Dispositivos de Red Explicados: Routers, Switches, Firewalls y Más

Serie Redes Informáticas para Principiantes — Parte 3. Esta publicación continúa la Parte 1: Guía Completa de Cómo Funcionan las Redes y la Parte 2: ¿Qué Es el Modelo OSI?. Cada publicación de la serie toma un tema y lo explica a fondo. Esta trata sobre los dispositivos que hacen funcionar las redes.

En la Parte 1 conociste los componentes básicos de una red, y en la Parte 2 aprendiste las siete capas del modelo OSI. Esta publicación junta ambas cosas. Aprenderás qué hace realmente cada dispositivo de red común, en qué capa OSI trabaja y dónde lo encontrarás, desde el router de tu sala hasta los racks de equipos de un centro de datos.

Conocer estos dispositivos te ayuda a entender cómo está armada tu propia red, a resolver problemas más rápido y a entender el hardware que ves en oficinas, cuartos de servidores y exámenes de certificación como CompTIA Network+.

Los Dispositivos de Red de un Vistazo

Esta es una referencia rápida antes de ver cada dispositivo en detalle:

Hubs y Repetidores: Donde Empezó Todo

Un repetidor recibe una señal y la vuelve a enviar con toda su fuerza, para que pueda llegar más lejos. Un hub es un repetidor con varios puertos: todo lo que llega por un puerto se copia a todos los demás.

Ambos trabajan en la Capa 1, así que no entienden de direcciones; solo de señales. Como un hub envía cada trama a todos los dispositivos, la red se satura, los dispositivos tienen que turnarse y cualquiera puede ver el tráfico de los demás. Los switches reemplazaron a los hubs justamente por esto, pero todavía verás hubs en los exámenes de certificación como ejemplo de cómo no construir una red moderna.

Switches

Un switch (conmutador) conecta dispositivos dentro de la misma red local y es el corazón de casi cualquier LAN. Trabaja en la Capa 2, la de enlace de datos, y toma sus decisiones usando direcciones MAC.

Cómo Funciona un Switch

Un switch mantiene una tabla de direcciones MAC (también llamada tabla CAM) que registra qué dispositivo está conectado en qué puerto. Construye la tabla automáticamente anotando la dirección MAC de origen de cada trama que recibe:

1. Llega una trama al puerto 3 desde la dirección MAC 3C:22:FB:9A:41:7E. El switch anota: “ese dispositivo está en el puerto 3”.
2. El switch busca la dirección MAC de destino de la trama en su tabla.
3. Si conoce el puerto, envía la trama solo a ese puerto. Si todavía no lo conoce, la envía por todos los puertos (esto se llama inundación, o flooding) y aprende el puerto correcto en cuanto el dispositivo responde.

Como el tráfico va solo a donde tiene que ir, los dispositivos pueden enviar y recibir al mismo tiempo sin hacerse más lentos unos a otros, y no ven el tráfico de los demás como pasaría con un hub.

Los switches hacen esto a toda velocidad en cada puerto porque el reenvío se hace en hardware, con chips especializados llamados ASICs (circuitos integrados de aplicación específica), en lugar de software de uso general.

Switches No Administrables y Administrables

• Un switch no administrable se conecta y funciona: sin configuraciones ni ajustes. El switch pequeño que comprarías para agregar puertos a la red de tu casa es no administrable.
• Un switch administrable se puede configurar y monitorear. Las empresas los usan por funciones como:
  • VLANs (LAN virtuales), que dividen un switch físico en varias redes separadas; por ejemplo, para mantener aparte los dispositivos de invitados, los teléfonos y las computadoras de la oficina.
  • Seguridad de puertos, que limita qué dispositivos pueden conectarse a un puerto.
  • Monitoreo del tráfico y los errores de cada puerto.

Power over Ethernet (PoE)

Muchos switches empresariales admiten Power over Ethernet (PoE): envían energía eléctrica por el mismo cable Ethernet que los datos. Así, dispositivos como los puntos de acceso inalámbrico, las cámaras de seguridad y los teléfonos de escritorio necesitan un solo cable y ningún enchufe cercano. Los estándares de PoE han crecido con el tiempo, desde unos 15 watts por puerto en el estándar original hasta cerca de 90 watts en el más reciente, suficiente para dispositivos como pantallas pequeñas y cámaras con movimiento.

