Equipos de red: switch, router, firewall y compañía

En casa casi todo el mundo tiene una sola caja del operador que hace de todo: módem, router, switch, Wi-Fi y firewall. Por eso cuesta tanto entender qué hace cada cosa. Pero en cuanto montas algo un poco más serio, esas funciones se separan en aparatos distintos, y ahí sí que hay que saber cuál es cuál.

Vamos de abajo arriba, siguiendo las capas.

Primero: la dirección MAC

Antes de hablar de switches hay que conocer la dirección MAC. Es el identificador de la tarjeta de red de cada equipo, y es lo que se usa para entregar datos dentro de una misma red (capa 2). La IP sirve para moverse entre redes; la MAC, para el último salto.

3C:52:82:1A:7F:09
└──┬───┘ └──┬───┘
   OUI    identificador del equipo
(fabricante)

48 bits, escritos en hexadecimal → 6 pares separados por : o -.
Los 3 primeros bytes (OUI) identifican al fabricante. Por eso muchas apps saben que un equipo “es un TP-Link” o “es un Apple” solo con ver su MAC.
En teoría es única y fija. En la práctica se puede cambiar, y los móviles modernos usan MAC aleatorias por cada Wi-Fi para que no se les pueda rastrear.

Para relacionar IP y MAC dentro de una red se usa el protocolo ARP: “¿quién tiene la IP 192.168.1.1? Que me diga su MAC”. Puedes ver la tabla con ip neigh en Linux o arp -a en Windows.

Módem / ONT

Es el que convierte la señal del operador (luz por la fibra, señal por el cable de cobre, radio en 4G/5G) en Ethernet. En fibra se llama ONT. Trabaja en la capa 1 y no toma ninguna decisión.

Hoy suele venir dentro del router del operador. Cuando pones ese router en modo bridge, lo que haces es dejarlo solo como módem/ONT, para que tu propio router reciba la IP pública directamente. Es la forma limpia de evitar el doble NAT del que hablamos en NAT y PAT.

Hub (la reliquia)

Un hub repetía todo lo que le entraba por un puerto a todos los demás puertos. Todos los equipos recibían todo, colisiones incluidas. Ya no se fabrican, pero conviene conocerlos para entender por qué el switch fue tan importante.

Switch

El switch conecta equipos dentro de una misma red (capa 2). La diferencia con el hub es que aprende: apunta en una tabla qué MAC hay detrás de cada puerto y envía cada trama solo por el puerto que toca.

Tabla MAC del switch
Puerto 1  --> 3C:52:82:1A:7F:09  (PC)
Puerto 2  --> B8:27:EB:44:10:2C  (servidor)
Puerto 5  --> 00:1A:2B:3C:4D:5E  (router)

Hay tres familias:

No gestionable → lo enchufas y funciona. No se configura nada. Perfecto para ampliar puertos en una mesa.
Gestionable (o smart) → tiene panel de configuración: VLAN, prioridades (QoS), estadísticas por puerto, desactivar puertos…
De capa 3 → además de lo anterior, sabe enrutar entre VLAN como si fuera un router. Típico en empresas.

PoE: corriente por el cable de red

Muchos switches gestionables son PoE (Power over Ethernet): dan corriente por el mismo cable de red. Así alimentas puntos de acceso, cámaras o teléfonos IP sin tener que llevar un enchufe a cada uno.

Estándar	Nombre	Potencia máxima por puerto
802.3af	PoE	15,4 W
802.3at	PoE+	30 W
802.3bt	PoE++	60 W / 90 W

Lo que hay que mirar siempre es el presupuesto PoE del switch: la potencia total que puede repartir entre todos los puertos. Un switch de 16 puertos PoE+ no puede dar 30 W a la vez en los 16 si su presupuesto es de 250 W.

Router

El router conecta redes distintas entre sí (capa 3). Mira la IP de destino de cada paquete y decide por dónde mandarlo, según su tabla de rutas. Es la puerta de enlace de tu red y la frontera entre tu LAN y la WAN.

Un router doméstico, además, hace muchas otras cosas: NAT, servidor DHCP, DNS, firewall básico y Wi-Fi. Por eso parece que “el router” lo hace todo.

Firewall

El firewall decide qué tráfico se permite y qué no, según unas reglas. Puede ser un aparato dedicado (o un sistema como pfSense u OPNsense instalado en un PC) o una función del propio router.

Los de hoy son con estado (stateful): recuerdan las conexiones abiertas. Si tu PC abre una conexión hacia una web, el firewall deja pasar automáticamente las respuestas de esa conexión, sin que tengas que crear una regla para la vuelta.

