«Sistemas» es el nombre de una carrera en buena parte de la región, y un plan de estudios divide el campo por materias: arquitectura, redes, bases de datos. Una falla lo divide por capas, y las dos divisiones no coinciden. Los siete temas de abajo son la segunda.
Camila Restrepo montó una Raspberry Pi 5 en su casa de Laureles, en Medellín, para servir la página de inventario de la panadería de la familia. Adentro de la casa responde; desde la calle, con datos del celular, no. La página de estado del router dice que la dirección WAN es 100.71.4.19, y un servicio externo dice que las peticiones de esa casa llegan desde 181.53.207.86. Ese desacuerdo es el diagnóstico completo.
Una dirección en 100.64.0.0/10 significa que la línea está detrás del NAT del operador. Es el rango que la RFC 6598 reserva para eso: la casa comparte una dirección pública con otros clientes, el equipo que traduce está del lado del proveedor, y el reenvío de puertos no puede abrir un puerto en una máquina ajena. Ningún operador hace esto siempre y la marca no predice nada; la comparación sí, y toma dos minutos.
Cinco temas se apilan, uno los atraviesa y otro se sale de la pila
Una petición atraviesa cinco de estos siete temas en un orden fijo, cada uno parado sobre el de abajo: la nube hasta arriba, que no es una máquina nueva sino los otros cuatro rentados por hora, y la computadora en el piso.
La seguridad no es una sexta losa. Es la misma pregunta hecha en cada una de las cinco, sabiendo que la respuesta puede mentir: el firewall que permite el puerto 443 permite todo lo que alguien puso deliberadamente detrás del puerto 443, y la lista de clientes está detrás del puerto 443. Un diagrama de defensa que solo enumera lo que cada capa detiene es un anuncio publicitario. La electrónica, el séptimo tema, se sale de la pila: una placa sin sistema operativo se revisa con un multímetro y no con una bitácora.
Los instrumentos cambian de carácter conforme se baja. Arriba el instrumento es la factura, leída renglón por renglón, porque una falla ahí casi siempre es algo que alguien dejó prendido. En medio imprime texto: ss -tlnp para qué está escuchando y con qué usuario corre, journalctl -u nginx para lo que un servicio dijo de sí mismo antes de detenerse. En el piso nada imprime nada, y el instrumento pasa a ser la sustitución: una fuente de poder que se sabe buena resuelve en dos minutos lo que una semana de bitácoras no.
La primera máquina es gratis y la primera máquina alcanzable cuesta
El orden que más caro sale es empezar por arriba. Quien abre una cuenta de nube antes de poder leer ip route en una máquina Linux está aprendiendo la consola de una empresa, que es justo la parte que cambia: un grupo de seguridad es una regla de firewall con otra palabra en el botón, y significa lo mismo en una máquina sola, donde equivocarse es gratis. El escalón que se salta ahí es la línea de comandos, y no se recoge después: quien no puede filtrar texto lee cada respuesta por una rendija.
El certificado es otra cosa, y aquí pesa más que en el mercado para el que se escribió la versión en inglés: donde el título no siempre se lee, un certificado sí se lee y las vacantes lo piden por nombre. El orden equivocado no es sacarlo, es sacarlo antes de tener una máquina que se pueda romper. El temario deja vocabulario, y el vocabulario aprueba el examen; el reflejo que dice, a las 11:20 de un martes, que lo siguiente es un comando y no un reinicio, no sale de ahí.
Y hay una cuenta que el curso gratis nunca pone sobre la mesa, porque a él no le cuesta: son dos máquinas, no una. Una laptop vieja o una Raspberry Pi enseña todo hasta el borde de la red y no cuesta un peso; nada adentro de la casa enseña qué pasa cuando la máquina está donde no se puede caminar. En Colombia el curso gratis es muy seguido el SENA, público y enorme; en México, una serie de YouTube. Los dos entregan la primera máquina y ninguno la segunda.
