En un consultorio dental de Mérida, la computadora de recepción recibe sin problema las imágenes del sensor de rayos X, y la laptop del segundo sillón no las recibe nunca. Las dos tienen internet, las dos están a cuatro metros del sensor, y a la persona que llegó a revisar le dijeron que se cayó la red. La red no se cayó. Hay dos redes.
Esa es la falla que acaba con la confianza de casi todo el que estudia este tema, y es por una sola razón: sabe qué es una dirección, qué es un nombre y qué es una ruta, como tres datos separados, y una falla real es la pregunta de cuál de los tres está mintiendo. Lo que vale de este tema es un orden para preguntar, no una lista más larga de definiciones.
El número que decide quién es local
El sensor está en 192.168.1.40 y la laptop del segundo sillón está en 192.168.0.15. Que eso importe o no lo decide la máscara y nada más. La máscara decide cuáles direcciones son locales y cuáles necesitan un router. Con una máscara /24, solo los tres primeros números son la red local, así que 192.168.0 y 192.168.1 son dos redes distintas y todo paquete entre las dos tiene que rutearse. Con una /23 serían la misma red y el tráfico nunca saldría del switch.
Aquí está la parte que casi nadie ve venir, y es donde se pierde una tarde. Poner /23 en la laptop no arregla nada, la empeora. La máscara decide dónde grita la máquina, no por dónde va el cable: con /23 la laptop deja de entregarle el paquete a su puerta de enlace y se pone a gritar por el sensor en su propio cable, donde el sensor no está. Antes fallaba con un mensaje; ahora falla en silencio.
Dos NAT adentro del consultorio, y el tercero es del operador
El origen de las dos redes es el aparato más común de la región. Alguien compró un repetidor para llevar la señal al segundo sillón, lo conectó y funcionó: hay internet. Lo que casi nadie revisa es en qué modo quedó. En modo router un repetidor crea una red nueva; en punto de acceso extiende la que hay, y de fábrica muchos llegan en el primero, porque así el aparato funciona sin configurar nada y el cliente no llama.
La consecuencia es un NAT que nadie puso a propósito, adentro del consultorio, entre dos aparatos que se ven de frente. Desde adentro se sale y desde afuera no se entra, que es exactamente lo que hace un NAT y por eso hay internet en las dos redes.
La prueba toma treinta segundos y no requiere ninguna herramienta. Si la dirección WAN del router propio es privada, hay un segundo NAT adentro del edificio: se abre la página de estado del aparato al que está conectada la laptop, se lee la dirección que reporta del lado de afuera, y si empieza en 192.168, en 10. o en 172.16 a 172.31, entonces ese aparato no está hablando con el operador sino con otro router del mismo lugar. Sumado a lo que el operador hace por su cuenta, un paquete de ese consultorio puede cruzar tres traducciones antes de salir a la calle, y cada una esconde una capa.
La salida es de un solo tornillo: poner el repetidor en modo punto de acceso, apagarle el servidor DHCP y dejar que las direcciones las siga repartiendo el router del operador. Los dos sillones quedan en la misma red, la máscara deja de importar y el sensor contesta. Qué aparato hace qué y cuál de los tres modos trae de fábrica está en los equipos de red, y cómo se reparten los números para que esto no vuelva a pasar está en el direccionamiento.
Preguntarle a cada capa, en un orden
El primer comando es el que contesta la pregunta del dibujo antes de mandar nada.
ip route get 192.168.1.40- imprime
192.168.1.40 via 192.168.0.1 dev wlan0 src 192.168.0.15
ip route get 192.168.1.40 dice por dónde va a salir el paquete antes de mandarlo. Ese via es la falla completa impresa en un renglón: la laptop va a entregarle el paquete a un router, y un vecino de cable no se entrega a nadie. Si el mismo comando se corre en la computadora de recepción, no aparece ningún via, y esa ausencia es la diferencia entre las dos máquinas.
La segunda pregunta es dónde se detiene el camino. traceroute dice dónde se detiene el camino, no quién lo rompió, y esa distinción es lo que lo vuelve útil en lugar de engañoso. Un trazo que se muere en el tercer salto dice que el paquete llegó al tercer salto y no llegó al cuarto. No dice que el tercer aparato esté descompuesto, y muy seguido el tercer aparato está perfecto y simplemente se niega a rutear entre dos redes de las que nadie le habló. Leer bien esa salida es la mayor parte de el diagnóstico de red.
Un paquete, una pregunta
La bifurcación que toma cada paquete, decidida por un número que nadie mira
Las dos ramas funcionan perfecto. Cuál toma una máquina lo decide su máscara, y una máscara equivocada produce una red impecable que no puede imprimir.
