.
4. El modelo TCP/IP
El modelo TCP/IP —también llamado modelo de Internet o modelo DoD, por el Departamento de Defensa estadounidense que financió ARPANET— nació de la implementación y no del comité, y por eso su documento fundacional no es una norma ISO sino una RFC: la RFC 1122 (requisitos de los hosts de Internet, capas de comunicación) y su compañera la RFC 1123 (aplicación y soporte), ambas de octubre de 1989.
Tiene cuatro capas, y hay que saberse los dos nombres con que se conoce cada una porque el tribunal alterna:
| Capa TCP/IP | Otros nombres | Qué hace | Protocolos |
|---|---|---|---|
| Aplicación | Proceso / aplicación | Servicios al usuario y protocolos de soporte | HTTP, FTP, SMTP, DNS, SNMP, Telnet, SSH |
| Transporte | Host a host | Extremo a extremo, fiable o no fiable | TCP, UDP, SCTP |
| Internet | Red / interred | Direccionamiento lógico y encaminamiento | IP, ICMP, IGMP, ARP en su vertiente de resolución |
| Acceso a la red | Enlace / host a red / subred | Todo lo que hace falta para poner el paquete en el medio | Ethernet, Wi-Fi, PPP, controladores y tarjetas |
Dos detalles que el tribunal ha preguntado y que se fallan por leer deprisa:
- ICMP es un protocolo de la capa de Internet, no de transporte ni de aplicación, aunque las utilidades que lo usan —ping, traceroute— parezcan aplicaciones. Fue respuesta correcta literal.
- Dentro de la capa de aplicación, el modelo distingue protocolos de usuario —los que el usuario invoca directamente, como FTP, Telnet o HTTP— de protocolos de soporte, que sostienen el funcionamiento de la red sin que nadie los invoque, como DNS, SNMP o BOOTP. La pregunta de examen dice exactamente: «FTP es un protocolo de usuario y DNS es un protocolo de soporte».
La filosofía que explica las diferencias
TCP/IP se diseñó con dos principios que conviene entender porque explican casi todas sus decisiones técnicas. El primero es el principio de extremo a extremo: la inteligencia vive en los extremos y la red interior es tonta y se limita a reenviar. El segundo es el reloj de arena: por arriba caben muchos protocolos de aplicación, por abajo muchas tecnologías de acceso, y en el centro hay un único protocolo obligatorio, IP, que es lo que permite que todo interopere.
5. La correspondencia entre los dos modelos
Esta es la pregunta más traicionera del tema porque el enunciado suele ir en negativo —«indique la respuesta INCORRECTA»— y la trampa siempre es la misma.
| OSI | TCP/IP |
|---|---|
| 7 Aplicación · 6 Presentación · 5 Sesión | Aplicación |
| 4 Transporte | Transporte |
| 3 Red | Internet |
| 2 Enlace de datos · 1 Física | Acceso a la red |
La trampa, literal del examen de 2024. La opción falsa decía: «La capa de acceso de red del modelo TCP/IP se corresponde con la capa de red del modelo OSI». Es mentira dos veces: la de acceso a la red equivale a las capas física y de enlace, y la que equivale a la de red de OSI es la capa de Internet. El parecido de los nombres «acceso a la red» y «capa de red» es justo lo que explota la pregunta.
Las diferencias de fondo, que también se preguntan
- Origen: OSI se diseñó antes de los protocolos, en comité; TCP/IP se normalizó después de que sus protocolos funcionaran.
- Número de capas: siete frente a cuatro. TCP/IP no tiene capas de sesión ni de presentación: lo que hacen se resuelve dentro de la aplicación.
- Servicios en la capa de red: OSI admite servicio orientado a conexión y no orientado a conexión en la capa de red; TCP/IP solo ofrece el no orientado a conexión en la capa de Internet, y deja la conexión para el transporte.
- Independencia de capas: en OSI el protocolo y la interfaz están claramente separados; en TCP/IP la separación es menos estricta, lo que le costó la crítica académica y le dio la victoria práctica.
- Un modelo de cinco capas —física, enlace, red, transporte y aplicación— es el que usan muchos manuales como híbrido. No es el de la norma, pero el tribunal lo ha usado alguna vez en el enunciado sin llamarlo así.
Y una pregunta de encuadre institucional que también cayó: quien elabora los estándares de Internet es el IETF (Internet Engineering Task Force), que publica las RFC; la ISO es quien publica el modelo OSI. Alrededor del IETF están el IAB (supervisión de la arquitectura), el IRTF (investigación a largo plazo), el IANA —hoy bajo la ICANN— que reparte números de puerto y direcciones, y los RIR regionales, de los que a España le corresponde RIPE NCC.
6. Capa de acceso a la red: Ethernet, ARP y MACsec
La capa de acceso a la red reúne todo lo que hace falta para poner un paquete IP en un medio concreto. En una red de oficina eso significa Ethernet (IEEE 802.3) por cable y Wi-Fi (IEEE 802.11) por radio.
La dirección MAC
La dirección física o MAC tiene 48 bits, se escribe en doce dígitos hexadecimales y se divide en dos mitades: los 24 primeros bits son el OUI (Organizationally Unique Identifier), que identifica al fabricante y los asigna el IEEE, y los 24 restantes los asigna el fabricante a cada tarjeta. La dirección de difusión es FF:FF:FF:FF:FF:FF, y todo lo que empiece por 01:00:5E es multidifusión IPv4 sobre Ethernet.
Es una dirección plana: no tiene jerarquía, no dice dónde está el equipo y no sirve para encaminar entre redes. Por eso hace falta la dirección IP, que sí es jerárquica.
ARP: de la dirección lógica a la física
Para entregar un paquete dentro de la misma red hay que conocer la MAC del destino, y lo que se conoce es su IP. Ese salto lo da el ARP (Address Resolution Protocol): el equipo emite una petición por difusión —«¿quién tiene la 10.0.4.22?»— y el dueño contesta con su MAC en una respuesta unidifusión. El resultado se guarda en la caché ARP, con un tiempo de vida corto.
La pregunta de examen es literal: «qué protocolo hay que utilizar para obtener una dirección física a partir de una dirección lógica», y la respuesta es ARP. El inverso histórico era RARP, hoy sustituido por DHCP. En IPv6 no existe ARP: su función la hace el Neighbor Discovery (NDP) sobre ICMPv6.
Del lado del diagnóstico, arp -a muestra la tabla y arp -d borra la caché de direcciones físicas —esta última fue respuesta correcta en un supuesto—. El ataque asociado es el envenenamiento ARP, que consiste en contestar peticiones ajenas para colocarse en medio de la comunicación.