El orden
Tres paradas fijas, y después una bifurcación que sí es una elección
La tercera parada es donde se acaba el curso gratis, porque es la primera que cuesta dinero cada mes.
- ComputadorasUna máquina propia que se pueda reinstalarLa única parada donde equivocarse no cuesta nada01
- 02Sistemas operativosLa línea de comandosTodo lo que viene después contesta en texto, y el texto es lo único que se puede filtrar
- RedesUna máquina alcanzable desde afueraNada que esté adentro de la casa enseña qué pasa cuando la dirección no es propia03
- 04La bifurcaciónServidores y nube, o electrónica, o seguridadUna elección y no un orden: las tres primeras paradas son las mismas por cualquier camino
No hay fechas en este camino, a propósito. Quien tiene una falla que resolver cada semana pasa la tercera parada mucho antes que quien tiene un temario.
Redes es donde tres datos dejan de ser tres datos
Las direcciones IP, el DNS y el HTTP se aprenden como tres datos sueltos, y por separado ninguno es difícil. El atoro llega la primera vez que los tres están sobre la mesa y uno de ellos miente. Viene con una frase que reconoce cualquiera que haya estado ahí: el sitio está arriba, está arriba desde aquí, y el cliente sigue sin poder entrar.
Lo que saca a alguien de ahí es un orden fijo de prueba, del piso hacia arriba. Lo que lo convierte en método es escribir, antes de dar enter, las dos respuestas posibles y qué elimina cada una.
El punto de venta de una refaccionaria en Saltillo dejó de timbrar facturas a las 11:20, y el resto de la web cargaba. Rodrigo Alcántara corrió los seis en orden. ip -br addr devolvió una sola línea, UP 192.168.1.34/24, y eso importa porque una dirección en 169.254 significa que el DHCP nunca contestó y entonces nada de más arriba vale la pena probar. ip route mostró la ruta por omisión hacia el router; una ruta ausente ahí se ve igual que un internet roto mientras la red local se ve perfecta. ping -c 3 9.9.9.9 devolvió tres respuestas, que es lo que separa un cable muerto de un cable vivo que no lleva nada.
Los tres de arriba fueron los interesantes. dig +short entregó la dirección del servicio de facturación y getent hosts entregó la misma: dig le pregunta a un servidor DNS y getent le pregunta a la máquina, pasando por el archivo de hosts. Entonces curl -I devolvió HTTP/1.1 403, y una línea de estado ya descartó las cinco capas de abajo: el otro lado está arriba y rechaza a esta máquina en particular.
El resto se explica con la página de Camila. El servicio de facturación autoriza por lista de direcciones, la refaccionaria comparte su dirección pública con los demás clientes de la zona, y esa dirección se movió durante la noche. Nada adentro del local cambió. Lo que autoriza por dirección se rompe el día que la dirección se mueve, y detrás del NAT del operador se mueve sin avisar.
De ese lado del NAT hay tres salidas, y ninguna es reenvío de puertos:
- Un túnel hacia un punto que sí tenga dirección propia. La conexión sale desde adentro, que es lo único que el NAT del operador deja pasar, y varios tienen capa gratuita de sobra para una página de inventario.
- Un servidor virtual rentado, con dirección pública desde el primer minuto. Es el gasto mensual más chico que compra la mitad de este pilar que la casa no puede enseñar.
- IPv6, donde la línea ya lo trae prendido, con la advertencia de que quien visite la página también necesita IPv6.
El inglés es una dependencia de esta pila, y se puede estudiar como tal
Cinco de los ocho pilares de este atlas dependen del inglés, y este es el más literal: el manual está en inglés, la interfaz suele estarlo, y el mensaje de error lo está siempre. El costo real es que alguien atorado con Docker no puede distinguir si está atorado con Docker o con la oración que lo describe.