- La máscara dice que síGritar por ella en el cable localNingún router de por medio, y el paquete no sale del switch
- Funciona aunque el ruteo esté mal configurado
- Falla en el momento en que los dos aparatos están de verdad en redes distintas
- Lo que hacía la computadora de recepción, con su /24
- La máscara dice que noEntregárselo a la puerta de enlaceAhora alguien tuvo que enseñarle al router las dos redes, y nadie lo hizo
- Comportamiento correcto, y el paquete se descarta más adelante
- traceroute se detiene en el salto al que nunca le avisaron
- Lo que hacía la laptop del segundo sillón, detrás del repetidor
El dibujo no dice cuál máscara es la correcta, porque ninguna lo es. La falla es que dos grupos de aparatos en un mismo consultorio recibieron respuestas distintas a la misma pregunta, y uno de los dos grupos vive detrás de un NAT que nadie puso a propósito.
La falla que se ve como lentitud
La tercera cosa que conviene tener resuelta de antemano es la que no produce ningún error. MTU: un paquete demasiado grande se descarta en silencio y parece un sitio lento. Las peticiones chicas pasan, las grandes se quedan colgadas, y el síntoma llega como una aplicación que abre unas páginas y se atora en otras.
Por acá tiene una causa concreta y frecuente. Buena parte de las líneas de la región entrega por PPPoE, que envuelve cada paquete y se lleva 8 bytes, así que la MTU útil queda en 1492 y no en 1500. Cualquier túnel encima se lleva otros tantos. La prueba es un ping con carga grande y la bandera de no fragmentar: una línea que contesta los pings chicos y descarta los grandes ya dio el diagnóstico entero, y el ajuste se hace en el router y no en cada máquina.
Dónde se atora la gente
El atoro es exactamente el momento del principio: cuando las abstracciones dejan de poder separarse. Llega cuando alguien que sabe definir una dirección IP, un registro DNS y una puerta de enlace se topa con una falla que no es ninguna de las tres por separado y es las tres a la vez, y concluye que las redes de verdad le quedan grandes. No le quedan grandes. Lo que falta es un orden de diagnóstico, se consigue en una tarde y casi nunca se enseña, porque una definición es fácil de examinar y un orden no.
El segundo atoro es la radio, y es un problema de física disfrazado de problema de redes. Un enlace que sirve en el escritorio y falla en la puerta de la bodega no cambió de configuración, y ningún conocimiento de protocolos ayuda. En este mercado el asunto llega más temprano y más fuerte, porque la cobertura se resuelve con repetidores baratos en edificios donde los vecinos ya llenaron los tres canales que sirven en 2.4 gigahercios. Por eso las redes inalámbricas son un conjunto aparte y no una sección.
Vale la pena decir por qué el modelo por capas se aguanta la hora que cuesta. Se enseña mal, como siete nombres que hay que memorizar para un examen. Lo que sirve de él es que le da un orden a las preguntas: una falla en una capa hace que todas las de arriba se vean rotas, y a ninguna de abajo se le puede echar la culpa. Establecer que el cable está vivo antes de discutir sobre DNS no es pedantería, es la única manera de dejar de probar tres veces lo mismo, y para eso está cómo funciona una red.
Qué abrir en 2026
En cualquier Linux actual, ip reemplazó a ifconfig y ss reemplazó a netstat. Los dos cambios pasaron hace años y los comandos viejos siguen en la mayoría de los tutoriales y en la memoria de los dedos. Son gratis y ya vienen instalados. Conviene aprender el par nuevo y reconocer el viejo al leer cualquier cosa anterior a 2018.
mtr junta en una sola pantalla lo que antes pedía correr traceroute una vez y ping muchas: manda paquetes sin parar por cada salto y muestra en cuál se empiezan a perder. Reemplazó a esa pareja de comandos corridos por separado y a la conclusión apresurada que sale de un solo trazo. Es gratis, está en los repositorios de cualquier distribución y hay versión para Windows, y en una línea residencial de la región es lo que distingue un enlace que se cae del que siempre estuvo así.
Cuando los comandos se contradicen entre sí, Wireshark muestra lo que de verdad va por el cable y cierra la discusión. Es gratis y de código abierto, reemplazó a adivinar leyendo bitácoras, y convierte un pleito entre dos áreas en una captura sobre la que una de las dos está equivocada. Dos advertencias locales: sobre el cable captura todo y sobre Wi-Fi casi ninguna laptop de este parque entra en modo monitor, así que la captura útil se toma conectando un cable; y leer una captura es una habilidad por sí sola.
Lo que ninguna de estas herramientas decide es qué hacer una vez que el camino está bien y alguien lo está usando en contra del consultorio. Configurar los aparatos para que ruteen entre las dos redes en lugar de esconder una detrás de la otra es el ruteo y la conmutación, y también es donde el mismo repetidor deja de ser un accidente y pasa a ser una decisión.
Queda la pregunta que este consultorio todavía no se ha hecho. El sensor de rayos X contesta a cualquiera que se lo pida desde su red, sin contraseña, porque así llegó de fábrica, y ahora hay una red de invitados a dos metros. Quién puede pedirle qué a ese aparato es materia de la ciberseguridad, y por qué la máquina que corre el programa de recepción tampoco pregunta nada se decide del lado de sistemas operativos. La misma pregunta hecha sobre una máquina que nadie puede ir a ver es la administración de servidores.