Switches de Capa 3

Un switch de Capa 3 (o switch multicapa) también puede enrutar el tráfico entre VLANs y subredes usando direcciones IP, un trabajo que de otro modo le corresponde a un router. Dentro de los centros de datos y de las redes de oficinas grandes, los switches de Capa 3 manejan la mayor parte del enrutamiento entre las redes internas, porque lo hacen a velocidad de hardware.

Routers

Un router (enrutador) conecta redes distintas entre sí y decide a dónde debe ir cada paquete. Trabaja en la Capa 3, la de red, y toma sus decisiones usando direcciones IP.

Cómo Funciona un Router

Todo router mantiene una tabla de enrutamiento: una lista de las redes que conoce y hacia dónde enviar el tráfico de cada una. Cuando llega un paquete, el router:

1. Lee la dirección IP de destino del paquete.
2. Busca la mejor coincidencia en su tabla de enrutamiento.
3. Reenvía el paquete por la interfaz correspondiente, hacia el siguiente router del camino: un salto más cerca de su destino.

Si ninguna ruta específica coincide, el router usa su ruta predeterminada, que normalmente es “envíalo al proveedor de internet”.

Los routers son los que conectan distintos tipos de redes: enrutan el tráfico entre subredes dentro de una organización (consulta ¿Qué Es una Subred?) y entre redes de área local (LAN) y redes de área amplia (WAN), como la red de la oficina de una empresa e internet o sus otras sucursales. Las redes grandes y los proveedores de internet usan protocolos de enrutamiento como OSPF y BGP para que los routers compartan sus rutas entre sí automáticamente.

El “Router” de tu Casa

La caja a la que la mayoría llama router en realidad son varios dispositivos en uno:

• Un router, que conecta tu red doméstica con tu proveedor de internet.
• Un switch, que da algunos puertos Ethernet.
• Un punto de acceso inalámbrico, que da el Wi-Fi.
• Un firewall, que bloquea las conexiones entrantes que nadie pidió.
• Un servidor DHCP, que le da una dirección IP a cada dispositivo.
• NAT, que permite que todos tus dispositivos compartan una sola dirección IP pública (consulta ¿Qué Es una Dirección IP?).

Módems

Un módem (modulador-demodulador) convierte la señal de la línea de tu proveedor de internet (cable, DSL o red celular) en Ethernet que tu router puede usar. En el internet por fibra, ese mismo trabajo lo hace una ONT (terminal de red óptica). El módem te conecta con tu proveedor; el router conecta tus dispositivos entre sí y con esa conexión. Muchos proveedores entregan una sola caja que hace ambas cosas.

Firewalls

Un firewall (cortafuegos) controla qué tráfico puede entrar y salir de una red, según un conjunto de reglas. Es la primera línea de defensa de una red.

Cómo Han Evolucionado los Firewalls

• Los firewalls de filtrado de paquetes revisan las direcciones IP, los puertos y el protocolo de cada paquete contra las reglas; por ejemplo, “permite el tráfico entrante al servidor web en el puerto 443; bloquea todo lo demás”. Trabajan en las Capas 3 y 4.
• Los firewalls con estado (stateful) además llevan el control de las conexiones. Si un dispositivo de dentro de la red inicia una conversación, el firewall deja entrar automáticamente las respuestas, pero sigue bloqueando las conexiones que nadie de dentro pidió. El firewall del router de tu casa funciona así.
• Los firewalls de nueva generación (NGFW) miran mucho más a fondo, hasta la Capa 7. Pueden identificar aplicaciones específicas sin importar el puerto que usen (distinguir, por ejemplo, una videollamada de una aplicación para compartir archivos), y suelen combinar varios trabajos en un solo dispositivo: el cifrado VPN para trabajadores remotos y sucursales, NAT, la prevención de intrusiones y el filtrado web.

Firewalls de Red y de Host

Un firewall de red es un dispositivo que protege toda una red, normalmente ubicado donde esta se conecta a internet. Un firewall de host es software que se ejecuta en una sola computadora, como los firewalls integrados en Windows, macOS y Linux (por ejemplo, ufw). Usar ambos es una buena práctica: si algo pasa el firewall de red, cada computadora todavía tiene su propia protección.

IDS e IPS

Un firewall decide qué tráfico está permitido. Pero el tráfico permitido todavía puede llevar un ataque; por ejemplo, una solicitud a tu sitio web en el puerto 443 que intenta aprovechar una vulnerabilidad. Ahí entran los sistemas de detección y prevención de intrusiones. Ambos examinan el tráfico con detalle, hasta el contenido de los paquetes, buscando señales de ataques.

