1. INTRODUCCIÓN

1.1. Definición funcional

Una red de área local o LAN es una infraestructura de comunicaciones que interconecta estaciones, servidores, dispositivos especializados y elementos de red dentro de un ámbito limitado administrado normalmente por una misma organización. El límite no lo fija una distancia universal, sino la unidad técnica y administrativa del dominio: un edificio, un hospital, un conjunto de edificios próximos, un campus o una sede compleja pueden constituir una LAN, mientras que la interconexión de sedes geográficamente separadas suele pertenecer a la WAN corporativa.

La LAN proporciona conectividad de capa física y de enlace para que los sistemas intercambien tramas y accedan a servicios superiores. En una organización actual no se reduce a «compartir impresoras». Sustenta autenticación, directorio, voz IP, videoconferencia, acceso a aplicaciones, almacenamiento, virtualización, monitorización, dispositivos del Internet de las cosas y conexiones inalámbricas. En sanidad transporta además información clínica, imágenes médicas, telemetría, comunicaciones de equipos biomédicos y tráfico administrativo, por lo que sus requisitos de disponibilidad, segmentación y trazabilidad son especialmente estrictos.

1.2. Propiedades técnicas

Las LAN suelen ofrecer elevada capacidad, baja latencia y una tasa de error reducida respecto de enlaces de larga distancia, pero esas cualidades no son automáticas. Dependen del medio, la carga, el diseño, la calidad de instalación, la electrónica, el control de bucles, la interferencia radioeléctrica y las políticas aplicadas. El valor nominal de un enlace es su tasa física; el throughput es el caudal conseguido y el goodput es la parte útil entregada a la aplicación. Cabeceras, confirmaciones, colisiones históricas, contención inalámbrica, retransmisiones y cifrado reducen el rendimiento observable.

La LAN moderna es predominantemente conmutada. Cada puerto de un switch constituye un enlace punto a punto y, cuando opera en full duplex, no comparte un dominio de colisión con otros puertos. Sin embargo, los dominios de difusión dependen de la segmentación lógica: una VLAN constituye habitualmente un dominio de broadcast y la comunicación entre VLAN necesita una función de capa 3. Decir que «toda la LAN recibe todos los broadcasts» solo es correcto si se habla de una única VLAN sin segmentación.

1.3. Criterios de diseño

El diseño debe partir de requisitos de negocio y servicio: número y tipo de dispositivos, aplicaciones, movilidad, criticidad, crecimiento, cobertura, capacidad por zona, alimentación, continuidad, seguridad y operación. Después se traducen en una arquitectura física y lógica. El orden importa: instalar puntos de acceso o puertos sin estudiar demanda y políticas conduce a zonas saturadas, segmentos inseguros o infraestructuras difíciles de mantener.

En una red hospitalaria es necesario distinguir puestos corporativos gestionados, dispositivos móviles, terminales clínicos, telefonía, sistemas de imagen, equipamiento electromédico, cámaras, sensores, invitados y elementos de gestión. No todos admiten el mismo método de autenticación ni deben acceder a los mismos destinos. La segmentación y el NAC permiten expresar estas diferencias, pero deben apoyarse en inventario, identidad, monitorización y procedimientos de cambio.

2. COMPONENTES Y ARQUITECTURA DE UNA RED LOCAL

2.1. Sistemas finales e interfaces

Los sistemas finales generan o consumen información: ordenadores, servidores, teléfonos IP, impresoras, terminales de movilidad, equipos de laboratorio, dispositivos de monitorización, controladores industriales y sensores. Cada interfaz de red implementa una capa física y una subcapa MAC. La dirección MAC utilizada por Ethernet suele tener 48 bits; identifica una interfaz dentro del dominio local y no debe confundirse con una dirección IP, que pertenece a la capa de red y permite comunicación entre redes.

Una interfaz cableada negocia normalmente velocidad, dúplex y otras capacidades mediante autonegociación. Forzar manualmente un extremo y dejar el otro en automático puede provocar un duplex mismatch, con errores, retransmisiones y rendimiento anómalo. Las interfaces inalámbricas añaden radio, antenas, selección de canal, asociación, autenticación y adaptación de tasa según las condiciones del medio.

2.2. Concentradores, puentes y switches

El hub o concentrador es un repetidor multipuerto de capa física: replica la señal a todas las salidas y crea un único dominio de colisión. Fue útil en las primeras Ethernet sobre par trenzado, pero está obsoleto en redes empresariales. Un bridge aprende direcciones MAC y filtra tramas entre segmentos. El switch generaliza esta función a muchos puertos y la ejecuta en hardware especializado con alta velocidad.

El switch aprende la ubicación de las estaciones observando la dirección de origen de cada trama y asociándola al puerto y a la VLAN de entrada. Si conoce el destino unicast, reenvía por el puerto correspondiente; si es desconocido, realiza inundación dentro de la VLAN. Las tramas broadcast y ciertos multicast también se distribuyen por el dominio lógico. Las entradas dinámicas envejecen para adaptarse a movimientos. La tabla suele denominarse tabla MAC o CAM, aunque la implementación exacta depende del fabricante.

Un switch gestionable puede ofrecer VLAN, enlaces troncales, árbol de expansión, agregación, QoS, PoE, 802.1X, listas de control, inspección de protocolos, telemetría y administración segura. Un switch de capa 3 incorpora encaminamiento entre VLAN y puede actuar como puerta de enlace distribuida. No deja de conmutar tramas por tener funciones de routing: ambas capacidades conviven.

2.3. Routers, cortafuegos y pasarelas

El router interconecta redes IP y separa dominios de broadcast. Consulta una tabla de rutas y reenvía paquetes hacia un siguiente salto. En una sede, la puerta de enlace puede residir en switches de distribución, en un par de equipos centrales o en una arquitectura de fabric. Los cortafuegos aplican políticas entre zonas y pueden inspeccionar estado, aplicaciones y amenazas. La mera separación en VLAN no sustituye al control entre segmentos: si el dispositivo de capa 3 permite todo el tráfico, la segmentación es administrativa, no una barrera completa.

2.4. Puntos de acceso y control WLAN

El punto de acceso o AP conecta estaciones IEEE 802.11 con el sistema de distribución, habitualmente Ethernet. En despliegues pequeños puede ser autónomo; en organizaciones se gestiona de forma centralizada mediante controladoras físicas, virtuales o servicios en la nube. La centralización facilita plantillas, políticas, selección de canal y potencia, seguridad, actualización, detección de AP no autorizados y análisis de experiencia.

Un AP empresarial no es simplemente un «router Wi-Fi». Puede transportar varios SSID, mapearlos a VLAN o políticas, aplicar 802.1X, colaborar en roaming y recopilar métricas de radio. La densidad de usuarios y dispositivos determina a menudo más AP que la mera cobertura. Un hospital con zonas de espera, consultas, plantas, quirófanos y áreas técnicas requiere perfiles distintos de capacidad y movilidad.

2.5. Elementos pasivos y soporte

El cableado horizontal, los paneles de parcheo, latiguillos, rosetas, bandejas, armarios, repartidores, módulos ópticos y sistemas de alimentación forman parte de la solución. Su calidad condiciona el servicio durante años. La electrónica puede sustituirse con relativa facilidad; un cableado mal diseñado, sin certificación o sin reserva de capacidad genera costes estructurales.

