Fundamentos de redes: IP, puertos, DNS y firewall | Curso de ciberseguridad gratis: protege tus datos, tus equipos y tu empresa

Lo que lograrás en esta lección

Entender qué es una dirección IP, la diferencia entre pública y privada, y qué hace el NAT.
Calcular cuántos equipos caben en una red a partir de su prefijo (/24, /26…).
Reconocer los puertos y protocolos más comunes y cuáles no deben quedar expuestos a internet.
Explicar cómo funciona el DNS y cómo se protege.
Saber qué hace un firewall, cómo se escriben sus reglas y por qué conviene segmentar la red.

No hace falta ser ingeniero de redes para trabajar en ciberseguridad, pero sí entender cómo viaja la información. Casi todas las alertas, reglas de firewall e informes de incidentes hablan de direcciones IP, puertos y dominios. En esta lección aprenderás esos conceptos con analogías simples y ejemplos de una pyme, para que puedas leer un registro de seguridad o una regla de firewall sin perderte.

4.294.967.296direcciones posibles en IPv4 (2 elevado a 32): por eso se agotaron y existe IPv6

65.536puertos posibles (del 0 al 65.535) para TCP y otros tantos para UDP

254equipos caben en una red doméstica típica /24

Direcciones IP
Máscaras y subredes
Puertos y protocolos
DNS
Firewall y segmentación

Direcciones IP: la dirección postal de cada equipo

Cada dispositivo conectado a una red tiene una dirección IP, que funciona como su dirección postal. En IPv4 se escribe como cuatro números entre 0 y 255 separados por puntos, por ejemplo 192.168.1.25. Cada número ocupa 8 bits, así que una dirección completa tiene 32 bits. IPv6, la versión nueva, usa 128 bits y se escribe en hexadecimal, por ejemplo 2001:db8::25, lo que da un número de direcciones prácticamente ilimitado.

Públicas, privadas y el NAT

Dentro de tu casa u oficina los equipos usan direcciones privadas, que no se enrutan por internet. Hacia fuera, el router usa una sola dirección pública que le asigna tu proveedor, y traduce el tráfico de todos tus equipos: eso es el NAT (traducción de direcciones de red). Como efecto secundario, los equipos de dentro no son accesibles directamente desde internet, salvo que alguien abra un puerto en el router.

Rango privado	Prefijo	Uso habitual
10.0.0.0 a 10.255.255.255	10.0.0.0/8	Empresas medianas y grandes
172.16.0.0 a 172.31.255.255	172.16.0.0/12	Empresas y redes de laboratorio
192.168.0.0 a 192.168.255.255	192.168.0.0/16	Hogares y pequeñas oficinas

Además de la IP, cada tarjeta de red tiene una dirección MAC, un identificador físico que se usa dentro de la red local. En la lista de dispositivos de tu router verás ambas.

Máscara de red: cuántos equipos caben

Una dirección IP tiene dos partes: la de red (el "barrio") y la de equipo (la "casa"). El prefijo, escrito después de una barra, indica cuántos bits son de red. En 192.168.1.0/24, los primeros 24 bits identifican la red y quedan 8 bits para los equipos. Es lo mismo que la máscara 255.255.255.0.

En una red /24, tres de los cuatro números de la dirección identifican la red y el último identifica al equipo.

Direcciones totales = 2^(32 − prefijo)
Equipos utilizables = 2^(32 − prefijo) − 2
(se restan la dirección de red y la de difusión o broadcast)

/24 → 2^8 = 256 direcciones → 254 equipos

Prefijo	Máscara	Direcciones	Equipos utilizables
/16	255.255.0.0	65.536	65.534
/24	255.255.255.0	256	254
/25	255.255.255.128	128	126
/26	255.255.255.192	64	62
/27	255.255.255.224	32	30

¿Por qué importa en seguridad? Porque dividir una red grande en subredes más pequeñas permite aplicar reglas distintas a cada grupo: la caja registradora, las oficinas, las cámaras y las visitas.

1. ¿Cuántos equipos utilizables caben en una red /26?

2^(32 − 26) = 2^6 = 64 direcciones. Se restan 2 (la de red y la de broadcast): quedan 62 equipos utilizables.