La trama Ethernet y MACsec
La trama Ethernet II lleva MAC de destino, MAC de origen, un campo EtherType —0x0800 para IPv4, 0x0806 para ARP, 0x86DD para IPv6—, la carga útil de entre 46 y 1.500 bytes, que es la MTU clásica, y el CRC de comprobación. Las tramas con etiqueta de VLAN llevan además los cuatro bytes del 802.1Q.
La seguridad en esta capa tiene norma propia y ha caído: IEEE 802.1AE, conocido como MACsec, es el conjunto de protocolos que protege los datos en la capa de enlace de redes de área local Ethernet, con cifrado e integridad salto a salto. No confundirlo con el 802.1X, que es control de acceso a puerto y autenticación, ni con el 802.1Q, que son VLAN.
7. Capa de Internet: IPv4
Una dirección IPv4 tiene 32 bits, se escribe en cuatro octetos decimales separados por puntos y se parte en dos trozos: identificador de red e identificador de host. Quién manda dónde está la frontera lo dice la máscara de subred, que en binario son unos seguidos de ceros.
Las clases, que siguen cayendo
El direccionamiento con clases está en desuso desde 1993, pero el tribunal lo pregunta igual: una pregunta de 2024 pedía cuál de cuatro direcciones pertenece a la clase A, y la respuesta era 2.17.39.162.
| Clase | Primer octeto | Bits iniciales | Máscara por defecto | Uso |
|---|---|---|---|---|
| A | 1 a 126 | 0 | 255.0.0.0 (/8) | Redes enormes |
| B | 128 a 191 | 10 | 255.255.0.0 (/16) | Redes medianas |
| C | 192 a 223 | 110 | 255.255.255.0 (/24) | Redes pequeñas |
| D | 224 a 239 | 1110 | — | Multidifusión |
| E | 240 a 255 | 1111 | — | Reservada, experimental |
El 127 queda fuera del reparto porque es el bucle local: 127.0.0.0/8, con 127.0.0.1 como dirección de retorno del propio equipo.
Direcciones que no salen a Internet
- Privadas (RFC 1918): 10.0.0.0/8, 172.16.0.0/12 —es decir, de 172.16 a 172.31— y 192.168.0.0/16. Las tres aparecen en casi todos los supuestos del INAP.
- Enlace local o APIPA: 169.254.0.0/16, la que se autoasigna un equipo cuando no encuentra servidor DHCP. Verla en un
ipconfiges el síntoma clásico de DHCP caído. - Espacio compartido para CG-NAT (RFC 6598): 100.64.0.0/10, que usan los operadores entre su red y el cliente.
La cabecera IPv4
Mide 20 bytes sin opciones y sus campos preguntables son: versión, IHL (longitud de cabecera), DSCP/ECN para calidad de servicio, longitud total, identificador, banderas y desplazamiento para la fragmentación, TTL (tiempo de vida, que se decrementa en cada salto y al llegar a cero provoca el descarte y un ICMP de aviso), protocolo —1 para ICMP, 6 para TCP, 17 para UDP—, suma de comprobación de cabecera y las direcciones de origen y destino.
8. Subredes: el ejercicio que cae siempre
Este apartado vale, él solo, dos o tres preguntas por examen. La buena noticia es que siempre se resuelve con el mismo procedimiento y que no hace falta pasar nada a binario si se memoriza una tabla corta.
La tabla que hay que llevar en la cabeza
| Prefijo | Máscara | Bits de host | Direcciones | Hosts útiles | Salto |
|---|---|---|---|---|---|
| /24 | 255.255.255.0 | 8 | 256 | 254 | 1 en el 3.er octeto |
| /25 | 255.255.255.128 | 7 | 128 | 126 | 128 |
| /26 | 255.255.255.192 | 6 | 64 | 62 | 64 |
| /27 | 255.255.255.224 | 5 | 32 | 30 | 32 |
| /28 | 255.255.255.240 | 4 | 16 | 14 | 16 |
| /29 | 255.255.255.248 | 3 | 8 | 6 | 8 |
| /30 | 255.255.255.252 | 2 | 4 | 2 | 4 |
| /20 | 255.255.240.0 | 12 | 4.096 | 4.094 | 16 en el 2.º octeto |
| /21 | 255.255.248.0 | 11 | 2.048 | 2.046 | 8 |
| /22 | 255.255.252.0 | 10 | 1.024 | 1.022 | 4 |
| /23 | 255.255.254.0 | 9 | 512 | 510 | 2 |
Las dos fórmulas, con n = bits prestados al host y h = bits de host que quedan: subredes = 2 elevado a n y hosts útiles = 2 elevado a h, menos 2. Se restan dos porque la primera dirección del bloque es la dirección de red y la última es la de difusión, y ninguna se asigna a un equipo.
Los cuatro tipos de pregunta, resueltos
Tipo 1: cuántas subredes. «Dada la red 10.0.0.0/8, se necesitan crear 600 subredes: ¿cuál es la máscara mínima?» Se busca la potencia de dos que llega a 600: 2 elevado a 9 son 512, insuficiente; 2 elevado a 10 son 1.024, que ya vale. Diez bits prestados sobre /8 dan /18. Nótese que /17 solo daría 512 subredes, y que /16 y /19 son los distractores de encima y debajo.
Tipo 2: cuántos hosts. «La red 192.168.1.0/24 debe dividirse en subredes de al menos 100 hosts utilizables.» Con 6 bits de host hay 62 direcciones útiles, que no llegan; con 7 bits hay 126, que sí. Siete bits de host es /25. Y si la pregunta es al revés —cuántas direcciones hay disponibles en una /20—, la respuesta es 4.096 menos 2, es decir, 4.094, que fue respuesta literal.
Tipo 3: dirección de red y de difusión. «La VLAN 10 usa la primera subred de 10.30.16.0/20 con 25 bits de máscara.» El salto de una /25 es 128, así que la primera subred va de 10.30.16.0 a 10.30.16.127: esas son la dirección de red y la de difusión. Con 10.20.30.0/26 el salto es 64 y la difusión es 10.20.30.63.
Tipo 4: la enésima subred. «Segmentar 10.30.24.0/21 en 4 subredes iguales.» Cuatro subredes son dos bits prestados, de /21 a /23, y el salto de una /23 es 2 en el tercer octeto: las subredes empiezan en 10.30.24.0, 10.30.26.0, 10.30.28.0 y 10.30.30.0. La tercera es 10.30.28.0/23.
La variante con puerta de enlace. Cuando el supuesto dice que «la última IP válida será la puerta de enlace», la respuesta es la dirección de difusión menos uno. En una subred que termina en 10.20.30.191, la última válida es 10.20.30.190, no la .191. Ese uno de diferencia es toda la pregunta.