La parte que sí se estudia es corta y paga rápido, porque son cadenas fijas que la máquina imprime igual todos los días. Tres de ellas nombran tres capas distintas y se confunden todo el tiempo:
- No route to host significa que el kernel no tiene por dónde mandar el paquete. Ni siquiera lo intentó, la capa acusada es el ruteo de esta máquina o de la red local, y se contesta con
ip route. - Connection timed out significa que el paquete salió y nadie contestó. Algo en el camino lo tira en silencio, que es lo que hace un firewall configurado para descartar en vez de rechazar.
- Connection refused significa que nadie está escuchando en ese puerto. El paquete llegó y el sistema operativo del otro lado contestó: la red está bien y el servicio no está arriba, lo cual se comprueba con
ss -tlnp.
Ninguna de las tres es un código de estado de HTTP. Un 403 ya es una conversación entre dos programas que se encontraron, que es lo que el curl de la refaccionaria dejó ver. Estas cadenas se aprenden en inglés en lugar de traducirse: son lo que sale en la pantalla, y la traducción no aparece en ninguna búsqueda que sirva.
El orden de prueba
Seis comandos en el punto de venta de Saltillo, del piso hacia arriba
Cada respuesta descarta las capas de abajo y no dice absolutamente nada de las de arriba.
- Computadorasip -br addrUna línea por interfaz. Una dirección en 169.254 significa que el DHCP nunca contestó, y nada de más arriba vale la pena probar.
- Sistemas operativosip routeUna ruta por omisión ausente se ve igual que un internet roto, y la red local se ve perfecta mientras dura.
- Redesping -c 3 9.9.9.9Separa un cable muerto de un cable vivo que no lleva nada.
- Redesdig +shortLe pregunta directo a un servidor DNS y devuelve la dirección que está usando el resto del mundo.
- Sistemas operativosgetent hostsLe pregunta a la máquina, pasando primero por el archivo de hosts, que es como pregunta el punto de venta.
- Servidorescurl -IUna línea de estado es la respuesta más útil de las seis, porque significa que las cinco capas de abajo ya quedaron descartadas.
Deja fuera el tiempo. Los seis contestan en un segundo, así que una falla que solo aparece cada veinte minutos les sobrevive a todos y necesita algo grabando mientras nadie mira.
Qué abrir en 2026, y lo que llega después en la factura
iproute2 trae ip y ss, y reemplazó a net-tools, que traía ifconfig y netstat. Ya viene en cualquier Linux actual. El error es teclear ifconfig por costumbre en un Debian recién instalado, recibir command not found y concluir que la máquina está mal.
journalctl lee la bitácora de systemd y reemplazó la costumbre de seguir /var/log/messages con tail y filtrarlo con grep. Gratis y ya instalado. El error es correrlo sin argumentos, recibir todo desde el arranque y rendirse: journalctl -u nginx lo reduce a un servicio y -b a este arranque.
dig reemplazó a nslookup en todo consejo que valga la pena seguir, y viene en bind9-dnsutils en Debian y en bind-utils en Fedora, sin costo. El error es el que la refaccionaria dejó ver al revés: dig reporta lo que dice un servidor DNS, que no siempre es lo que obtiene una aplicación en esa misma máquina.
AWS, Azure y Google Cloud reemplazaron entre las tres al servidor de segunda mano en un clóset. Nada de esto está bloqueado desde México ni Colombia: el registro pasa con una tarjeta común y las tres publican capa gratuita real. Lo que la versión en inglés no menciona es la factura, porque a su lector no le llega igual. Llega en dólares, al tipo de cambio del día, y encima va el IVA de servicios digitales del exterior, que en 2026 es de 16% en México y de 19% en Colombia, donde el banco emisor lo retiene al momento del pago. La alarma de presupuesto se pone el primer día, no el día del cobro.
La señal
Cuatro preguntas, y dos se contestaron meses antes de que alguien las hiciera
Dos las resuelve un renglón de salida. Las otras dos las resolvió una costumbre que alguien mantuvo, o no mantuvo.