También son esenciales la alimentación ininterrumpida, la climatización de salas, la puesta a tierra, el control de acceso físico y el etiquetado. La gestión lógica pierde valor si no existe correspondencia entre inventario, puerto, toma, dispositivo y ubicación. En redes críticas, la arquitectura suele diferenciar acceso, agregación o distribución y núcleo, aunque en sedes pequeñas algunas capas se colapsen.

3. MEDIOS Y MODOS DE TRANSMISIÓN

3.1. Par trenzado de cobre

El par trenzado agrupa conductores en pares para reducir diafonía e interferencias. Puede ser no apantallado o incorporar pantallas generales y por pares. La nomenclatura ISO/IEC expresa estas combinaciones, por ejemplo U/UTP, F/UTP o S/FTP. El conector modular usado habitualmente se denomina de forma coloquial RJ45, aunque el interfaz físico es 8P8C. El enlace de canal Ethernet sobre cobre se diseña normalmente para un máximo de 100 metros, distribuidos de forma típica en 90 metros de enlace permanente y hasta 10 metros de latiguillos, sujeto a la categoría y a la norma de cableado.

La categoría no determina por sí sola el resultado. Deben ser compatibles cable, conectores, paneles, radios de curvatura, longitud, instalación, puesta a tierra y certificación. Categoría 5e soporta 1000BASE-T en el canal previsto; categoría 6 mejora margen y puede soportar 10GBASE-T en distancias reducidas según condiciones; categoría 6A está concebida para 10GBASE-T hasta 100 metros. Las categorías y clases superiores introducen requisitos adicionales, pero no conviene elegirlas sin considerar disponibilidad, terminación y necesidad real.

3.2. Fibra óptica

La fibra transporta luz y es inmune a interferencias electromagnéticas. La multimodo utiliza un núcleo mayor y se emplea en distancias de edificio o campus, con clases OM que definen prestaciones. La monomodo utiliza un núcleo pequeño y permite mayores distancias y tasas, por lo que es habitual en troncales, CPD e interconexiones. No existe una distancia única asociada a «la fibra»: depende de la interfaz óptica, longitud de onda, tipo de fibra, presupuesto de potencia, conectores, empalmes y velocidad.

Los transceptores ópticos se presentan en formatos como SFP, SFP+, SFP28, QSFP+ o QSFP-DD, entre otros. El formato mecánico no garantiza compatibilidad de velocidad, alcance ni codificación. Deben verificarse la especificación Ethernet, el tipo de óptica, la fibra, la polaridad y las políticas del equipo. Enlaces de alta capacidad pueden emplear varias longitudes de onda o carriles paralelos.

3.3. Radio y propagación

Wi-Fi y Bluetooth utilizan radio en bandas de uso común bajo condiciones regulatorias. La propagación depende de frecuencia, potencia, antenas, obstáculos, reflexión, difracción, absorción e interferencias. La banda de 2,4 GHz ofrece generalmente mayor penetración y alcance relativo, pero dispone de menos canales no solapados y soporta numerosos sistemas. Las bandas de 5 y 6 GHz proporcionan más espectro y canales anchos, aunque sufren mayor atenuación y su disponibilidad depende de regulación y capacidades.

La potencia recibida se expresa habitualmente en dBm; la calidad no puede evaluarse solo con RSSI. La relación señal-ruido, el nivel de interferencia, la ocupación de canal y las tasas de reintento son decisivos. Aumentar potencia indiscriminadamente puede empeorar la red: el cliente quizá oiga al AP, pero el AP no reciba al cliente, y se incrementa la interferencia entre celdas.

3.4. Simplex, half duplex y full duplex

En simplex la información fluye en un único sentido. En half duplex ambos extremos pueden transmitir, pero no simultáneamente sobre el mismo recurso. En full duplex transmiten y reciben a la vez. Ethernet conmutada punto a punto opera normalmente en full duplex. Wi-Fi comparte un medio y utiliza contención; aunque una estación pueda enviar y recibir en momentos alternos y existan múltiples radios o enlaces, la operación de un canal concreto no equivale al full duplex clásico de Ethernet.

El dúplex no debe confundirse con la suma comercial de velocidades. Un enlace de 1 Gb/s full duplex permite hasta 1 Gb/s en cada dirección simultáneamente, pero no convierte una transferencia unidireccional en 2 Gb/s. La aplicación, la pila, el almacenamiento y los demás enlaces pueden limitar el resultado.

3.5. Transmisión serie, banda base y codificación

Las LAN transmiten secuencias de bits mediante símbolos eléctricos, ópticos o radioeléctricos. Las capas físicas emplean codificaciones y modulaciones adaptadas al medio: PAM en Ethernet de cobre, múltiples longitudes de onda o carriles en óptica, y OFDM/OFDMA con modulaciones QAM en Wi-Fi. Una mayor modulación transporta más bits por símbolo, pero exige mejor relación señal-ruido. Por ello la tasa máxima solo aparece cerca del transmisor y en condiciones favorables.

4. TOPOLOGÍAS Y MODOS DE ACCESO AL MEDIO

4.1. Topología física y lógica

La topología física describe cómo se conectan cables, radios y equipos; la topología lógica explica cómo circula el tráfico y qué relaciones de capa 2 existen. Una instalación Ethernet sobre par trenzado suele ser una estrella física, porque cada terminal enlaza con un switch, pero la red completa adopta una estrella extendida o árbol jerárquico. Mediante VLAN y redundancia puede presentar una organización lógica diferente.

La redundancia física es deseable, pero en capa 2 puede crear bucles. Ethernet no incorpora un TTL en la trama; una difusión atrapada en un bucle puede replicarse indefinidamente y causar una tormenta. Por eso son necesarios protocolos de árbol de expansión, agregación controlada o arquitecturas de fabric que eviten la inundación no acotada.

4.2. Acceso aleatorio: ALOHA y CSMA

Cuando varias estaciones comparten un medio, necesitan decidir cuándo transmitir. Los métodos aleatorios permiten intentarlo y resuelven conflictos. ALOHA, de importancia histórica, transmitía y esperaba confirmación; su versión ranurada limitó los comienzos a intervalos. CSMA mejora el proceso escuchando el medio antes de enviar. Si está ocupado, la estación difiere; si está libre, transmite, aunque la propagación hace posible que dos estaciones comiencen casi a la vez.

4.3. CSMA/CD en Ethernet histórica

CSMA/CD significa acceso múltiple con escucha de portadora y detección de colisiones. Se utilizó en Ethernet compartida y half duplex. La estación escucha, transmite, detecta una colisión, envía una señal de interferencia, espera un intervalo calculado mediante retroceso exponencial binario y reintenta. El tamaño mínimo de trama y el diámetro máximo de la red estaban relacionados con la necesidad de detectar una colisión antes de terminar la transmisión.

En Ethernet con switches y enlaces full duplex no hay contienda entre estaciones en el mismo segmento, por lo que CSMA/CD no se utiliza operativamente. Sigue siendo relevante para comprender la evolución y aparece en la especificación de la operación compartida. Afirmar que «Ethernet actual usa siempre CSMA/CD» es una simplificación incorrecta.

4.4. CSMA/CA en Wi-Fi

Una estación Wi-Fi no puede detectar de forma fiable una colisión mientras transmite, por las diferencias de potencia y los problemas de nodo oculto. Utiliza CSMA/CA, acceso múltiple con escucha de portadora y evitación de colisiones. Comprueba el canal, espera espacios temporales y un contador aleatorio; transmite cuando el contador llega a cero y espera una confirmación. Si no recibe ACK, presupone pérdida y reintenta.