Puertos y protocolos: la puerta de cada servicio

Si la IP es la dirección del edificio, el puerto es el número de departamento: indica a qué servicio va dirigido el tráfico. Un mismo servidor puede atender la web en el puerto 443 y el correo en otro. Los datos viajan con uno de dos protocolos de transporte principales:

TCPConfiable y ordenado

Cómo funciona: Establece una conexión, confirma que cada parte llegó y la reenvía si se pierde.
Se usa en: Páginas web, correo, transferencias de archivos, acceso remoto.

Precisión

UDPRápido y sin confirmación

Cómo funciona: Envía los datos sin establecer conexión ni confirmar la entrega.
Se usa en: Consultas DNS, videollamadas, juegos en línea, transmisión en vivo.

Velocidad

Puerto	Protocolo	Servicio	Nota de seguridad
22	TCP	SSH (administración remota de servidores)	Solo con llaves, sin contraseñas débiles y limitado a IP conocidas
25	TCP	SMTP (envío de correo entre servidores)	Un servidor mal configurado puede usarse para enviar spam
53	UDP y TCP	DNS (resolución de nombres)	Esencial; conviene usar resolvedores confiables
80	TCP	HTTP (web sin cifrar)	Debe redirigir a HTTPS
443	TCP	HTTPS (web cifrada)	El estándar para cualquier sitio
445	TCP	SMB (carpetas compartidas de Windows)	Nunca expuesto a internet
3389	TCP	RDP (escritorio remoto de Windows)	Nunca expuesto directamente: solo detrás de una VPN y con doble factor

2. Un técnico abrió el puerto 3389 del router de una oficina hacia una PC "para poder conectarse desde su casa". ¿Por qué es un problema?

Expone el escritorio remoto a todo internet, donde se buscan y atacan estos servicios de forma automática
Porque el puerto 3389 hace más lenta la conexión de la oficina
No es un problema si la PC tiene antivirus

El escritorio remoto expuesto es una de las vías de entrada de ransomware más conocidas. La alternativa segura es acceder mediante una VPN con doble factor y cerrar el puerto.

DNS: la agenda de contactos de internet

Las personas recordamos nombres (tiendaluna.co) y las máquinas usan direcciones IP. El DNS traduce unos en otras. Cuando escribes una dirección en el navegador, ocurre esto en milisegundos:

Caché localTu equipo revisa si ya lo sabeSi visitaste el sitio hace poco, la respuesta está guardada y no pregunta a nadie.
ResolvedorPregunta al servidor DNS configuradoNormalmente el de tu proveedor de internet, el de tu empresa o uno público que elijas.
Raíz y dominio de nivel superiorEl resolvedor sigue la cadenaLos servidores raíz le indican quién gestiona ".co", y estos quién responde por "tiendaluna.co".
Servidor autoritativoDa la respuesta definitivaDevuelve la IP del sitio, tu navegador se conecta a ella y la respuesta queda en caché un tiempo.

Si alguien manipula esa respuesta, puede mandarte a un sitio falso aunque escribas bien la dirección. Las defensas principales son: usar resolvedores DNS confiables (algunos bloquean dominios maliciosos conocidos), activar DNS cifrado en el navegador o el sistema (DNS sobre HTTPS o sobre TLS), que los dueños de dominios firmen sus registros con DNSSEC y, para las empresas, proteger con doble factor la cuenta del registrador donde se administra su dominio.

Firewall: el guardia que revisa cada paquete

Un firewall decide qué tráfico pasa y cuál se bloquea según reglas. Los más comunes hoy son con estado: recuerdan las conexiones que iniciaste desde dentro y dejan pasar sus respuestas, pero bloquean las conexiones nuevas que vienen de fuera sin una regla que las permita. Hay firewalls de red (en el router o en un equipo dedicado), de host (el que trae Windows, macOS o Linux en cada equipo) y de aplicación web (WAF), que filtra ataques contra sitios web.

La regla de oro es denegar por defecto: todo lo que no esté expresamente permitido, se bloquea. Así se verían las reglas básicas de una distribuidora en Guadalajara, que se leen de arriba abajo y se aplica la primera que coincide:

#	Origen	Destino	Puerto	Acción	Motivo
1	Red de oficina	Internet	443, 80, 53	Permitir	Navegación y DNS
2	Internet	Servidor VPN	Puerto de la VPN	Permitir	Acceso remoto con doble factor
3	Red de invitados	Red de oficina	Cualquiera	Bloquear	Las visitas no ven los equipos internos
4	Red de cámaras	Internet	Cualquiera	Bloquear	Las cámaras graban en local, no necesitan salir
5	Cualquiera	Cualquiera	Cualquiera	Bloquear	Denegar por defecto

Esta separación por grupos se llama segmentación, y suele hacerse con VLAN (redes virtuales). Si un equipo de la red de invitados se infecta, no puede llegar a la PC de facturación. Complementos habituales del firewall son los sistemas de detección y prevención de intrusos (IDS/IPS), que analizan el tráfico en busca de patrones de ataque conocidos y alertan o bloquean.