Una regla típica dice algo así:

Origen         Destino          Puerto     Acción
Red clientes   Red servidores   cualquiera BLOQUEAR
Red clientes   Internet         cualquiera PERMITIR
Red oficina    Servidor NAS     445/TCP    PERMITIR

Según hasta dónde mire, se habla de firewall de capa 3-4 (IPs y puertos) o de capa 7 (también el contenido, el tipo de aplicación…). Estos últimos se suelen llamar NGFW o WAF cuando protegen webs.

Punto de acceso (AP) y controladora

El punto de acceso es el que da Wi-Fi: convierte la red por cable en red inalámbrica. Trabaja en capa 2, igual que un switch, pero por el aire. Un router doméstico lleva uno dentro.

Cuando hay varios AP (un local grande, una casa de varias plantas), se suelen gestionar con una controladora: un aparato o software desde el que se configuran todos a la vez (mismas redes Wi-Fi, mismas contraseñas, roaming entre AP…). Los sistemas mesh domésticos son una versión simplificada de lo mismo.

Cada red Wi-Fi que creas es un SSID (el nombre que ves en el móvil), y en equipos de gama media cada SSID se puede asociar a una VLAN distinta.

Radioenlace (CPE)

Cuando hay que llevar la red a un sitio donde no llega el cable (otro edificio, una caseta, un poste a cientos de metros), se usan radioenlaces punto a punto: dos antenas direccionales, una en cada extremo, mirándose. A estas antenas exteriores se les suele llamar CPE. Para el resto de la red, el enlace se comporta como un cable muy largo.

Necesitan visión directa entre las dos antenas. Los árboles, sobre todo en 5 GHz, son su peor enemigo.

Cómo encaja todo

          Internet
             │
     ┌───────┴────────┐
     │  ONT / módem   │  capa 1: convierte la señal (modo bridge)
     └───────┬────────┘
     ┌───────┴────────┐
     │ Router/firewall│  capa 3-4: rutas, NAT, DHCP, reglas
     └───────┬────────┘
     ┌───────┴────────┐
     │ Switch PoE     │  capa 2: conecta equipos y da corriente
     └─┬─────┬─────┬──┘
       │     │     │
      AP   Servidor  PC
   (Wi-Fi)

En mi caso: la red del negocio por piezas

En el negocio que gestiono, la red empezó con la típica caja del operador que hacía de todo y otros routers colgados detrás. Al rehacerla, separé cada función en su aparato:

Router → uno dedicado, que hace de puerta de enlace y firewall para todas las redes.
Controladora → un aparato pequeño que gestiona todos los AP y la configuración de las redes Wi-Fi desde un solo panel.
Switch PoE+ → 16 puertos PoE+ con un presupuesto de 250 W. Alimenta 8 puntos de acceso, 5 de interior y 3 de exterior, que suman unos 121 W. Cabe de sobra, pero es la primera cuenta que hice antes de comprarlo.
Radioenlace → dos antenas CPE para llevar la conexión a una ubicación a unos cientos de metros, donde no había forma de pasar un cable.

Y una lección de capa 1 que no olvidaré: uno de los AP de exterior, con unos 80 metros de cable, negociaba a 100 Mb/s en vez de a 1 Gb/s. El cable “funcionaba”, pero el diagnóstico del switch (la prueba TDR) mostraba que solo había 2 de los 4 pares bien. El Fast Ethernet (100 Mb/s) solo necesita 2 pares, así que el enlace subía igualmente; el Gigabit necesita los 4. Si un puerto se queda en 100 Mb/s, lo primero es revisar el cable y los conectores.

Errores típicos

“Cuantos más routers, mejor” → encadenar routers trae doble NAT y varios DHCP. Si necesitas más puertos, pon un switch. Si necesitas más Wi-Fi, pon un AP, o el router secundario en modo AP.
Comprar un switch PoE sin mirar el presupuesto total → los equipos se reinician o no arrancan cuando se supera.
Confundir router y firewall → el router encamina; el firewall decide. Que tengas router no significa que tengas reglas bien hechas.
Un switch no gestionable en medio de una red con VLAN → no entiende las etiquetas y te rompe la segmentación.
Un puerto a 100 Mb/s “porque el equipo es así” → casi siempre es el cable o un conector mal crimpado.

Resumen

MAC → identificador de la tarjeta de red (48 bits). Sirve para entregar dentro de la misma red. ARP relaciona IP y MAC.
Módem/ONT (capa 1) → convierte la señal del operador. Modo bridge = el router del operador solo hace de módem.
Switch (capa 2) → conecta equipos de la misma red, aprendiendo MACs. Gestionable = VLAN. PoE = corriente por el cable.
Router (capa 3) → conecta redes distintas. Firewall → decide qué tráfico pasa.
AP → da Wi-Fi. Controladora → gestiona muchos AP a la vez. CPE → radioenlaces exteriores.

Siguiente: VLAN y segmentación Relacionado: NAT y PAT, Puertos TCP y UDP, Índice de Redes