La detección de portadora combina escucha física y un mecanismo virtual basado en el campo de duración y el Network Allocation Vector. RTS/CTS puede reducir el problema del nodo oculto, aunque añade sobrecarga y no se activa necesariamente para todas las tramas. En Wi-Fi, una estación lenta consume más tiempo de aire y puede afectar a las demás; la eficiencia se analiza en tiempo de ocupación, no solo en megabits por segundo.

4.5. Acceso controlado

Otros métodos conceden turnos mediante testigo, sondeo o reserva. Token Ring e IEEE 802.5 utilizaron un testigo circulante, ofreciendo acceso determinista relativo, pero fueron desplazados por Ethernet. Tecnologías industriales y TSN recuperan objetivos de latencia y determinismo mediante planificación, sincronización y reserva sobre Ethernet, sin volver al modelo clásico de Token Ring.

5. ETHERNET: TRAMA, MAC Y FUNCIONAMIENTO

5.1. Familia IEEE 802.3

Ethernet es la familia dominante de redes locales cableadas y está normalizada por IEEE 802.3. Mantiene una subcapa MAC común y define numerosas capas físicas para cobre, fibra y otros medios, desde 10 Mb/s hasta cientos de gigabits por segundo. La continuidad del formato de trama y del servicio de enlace ha permitido que evolucione sin sustituir la arquitectura superior de las aplicaciones.

IEEE 802.3 no es solo «el protocolo CSMA/CD». La norma incluye operación full duplex, gestión y numerosas especificaciones PHY. En 2024 se incorporó operación de 800 Gb/s mediante IEEE 802.3df, orientada principalmente a centros de datos y redes de alta capacidad. En el acceso de usuario siguen siendo comunes 1 Gb/s, 2,5 Gb/s, 5 Gb/s y 10 Gb/s según necesidades y cableado.

5.2. Estructura de la trama

La trama comprendida desde MAC destino hasta FCS tiene normalmente entre 64 y 1518 bytes sin etiqueta VLAN. IEEE 802.1Q añade cuatro bytes, elevando el tamaño a 1522. El preámbulo, SFD e intervalo entre tramas consumen tiempo en el medio aunque no formen parte de la longitud indicada. La MTU IP habitual de 1500 bytes no equivale al tamaño total de la trama.

Las jumbo frames son extensiones de implementación, frecuentemente cercanas a 9000 bytes, pero no existe un único tamaño universal interoperable. Pueden reducir sobrecarga en almacenamiento o CPD, pero exigen soporte coherente extremo a extremo. Una MTU inconsistente puede producir pérdida, fragmentación o fallos difíciles de diagnosticar.

5.3. Direcciones unicast, multicast y broadcast

Una dirección unicast identifica una interfaz individual. Una dirección multicast identifica un grupo. La dirección de broadcast Ethernet tiene todos sus bits a uno y se inunda en la VLAN. El bit individual/grupo y el bit universal/local del primer octeto permiten distinguir ciertos atributos. Las direcciones administradas localmente son útiles en virtualización y privacidad, pero pueden complicar inventario si cambian con frecuencia.

5.4. Aprendizaje y reenvío

Cuando una trama entra, el switch registra la MAC origen en el puerto y VLAN. Después busca la MAC destino. Si la conoce y está en otro puerto, reenvía; si está en el mismo, filtra; si no la conoce, inunda. Las entradas caducan. Un movimiento rápido de una misma MAC entre puertos puede indicar movilidad legítima, virtualización, un bucle o una configuración incorrecta.

Los switches modernos suelen emplear store-and-forward, recibiendo la trama completa y verificando FCS antes de reenviar. Algunos soportan variantes cut-through para reducir latencia, con el riesgo de propagar errores. La elección depende del entorno.

5.5. Autonegociación y control de flujo

La autonegociación permite acordar capacidades. En Gigabit Ethernet sobre cobre forma parte esencial del funcionamiento. IEEE 802.3x define tramas PAUSE para control de flujo full duplex, pero su uso debe diseñarse con cuidado: puede trasladar congestión y causar bloqueo de cabecera. En redes de almacenamiento o pérdida reducida existen mecanismos adicionales de Data Center Bridging, que no deben activarse indiscriminadamente en una LAN general.

6. ESTÁNDARES FÍSICOS ETHERNET Y ALIMENTACIÓN PoE

6.1. Nomenclatura

Las denominaciones Ethernet combinan velocidad, tipo de señal y medio. En 1000BASE-T, 1000 indica 1000 Mb/s, BASE señala transmisión en banda base y T identifica par trenzado. En 10GBASE-SR, SR indica óptica de corto alcance; LR, largo alcance. Las letras no deben memorizarse como una tabla aislada: expresan familias PHY con requisitos de medio, longitud de onda, número de carriles y alcance.

La velocidad adecuada depende de la suma de flujos, el patrón de tráfico y la redundancia. Sobredimensionar todos los puertos no soluciona una arquitectura deficiente, pero subdimensionar uplinks genera sobresuscripción y colas. La relación entre puertos de acceso y enlaces de agregación se calcula con perfiles realistas, no suponiendo que todos transmitirán siempre a tasa máxima ni ignorando aplicaciones críticas.

6.2. Multi-Gigabit Ethernet

IEEE 802.3bz normalizó 2.5GBASE-T y 5GBASE-T. Estas tasas surgieron, entre otros motivos, para que puntos de acceso con capacidad superior a 1 Gb/s no quedaran limitados por el uplink y pudieran reutilizar determinadas instalaciones de cobre. La viabilidad depende de categoría, longitud, calidad y entorno electromagnético. En despliegues WLAN modernos conviene revisar conjuntamente velocidad del puerto, PoE disponible, capacidad del switch, uplinks y presupuesto energético.

6.3. Power over Ethernet

Power over Ethernet transporta alimentación y datos por el cableado Ethernet. El equipo que suministra energía es el PSE; el dispositivo alimentado es el PD. El proceso incluye detección y clasificación para evitar aplicar tensión de forma indiscriminada. PoE simplifica la instalación de AP, teléfonos, cámaras y sensores, y permite respaldarlos con el SAI del armario, pero convierte el presupuesto de potencia y la disipación térmica en requisitos de diseño.

La potencia efectiva disponible en el PD es menor por pérdidas. Decir que 802.3bt «entrega 100 W al dispositivo» no es preciso: el estándar contempla hasta aproximadamente 90 W en el PSE y una potencia inferior garantizada en el PD según tipo y condiciones. El fabricante puede anunciar cifras redondeadas o mecanismos propietarios, pero en examen debe diferenciarse norma y marketing.

6.4. Presupuesto de potencia y térmico

Un switch con 48 puertos no puede necesariamente suministrar la potencia máxima a todos simultáneamente. Debe calcularse el PoE budget, reservar margen y considerar fuentes redundantes. Los haces de cable con potencia elevada se calientan; categoría, sección, agrupación, temperatura ambiente y canalización afectan a las pérdidas. La normativa de cableado y las instrucciones de fabricante son parte del diseño.