Si dos direcciones están o no en la misma red
Se comparan sus bits de red. Con máscara 255.255.255.192 —una /26, salto 64—, los bloques son 0-63, 64-127, 128-191 y 192-255. La dirección 192.168.123.71 cae en el bloque 64-127 y la 192.168.123.133 cae en el 128-191: no están en la misma red. Esa era la afirmación incorrecta de una pregunta de 2024.
CIDR y VLSM
CIDR (encaminamiento entre dominios sin clases) es lo que permitió olvidarse de las clases y escribir el prefijo detrás de la barra; también permite agregar rutas —resumir varias redes contiguas en una sola entrada— y es lo que mantiene manejables las tablas de Internet. VLSM (máscara de subred de longitud variable) es aplicar máscaras distintas a subredes de la misma red, para dar /30 a los enlaces entre routers, que solo necesitan dos direcciones, y /24 a las redes de usuarios.
9. NAT, PAT y CG-NAT
La traducción de direcciones de red reescribe la dirección de origen de los paquetes que salen para que una red privada entera se vea desde fuera con direcciones públicas. Sus variantes:
- NAT estática: una privada a una pública, uno a uno. Es lo que se usa para publicar un servidor.
- NAT dinámica: un grupo de privadas contra un conjunto de públicas, por orden de llegada.
- PAT o sobrecarga: muchas privadas contra una sola pública, distinguiendo cada conversación por el puerto de origen. Es lo que hace el router de cualquier casa.
- CG-NAT (Carrier-Grade NAT): la misma idea llevada al operador. La definición que dio por buena el tribunal es «una solución de los operadores que hace que muchos clientes se conecten a Internet utilizando la misma dirección IPv4». Usa el rango 100.64.0.0/10 y es la respuesta del sector al agotamiento de IPv4.
Por qué NAT rompe la telefonía IP. Hay un supuesto recurrente: las llamadas SIP internas van bien y las externas se cortan o se congelan. La causa es que la salida a Internet emplea NAT: SIP negocia en el cuerpo del mensaje las direcciones por donde vendrá el audio RTP, y esas direcciones son las privadas, que desde fuera no existen. Los arreglos habituales son un ALG de SIP, un servidor STUN o TURN, o un SBC.
10. IPv6
La especificación vigente es la RFC 8200, que es Internet Standard, STD 86, sustituyó a la RFC 2460 y está actualizada por la RFC 9673 en lo relativo al procesamiento de opciones salto a salto.
Una dirección IPv6 tiene 128 bits, se escribe en ocho grupos de cuatro dígitos hexadecimales separados por dos puntos y admite dos abreviaturas: quitar los ceros a la izquierda de cada grupo y sustituir una sola vez la secuencia más larga de grupos nulos por dos signos de dos puntos seguidos.
Los prefijos que se preguntan
| Prefijo | Tipo | Para qué |
|---|---|---|
| FF00::/8 | Multidifusión | Es la respuesta más repetida del corpus: ha caído cuatro veces |
| FE80::/10 | Enlace local | Obligatoria en toda interfaz; no se encamina |
| 2000::/3 | Unidifusión global | Las direcciones públicas |
| FC00::/7 | Unidifusión local única (ULA) | El equivalente a las privadas |
| ::1/128 | Bucle local | Equivale a 127.0.0.1 |
| ::/128 | Sin especificar | Origen mientras no se tiene dirección |
IPv6 no tiene difusión: lo que en IPv4 era broadcast se resuelve con multidifusión a grupos bien conocidos, como FF02::1 (todos los nodos del enlace) y FF02::2 (todos los routers del enlace). Sí incorpora anycast, que entrega al miembro más cercano del grupo.
La cabecera fija y lo que cambió
La cabecera de IPv6 es fija, de 40 bytes, y tiene menos campos que la de IPv4 precisamente para que los routers la procesen más rápido. Los campos que caen:
- Hop Limit: el heredero del TTL. La pregunta de 2026 lo dice con las palabras de la RFC 8200: indica el número máximo de saltos que un paquete puede dar antes de ser descartado. No es prioridad, ni tamaño, ni tipo de cabecera de extensión.
- Traffic Class y Flow Label: calidad de servicio e identificación de flujos.
- Next Header: identifica la siguiente cabecera de extensión o el protocolo de transporte.
- Payload Length: longitud de la carga útil.
Diferencias de fondo con IPv4: los routers intermedios ya no fragmentan —lo hace el origen, apoyado en el descubrimiento de la MTU de la ruta—; no hay suma de comprobación en la cabecera, porque ya la hacen las capas de enlace y de transporte; y la autoconfiguración se hace con SLAAC a partir de los anuncios de router, con o sin DHCPv6.
La convivencia entre las dos versiones se resuelve con doble pila —la opción recomendada—, con túneles (6in4, 6to4, Teredo) o con traducción (NAT64 con DNS64).
11. ICMP, IGMP y los protocolos auxiliares
ICMP transporta mensajes de control y error de la propia capa de Internet: destino inalcanzable, tiempo excedido —el que delata un bucle de enrutamiento o alimenta a traceroute—, redirección y la pareja petición y respuesta de eco, que es lo que usa ping. En IPv6 su versión, ICMPv6, asume además el descubrimiento de vecinos que en IPv4 hacía ARP, así que filtrarlo entero rompe la red.
IGMP gestiona la pertenencia a grupos de multidifusión en IPv4; en IPv6 esa función la absorbe MLD sobre ICMPv6.
12. Enrutamiento y protocolos de encaminamiento
Encaminar es decidir, paquete a paquete, por qué interfaz sale y a qué siguiente salto se entrega. El router consulta su tabla de rutas y aplica la regla del prefijo más largo: entre varias rutas que encajen, gana la más específica. Si ninguna encaja, se usa la ruta por defecto (0.0.0.0/0); si tampoco hay, el paquete se descarta y se avisa por ICMP.
Estático frente a dinámico
El enrutamiento estático lo escribe el administrador: es predecible, no consume ancho de banda ni CPU y no se adapta a las caídas. En Solaris, una ruta persistente se añade con route -p add -net 10.0.5.0/24 -gateway 10.0.5.150, que fue respuesta literal de examen; en Linux se consulta con ip route show y en Windows con route print.
El dinámico deja que los routers se cuenten entre ellos lo que saben. Se clasifica por dos criterios que el tribunal mezcla:
- Por ámbito: los IGP trabajan dentro de un sistema autónomo (RIP, IGRP, EIGRP, OSPF, IS-IS) y los EGP entre sistemas autónomos, donde hoy solo hay uno: BGP, en su versión BGP-4.