- Qué está escuchandoEl puerto, el proceso detrás y el usuario con el que corre
- Qué tan lleno está el discoUna pantalla, y el renglón que importa rara vez es el que se esperaba
- Si el respaldo se restauraNada en la máquina lo puede decir. Alguien tuvo que hacerlo, a propósito, hace poco.
- Quién entró anocheSolo si las bitácoras se estaban guardando desde antes de anoche
Quita una columna y la palabra de arriba deja de ser cierta
No dice cuáles columnas están paradas en una máquina en particular. El hallazgo de siempre es que al menos una respuesta no es ni sí ni no, y «nadie revisó» es un dato distinto de «no», con trabajo distinto pegado.
La señal de que ya dejaste de adivinar
Al primer mes una falla produce una lista de cosas por intentar. A los tres meses produce un orden, y el orden llega con predicciones pegadas. Toma una falla que no hayas visto antes, escribe los tres primeros comandos que vas a correr y, al lado de cada uno, las dos respuestas que puede devolver y qué elimina cada una. Después córrelos. No poder escribirlas significa que la lista es de cosas que funcionaron antes, y eso deja de servir la primera vez que la falla es nueva.
La versión corta está arriba: dado un curl que devuelve Connection refused, decir de memoria cuáles capas quedan descartadas y cuál queda acusada, sin buscarlo.
La segunda señal no habla del lector sino de la máquina. De las cuatro preguntas que vale la pena hacerle a una máquina de la que alguien responde, dos tienen un comando detrás: ss -tlnp para qué está escuchando, df -h para qué tan cerca está el disco de llenarse. Las otras dos se contestaron meses antes, porque alguien guardó un respaldo que se restaura y bitácoras que se recogen desde antes de la noche en cuestión.
La tercera es la que más seguido se contesta mal por acá, y la respuesta suele ser una copia en la misma máquina o un archivo mandado por WhatsApp. Las dos son respaldos hasta el día en que la máquina es el problema, que es el día para el que se hicieron. Y «nadie revisó» es una respuesta distinta de «no», con trabajo distinto pegado.
Por dónde entrar, y con qué se paga cada puerta
Computadoras y soporte técnico es la entrada más suave, porque es el único tema donde la falla se ve seguido sin escribir un comando: un ventilador que se detuvo, un cable mal asentado, un disco que suena. También es el que paga renta más pronto: el trabajo de soporte existe en cualquier ciudad de la región.
Sistemas operativos es donde el rendimiento por hora invertida es más alto, y no es el tema que sigue después de los demás sino el que abarata a los otros seis. Adentro, la línea de comandos es lo que no se puede dejar para luego.
Redes de computadoras es el atoro, así que se lleva más tiempo y no menos, y el diagnóstico de red convierte los seis comandos de arriba en un método. La administración de servidores y el cómputo en la nube son el mismo tema con distinto dueño de la falla, y la diferencia que aparece en una semana de trabajo es a quién le cobran el error; el costo rescata lectores del primer recibo.
Ciberseguridad va escrita al final de esta lista y no debería leerse al final, porque está hecha de los otros seis, y sus certificaciones son la parte que el mercado de aquí lee por nombre. La electrónica y el hardware es la rama que se sale de la pila, y el único tema en el que alguien termina un proyecto sobre la mesa de la cocina.
Desde afuera, la puesta en producción es este mismo conjunto de habilidades en manos de quien escribe el software; la carrera profesional conviene leerla antes que cualquier certificación, porque un certificado contesta la pregunta del mercado y no la de la máquina; y el inglés es la capa en la que están escritas todas las demás.
Lo que queda por decidir es cuál máquina se vuelve la propia y la que sí se puede romper, y si además tiene que ser alcanzable desde afuera, porque eso cambia lo que se puede practicar y cuánto cuesta al mes. El alojamiento es donde se resuelve.