6.5. Ethernet de un solo par y entornos especializados

Single-Pair Ethernet extiende Ethernet a automatización, automoción, sensores y edificios, con PHY adaptadas a distancia y velocidad. Permite convergencia IP en dispositivos antes conectados mediante buses específicos. No sustituye de forma inmediata al cableado de cuatro pares del puesto, pero muestra la tendencia a utilizar una arquitectura común desde sensores hasta centros de datos.

7. CONMUTACIÓN, VLAN, REDUNDANCIA Y AGREGACIÓN

7.1. Segmentación mediante VLAN

IEEE 802.1Q permite transportar varias redes lógicas sobre una infraestructura de bridges. Inserta una etiqueta de cuatro bytes con información de prioridad y un identificador VLAN de 12 bits. Existen 4096 valores posibles, pero algunos están reservados; por ello no deben afirmarse 4096 VLAN utilizables sin matiz. Un puerto de acceso entrega normalmente tramas sin etiqueta a un dispositivo final y las asocia a una VLAN. Un enlace troncal transporta varias VLAN etiquetadas.

La VLAN reduce el dominio de broadcast y facilita aplicar direccionamiento, políticas y operación diferenciada. La comunicación entre VLAN requiere routing. La asignación puede ser estática por puerto o dinámica mediante autenticación y atributos RADIUS. Diseñar una VLAN por departamento puede ser insuficiente: las políticas modernas consideran función, criticidad, propietario, postura, tipo de dispositivo y aplicación.

La VLAN nativa y el tráfico sin etiquetar deben tratarse cuidadosamente. Diferencias de configuración pueden generar fugas, pérdida o ataques. Es recomendable evitar el uso innecesario de VLAN por defecto, limitar VLAN permitidas en troncales y administrar la infraestructura por redes dedicadas protegidas.

7.2. Bucles y Spanning Tree

STP construye una topología lógica sin bucles eligiendo un bridge raíz, determinando caminos y bloqueando enlaces redundantes. Los switches intercambian BPDU. La selección depende de identificadores y costes. El enlace bloqueado puede activarse cuando cambia la topología. El STP clásico se asocia históricamente a IEEE 802.1D; RSTP y MSTP evolucionaron y sus especificaciones se integraron en revisiones de IEEE 802.1Q.

RSTP acelera la convergencia mediante roles y estados simplificados. MSTP permite mapear VLAN a varias instancias de árbol para usar mejor enlaces. Los nombres comerciales PVST o variantes por VLAN no son estándares independientes universales; dependen de fabricantes.

Los controles de borde son esenciales. PortFast o edge port evita esperas en puertos conectados a terminales, pero no debe habilitarse ciegamente donde pueda conectarse otro switch. BPDU Guard deshabilita un puerto de borde que recibe BPDU; Root Guard protege la posición del root. Storm control limita difusión, multicast o unicast desconocido. Ningún mecanismo aislado sustituye un diseño coherente.

7.3. Agregación de enlaces

IEEE 802.1AX, basado en el protocolo LACP, agrupa varios enlaces físicos en un enlace lógico. Aporta capacidad agregada y resiliencia. El tráfico se distribuye mediante un hash de campos como MAC, IP o puertos; una única conversación suele permanecer en un miembro para evitar reordenación. Por tanto, cuatro enlaces de 10 Gb/s no garantizan que una sola transferencia alcance 40 Gb/s, aunque múltiples flujos sí puedan aprovechar el conjunto.

Los extremos deben coincidir en parámetros, velocidad y pertenencia. Un error de configuración puede crear bucles o enlaces suspendidos. Tecnologías de virtualización de chasis o multi-chassis permiten que una agregación termine en dos equipos físicos, pero su funcionamiento y consistencia dependen de la solución.

7.4. Inter-VLAN routing

La puerta de enlace de una VLAN puede residir en un router, un switch multicapa o una fabric. El routing habilita comunicación, pero también es el punto donde aplicar ACL, cortafuegos, inspección o microsegmentación. En redes sanitarias debe prevalecer el mínimo privilegio: que dos dispositivos tengan conectividad IP no implica que deban intercambiar cualquier protocolo.

7.5. Multicast y optimización

IGMP snooping permite a un switch observar la señalización multicast IPv4 y limitar la entrega a puertos interesados. Sin él, el multicast puede inundarse como broadcast dentro de la VLAN. Para IPv6 existe MLD snooping. Estas funciones requieren un querier y configuración coherente. Son relevantes en vídeo, descubrimiento y algunos dispositivos, pero una mala implementación puede bloquear servicios aparentemente aleatorios.

8. GESTIÓN Y OPERACIÓN DE REDES DE ÁREA LOCAL

8.1. Ciclo de vida operativo

Gestionar una LAN implica planificar, implantar, configurar, monitorizar, mantener, asegurar y retirar activos. Deben existir estándares de configuración, inventario, diagramas, copias, control de cambios, gestión de versiones, capacidad, incidentes y continuidad. La red es un servicio; no basta con que los equipos estén encendidos. Se necesitan objetivos y métricas vinculados a aplicaciones y usuarios.

Una base de datos de configuración debe relacionar equipo, número de serie, versión, ubicación, armario, puerto, toma, uplink, VLAN, dirección de gestión, propietario y criticidad. El descubrimiento automático ayuda, pero no sustituye la reconciliación. En sanidad, el inventario de dispositivos médicos debe coordinarse con electromedicina, seguridad y responsables clínicos.

8.2. Gestión segura

La administración debe usar protocolos cifrados: SSH en lugar de Telnet, HTTPS en lugar de HTTP y SNMPv3 con autenticación y privacidad frente a comunidades SNMPv1/v2c cuando sea posible. Las interfaces de gestión deben situarse en redes restringidas, con autenticación individual, MFA si la plataforma lo permite, registro, bastiones y mínimo privilegio. Las credenciales compartidas dificultan atribución y revocación.

AAA separa autenticación, autorización y contabilidad. RADIUS se utiliza habitualmente para acceso de usuarios y red; TACACS+ aparece en administración de dispositivos, aunque es una tecnología específica y no un estándar IETF equivalente a RADIUS. La organización debe definir una vía de emergencia documentada para fallos del servicio de identidad.

8.3. SNMP, syslog, flujos y telemetría

SNMP organiza variables en MIB y permite consultas, cambios controlados y notificaciones. SNMPv3 incorpora modelos de seguridad. Las traps o informs alertan de eventos, pero pueden perderse o producir ruido; deben combinarse con sondeo y correlación. Syslog centraliza mensajes, con severidades y facilidades. NTP o PTP sincronizan tiempo para que los registros puedan relacionarse.

NetFlow, IPFIX, sFlow y mecanismos similares resumen conversaciones o muestrean tráfico. La telemetría streaming envía datos estructurados con mayor frecuencia y se integra con modelos YANG y APIs. No todas estas tecnologías son de capa 2 ni están disponibles en todos los equipos, pero juntas permiten observar utilización, errores, microcortes, cambios de ruta y anomalías.

8.4. LLDP y descubrimiento

LLDP, IEEE 802.1AB, permite que dispositivos vecinos anuncien identidad, puerto, capacidades y otros datos. LLDP-MED añade extensiones útiles para terminales multimedia, como políticas de VLAN de voz y ubicación. Es una herramienta de operación, no un mecanismo de autenticación. La información publicada debe limitarse según riesgo, especialmente en puertos no confiables.