- Por algoritmo: vector de distancia o estado de enlace.
| Familia | Cómo decide | Qué comparte | Protocolos | Métrica |
|---|---|---|---|---|
| Vector de distancia | Bellman-Ford: confía en lo que le cuenta el vecino | Su tabla entera, solo con los vecinos | RIP, IGRP, EIGRP (híbrido) | Saltos (RIP, máximo 15); ancho de banda y retardo (IGRP) |
| Estado de enlace | Dijkstra: cada router construye el mapa completo | El estado de sus enlaces, a toda el área | OSPF, IS-IS | Coste, derivado del ancho de banda |
La pregunta que ha caído es directa: de una lista de protocolos, cuál usa vector de distancia, y la respuesta fue IGRP. Conviene tener claro que OSPF e IS-IS son de estado de enlace y que EIGRP se suele clasificar aparte, como híbrido o avanzado de vector de distancia.
Los bucles y sus cuatro remedios
Los protocolos de vector de distancia sufren la cuenta a infinito: cuando una red cae, dos routers pueden pasarse la información mutuamente incrementando la métrica hasta el infinito. Los remedios tienen nombre propio y se preguntan uno a uno:
- Horizonte dividido (split horizon): no anunciar una ruta por la misma interfaz por la que se aprendió.
- Inversión envenenada (poison reverse): anunciarla, pero con métrica infinita.
- Envenenamiento de ruta (route poisoning): marcar como infinita la ruta de la red que se ha caído, para que se propague la mala noticia.
- Hold down: la que preguntó el tribunal con esta definición exacta: un temporizador para que la distancia al destino deje de ser infinita y, si al expirar sigue siendo infinita, se elimina la ruta de la tabla. Durante ese tiempo el router ignora actualizaciones peores sobre esa red, para no creerse un rumor viejo.
Y en la capa de enlace hay un mecanismo homólogo contra los bucles de conmutación: el árbol de expansión, IEEE 802.1D y sus versiones rápida (802.1w) y múltiple (802.1s), que bloquea puertos redundantes hasta que hagan falta.
Tecnologías de operador que caen de refilón
- MPLS: conmuta por etiquetas insertadas entre la capa 2 y la 3 —de ahí que se hable de capa 2,5—, con el LSR conmutando y el LER etiquetando en el borde.
- VPLS: la definición que dio por buena el tribunal es «una tecnología que permite unir redes Ethernet geográficamente dispersas haciendo que compartan un mismo dominio de difusión». Es decir, un servicio Ethernet multipunto sobre MPLS. Su hermano punto a punto es el pseudo-hilo o VPWS.
- SD-WAN: red superpuesta que reparte el tráfico entre varios accesos —fibra, móvil, MPLS— según políticas centralizadas.
13. Capa de transporte: TCP, UDP y SCTP
La capa de transporte es la primera que hablan solo los extremos, y su trabajo se resume en dos preguntas: a qué proceso van los datos —lo contesta el número de puerto— y con qué garantías se entregan —lo contesta la elección entre TCP y UDP—.
TCP
TCP es orientado a conexión, fiable y con control de flujo y de congestión. Su cabecera mide 20 bytes sin opciones y lleva puerto de origen y destino, número de secuencia, número de acuse, banderas, ventana, suma de comprobación y puntero de urgencia.
La conexión se abre con el acuerdo en tres pasos: el cliente manda SYN, el servidor responde SYN-ACK y el cliente cierra con ACK. El cierre ordenado es de cuatro pasos, con FIN y ACK en cada sentido, y existe el cierre abrupto con RST. Sobre esa apertura se monta el ataque de inundación SYN, que deja conexiones a medias hasta agotar la tabla del servidor.
La fiabilidad se consigue con números de secuencia y acuses, retransmisión por temporizador y una ventana deslizante que además hace el control de flujo: el receptor anuncia cuánto puede aceptar. El control de congestión —que es cosa de la red, no del receptor— usa arranque lento, evitación de la congestión, retransmisión rápida y recuperación rápida.
UDP
UDP es no orientado a conexión y no fiable: ni establece, ni ordena, ni retransmite. Su cabecera son 8 bytes —origen, destino, longitud y suma de comprobación— y su virtud es la latencia baja y la ausencia de estado. Se usa en DNS, DHCP, SNMP, TFTP, NTP, voz y vídeo en tiempo real, y en todo lo que prefiera llegar tarde mal que tarde bien.
La afirmación falsa que usó el tribunal. «UDP obliga al nivel de red a verificar que el envío es correcto» es incorrecta, y era la respuesta. UDP no obliga a nada a nadie: si hace falta fiabilidad, la pone la aplicación. El error de fondo que explota la pregunta es creer que la fiabilidad puede delegarse hacia abajo; en la arquitectura de Internet se delega hacia arriba.
| Rasgo | TCP | UDP |
|---|---|---|
| Conexión | Sí, en tres pasos | No |
| Fiabilidad y orden | Garantizados | No garantizados |
| Control de flujo y congestión | Sí | No |
| Cabecera | 20 bytes | 8 bytes |
| Difusión y multidifusión | No | Sí |
| Unidad | Segmento | Datagrama |
SCTP y QUIC
SCTP es el tercero en discordia: orientado a conexión y fiable como TCP, pero orientado a mensajes, con multiflujo —varios flujos independientes dentro de una asociación, lo que evita el bloqueo de cabecera de línea— y multi-hogar, que permite varias direcciones IP por extremo. Es lo que usa la señalización de las redes móviles, y aparece en una pregunta con forma inesperada: los protocolos que Kubernetes admite para sus servicios son SCTP, TCP —el de por defecto— y UDP.
QUIC es transporte moderno sobre UDP, con cifrado obligatorio y establecimiento rápido; es la base de HTTP/3 y está definido en la RFC 9000.
