Si estás dando tus primeros pasos en el mundo de las redes o te encuentras preparando la certificación CCNA (Cisco Certified Network Associate), dominar Cisco Packet Tracer es fundamental. Esta herramienta de simulación te permite experimentar con topologías reales sin necesidad de hardware físico.

En este artículo, aprenderás a construir una red local (LAN) básica, configurar un router, asignar direccionamiento IP estático y, finalmente, automatizar el proceso mediante un servidor DHCP.

1. Topología y Componentes de la Red

Para este laboratorio, utilizaremos los siguientes dispositivos estándar de Cisco:

• Router 2901: Actuará como nuestra puerta de enlace (Gateway).
• Switch 2960: El punto de interconexión para nuestros dispositivos finales.
• Dispositivos finales: Un PC, una Laptop y, posteriormente, un servidor DHCP.

Conexión de cables:

Utilizaremos cables directos (Copper Straight-Through) para las siguientes conexiones:

• Del Router (GigabitEthernet 0/0) al Switch (GigabitEthernet 0/1).
• De los PCs/Laptops a los puertos FastEthernet del Switch.

2. Configuración Inicial del Router (CLI)

El router es el cerebro de nuestra red. Para configurarlo, entraremos a la interfaz de línea de comandos (CLI) y seguiremos estos pasos:

1. Entrar al modo privilegiado y de configuración:

   enable
   configure terminal
   

2. Asignar un nombre y configurar la IP en la interfaz:
   Accedemos a la interfaz que conecta al switch y le asignamos la dirección IP que servirá como Default Gateway para toda la red:

    

   hostname R1
   interface GigabitEthernet 0/0
   ip address 192.168.0.1 255.255.255.0
   no shutdown
   

   Nota: El comando no shutdown es vital para activar físicamente la interfaz.

3. Guardar cambios: Ejecuta el comando write para asegurar que la configuración no se borre al reiniciar.

3. Configuración de Dispositivos Finales (IP Estática)

Para que los equipos se comuniquen, deben pertenecer al mismo segmento de red (192.168.0.x).

Prueba de conectividad: Abre el Command Prompt de la Laptop y escribe ping 192.168.0.1. Si recibes respuesta, ¡tu red básica está funcionando correctamente!

4. Implementación de un Servidor DHCP

Configurar IPs manualmente es ineficiente en redes grandes. Por ello, añadiremos un Servidor DHCP para automatizar la asignación.

1. Configuración del Servidor: Asigna una IP estática al servidor (ej. 192.168.0.10).
2. Activación del Servicio:
   • Ve a la pestaña Services > DHCP.
   • Configura el Default Gateway (192.168.0.1).
   • Establece el rango de inicio (ej. 192.168.0.100).
   • Enciende el servicio (ON) y guarda.
3. Prueba dinámica: Conecta un nuevo PC, cambia su configuración a «DHCP» y verás cómo recibe su IP de forma automática.

Conclusión

Entender cómo fluye el tráfico desde un dispositivo hasta su Gateway es la base para conceptos más avanzados como VLANs y enrutamiento dinámico.

¿Quieres ver el proceso en acción? Mira el tutorial paso a paso aquí:
Ver video en YouTube.

¿Tienes dudas con algún comando? ¡Déjala en los comentarios!

Si administras una red (aunque sea pequeña), tarde o temprano te vas a topar con esto: un usuario que “sin querer” instala algo raro, un equipo que queda sin parches, una contraseña compartida por WhatsApp, o un servicio expuesto que nadie recordaba. La buena noticia: no necesitas ser un “hacker” para defenderte. Necesitas método, capas y hábitos.

En este artículo te explico, de forma clara y entretenida, cómo mitigar ataques de red usando prácticas reales que sí se aplican en empresas. Y lo haré con ejemplos, para que no quede en teoría.

1) Defensa en profundidad: no confíes en un solo candado

Piensa en tu red como una casa. Si solo tienes una cerradura en la puerta principal, el día que la fuerzan, se acabó. En redes, lo mismo: si solo dependes del firewall perimetral, estás dejando demasiado en manos de una sola barrera.

Defensa en profundidad significa poner varias capas: aunque una falle, otra detiene o limita el daño.

