Funciones y diagnóstico

Una red de área local, o LAN, es la red de un edificio o de un recinto: los equipos de una oficina, de un centro de salud o de una sede administrativa, conectados entre sí y con salida al exterior. Montarla es un proyecto que acaba; administrarla es un trabajo continuo que empieza el día en que se enciende y no termina.

Administrar consiste en cuatro tareas que se repiten en ciclo. Planificar, que es decidir cómo se reparten las direcciones, los nombres, los permisos y los recursos antes de que haga falta. Configurar, que es aplicar esas decisiones a los equipos. Monitorizar, que es enterarse de lo que pasa sin esperar a que alguien llame. Y diagnosticar, que es localizar la causa cuando algo deja de funcionar.

A esas cuatro hay que añadir una quinta que no es técnica y es la que más averías evita: documentar. Un plan de direccionamiento escrito, un inventario de equipos con su dirección física y un registro de los cambios convierten media hora de investigación en treinta segundos de consulta.

Conviene tener claro qué queda fuera de este tema, porque el temario oficial reparte las redes en varios. El modelo de capas y los protocolos en abstracto son el tema 7. La seguridad y las redes privadas virtuales, el tema 9. El cableado, las topologías y los aparatos de interconexión, el tema 10. La resolución de nombres, el tema 3. Aquí se trata lo que hace a diario quien tiene la red ya montada delante.

Planificar, configurar, monitorizar, diagnosticar y documentar. La monitorización es lo que separa a quien se entera de una avería por sus indicadores de quien se entera por una llamada.

Cuando en un examen se pregunta de qué responde la administración de una red local, la respuesta es una lista bastante estable de áreas. Conviene reconocerlas todas, aunque varias se estudien a fondo en otros temas.

Tres de esas áreas se desarrollan en otros temas y aquí solo se citan. Todo lo de cortafuegos, detección de intrusiones y vulnerabilidades es materia del tema 9. La configuración de conmutadores y encaminadores, con sus VLAN, corresponde al tema 10. Y el reparto de la red en subredes se estudia como teoría en el tema 7, aunque su aplicación práctica, que es el plan de direccionamiento, sí está en el subtema siguiente.

La lista es transversal a propósito: administrar una red no es solo tocar cables y direcciones, incluye identidades, almacenamiento, respaldo, impresión y comunicaciones.

Ante un aviso de que «no va internet», lo que distingue a un administrador con método de uno que prueba cosas es el orden. La red está hecha de capas que se apoyan una en otra, así que se comprueban de abajo hacia arriba: el primer escalón que falle explica todos los de encima y no tiene sentido seguir subiendo.

Antes de tocar nada hay tres preguntas que ahorran la mitad del trabajo: si le pasa a una sola persona o a toda la planta, desde cuándo, y qué se cambió justo antes. Un fallo que afecta a un equipo apunta a ese equipo; uno que afecta a todos apunta a un elemento compartido. Y la mayoría de las averías de una red estable son consecuencia de un cambio reciente.

Si un equipo llega a una dirección numérica pero no a un nombre, la red funciona y el fallo está en la resolución de nombres. Es el diagnóstico que más se pregunta.

Cada escalón del método tiene su herramienta, y todas vienen de serie con el sistema operativo. Lo importante no es la lista de comandos, sino saber qué demuestra cada uno cuando responde y qué demuestra cuando no responde.

ip a                       # ¿tengo dirección y está activa la interfaz?
ip r                       # ¿cuál es mi puerta de enlace?
ping -c 4 192.168.10.1     # ¿responde la puerta de enlace?
ping -c 4 9.9.9.9          # ¿salgo de la red local?
traceroute 9.9.9.9         # ¿en qué salto se corta?
ss -tulnp                  # ¿está escuchando mi servicio?

Dos cautelas que se preguntan. Un eco sin respuesta no prueba que la máquina esté apagada: es muy habitual que un cortafuegos descarte ese tipo de tráfico, así que conviene confirmar con una prueba del puerto del servicio. Y una traza de ruta que muestra saltos sin respuesta a mitad de camino tampoco indica avería: hay encaminadores configurados para no contestar a las sondas y aun así reenviar el tráfico. Lo que importa es si se llega al final.

La tabla de vecinos es la que descubre el conflicto de direcciones: si dos equipos tienen la misma dirección de red, esa entrada baila entre dos direcciones físicas distintas.

Cuando las comprobaciones anteriores dicen que todo está bien y el servicio sigue sin funcionar, queda el último recurso: ver los paquetes de verdad. Un analizador de tráfico pone la tarjeta de red a escuchar todo lo que pasa por ella y muestra cada paquete descompuesto por capas, con sus direcciones, sus puertos y su contenido.

Hay dos formas de trabajar con ellos. En la consola del propio servidor se usa un capturador de línea de comandos, que permite guardar la captura en un fichero. Para estudiarla con calma se abre después en un analizador gráfico, que agrupa los paquetes por conversación, sigue una sesión completa y colorea los errores.

El problema típico es dónde capturar. Un conmutador entrega a cada puerto solo el tráfico que le corresponde, así que un equipo enchufado a un puerto cualquiera no ve las conversaciones ajenas. La solución del administrador es el puerto espejo: se configura el conmutador para que copie a un puerto de observación todo el tráfico de otro puerto o de una VLAN entera, y ahí se conecta la máquina que captura.

# capturar solo lo que va o viene del servidor de la plataforma, puerto 443
tcpdump -i eth0 host 10.20.0.15 and port 443 -w captura.pcap

# ver por pantalla los intentos de reparto de direcciones
tcpdump -i eth0 -n port 67 or port 68

Una captura contiene tráfico de personas, así que no es una herramienta inocente: se acota con filtros al problema que se investiga, se guarda el tiempo imprescindible y se trata como dato sensible. Capturar toda una red «por si acaso» no es diagnóstico, es un riesgo.

El filtro se pone al capturar, no al leer. Una captura sin filtrar de una red con tráfico llena el disco en minutos y es casi imposible de analizar.