8.5. Indicadores

Un contador CRC creciente sugiere problemas físicos, pero no siempre identifica la causa. Descartes de salida pueden indicar congestión; flaps pueden ser cableado, alimentación, autonegociación o errores de software. El diagnóstico combina métricas, topología, cambios recientes y pruebas controladas.

8.6. Herramientas básicas

Windows
Get-NetAdapter
Get-NetIPConfiguration
Get-NetNeighbor
arp -a
ping destino
tracert destino

Linux
ip link
ip address
ip neigh
ethtool interfaz
ping destino
traceroute destino

Captura y análisis
Wireshark / tcpdump
Pruebas de rendimiento controladas
iperf3

ping verifica una respuesta ICMP, no el funcionamiento completo de una aplicación. traceroute muestra una aproximación de saltos y puede verse afectado por filtrado. iperf3 genera tráfico y debe usarse con autorización para no alterar servicios. Una captura permite observar DHCP, ARP, DNS, TCP, EAPOL o retransmisiones, siempre respetando privacidad y procedimientos.

8.7. QoS

QoS clasifica, marca, pone en cola, limita o modela tráfico. IEEE 802.1Q incorpora el campo PCP para prioridad de capa 2; IP utiliza DSCP. La confianza en marcas debe establecerse en el borde: aceptar cualquier prioridad enviada por un dispositivo permitiría abuso. QoS protege aplicaciones sensibles durante congestión, pero no crea capacidad ni sustituye redundancia.

9. ARQUITECTURA Y PLANIFICACIÓN DE WLAN

9.1. Elementos IEEE 802.11

Una estación inalámbrica es una STA. Un punto de acceso coordina un BSS, identificado técnicamente por un BSSID. El SSID es el nombre lógico anunciado o configurado. Varios BSS conectados mediante un sistema de distribución forman un ESS, permitiendo movilidad con un servicio común. En modo infraestructura, la estación se asocia a un AP; los modos ad hoc o directos existen para casos específicos, pero no constituyen el modelo empresarial habitual.

Las tramas 802.11 incluyen gestión, control y datos. Beacons anuncian capacidades; probe, authentication y association preparan el acceso; ACK confirma tramas. La autenticación de enlace histórica no equivale a 802.1X o WPA-Enterprise. Es necesario distinguir fases: descubrimiento, asociación, autenticación de acceso, derivación de claves, obtención de dirección IP y acceso a servicios.

9.2. Canales y bandas

En 2,4 GHz, los canales se solapan y en muchos dominios regulatorios se planifican grupos no solapados con 20 MHz. Usar 40 MHz en alta densidad consume demasiado espectro y puede empeorar capacidad. En 5 GHz existe más espectro, pero algunos canales están sujetos a DFS para proteger radares. En 6 GHz se dispone de canales más amplios y un entorno sin dispositivos Wi-Fi heredados anteriores a Wi-Fi 6E, aunque la potencia y el uso dependen de regulación.

La selección automática de canal y potencia ayuda, pero requiere límites y validación. La red debe evitar celdas excesivamente grandes, asimetría AP-cliente y reutilización insuficiente. La planificación se realiza con estudio predictivo, medición de obra, validación posterior y análisis periódico, porque mobiliario, equipos y ocupación cambian.

9.3. Cobertura frente a capacidad

Cobertura significa que una señal es detectable; capacidad significa que el servicio soporta usuarios, tasas y latencia. En áreas densas se instalan AP para dividir tiempo de aire, no para aumentar potencia. Deben considerarse número de clientes por radio, perfiles de aplicación, ancho de canal, flujos espaciales, eficiencia, roaming y enlaces de acceso. Un AP Wi-Fi 7 conectado a 1 Gb/s y con PoE insuficiente puede quedar limitado aunque la radio anuncie tasas muy superiores.

9.4. Itinerancia

El cliente decide normalmente cuándo cambiar de AP. La infraestructura puede orientar mediante IEEE 802.11k, 802.11v y 802.11r. 802.11k ayuda a conocer vecinos; 802.11v aporta gestión y sugerencias; 802.11r reduce tiempo de transición de claves. Su soporte debe probarse con los dispositivos reales, porque algunos clientes antiguos o especializados presentan incompatibilidades.

El roaming efectivo requiere solapamiento suficiente, umbrales adecuados, identidad común y continuidad de política. Un SSID idéntico no garantiza por sí solo una transición sin cortes. Voz y movilidad clínica exigen validar latencia, pérdida, handoff y comportamiento de terminales.

9.5. Arquitecturas de control

En el modelo centralizado, el AP establece un túnel de control y, según diseño, de datos hacia una controladora. En acceso local, el tráfico se entrega en la sede. Las soluciones distribuidas o en nube separan gestión y reenvío. La elección afecta a dependencia WAN, latencia, segmentación, escalabilidad y continuidad. Debe existir un comportamiento definido si se pierde la controladora o la nube.

10. ESTÁNDARES WI-FI Y EVOLUCIÓN TECNOLÓGICA

10.1. De 802.11 a Wi-Fi 7

Los máximos teóricos agregan condiciones ideales: máximo número de flujos, modulación más alta, canales anchos, poco ruido y todas las funciones. Un cliente empresarial típico tiene menos antenas y usa canales más estrechos. La tasa PHY no es throughput; el medio es compartido y la dirección de subida y bajada consume tiempo de aire.

10.2. OFDM y OFDMA

OFDM divide el canal en subportadoras ortogonales. OFDMA agrupa subportadoras en unidades de recurso que pueden asignarse a distintos usuarios durante una transmisión. Esto mejora eficiencia con muchos flujos pequeños y reduce contienda, pero requiere coordinación y clientes compatibles. No convierte el medio en una red sin competencia: siguen existiendo periodos de acceso y sobrecarga.

10.3. MIMO, MU-MIMO y beamforming

MIMO usa varias cadenas para diversidad o flujos espaciales. MU-MIMO permite servir a varios clientes simultáneamente bajo condiciones adecuadas. Beamforming concentra energía en direcciones mediante diferencias de fase. El número anunciado de flujos del AP no coincide necesariamente con el de un cliente; la capacidad agregada se reparte entre dispositivos.

10.4. BSS coloring y Target Wake Time

BSS coloring ayuda a distinguir transmisiones de celdas solapadas, permitiendo reutilización espacial cuando la interferencia es tolerable. Target Wake Time negocia periodos de actividad y reposo, útil para eficiencia energética e IoT. Son mejoras de coordinación; su beneficio depende de soporte y diseño.

10.5. Wi-Fi 7

IEEE 802.11be-2024 define Extremely High Throughput. Busca al menos un modo capaz de superar 20 Gb/s en el punto de servicio MAC. Multi-Link Operation permite que un dispositivo multilink utilice varios enlaces para aumentar throughput, reducir latencia o mejorar resiliencia. Los canales de 320 MHz se asocian principalmente al espectro de 6 GHz. 4096-QAM transporta más bits por símbolo, pero exige excelente calidad de señal.

La certificación Wi-Fi 7 comenzó antes de la publicación final del estándar mediante un perfil interoperable. No todas las funciones son obligatorias en todos los dispositivos; por ello debe revisarse la certificación y las capacidades concretas. En empresa, MLO y eficiencia pueden ser más relevantes que la velocidad máxima de laboratorio.