14. Puertos: el cuadro que hay que saberse
Un puerto es un entero de 16 bits, así que hay 65.536. El IANA los reparte en tres tramos: bien conocidos, del 0 al 1023; registrados, del 1024 al 49151; y dinámicos o efímeros, del 49152 al 65535.
| Puerto | Servicio | Notas que caen |
|---|---|---|
| 20 y 21 TCP | FTP datos y control | El 21 manda; el 20 solo en modo activo |
| 22 TCP | SSH, SCP y SFTP | Los tres comparten puerto: cayó dos veces |
| 23 TCP | Telnet | Preguntado dos veces; va en claro |
| 25 TCP | SMTP | Entre servidores |
| 53 TCP y UDP | DNS | UDP para consultas, TCP para zonas y respuestas grandes |
| 67 y 68 UDP | DHCP servidor y cliente | En IPv6, 547 y 546 |
| 69 UDP | TFTP | Sin autenticación |
| 80 TCP | HTTP | Se deja abierto para redirigir a HTTPS |
| 110 / 995 | POP3 / POP3S | El seguro es el 995 |
| 123 UDP | NTP | Sincronización horaria |
| 143 / 993 | IMAP / IMAPS | El seguro es el 993 |
| 161 y 162 UDP | SNMP y trampas | El 162 es el del receptor de notificaciones |
| 389 / 636 | LDAP / LDAPS | Directorio |
| 443 TCP | HTTPS | También HTTP/3 sobre UDP |
| 465 / 587 | SMTPS / envío con STARTTLS | El tribunal da por bueno el 465 como SMTP seguro |
| 514 UDP | Syslog | Registro remoto |
| 636, 989 y 990 | LDAPS y FTPS | FTPS implícito usa 990 y 989 |
| 1433 TCP | SQL Server | Instancia predeterminada |
| 1521 TCP | Oracle | — |
| 3306 TCP | MySQL y MariaDB | Preguntado dos veces |
| 3389 TCP | Escritorio remoto | — |
| 5060 / 5061 | SIP | El 5060 en TCP y en UDP; el 5061 con TLS |
| 5432 TCP | PostgreSQL | — |
| 8080 TCP | HTTP alternativo | Proxies y servidores de aplicaciones |
Los puertos seguros del correo han caído dos veces con la misma terna y conviene cantarla junta: POP 995, SMTP 465, IMAP 993.
15. Capa de aplicación: DNS, DHCP y los servicios clásicos
DNS
El sistema de nombres de dominio traduce nombres a direcciones y es una base de datos jerárquica y distribuida. Su jerarquía baja desde la raíz —los trece conjuntos de servidores raíz, servidos por anycast— a los dominios de primer nivel y de ahí a las zonas delegadas.
Una consulta puede ser recursiva —el cliente pide al resolutor la respuesta final y este se encarga de todo— o iterativa, que es como el resolutor habla con los servidores autoritativos: cada uno le contesta con la mejor referencia que tiene. Las respuestas se guardan en caché durante el TTL del registro.
| Registro | Para qué sirve |
|---|---|
| A / AAAA | Nombre a dirección IPv4 / IPv6 |
| MX | Dirige el correo entrante al servidor del dominio; lleva prioridad |
| SOA | Da las características básicas del dominio y de la zona: servidor primario, responsable, número de serie y temporizadores |
| NS | Servidores con autoridad sobre la zona |
| CNAME | Alias de otro nombre |
| PTR | Resolución inversa, de dirección a nombre |
| TXT | Texto libre: SPF, DKIM, verificaciones de propiedad |
| SRV | Localiza un servicio: puerto, prioridad y peso |
Los dos registros marcados en negrita son los que ha preguntado el tribunal, cada uno con la formulación de la tabla. La seguridad del DNS se refuerza con DNSSEC, que firma las respuestas y evita la suplantación, y con los transportes cifrados DoT (sobre TLS, puerto 853) y DoH (sobre HTTPS).
El pharming, que es una pregunta de DNS disfrazada de seguridad. La definición que dio por buena el tribunal: alterar el proceso de resolución de nombres —el fichero hosts o la caché DNS— para llevar al usuario a una web falsa aunque escriba la dirección correcta. Lo que lo distingue del phishing es justo eso: en el phishing el usuario pica en un enlace; en el pharming escribe bien la dirección y aun así acaba en el sitio del atacante.
DHCP
DHCP entrega configuración de red automáticamente, con un intercambio de cuatro mensajes que se recuerda como DORA: Discover del cliente por difusión, Offer del servidor, Request del cliente aceptando y Acknowledge del servidor. Reparte dirección, máscara, puerta de enlace, servidores DNS y lo que se quiera con opciones adicionales, siempre con un tiempo de concesión que el cliente renueva a la mitad.
Como el Discover va por difusión, no atraviesa routers. Cuando el servidor está en otra subred se configura un agente de retransmisión en la interfaz del router, y ese comando ha caído literal en Cisco IOS: ip helper-address 10.30.20.5 dentro de la interfaz virtual de la VLAN.
16. HTTP, HTTPS y TLS
HTTP es un protocolo de petición y respuesta, sin estado, que hoy está descrito en una familia de documentos moderna: la RFC 9110 (STD 97) define la semántica común —métodos, códigos de estado, cabeceras— y encima de ella se apoyan HTTP/1.1 (RFC 9112), HTTP/2 (RFC 9113, binario y multiplexado) y HTTP/3 (RFC 9114, sobre QUIC y por tanto sobre UDP). Esa familia sustituyó a las viejas RFC 7230 a 7235, que es la cita que todavía traen los manuales antiguos.
Los métodos que se preguntan son GET, POST, PUT, DELETE, PATCH, HEAD y OPTIONS, con las propiedades de seguro (no modifica: GET, HEAD, OPTIONS) e idempotente (repetirlo da el mismo resultado: GET, PUT, DELETE; POST no lo es). Las familias de códigos de estado: 1xx informativo, 2xx éxito, 3xx redirección, 4xx error del cliente, 5xx error del servidor.
TLS, y el dato que acaba de cambiar
HTTPS es HTTP sobre TLS. Conviene tener el árbol genealógico claro: SSL 2.0 y 3.0 están prohibidos; TLS 1.0 y 1.1 fueron declarados obsoletos por la RFC 8996; quedan vivos TLS 1.2 y TLS 1.3.
Ojo con la cita, que ha cambiado en 2026. Durante ocho años, TLS 1.3 fue «la RFC 8446», y así lo dicen todos los manuales en circulación. Desde julio de 2026 la especificación de TLS 1.3 es la RFC 9846, que deja obsoleta la RFC 8446 y también la RFC 5246 de TLS 1.2. La versión del protocolo no ha cambiado —sigue siendo la 1.3, y el IETF no ha publicado ninguna version posterior—: lo que ha cambiado es el documento que hay que citar.
Las ventajas de TLS 1.3 sobre 1.2 que se preguntan: el acuerdo se completa en un solo viaje de ida y vuelta (1-RTT), con modo 0-RTT para reanudar, lo que reduce la latencia —fue la respuesta correcta de 2026—; se eliminan los algoritmos débiles (RC4, 3DES, MD5, SHA-1, RSA estático, renegociación y compresión); y se impone el secreto hacia adelante, de modo que comprometer la clave del servidor no descifra las sesiones grabadas antes. Lo que no hace TLS 1.3 es prescindir de los certificados ni alargar el acuerdo, que eran los distractores.