• Un IDS (sistema de detección de intrusiones) detecta y alerta. Observa una copia del tráfico de red y avisa a los administradores cuando ve algo sospechoso, pero no detiene el tráfico.
• Un IPS (sistema de prevención de intrusiones) detecta y bloquea. Se ubica directamente en el camino del tráfico (en línea), así que puede descartar los paquetes maliciosos antes de que lleguen a su objetivo.

Detectan los ataques de dos formas principales:

• La detección basada en firmas compara el tráfico con una base de datos de patrones de ataques conocidos, como un antivirus para la red. Es precisa con las amenazas conocidas, pero no reconoce las totalmente nuevas.
• La detección basada en anomalías aprende cómo se ve el tráfico normal y señala todo lo inusual. Puede detectar ataques nuevos, pero también produce más falsos positivos: tráfico legítimo confundido con un ataque.

La diferencia entre ambos: un IDS nunca puede bloquear por error el tráfico legítimo, pero solo te avisa de un ataque después de que ocurrió. Un IPS detiene los ataques automáticamente, pero un falso positivo puede bloquear algo importante. Hoy, las funciones de IPS suelen venir integradas en los firewalls de nueva generación.

Balanceadores de Carga

Un sitio web popular no puede funcionar en un solo servidor: se saturaría con los visitantes y, si ese único servidor fallara, el sitio se caería. Un balanceador de carga se ubica delante de un grupo de servidores y reparte el tráfico entrante entre ellos, para que ningún servidor se sobrecargue.

Los balanceadores de carga mantienen los sitios rápidos y disponibles:

• Revisiones de salud (health checks): el balanceador revisa cada servidor con regularidad y deja de enviar tráfico a cualquiera que no responda, así los visitantes nunca notan cuando uno falla.
• Escalabilidad: puedes agregar más servidores detrás del balanceador a medida que crece el tráfico, o sacar uno para darle mantenimiento, sin tiempo fuera de servicio.

Eligen un servidor con un algoritmo de balanceo de carga, como:

• Round robin (por turnos): cada solicitud nueva va al siguiente servidor de la lista.
• Menos conexiones: cada solicitud va al servidor que en ese momento atiende menos conexiones.

Los balanceadores de Capa 4 deciden usando direcciones IP y puertos. Los de Capa 7 entienden HTTP, así que pueden tomar decisiones más inteligentes; por ejemplo, enviar las solicitudes de /images/ a un grupo de servidores y las de /api/ a otro.

Los balanceadores de carga también pueden quitarles trabajo a los servidores que tienen detrás:

• Descarga de TCP (TCP offloading): el balanceador se encarga del trabajo de administrar miles de conexiones de clientes.
• Descifrado SSL/TLS (SSL offloading): el balanceador descifra el tráfico HTTPS, para que los servidores de atrás no gasten capacidad de procesamiento en el cifrado.
• Caché: el balanceador guarda copias del contenido que se pide con frecuencia y lo envía directamente sin preguntarle a un servidor.

Proxies

Un proxy (o servidor proxy) es un intermediario: en lugar de hablar directamente con un servidor, el cliente habla con el proxy, y el proxy hace la solicitud en nombre del cliente. Hay dos tipos principales, según el lado para el que trabaje.

Proxies de Reenvío

Un proxy de reenvío (forward proxy) trabaja en nombre de los usuarios. Las empresas y las escuelas pasan el tráfico web de sus usuarios por un proxy de reenvío para poder:

• Filtrar URLs: bloquear sitios web peligrosos o que van en contra de sus políticas.
• Revisar el contenido: buscar malware en las descargas antes de que lleguen a las computadoras de los usuarios.
• Guardar en caché el contenido popular para ahorrar ancho de banda.
• Registrar la actividad web, como lo exigen algunas organizaciones.

Como el proxy es el que hace las solicitudes, los sitios web ven la dirección IP del proxy, no la del usuario.

Proxies Inversos

Un proxy inverso (reverse proxy) trabaja en nombre de los servidores. Se ubica delante de uno o más servidores web, recibe las solicitudes de internet y las pasa al servidor correcto que tiene detrás. Los proxies inversos se encargan de tareas como el cifrado HTTPS, la caché y ocultar los detalles de los servidores de atrás. Los balanceadores de carga son un tipo de proxy inverso. Si alguna vez configuraste un sitio web con Nginx delante de una aplicación, ya usaste uno; consulta los pasos de despliegue en Python Flask: Guía Completa para Crear y Desplegar Aplicaciones Web.