Ejemplo práctico: un usuario abre un adjunto malicioso (capa usuario falló). Si tienes EDR/antivirus actualizado (capa endpoint), puede bloquearlo. Si no lo bloquea y el malware intenta moverse a otros segmentos (capa red), VLAN + ACL limitan el movimiento lateral. Y si intenta salir a Internet a un dominio raro, el firewall/filtrado DNS lo corta (capa perímetro).

2) Backups: no son “por si acaso”, son tu plan B real

Hay ataques que no “rompen” tu red: te dejan sin red. Especialmente ransomware o corrupciones de configuración. En esos casos, la pregunta no es “¿cómo lo evito?”, sino “¿qué tan rápido me recupero?”.

Qué respaldar en redes:

• Configuración de switches, routers y firewalls

• Imágenes/firmware (IOS, FortiOS, etc.)

• Configuración de AAA (RADIUS/TACACS+), VPN, políticas

Ejemplo práctico: actualizaste un firewall y algo salió mal. Si tienes backup verificado, vuelves a la versión anterior en minutos. Si no, comienzas a reconstruir reglas “de memoria” con la empresa caída. No quieres vivir eso.

Consejo de oro: un backup que nunca se probó… es un “deseo”, no un backup. Agenda pruebas de restauración (aunque sea trimestral).

3) Parcheo y actualizaciones: el ataque más común es el más simple

Muchas intrusiones no ocurren por magia, ocurren porque el atacante encontró una vulnerabilidad conocida y el sistema seguía sin parche. Así de directo.

Ejemplo realista: un servidor con un servicio web antiguo expuesto. Sale una CVE, pasa un mes, nadie parchea. Un bot lo escanea, lo explota y listo: ya tienes un foothold dentro.

Práctica recomendada:

• Mantén inventario de versiones (equipos y software)

• Parchea por criticidad (no todo al mismo tiempo)

• Programa ventanas de mantenimiento

• Revisa firmware en equipos de red (switches y routers también importan)

4) AAA: “¿Quién eres?”, “¿Qué puedes hacer?” y “¿Qué hiciste?”

AAA suena técnico, pero es muy humano: es el control de acceso bien hecho.

AAA significa:

• Autenticación: ¿quién eres?

• Autorización: ¿qué estás permitido a hacer?

• Contabilidad: ¿qué hiciste exactamente?

Ejemplo entretenido: imagina una tarjeta de crédito:

• Autenticación = el banco verifica que eres tú

• Autorización = te deja gastar hasta cierto límite

• Contabilidad = queda el registro de compras

En red es igual. Si todos entran al switch con la misma clave “admin123”, no hay control ni trazabilidad. Si un día aparece una VLAN cambiada o una ACL borrada, nadie sabe quién fue.

Lo correcto: usuarios individuales, roles (solo lectura vs admin), y logs de comandos (ideal con TACACS+). Eso te salva en auditorías y en incidentes.

5) Firewalls: el portero del edificio (pero no el único)

Un firewall no es “la seguridad”, pero sí es una pieza central. Controla qué entra, qué sale y qué cruza entre zonas.

Ejemplo simple: tienes una red interna y publicas un servidor web. Si pones el servidor directo en la red interna, cualquier fallo en ese servidor puede abrir la puerta al resto. Si lo pones en una DMZ, incluso si lo comprometen, el salto a la red interna es mucho más difícil.

Regla de supervivencia: “deny all” por defecto, y luego permites solo lo necesario. Lo demás es una invitación al caos.

6) Tipos de firewall (explicados sin dolor)

No todos los firewalls filtran igual. Y entenderlo te ayuda a elegir y configurar mejor.

Filtrado de paquetes: decide por IP/puerto/protocolo. Rápido, básico.

Stateful (SPI): “recuerda” conexiones. Si alguien de Internet intenta entrar sin que tú hayas iniciado sesión antes, lo bloquea. Es el estándar moderno.

Filtrado de aplicaciones: no solo ve “puerto 443”, intenta reconocer la app real (YouTube, Dropbox, VPNs raras).

Filtrado de URL: bloquea categorías o sitios (phishing, malware, etc.).

Ejemplo práctico: un usuario “solo navega”, pero cae en un sitio de phishing. Un buen filtro URL puede frenarlo antes del desastre. Si además hay inspección de aplicaciones, puedes limitar apps no deseadas que se disfrazan de tráfico web.

Tu red segura no es “perfecta”, es “resiliente”

El objetivo real no es que tu red sea invulnerable (eso no existe). El objetivo es que, cuando algo pase, el impacto sea pequeño y la recuperación sea rápida.