Dos añadidos recientes que el tribunal aún no ha preguntado pero conviene conocer: el Encrypted Client Hello, que cifra el nombre del servidor solicitado, y los mecanismos híbridos post-cuánticos de intercambio de claves para TLS 1.3.
Sobre el puerto 80 hay una recomendación del Centro Criptológico Nacional que fue respuesta de examen y que suele sorprender: en un servidor expuesto por HTTPS, lo correcto es mantener el TCP/80 abierto y configurar la redirección automática de HTTP a HTTPS, no cerrarlo. Cerrarlo deja al usuario que teclea el dominio sin esquema con un error de conexión, y eso empuja a la gente a desconfiar del candado.
Servicios web: REST y SOAP
Aunque pertenecen al bloque de desarrollo, el tribunal los pregunta dentro de red:
- REST es un conjunto de principios arquitectónicos —no un protocolo— que encaja con aplicaciones móviles y servicios web ligeros, se apoya en HTTP y sus métodos, y su rasgo definitorio en el examen es que el servicio no guarda información del estado del cliente entre peticiones.
- SOAP sí es un protocolo de mensajería, con sobre y reglas de codificación en XML.
- WSDL 2.0 es un lenguaje XML del W3C para describir servicios web a partir de un modelo abstracto de lo que ofrecen; no es un protocolo de transporte ni de mensajería.
17. Correo y transferencia de ficheros
Correo
El correo se reparte entre tres protocolos: SMTP envía y transfiere entre servidores; POP3 descarga y, por defecto, borra del servidor; IMAP mantiene los mensajes en el servidor y sincroniza carpetas y estados entre varios dispositivos. La regla práctica: quien consulta el correo desde el móvil y el portátil quiere IMAP.
FTP y sus sustitutos seguros
FTP usa dos conexiones: una de control (21) y otra de datos (20 en modo activo). En modo activo es el servidor quien abre la conexión de datos hacia el cliente, lo que choca con los cortafuegos y el NAT del cliente; en modo pasivo es el cliente quien abre ambas, y por eso es el que funciona en la práctica.
Los tipos de transferencia se preguntan: el tipo ASCII es el adecuado para texto plano —convierte los finales de línea entre sistemas— y el tipo binario o imagen es el que hay que usar para todo lo demás, porque copia byte a byte. Mandar un ejecutable en modo ASCII lo corrompe.
| SFTP | FTPS | |
|---|---|---|
| Sobre qué va | Subsistema de SSH | FTP clásico con TLS |
| Puertos | Uno solo: el 22 | 21 con AUTH TLS, o 990 implícito, más los de datos |
| Autenticación | Usuario y contraseña o clave pública | Usuario y contraseña y certificado del servidor |
| Con cortafuegos | Cómodo: un puerto | Incómodo: rango de datos |
La afirmación incorrecta que ha caído dos veces, con el mismo texto. «SFTP usa autenticación con certificado (clave pública) mientras que FTPS usa autenticación con usuario y contraseña». Está invertida: quien se apoya en certificados X.509 es FTPS, por ser TLS; SFTP hereda de SSH la autenticación por contraseña o por par de claves. Es la única pregunta del corpus que se repite palabra por palabra en dos convocatorias, así que es de las que hay que llevar memorizadas.
18. Segmentación: VLAN, DMZ y túneles
Los supuestos del INAP no describen redes planas: describen una red partida en subred de usuarios, subred de aplicaciones, subred de bases de datos y DMZ, y luego preguntan por una pieza concreta de ese dibujo. Conviene tener el vocabulario del dibujo.
VLAN y enrutamiento entre ellas
Una VLAN es una red de área local lógica: agrupa puertos de uno o varios conmutadores en un mismo dominio de difusión, con independencia de dónde estén físicamente. Se etiquetan con el IEEE 802.1Q, que inserta cuatro bytes en la trama con el identificador, y los enlaces que transportan varias VLAN se llaman troncales; los que van a un equipo final, de acceso. La VLAN nativa es la que viaja sin etiqueta por el troncal.
Como cada VLAN es un dominio de difusión distinto, para pasar de una a otra hace falta capa 3: un enrutador o un conmutador de nivel 3 con una interfaz virtual conmutada (SVI), que es una interfaz lógica del conmutador con dirección IP dentro de la VLAN. En la SVI es donde se configura la puerta de enlace de esa subred y donde se pone el agente de retransmisión DHCP con ip helper-address, porque el Discover del cliente no sale de su dominio de difusión.
La DMZ
La zona desmilitarizada es la subred donde se colocan los servicios que hay que ofrecer al exterior —web, correo entrante, DNS público—, separada tanto de Internet como de la red interna por cortafuegos. Su razón de ser es exactamente la que dio por buena el tribunal: aislar los servidores expuestos de modo que una intrusión en ellos no comprometa directamente la red interna.
Hay dos montajes clásicos: el de tres patas, con un solo cortafuegos que tiene una interfaz a Internet, otra a la DMZ y otra a la red interna; y el de doble cortafuegos, con la DMZ en medio de dos equipos, preferiblemente de fabricantes distintos. La regla de oro es la dirección del tráfico: de la DMZ hacia dentro, lo mínimo imprescindible y siempre iniciado desde dentro cuando sea posible.
En el lado del servidor, la misma idea se aplica con zonas del cortafuegos local: en RHEL, la zona public y una regla enriquecida que solo permita el 3306 desde el rango de la DMZ es justo el ejercicio que ha caído.
Túneles y redes privadas virtuales
Una VPN crea un canal cifrado sobre una red que no es de confianza. Se clasifican por la capa en la que trabajan, que es lo que se pregunta:
- Capa 3: IPsec, con sus dos protocolos —AH, que da integridad y autenticación pero no confidencialidad, y ESP, que además cifra— y sus dos modos, transporte (protege la carga útil, extremo a extremo) y túnel (encapsula el paquete entero, que es lo que usan las VPN de sede a sede). El intercambio de claves lo hace IKEv2.
- Capa 3, moderna: WireGuard, que el CCN-CERT describe como el túnel seguro que opera en la capa de red y se implementa como interfaz virtual de red en el núcleo de Linux —esa fue la respuesta correcta—. Su ventaja es la simplicidad: poco código, criptografía fija y sin negociación de suites.
- Capa 4: las VPN de nivel de transporte, donde el protocolo más empleado es TLS, que también fue respuesta de examen. Es lo que usan OpenVPN y los accesos por portal web, y su ventaja práctica es que atraviesan cortafuegos y NAT sin pedir permiso, porque van por el 443.