¿Proxy o VPN? Un proxy normalmente maneja el tráfico de aplicaciones específicas, como un navegador web. Una VPN cifra todo el tráfico de red de un dispositivo y lo conecta a otra red. Para configurar tu propia VPN, consulta Cómo Configurar Tailscale.

Almacenamiento en Red: NAS y SAN

Las redes no solo mueven datos; también los guardan. Hay dos enfoques principales.

NAS (Almacenamiento Conectado a la Red)

Un NAS es un dispositivo de almacenamiento con su propio sistema operativo que se conecta a la red normal y comparte archivos y carpetas con otros dispositivos, usando protocolos para compartir archivos como SMB (común en Windows y macOS) y NFS (común en Linux). Los usuarios lo ven como una unidad de red compartida.

Los NAS son fáciles de configurar y populares en hogares y oficinas pequeñas para respaldos, documentos compartidos y bibliotecas multimedia. Incluso puedes convertir una computadora con Linux en un NAS básico compartiendo carpetas con Samba; consulta Servidor Samba: Cómo Instalar y Configurar en Ubuntu.

SAN (Red de Área de Almacenamiento)

Una SAN es una red separada y de alta velocidad dedicada al almacenamiento. En lugar de compartir archivos, proporciona bloques de almacenamiento (trozos de espacio en disco en bruto) que los servidores usan como si fueran sus propios discos duros locales. El servidor formatea y administra ese almacenamiento por su cuenta. Las SAN suelen usar tecnologías dedicadas como Fibre Channel, o iSCSI, que transporta el tráfico de almacenamiento por Ethernet normal.

El acceso por bloques es más eficiente para cargas de trabajo exigentes como las bases de datos y las máquinas virtuales, por eso las SAN son comunes en los centros de datos empresariales. También son más complejas y costosas que un NAS.

Infraestructura Inalámbrica

Puntos de Acceso Inalámbrico

Un punto de acceso inalámbrico (WAP o AP) conecta los dispositivos Wi-Fi a una red cableada. Convierte entre señales de radio y Ethernet, y trabaja principalmente en las Capas 1 y 2. En casa, el punto de acceso viene integrado en tu router. En oficinas, escuelas, hoteles y almacenes, se instalan muchos puntos de acceso separados en techos y paredes para cubrir todo el edificio, a menudo alimentados por PoE desde un switch.

Controladores de LAN Inalámbrica

Cuando un edificio tiene decenas o cientos de puntos de acceso, configurar cada uno a mano no es práctico. Un controlador de LAN inalámbrica (WLC) los administra todos desde un solo lugar:

• Configuración centralizada: los nombres de las redes Wi-Fi, las contraseñas y los ajustes de seguridad se definen una vez y se envían a todos los puntos de acceso.
• Monitoreo: los administradores pueden ver cada punto de acceso, cada dispositivo conectado y problemas como la interferencia, desde un solo panel.
• Administración de radio: el controlador ajusta el canal y la potencia de cada punto de acceso para que los puntos vecinos no se interfieran entre sí.
• Roaming sin interrupciones: mientras la gente camina por el edificio, sus dispositivos pasan de un punto de acceso al siguiente sin cortar las videollamadas ni las conexiones.

Muchos sistemas modernos se administran desde la nube, con la misma administración centralizada desde un panel web y sin un controlador físico.

Wi-Fi en Malla

En los hogares, los sistemas de Wi-Fi en malla (mesh) aplican la misma idea a pequeña escala: varias unidades trabajan juntas como una sola red, con una funcionando como router principal y las demás ampliando la cobertura, para que puedas moverte por la casa en una sola red Wi-Fi.

