Conectas la laptop a la red y en dos segundos ya tienes internet. Ese "ya funciona" esconde una coreografía: tu equipo consiguió una dirección de la nada, decidió si su destino estaba cerca o lejos, encontró por dónde salir y confió en un montón de equipos que nunca ves. Seguir ese viaje —de enviar a llegó— es lo que amarra todos los cimientos anteriores en algo que por fin se mueve.
Primero, DHCP: la dirección que aparece sola
Nadie teclea su IP a mano en una laptop moderna. Lo hace DHCP, mediante un baile de cuatro pasos que se conoce por sus siglas DORA: tu equipo grita a la red "¿alguien tiene una dirección para mí?" (Discover), un servidor le ofrece una (Offer), el equipo la pide formalmente (Request) y el servidor confirma (Ack). En ese único intercambio el equipo recibe no solo su IP, sino su máscara, su gateway y sus servidores DNS. Con eso ya tiene todo para operar. La dirección es un préstamo con caducidad (lease), no una propiedad.
El intercambio DORA: en un solo ida y vuelta de cuatro mensajes, tu equipo obtiene IP, máscara, gateway y DNS.
¿Está cerca o lejos? Aquí entra el subnetting
Digamos que quieres alcanzar 8.8.8.8. Tu equipo hace una pregunta silenciosa: ¿ese destino está en mi misma red o no? Y la responde usando la máscara —exactamente el subnetting del que hablamos—. Si el destino cae dentro de tu subred, le habla directo. Si cae fuera, se lo entrega a su gateway (la puerta de salida) para que alguien más lo enrute. Esa decisión —local o remoto— la toma cada paquete, y depende por completo de que la máscara esté bien.
Para entregarle el paquete al gateway, el equipo todavía necesita su dirección física (MAC), y la averigua con ARP: "¿quién tiene la IP del gateway? Dame tu MAC". Ese es el eslabón entre el mundo de las IPs y el del cable.
Switch vs. router: dos trabajos distintos
En el camino, dos equipos hacen cosas que se confunden todo el tiempo. El switch trabaja en capa 2: mueve tramas dentro de la misma red mirando direcciones MAC. El router trabaja en capa 3: conecta redes distintas mirando IPs y decide el mejor salto hacia afuera. Regla mental: dentro de tu subred manda el switch; para salir de ella, manda el router. Tu gateway es, en la práctica, esa función de router.
La pregunta que cada paquete resuelve con la máscara: si el destino está en la subred, el switch entrega directo; si no, el router lo saca.
VLANs: separar sin tender un solo cable
Una VLAN te deja partir un switch físico en varias redes lógicas. En la práctica, una VLAN equivale a una subred equivale a un dominio de broadcast: el tráfico de "griterío" de una no molesta a las demás. Los puertos de acceso pertenecen a una VLAN; los puertos troncales cargan varias entre switches. Para que dos VLANs se hablen, hace falta ruteo entre ellas (inter-VLAN routing) —vuelve a aparecer el router—.
Aquí el punto que se pasa por alto: una VLAN separa, pero no filtra. Poner las cámaras en su propia VLAN no impide que alguien de otra VLAN las alcance si hay ruteo abierto entre ellas. La separación se vuelve seguridad real solo cuando le agregas reglas —ACLs o firewall— entre segmentos. VLAN es la pared; el filtrado es la puerta con cerradura.
Un switch, varias VLANs: los puertos de acceso pertenecen a una VLAN y el trunk las carga todas. Separar no es filtrar.
El préstamo tiene fecha: el lease
Esa dirección que DHCP te entregó no es tuya para siempre: es un lease, un préstamo con caducidad. Antes de que venza, tu equipo intenta renovarlo con el mismo servidor de forma transparente, y por eso casi nunca lo notas. Pero cuando el diseño falla —un servidor DHCP sin direcciones libres, dos servidores repartiendo el mismo rango, o un lease demasiado corto en una red con mucho movimiento— aparecen síntomas raros: equipos que "tenían internet y de pronto no", direcciones duplicadas, o el temido 169.254.x.x (una dirección que el equipo se auto-asigna cuando nadie le contestó, señal casi segura de que el DHCP no está respondiendo). Para equipos que siempre deben tener la misma dirección —servidores, impresoras, cámaras— se usa una reserva: DHCP les entrega siempre la misma, atada a su dirección física. Es lo mejor de los dos mundos: gestión centralizada con direccionamiento predecible. Todo esto —el lease, las reservas, las DHCP Options y el relay que hace que cruce de VLAN— lo desarrollamos en DHCP a fondo.
El error más común
La red plana: todo —PCs, impresoras, cámaras, invitados— en una sola VLAN gigante. Un dominio de broadcast enorme que se satura solo, cero aislamiento y, cuando algo se infecta, vía libre a todo lo demás. El extremo opuesto, casi igual de común, es armar muchas VLANs pensando que por sí solas aíslan, sin ninguna regla entre ellas. Ni una ni otra: el diseño vive en el balance, y ese balance se administra mejor cuando lo ves como una red única multisitio.
La idea que se queda
De enviar a llegó hay direccionamiento, máscara, DNS, DHCP, ARP, switching y ruteo trabajando juntos en milisegundos. Cuando entiendes el viaje, "no tengo internet" deja de ser un misterio y se vuelve una lista de puntos que revisar en orden. Es la última parada del recorrido completo de una red.