10.6. Wi-Fi 8 como tendencia

La siguiente generación se trabaja en IEEE 802.11bn, orientada a Ultra High Reliability. El foco se desplaza de máximos de velocidad a fiabilidad, latencia en percentiles altos, coordinación entre AP y experiencia consistente. Mientras no exista norma final, debe presentarse como proyecto y tendencia, no como estándar desplegado.

11. SEGURIDAD, AUTENTICACIÓN Y MOVILIDAD WI-FI

11.1. Riesgos del medio radioeléctrico

La señal inalámbrica atraviesa los límites físicos del edificio y puede ser recibida desde zonas no controladas. Esto facilita escucha, suplantación de puntos de acceso, desconexiones forzadas, ataques contra credenciales, AP no autorizados y denegación por interferencia. La seguridad WLAN debe combinar cifrado, autenticación, validación del servidor, segmentación, detección, actualización y protección de la infraestructura cableada.

Ocultar el SSID o filtrar direcciones MAC no constituye una defensa sólida. El SSID aparece en otros intercambios y una MAC puede observarse y suplantarse. Estas medidas pueden tener usos operativos limitados, pero no sustituyen criptografía ni identidad.

11.2. Evolución: WEP, WPA, WPA2 y WPA3

WEP utilizó RC4 con un diseño vulnerable y debe considerarse inseguro. WPA fue una transición basada en TKIP. WPA2 se fundamentó en IEEE 802.11i y generalizó AES-CCMP. WPA3 mejora la protección: en modo Personal utiliza SAE en lugar del intercambio PSK clásico, reduciendo el riesgo de ataques offline sobre capturas; en modo Enterprise mantiene 802.1X/EAP y puede incorporar un perfil de seguridad de 192 bits. La protección de tramas de gestión, PMF, adquiere mayor importancia y es obligatoria en perfiles WPA3.

Los modos de transición facilitan compatibilidad, pero pueden mantener superficies de ataque o provocar downgrade. Las organizaciones deben planificar la retirada de clientes antiguos. Una contraseña compartida, incluso en WPA3-Personal, no proporciona identidad individual ni revocación granular; para redes corporativas se prefiere WPA2/WPA3-Enterprise con 802.1X.

11.3. 802.1X, EAP y RADIUS

IEEE 802.1X define control de acceso basado en puertos. Intervienen tres roles: supplicant en el cliente, authenticator en AP o switch y authentication server, normalmente accesible mediante RADIUS. Antes de autorizar, el puerto lógico solo permite el intercambio de autenticación y determinados protocolos necesarios. El authenticator retransmite EAP entre cliente y servidor, encapsulándolo en EAPOL en el enlace y en RADIUS hacia el servidor.

EAP es un marco extensible, no un método de credencial único. EAP-TLS usa certificados de cliente y servidor y ofrece autenticación mutua robusta. PEAP y EAP-TTLS crean túneles TLS y ejecutan un método interno; su seguridad depende de validar correctamente el certificado del servidor y de la fortaleza del método interior. EAP-TLS 1.3 está especificado en RFC 9190.

11.4. Derivación de claves y cifrado

Tras autenticación se deriva material de claves y se ejecuta el intercambio correspondiente para instalar claves temporales. El cifrado protege confidencialidad e integridad en el enlace radio, pero no garantiza seguridad extremo a extremo. El tráfico puede salir descifrado del AP hacia la red de distribución; por eso HTTPS, TLS y controles internos siguen siendo necesarios.

11.5. Redes de invitados y acceso público

Una red de invitados debe aislar clientes, impedir acceso a recursos internos, aplicar políticas de uso y proteger el portal cautivo. Un portal no cifra por sí mismo el tráfico. Enhanced Open/OWE permite cifrado individual en redes abiertas compatibles, aunque no autentica al usuario como una red Enterprise.

En el ámbito andaluz deben distinguirse servicios. WiFi RCJA ofrece conectividad corporativa a profesionales de la Junta y del SAS. Andalucía Vuela es la red pública gratuita desplegada en espacios públicos; en marzo de 2026 se anunció su disponibilidad en todos los hospitales públicos andaluces. Son servicios con finalidades y políticas diferentes.

11.6. Wireless intrusion detection y AP no autorizados

WIDS/WIPS detecta SSID sospechosos, AP que se conectan a la red cableada sin autorización, suplantaciones, interferencias y comportamientos anómalos. La contención activa está sujeta a regulación y riesgo: enviar tramas de desautenticación contra sistemas ajenos puede ser ilegal o afectar servicios. Debe primar la localización, clasificación y respuesta coordinada.

11.7. Buenas prácticas

• Usar WPA2-Enterprise o WPA3-Enterprise con métodos EAP robustos para acceso corporativo.
• Validar certificados de servidor y distribuir perfiles mediante gestión centralizada.
• Separar invitados, corporativo, IoT y gestión; aplicar políticas entre segmentos.
• Deshabilitar protocolos heredados y revisar modos de transición.
• Proteger administración, actualizar firmware y monitorizar eventos de autenticación.
• Probar roaming y compatibilidad con terminales clínicos reales.

12. BLUETOOTH CLASSIC, LOW ENERGY Y MESH

12.1. Ámbito y organización

Bluetooth es una tecnología de corto alcance administrada por Bluetooth SIG. Opera en la banda ISM de 2,4 GHz y está orientada a redes personales, periféricos, audio, sensores y localización. La referencia histórica IEEE 802.15.1 existió, pero las especificaciones actuales las mantiene Bluetooth SIG; por ello no es exacto presentar toda evolución moderna como si siguiera siendo desarrollada por IEEE 802.15.1.

La distancia no viene determinada por una «versión» de forma única. Depende de potencia, sensibilidad, PHY, antena, entorno, regulación y perfil. Puede ir desde pocos metros hasta centenares en condiciones favorables. Las categorías comerciales de clase de potencia son orientativas; no debe memorizarse «Bluetooth 5 = 100 metros» como garantía.

12.2. Bluetooth Classic

Bluetooth Basic Rate/Enhanced Data Rate se conoce como Classic. Se utiliza en audio, periféricos y perfiles tradicionales. Organiza conexiones en piconets y emplea salto de frecuencia adaptativo para reducir interferencia. Los perfiles definen interoperabilidad de aplicaciones, por ejemplo audio, manos libres, teclado o transferencia serie. La versión de Core soportada no implica que el producto implemente todos los perfiles.

12.3. Bluetooth Low Energy

Bluetooth LE está diseñado para bajo consumo y transmisiones breves. Utiliza canales de publicidad para descubrimiento y canales de datos para conexiones. La arquitectura de atributos ATT y el perfil genérico GATT organizan servicios y características identificados mediante UUID. Un sensor puede actuar como servidor GATT y un móvil como cliente, aunque los roles de enlace y de aplicación no son equivalentes.

LE ofrece PHY de 1M y 2M y modos codificados para mayor robustez y alcance con menor tasa. Advertising extendido y periódico amplía capacidad de difusión. LE Isochronous Channels y LE Audio introducen transporte adecuado para audio y habilitan Auracast para difusión. Estas funciones dependen de soporte concreto, no solo de la etiqueta de versión.

12.4. Seguridad y privacidad

El emparejamiento establece confianza y claves. Secure Connections usa criptografía de curva elíptica. Los métodos Just Works, Passkey, Numeric Comparison y Out-of-Band ofrecen distintos niveles; Just Works no protege frente a ataque de intermediario cuando no hay capacidad de verificación. Las direcciones privadas resolubles ayudan a reducir seguimiento, y Bluetooth Core 6.1 mejoró su aleatorización temporal.