3. En la tabla de reglas anterior, una cámara intenta conectarse a un servidor en internet. ¿Qué regla se aplica?

La regla 1, porque usa el puerto 443
La regla 4, que bloquea la salida de la red de cámaras a internet
La regla 5, porque es la última

Las reglas se evalúan de arriba abajo y se aplica la primera que coincide. La regla 1 solo aplica a la red de oficina; la primera que coincide con la red de cámaras es la 4.

Revisa tu propia red con tres comandos

Estos comandos solo leen información de tu propio equipo; úsalos en tus dispositivos o en los de tu empresa con autorización:

# Ver tu IP, máscara, puerta de enlace y servidores DNS
ipconfig /all          (Windows)
ip a                   (Linux)

# Consultar a qué IP apunta un dominio
nslookup tiendaluna.co

# Ver qué puertos tiene abiertos y escuchando tu propio equipo
netstat -ano           (Windows)
ss -tuln               (Linux)

Si en el último comando ves servicios escuchando que no reconoces, investiga qué programa los abrió antes de cerrarlos.

Errores comunes

Abrir puertos en el router para "acceder desde fuera" a una PC o cámara.

Usa una VPN con doble factor o el servicio en la nube del fabricante con MFA.

Una sola red plana para oficina, cámaras, caja y visitas.

Segmenta en VLAN o al menos usa la red de invitados.

Desactivar el firewall del equipo porque "molesta".

Ajusta la regla concreta del programa que lo necesita.

Reglas que permiten "cualquiera a cualquiera" para salir del paso.

Deniega por defecto y permite solo lo necesario, con un motivo documentado.

4. ¿Qué significa el principio "denegar por defecto" en un firewall?

Que se bloquea todo el tráfico, incluso el necesario
Que solo se bloquean las direcciones IP de otros países
Que todo lo que no esté expresamente permitido por una regla se bloquea

Se permite solo el tráfico necesario con reglas explícitas, y la última regla bloquea todo lo demás. Así, un servicio olvidado no queda expuesto por accidente.

Ejercicio práctico

Un estudio contable de Lima tiene 40 computadoras, 6 cámaras y recibe a unos 15 clientes al día que piden Wi-Fi. Hoy todo está en una sola red 192.168.1.0/24 y el router tiene abierto el puerto 3389 hacia la PC del socio.

¿Cuál es el prefijo más pequeño que alcanza para las 40 computadoras?
Propón cómo segmentar la red.
¿Qué harías con el puerto 3389?

Ver solución

Un /27 da 30 equipos utilizables (insuficiente). Un /26 da 2^6 − 2 = 62: alcanza para 40 y deja margen para crecer.
Tres segmentos: oficina (las 40 PC, /26), cámaras (sin salida a internet si graban en local) e invitados (solo salida a internet, sin acceso a los otros dos). Reglas: invitados → oficina bloqueado; cámaras → internet bloqueado; denegar por defecto al final.
Cerrarlo de inmediato. Si el socio necesita acceso remoto, configurar una VPN con doble factor y conectarse al escritorio remoto solo a través de ella. Además, revisar los registros de esa PC para descartar accesos indebidos mientras el puerto estuvo abierto.

Resumen

La IP identifica a cada equipo; las privadas se usan dentro de la red y el NAT las traduce a una pública.
El prefijo indica el tamaño de la red: equipos utilizables = 2^(32 − prefijo) − 2.
Los puertos identifican servicios: RDP (3389) y SMB (445) nunca deben quedar expuestos a internet.
El DNS traduce nombres en IP; se protege con resolvedores confiables, DNS cifrado, DNSSEC y MFA en el registrador.
Un firewall con "denegar por defecto" y una red segmentada limitan el daño de cualquier equipo comprometido.

En la próxima lección: Seguridad de dispositivos: actualizaciones, cifrado y copias de seguridad. Aprenderás a proteger tus equipos y a diseñar copias de seguridad con la regla 3-2-1.