- Capa 2: L2TP, que no cifra por sí mismo y por eso se combina con IPsec, y PPTP, obsoleto e inseguro.
El bloque de seguridad perimetral, el acceso remoto y la protección del puesto se desarrollan en el tema 9 de este mismo bloque; aquí basta con saber colocar cada tecnología en su capa, que es lo que pregunta este tema.
19. Gestión de red: FCAPS, SNMP y CMIP
Las cinco áreas funcionales
El modelo de gestión de OSI divide el trabajo en cinco áreas que se recuerdan por el acrónimo FCAPS, y el tribunal las pregunta en negativo —cuál NO es una de ellas—, así que hay que saber las cinco exactas:
- F — Gestión de fallos (Fault): detectar, aislar y corregir averías.
- C — Gestión de configuración (Configuration): inventario, altas, cambios y versiones.
- A — Gestión de contabilidad (Accounting): quién consume qué, para repartir el coste.
- P — Gestión de prestaciones (Performance): rendimiento, umbrales y capacidad.
- S — Gestión de seguridad (Security): acceso, credenciales y registro.
La opción falsa que puso el tribunal fue «gestión del almacenamiento (Storage)», que suena perfectamente razonable y no está en el modelo. Es el tipo de distractor que solo se descarta sabiendo la lista de memoria.
SNMP
El protocolo simple de gestión de red tiene tres piezas: el gestor, el agente que corre en el dispositivo y la MIB. La pregunta de examen define la MIB así: el conjunto de OID (identificadores de objeto) que tiene disponible un dispositivo. Los OID son los nombres jerárquicos de cada variable, y la MIB es el catálogo.
Sus operaciones, que también caen: GET lee una variable, GET NEXT recorre la MIB, SET escribe, TRAP es la notificación que envía el agente sin que nadie pregunte, INFORM es una trampa con acuse, y GET BULK es la que recupera datos voluminosos de una tabla MIB grande en una sola petición, que fue respuesta literal. GET BULK e INFORM llegaron con la versión 2.
Las versiones: v1 y v2c se autentican con una cadena de comunidad en claro, lo que las hace inaceptables hoy; v3 añade autenticación, integridad y cifrado con el modelo de seguridad de usuario (USM) y el control de acceso por vistas (VACM). La última versión de SNMP es la v3, y es respuesta de examen: está normalizada como STD 62, en las RFC 3411 a 3418. Escucha en el 161 UDP, y las trampas llegan al 162.
CMIP y las herramientas
CMIP es el protocolo de gestión del mundo OSI, más completo y más pesado que SNMP, y el tribunal lo ha preguntado como «protocolo utilizado para administrar dispositivos de una red». En herramientas concretas, la que dio por buena como software de monitorización para Linux fue Check_MK; de la misma familia son Nagios, Zabbix, Icinga, Prometheus con Grafana, Cacti y Munin. NetFlow e IPFIX no son monitorización de estado sino registro de flujos de tráfico.
20. Diagnóstico: los comandos que pregunta el tribunal
Esta es la sección que más puntos da y la que menos se estudia, porque parece que se sabe. Todos los comandos de las tablas siguientes han sido opción correcta o distractor en el corpus.
Linux
| Comando | Qué hace |
|---|---|
ip route show | Muestra la tabla de enrutamiento. La forma moderna; netstat -r es la antigua |
ip route get 10.30.20.30 | Dice la ruta efectiva que usaría el núcleo para ese destino: interfaz y siguiente salto |
ip addr show | Direcciones de las interfaces, sustituto de ifconfig |
ss -ltn | Puertos en escucha TCP, en numérico. Sustituye a netstat -ltn |
nc -vz 10.30.20.30 3306 | Sonda de capa 4: comprueba si el puerto acepta conexión, sin cliente del servicio |
tcpdump -i eth1 -w fichero.out | Captura el tráfico de una interfaz a fichero para analizarlo después |
arp -d | Borra la caché de direcciones físicas |
tail -f | Sigue un registro según crece. Los distractores son -r, -w y -u |
dig / host / nslookup | Consultas DNS |
traceroute / mtr | Camino salto a salto hasta el destino |
Cortafuegos y núcleo en RHEL
| Comando | Qué hace |
|---|---|
firewall-cmd --zone=public --list-services | Comprueba qué servicios permite una zona |
firewall-cmd --permanent --zone=public --add-rich-rule=... | Regla persistente y con condiciones: origen, protocolo y puerto. Sin --permanent se pierde al reiniciar; sin --reload no entra en vigor |
net.ipv4.conf.all.rp_filter=1 | Ajuste de sysctl que activa el filtrado de ruta inversa, la defensa contra la suplantación de IP |
Windows
| Comando | Qué hace |
|---|---|
ipconfig /flushdns | Vacía la caché de resolución DNS. Preguntado dos veces; también vale desde PowerShell |
ipconfig /all | Configuración completa, con MAC, DHCP y servidores DNS |
route print | Tabla de enrutamiento del equipo |
netsh advfirewall firewall add rule name="X" dir=in action=allow protocol=TCP localport=8443 | Abre un puerto entrante en el cortafuegos de Windows. El orden de los parámetros es el de la respuesta correcta |
gpresult | Muestra el conjunto resultante de directivas (RSoP) de usuario y equipo |
nslookup / pathping / tracert | Diagnóstico de nombres y de camino |
21. Cuadros para memorizar
Dónde vive cada protocolo
| Capa OSI | Protocolos |
|---|---|
| 7 Aplicación | HTTP, HTTPS, FTP, SFTP, SMTP, POP3, IMAP, DNS, DHCP, SNMP, Telnet, SSH, SIP, LDAP, NTP |
| 6 Presentación | ASN.1, XDR, formatos de codificación y compresión |
| 5 Sesión | RPC, NetBIOS, PPTP, SOCKS |
| 4 Transporte | TCP, UDP, SCTP, QUIC (sobre UDP) |
| 3 Red | IPv4, IPv6, ICMP, ICMPv6, IGMP, IPsec, OSPF, RIP, BGP, IS-IS |
| 2 Enlace | Ethernet (802.3), Wi-Fi (802.11), PPP, HDLC, ARP, STP (802.1D), VLAN (802.1Q), MACsec (802.1AE), 802.1X |
| 1 Física | RJ-45, fibra, 10BASE-T, RS-232, conectores y codificaciones de línea |
Equipos de interconexión por capa
| Capa | Equipo | Qué decide |
|---|---|---|
| 1 | Repetidor y concentrador | Nada: regenera y repite por todos los puertos |
| 2 | Puente y conmutador | Reenvía por MAC; segmenta dominios de colisión |
| 3 | Enrutador | Reenvía por IP; separa dominios de difusión |
| 4 a 7 | Pasarela, cortafuegos de aplicación, balanceador | Traduce o decide mirando puertos y contenido |
Las cifras que se preguntan
| Dato | Valor |
|---|---|
| Dirección IPv4 / IPv6 / MAC | 32 / 128 / 48 bits |
| Cabecera IPv4 / IPv6 / TCP / UDP | 20 (sin opciones) / 40 fija / 20 / 8 bytes |
| MTU clásica de Ethernet | 1.500 bytes |
| Puertos: bien conocidos / registrados / dinámicos | 0-1023 / 1024-49151 / 49152-65535 |
| Saltos máximos de RIP | 15; el 16 es infinito |
| Norma vigente del modelo OSI | ISO/IEC 7498-1:1994 |
| Especificación de IPv6 / de TLS 1.3 | RFC 8200 (STD 86) / RFC 9846 |
22. Los errores que más caen
- Confundir «acceso a la red» con «capa de red». La de acceso a la red de TCP/IP equivale a la física y la de enlace de OSI; la que equivale a la de red es la de Internet.