Si aplicas estas 6 ideas con disciplina (capas, backups probados, parches, AAA, firewalls por zonas y políticas claras), tu red deja de ser una “caja negra” frágil y se convierte en una infraestructura seria, controlada y defendible.

Si quieres, te preparo la versión 2 de este artículo con un enfoque aún más práctico: checklist de implementación, ejemplos de políticas, y un mini-lab para Packet Tracer orientado a CCNA.

En Cisco Packet Tracer, tres servicios básicos explican la mayoría de los escenarios de “la red no funciona”: DHCP (asignación automática de IP), DNS (resolución de nombres) y WEB/HTTP (publicación de un sitio). Si dominas estos tres, ya tienes una base sólida para laboratorios tipo CCNA.

1) DHCP: asignación automática de direcciones IP (configurado en Server en Packet Tracer)
DHCP (Dynamic Host Configuration Protocol) entrega automáticamente a los PCs los parámetros esenciales para operar en red: IP, máscara, gateway y DNS. En Packet Tracer es muy común levantar DHCP en un Server para simular un entorno real con servicios centralizados.

Escenario de ejemplo
Red: 192.168.10.0/24
Gateway: 192.168.10.1
Servidor (DHCP + DNS): 192.168.10.10
Servidor WEB: 192.168.10.20
Dominio: www.eclassvirtual.com

Configurar IP estática del Server DHCP/DNS
En el Server (pestaña Desktop > IP Configuration), asigna:
IP: 192.168.10.10
Subnet Mask: 255.255.255.0
Default Gateway: 192.168.10.1

Configurar DHCP en Server
Ve a Services > DHCP y activa On. Luego crea el pool con estos parámetros (o equivalentes):

• Pool Name: LAN_USUARIOS
• Default Gateway: 192.168.10.1
• DNS Server: 192.168.10.10
• Start IP Address: 192.168.10.21
• Subnet Mask: 255.255.255.0
• Maximum Number of Users: por ejemplo 50

Con esto, cualquier PC en la LAN podrá obtener una IP automáticamente, sin tener que configurar nada a mano.

2) DNS: traducción de nombres a direcciones IP
DNS (Domain Name System) permite que el usuario navegue usando nombres fáciles (como www.eclassvirtual.com) en vez de memorizar IPs (como 192.168.10.20). En Packet Tracer también se configura desde un Server.

Configurar DNS en Server
En el mismo Server 192.168.10.10, ve a Services > DNS y activa el servicio. Agrega un registro tipo A:

• Name: www.eclassvirtual.com
• Address: 192.168.10.20

Eso significa: cuando un PC pregunte por www.eclassvirtual.com, el DNS responderá con la IP del servidor web 192.168.10.20.

3) WEB/HTTP: publicación de una página
El servicio WEB (HTTP) es lo que el usuario finalmente “ve”. Si DNS funciona pero no hay HTTP levantado, el navegador no cargará el sitio. En Packet Tracer puedes montar un web server en un Server dedicado.

Configurar Server WEB
En el Server WEB, asigna IP estática en Desktop > IP Configuration:
IP: 192.168.10.20
Subnet Mask: 255.255.255.0
Default Gateway: 192.168.10.1

Luego ve a Services > HTTP y activa HTTP: On. Si quieres, edita el index.html para personalizar la página de prueba.

Pruebas finales (lo que valida que todo quedó bien)
Desde un PC cliente:

1. Obtener IP por DHCP: en Desktop > IP Configuration selecciona DHCP.
2. Confirmar parámetros: en Desktop > Command Prompt ejecuta ipconfig y revisa que exista IP, gateway y DNS.
3. Probar DNS: ejecuta ping www.eclassvirtual.com (debería resolver a 192.168.10.20).
4. Probar WEB: abre el navegador y entra a http://www.eclassvirtual.com.

Idea clave: si algo falla, aisla por capas. Primero DHCP (sin IP no hay red). Luego DNS (sin resolución, no hay nombres). Y finalmente HTTP (sin servicio web, no hay sitio). Esta secuencia de verificación te ahorra muchísimo tiempo en laboratorio y en redes reales.

Estudia Cisco CCNA 200-301 con el Pack de Cursos más completo del mercado en https://pack.eclassvirtual.com