Cómo Trabajan Juntos los Dispositivos

Así participan muchos de estos dispositivos cuando visitas un sitio web alojado en un centro de datos:

Tu laptop
  → Punto de acceso inalámbrico (en el router de tu casa)
  → Router + firewall + NAT (el router de tu casa)
  → Módem → routers de tu proveedor de internet → internet
  → Router de borde del centro de datos
  → Firewall de nueva generación con IPS
  → Balanceador de carga (descifra HTTPS y elige un servidor web disponible)
  → Switch
  → Servidor web ──(SAN)──→ Almacenamiento

1. Tu laptop envía la solicitud por Wi-Fi al punto de acceso del router de tu casa.
2. El router de tu casa aplica NAT, su firewall permite la conexión de salida y reenvía los paquetes a tu módem y a tu proveedor de internet.
3. Los routers de internet reenvían los paquetes, salto por salto, hasta el centro de datos.
4. El firewall del centro de datos revisa el tráfico contra sus reglas, y su IPS lo inspecciona en busca de ataques.
5. El balanceador de carga descifra la solicitud HTTPS y la envía a un servidor web disponible.
6. Un switch la entrega a ese servidor, que lee sus datos del almacenamiento SAN y envía la página de regreso por el mismo camino.

Redes de Hogar, de Empresa y de Centro de Datos

Los mismos tipos de dispositivos aparecen en todas partes, solo que a distintas escalas:

Dispositivos que se Suelen Confundir

• Hub vs. switch: un hub envía todo a todos los puertos; un switch envía el tráfico solo al puerto correcto, usando direcciones MAC.
• Switch vs. router: un switch conecta dispositivos dentro de una red (Capa 2, direcciones MAC); un router conecta redes distintas (Capa 3, direcciones IP).
• Módem vs. router: un módem te conecta con tu proveedor de internet; un router conecta tus dispositivos entre sí y con esa conexión.
• Firewall vs. IDS/IPS: un firewall permite o bloquea el tráfico según reglas; un IDS/IPS inspecciona el tráfico permitido en busca de señales de ataques.
• IDS vs. IPS: un IDS alerta; un IPS bloquea.
• Balanceador de carga vs. proxy inverso: un balanceador de carga es un proxy inverso cuyo trabajo principal es repartir el tráfico entre varios servidores.
• Proxy vs. VPN: un proxy maneja las solicitudes de aplicaciones específicas; una VPN cifra todo el tráfico de un dispositivo.
• NAS vs. SAN: un NAS comparte archivos por la red normal; una SAN proporciona almacenamiento por bloques por una red dedicada.
• Punto de acceso vs. controlador de LAN inalámbrica: un punto de acceso conecta los dispositivos Wi-Fi; un controlador administra muchos puntos de acceso.

Lo que Sigue en esta Serie

Ahora que conoces los dispositivos que hacen funcionar las redes, las próximas publicaciones de la serie Redes Informáticas para Principiantes verán más de cerca cómo se comunican, con temas como el direccionamiento IP y las subredes, el DNS y cómo configurar y proteger tu propia red. Mientras tanto, entra a la página de administración del router de tu casa (normalmente en la dirección de tu puerta de enlace, como 192.168.1.1) y mira cuántos de los dispositivos de esta publicación se esconden dentro de esa sola caja.

Conclusión

Toda red está construida con un pequeño conjunto de dispositivos, cada uno con un trabajo claro. Los switches conectan los dispositivos dentro de una red usando direcciones MAC, y los routers conectan redes usando direcciones IP. Los firewalls deciden qué tráfico está permitido, y los sistemas IDS/IPS vigilan ese tráfico en busca de ataques. Los balanceadores de carga y los proxies se ubican entre los clientes y los servidores para repartir el tráfico, filtrar contenido y quitarles trabajo a los servidores. Los dispositivos NAS y SAN guardan los datos de la red, y los puntos de acceso y los controladores de LAN inalámbrica llevan el Wi-Fi a todo, desde una sola habitación hasta un campus completo.

Cuando sabes qué hace cada dispositivo y en qué capa OSI trabaja, cualquier diagrama de red se vuelve mucho más fácil de leer, y cualquier problema de red, mucho más fácil de encontrar.

Siguiente en la serie Redes Informáticas para Principiantes: Conceptos de Redes Explicados: CDN, VPN, QoS y TTL, cuatro conceptos que hacen que las redes sean más rápidas, seguras y confiables.

Serie Redes Informáticas para Principiantes: Parte 1: Guía Completa de Cómo Funcionan las Redes · Parte 2: ¿Qué Es el Modelo OSI? · Parte 3: Dispositivos de Red Explicados · Parte 4: CDN, VPN, QoS y TTL · Parte 5: Redes en la Nube Explicadas · Parte 6: El Protocolo de Internet Explicado · Parte 7: Números de Puerto Conocidos · Parte 8: Protocolos para Diagnóstico, Túneles y Seguridad