- Olvidar restar dos. En una /20 hay 4.096 direcciones pero 4.094 hosts útiles. Y cuando piden la última IP válida, es la de difusión menos uno.
- Contestar «sesión» a la pregunta de presentación. El cifrado y la compresión, con la negociación de la sintaxis, son de la capa 6.
- Colocar ICMP en transporte. Es de la capa de Internet, aunque ping parezca una aplicación.
- Creer que UDP delega la fiabilidad en la capa de red. No la delega: si hace falta, la pone la aplicación.
- Invertir SFTP y FTPS. El de los certificados es FTPS, que es TLS; SFTP va sobre SSH y usa contraseña o clave.
- Decir que el puerto seguro de SMTP es el 587 cuando preguntan por la terna. La terna que da por buena el tribunal es 995 / 465 / 993.
- Citar la RFC 8446 para TLS 1.3. Desde julio de 2026 la especificación es la RFC 9846; la 8446 está obsoleta.
- Añadir «almacenamiento» a FCAPS. Son fallos, configuración, contabilidad, prestaciones y seguridad, y ninguna más.
- Suponer que cerrar el puerto 80 es lo más seguro. El CCN recomienda dejarlo y redirigir a HTTPS.
- Clasificar OSPF como vector de distancia. Es de estado de enlace; los de vector de distancia son RIP e IGRP.
- Confundir 802.1AE, 802.1X y 802.1Q. MACsec cifra en la capa de enlace, el 802.1X autentica el puerto y el 802.1Q etiqueta VLAN.
23. Lo que ya ha preguntado el tribunal
Repaso de las respuestas correctas que están verificadas contra el corpus de los nueve exámenes, por si se quiere usar como último repaso la víspera:
- La capa que negocia la sintaxis de transferencia y aplica cifrado y compresión: presentación.
- La versión actual del estándar OSI: ISO/IEC 7498-1:1994.
- Un servicio confirmado usa las cuatro primitivas: Request, Indication, Response y Confirm.
- ICMP es de la capa de Internet; FTP no es de la capa de red; FTP es protocolo de usuario y DNS de soporte.
- Equipo de interconexión de nivel 3: el enrutador.
- El protocolo que obtiene la dirección física a partir de la lógica: ARP.
- 600 subredes sobre una /8: /18. Subredes de 100 hosts sobre una /24: /25. Primera subred /25 de 10.30.16.0/20: 10.30.16.0 y 10.30.16.127. Tercera subred al partir 10.30.24.0/21 en cuatro: 10.30.28.0/23. Hosts de una /20: 4.094. Máscara 255.255.255.128: 25 bits.
- Prefijo de multidifusión en IPv6: FF00::/8. Propósito del Hop Limit: número máximo de saltos antes del descarte.
- Dirección de clase A: 2.17.39.162. CG-NAT: muchos clientes con la misma IPv4 pública.
- Protocolo de vector de distancia: IGRP. Mecanismo con temporizador contra bucles: hold down.
- Puertos: Telnet 23, SIP 5060 en TCP y UDP, MySQL 3306, SQL Server 1433, SSH y SCP 22, correo seguro 995 / 465 / 993.
- Registros DNS: el del correo entrante es MX; el de las características de la zona es SOA.
- Ventaja de TLS 1.3: acuerdo en 1-RTT. Recomendación del CCN sobre el puerto 80: dejarlo y redirigir a HTTPS.
- SNMP: la MIB es el conjunto de OID, GET BULK recupera tablas grandes y la última versión es la v3. CMIP administra dispositivos. FCAPS no incluye almacenamiento.
- VPLS une redes Ethernet dispersas en un mismo dominio de difusión. 802.1AE es MACsec.
- Kubernetes admite SCTP, TCP (por defecto) y UDP. Las llamadas SIP externas se cortan por el NAT.
- Comandos: ip route show, ip route get, ss -ltn, nc -vz, tcpdump -i eth1 -w, arp -d, tail -f, ipconfig /flushdns, route print, gpresult, netsh advfirewall, ip helper-address, route -p add en Solaris, firewall-cmd con regla enriquecida y rp_filter=1.
24. Autoevaluación
Doce preguntas de control. Si se fallan más de tres, el tema no está listo:
- ¿Qué capa de OSI negocia la sintaxis de transferencia y aplica el cifrado?
- ¿A qué capas de OSI equivale la capa de acceso a la red de TCP/IP?
- ¿Cuántas primitivas usa un servicio confirmado y cómo se llaman?
- Sobre 172.16.0.0/16 hacen falta 30 subredes: ¿qué prefijo es el mínimo?
- En la subred 10.20.30.64/26, ¿cuál es la dirección de difusión y cuál la última IP asignable?
- ¿Qué prefijo IPv6 identifica la multidifusión y cuál el enlace local?
- ¿En qué se diferencian el horizonte dividido y el hold down?
- ¿Qué tres protocolos admite Kubernetes en sus servicios?
- Puertos seguros de POP, SMTP e IMAP; y puerto de SIP con sus dos transportes.
- ¿Qué registro DNS describe la zona y qué información lleva?
- ¿Qué RFC especifica hoy TLS 1.3 y a cuál dejó obsoleta?
- ¿Qué comando muestra la ruta efectiva a un destino en Linux y cuál vacía la caché DNS en Windows?
¿Te lo sabes? 🐂
Cien preguntas de este tema, escritas al estilo del cuestionario del INAP y contrastadas con los nueve exámenes oficiales que tenemos resueltos. Crea tu cuenta gratis para guardar tu progreso y repasar tus falladas. Gratis y siempre lo será.