La seguridad de una aplicación Bluetooth también depende de autorización GATT, almacenamiento de claves, actualizaciones y protección del sistema anfitrión. Un sensor emparejado no debe obtener automáticamente acceso a toda la LAN si utiliza un gateway.

12.5. Bluetooth Mesh

Bluetooth Mesh define una red muchos-a-muchos sobre Bluetooth LE, con publicación/suscripción, relays y gestión de claves. Está orientada a iluminación, edificios y sensores. No es una simple piconet grande ni requiere que todos los nodos retransmitan. Incluye roles de bajo consumo, proxy y friend para adaptarse a dispositivos.

12.6. Evolución reciente

Bluetooth Core 6.0 introdujo Channel Sounding para medición de distancia segura y precisa. Core 6.1 añadió mejoras de privacidad; 6.2, publicadas en 2025, y Core 6.3, publicada en mayo de 2026, continuaron con mejoras de latencia, interfaz, radio y precisión de ranging. En un tema de oposición interesa comprender la tendencia: localización más precisa, eficiencia, audio LE y expansión de IoT, sin convertir cada versión en una lista de marketing.

12.7. Coexistencia con Wi-Fi

Bluetooth y Wi-Fi de 2,4 GHz comparten espectro. Bluetooth usa salto adaptativo; Wi-Fi ocupa canales más anchos. La coexistencia se mejora con planificación, separación física, preferencia de 5/6 GHz para Wi-Fi cuando sea viable y mecanismos internos de radio en dispositivos combinados. No puede garantizarse ausencia de interferencia solo porque ambas tecnologías cumplan sus estándares.

13. CONTROL DE ACCESO A LA RED (NAC)

13.1. Concepto y objetivos

Network Access Control es el conjunto de políticas, componentes y mecanismos que identifica dispositivos o usuarios, evalúa contexto y decide qué acceso de red se concede. NAC no es un protocolo único ni un producto concreto. Puede emplear 802.1X, RADIUS, certificados, MAB, portales, perfiles, agentes, integración con directorios, DHCP, switches, AP y cortafuegos.

Sus funciones son descubrir activos, autenticar, autorizar, asignar segmento o política, verificar postura, poner en cuarentena, registrar y reevaluar. El principio es que conectarse físicamente o asociarse a un SSID no equivale a estar autorizado.

13.2. Arquitectura

El policy decision point calcula la decisión y el policy enforcement point la ejecuta. La terminología concreta varía, pero la separación conceptual es útil. El servidor RADIUS puede formar parte del NAC o integrarse con él. Las decisiones pueden devolver VLAN, ACL descargable, rol, SGT u otros atributos dependientes de plataforma.

13.3. 802.1X

802.1X es el mecanismo preferente para dispositivos gestionados. En cable, el supplicant inicia EAPOL y el switch controla el puerto. En WLAN Enterprise, el AP actúa como authenticator. Si el servidor RADIUS no está disponible, debe existir una política explícita: denegar, acceso crítico limitado, caché o mecanismos de continuidad. Abrir todos los puertos por fallo elimina el control.

13.4. MAB y dispositivos sin supplicant

MAC Authentication Bypass envía la MAC como identidad para equipos que no soportan 802.1X. Es débil porque la MAC puede suplantarse. Debe combinarse con perfilado, segmentación estricta, listas, comportamiento y monitorización. Es frecuente en impresoras, teléfonos, sensores o dispositivos médicos antiguos, pero no debe presentarse como autenticación fuerte.

13.5. Perfilado y postura

El perfilado infiere tipo de dispositivo mediante OUI, DHCP, LLDP, HTTP, comportamiento u otras señales. Estas evidencias pueden equivocarse y deben ponderarse. La postura comprueba estado de seguridad: gestión corporativa, parches, cifrado, EDR, configuración o certificado. Un equipo no conforme puede dirigirse a remediación. En dispositivos médicos, instalar agentes o escanear agresivamente puede afectar certificación y servicio, por lo que se requieren métodos pasivos y coordinación.

13.6. Autorización basada en rol y contexto

Una política puede considerar identidad, grupo, tipo de dispositivo, ubicación, hora, método EAP, postura y riesgo. El resultado debe aplicar mínimo privilegio. Un profesional autenticado desde un equipo corporativo puede recibir acceso distinto del mismo usuario desde un dispositivo personal. Un equipo biomédico debe comunicarse con servidores y puertos necesarios, no con toda la red.

13.7. Integración con Zero Trust

NAC contribuye a Zero Trust verificando identidad y estado en el acceso, pero no completa el modelo. Zero Trust exige decisiones continuas, protección de recursos y telemetría. Una vez dentro de una VLAN, el tráfico lateral puede necesitar microsegmentación, firewalls internos o acceso por aplicación. NAC es una pieza del plano de identidad y cumplimiento.

13.8. Implantación gradual

1. Inventariar dispositivos, capacidades y dependencias.
2. Desplegar monitorización y modo abierto para observar sin bloquear.
3. Preparar PKI, supplicants, grupos, perfiles y alta disponibilidad.
4. Aplicar 802.1X a colectivos controlados y MAB restringido a excepciones.
5. Definir cuarentena, remediación, soporte y procedimientos de emergencia.
6. Extender por sedes, medir falsos positivos y revisar políticas.

Un despliegue «big bang» puede desconectar dispositivos críticos. La implantación debe incluir pruebas, ventanas, rollback, responsables y excepciones con caducidad. La alta disponibilidad del NAC, RADIUS, PKI y directorio es parte del servicio.

14. SEGURIDAD, DISPONIBILIDAD Y APLICACIÓN EN EL SAS

14.1. Requisitos sanitarios

Una LAN sanitaria debe proteger confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad. El impacto de una caída no se limita a productividad: puede afectar asistencia, diagnóstico, medicación, localización o comunicaciones. Deben clasificarse servicios y establecer diseños, monitorización y recuperación proporcionales.

La red debe separar al menos funciones con riesgos distintos: corporativo, clínico, biomédico, voz, gestión, invitados, seguridad física y servicios públicos. La segmentación concreta depende de la arquitectura oficial; no deben inventarse números de VLAN ni proveedores como si fueran datos del SAS. El principio general es aislamiento con comunicación explícitamente autorizada.

14.2. WiFi RCJA y Andalucía Vuela

El SAS publica un servicio WiFi RCJA para profesionales, integrado en la iniciativa horizontal de la Agencia Digital de Andalucía. Facilita movilidad y acceso seguro a comunicaciones de trabajo, pero no sustituye la conexión cableada de puestos o equipamiento TIC habitual. Esta distinción es importante: WLAN complementa la red, y la decisión depende de criticidad, movilidad, capacidad y certificación del dispositivo.

La Red Wifi Andalucía Vuela proporciona acceso público gratuito. En marzo de 2026 se anunció su implantación en todos los hospitales públicos andaluces. El acceso público debe permanecer separado de sistemas internos, con controles de abuso y sin confianza implícita por encontrarse dentro del edificio.

14.3. Marco andaluz de diseño

La Orden de 2 de junio de 2017 regula requisitos para diseño e implementación de cableado estructurado y red de área local inalámbrica en edificios de organismos cuya adhesión a la RCJA es obligatoria, y fue objeto de corrección de errores publicada el 26 de julio de 2017. Aunque el Tema 53 desarrolla en detalle cableado y normativa, en el Tema 52 debe recordarse que el diseño LAN/WLAN de la Junta no es una decisión aislada de cada sede: se integra en requisitos corporativos de normalización, informe, dimensionado, certificación y gestión.

14.4. Dispositivos médicos e IoT

Los dispositivos médicos presentan ciclos de vida largos, sistemas operativos cerrados, restricciones de actualización y dependencia de fabricantes. Deben inventariarse, segmentarse y monitorizarse. Las pruebas activas, el cambio de configuración o la instalación de agentes pueden requerir autorización. El fabricante debe documentar puertos, protocolos, servidores, requisitos de tiempo, DNS, certificados y comportamiento ante pérdida de red.

La conectividad no debe convertirse en una dependencia oculta. Es necesario definir qué ocurre si falla WLAN, DHCP, DNS, autenticación o servidor. Algunos equipos necesitan operación local degradada; otros deben alarmar. La continuidad incluye pruebas de conmutación, fuentes, enlaces, controladoras y servicios de identidad.

14.5. Amenazas y controles

14.6. Operación coordinada

La gestión requiere coordinación entre TIC, seguridad, electromedicina, mantenimiento, responsables asistenciales, protección de datos y proveedores. Un cambio de VLAN, certificado, DHCP o versión puede afectar un equipo clínico. Los procedimientos deben incluir evaluación de impacto, pruebas y comunicación.

15. EVOLUCIÓN Y TENDENCIAS DE LAS REDES LOCALES

15.1. Mayores velocidades y convergencia

Ethernet continúa desde acceso multigigabit hasta 800 Gb/s en centros de datos. El crecimiento responde a Wi-Fi de alta capacidad, almacenamiento, virtualización, IA y tráfico este-oeste. Sin embargo, la evolución no consiste solo en velocidad: aparecen PHY de un solo par, PoE de mayor potencia, sincronización y perfiles deterministas.

15.2. Fabric y reducción de capa 2

Las arquitecturas tradicionales extendían VLAN y STP por grandes dominios. Las fabrics utilizan un underlay IP y un overlay, a menudo EVPN/VXLAN, para transportar segmentos y políticas con mayor escalabilidad. En campus, tecnologías de fabric permiten identidad y segmentación coherentes. No eliminan Ethernet ni IP; cambian cómo se construye la topología y se distribuye el control.

15.3. SDN, intent-based networking y automatización

SDN separa conceptualmente plano de control y datos y expone APIs. La gestión basada en intención traduce requisitos a configuración y verifica estado. Automatización con plantillas, NETCONF/RESTCONF, YANG y pipelines reduce errores repetitivos, pero puede propagar un fallo a gran escala si no existen validación, pruebas y límites.

La infraestructura como código permite versionar cambios y auditar. La fuente de verdad debe reconciliarse con el estado real. Los cambios manuales fuera de proceso generan deriva. El objetivo no es eliminar operadores, sino permitir que se concentren en diseño, política y diagnóstico.

15.4. AIOps y analítica de experiencia

Las plataformas correlacionan telemetría, eventos, autenticación y experiencia para detectar anomalías. El aprendizaje automático puede identificar patrones, pero depende de datos y contexto. Una recomendación automática debe explicar evidencia y permitir control humano, especialmente en redes sanitarias.

15.5. Zero Trust y microsegmentación

La tendencia de seguridad abandona la confianza basada solo en ubicación. Identidad, dispositivo, postura y recurso determinan acceso. NAC se integra con firewalls, EDR, MDM y plataformas de identidad. La microsegmentación limita movimiento lateral incluso dentro de un segmento. La complejidad debe gestionarse: políticas excesivas sin inventario generan indisponibilidad.

15.6. Wi-Fi 7, 6 GHz y Wi-Fi 8

Wi-Fi 7 aporta MLO y canales más anchos, mientras 6 GHz amplía espectro. La adopción empresarial depende de regulación, clientes, cableado multigigabit, PoE y madurez. Wi-Fi 8 se orienta a fiabilidad y coordinación. El diseño seguirá siendo esencial: ningún estándar elimina interferencias, límites de clientes o necesidad de autenticación.

15.7. Bluetooth, localización e IoT

Bluetooth LE, Channel Sounding, beacons y gateways impulsan localización, inventario y sensores. En sanidad pueden apoyar seguimiento de activos y experiencia, pero implican privacidad, calibración, batería y coexistencia. La precisión comercial debe validarse en el edificio real.

15.8. TSN y determinismo

Time-Sensitive Networking agrupa estándares IEEE 802.1 para sincronización, planificación, preemption y redundancia. Busca latencia acotada y baja pérdida en industria, audio/vídeo y sistemas críticos. No todo tráfico necesita TSN; requiere ingeniería extremo a extremo y equipos compatibles.

15.9. Sostenibilidad

La eficiencia energética incluye switches con fuentes adecuadas, apagado de radios o puertos cuando proceda, TWT en Wi-Fi, consolidación y vida útil del cableado. El ahorro no debe comprometer disponibilidad. Medir consumo por servicio ayuda a evitar sobredimensionamiento.

16. SÍNTESIS Y CLAVES DE EXAMEN

La LAN es la infraestructura local bajo control organizativo. Ethernet domina el acceso cableado y Wi-Fi el inalámbrico. El switch aprende MAC y reenvía tramas; el router comunica redes IP. Cada VLAN es un dominio lógico y requiere routing para comunicarse con otras. La seguridad necesita políticas, no solo separación nominal.

El par trenzado tiene un canal típico máximo de 100 metros conforme a cableado; la fibra ofrece mayores capacidades y distancias según óptica. Full duplex permite transmisión simultánea; Wi-Fi comparte tiempo de aire. CSMA/CD pertenece a Ethernet compartida half duplex; CSMA/CA a WLAN.

IEEE 802.3 define Ethernet; IEEE 802.11 WLAN; IEEE 802.1Q bridges y VLAN; IEEE 802.1X control de acceso; IEEE 802.1AB LLDP; IEEE 802.1AX agregación. STP evita bucles y LACP agrega enlaces. PoE alimenta dispositivos, pero exige presupuesto de potencia.

Wi-Fi 6 es 802.11ax en 2,4/5 GHz; Wi-Fi 6E extiende ax a 6 GHz; Wi-Fi 7 es 802.11be-2024. Las tasas son máximos PHY, no throughput. La planificación debe considerar SNR, interferencia, reintentos, densidad y roaming.

WPA3-Personal usa SAE; Enterprise utiliza 802.1X/EAP. EAP-TLS proporciona autenticación mutua mediante certificados. PAP no es el protocolo general de WPA2-Enterprise. NAC combina identidad, postura y políticas; MAB es una excepción débil para equipos sin 802.1X.

Bluetooth funciona en 2,4 GHz y comprende Classic, LE y Mesh. El alcance depende de PHY y entorno. La especificación actual corresponde al Bluetooth SIG; Core 6.3 es la versión publicada en mayo de 2026.

En el SAS, WiFi RCJA sirve al acceso corporativo de profesionales y Andalucía Vuela al acceso público. La Orden de 2 de junio de 2017 normaliza cableado y WLAN en el ámbito de la Junta. La red sanitaria exige disponibilidad, segmentación, inventario y coordinación con dispositivos médicos.

17. MAPA CONCEPTUAL