Tema 4: Administración de redes de área local

Administración de redes de área local (LAN)

Una red de área local (LAN) interconecta equipos dentro de un ámbito geográfico reducido (edificio, planta, oficina). La tecnología LAN cableada dominante es Ethernet (familia de estándares IEEE 802.3), cuyo propósito principal es permitir la transmisión de datos en una red local por medio de cables, definiendo el nivel físico y el control de acceso al medio (MAC). Cuando la red crece a escala metropolitana (MAN) se recurría a estándares como el IEEE 802.6, que especifica el bus doble de colas distribuidas (DQDB, Distributed Queue Dual Bus): dos buses unidireccionales contrapuestos con encolado distribuido, típico de las MAN (hoy retirado).

El entorno más pequeño de una LAN se conoce como red SOHO, siglas de Small Office, Home Office (“oficina pequeña / oficina doméstica”), que describe redes de pocos equipos en pequeñas empresas o el domicilio.

Control de acceso al medio

En una LAN varios equipos comparten un medio común, por lo que se necesita una técnica de control de acceso al medio (MAC). Se distinguen técnicas de contienda (p. ej. CSMA/CD de Ethernet, donde los nodos compiten) y técnicas de reserva o compartición ordenada, entre las que destaca el paso de testigo (token passing): solo el nodo que posee el testigo puede transmitir, evitando colisiones. El paso de testigo es, por tanto, una técnica de reserva para el acceso al medio.

Gestión del direccionamiento IP

Máscara de subred, subnetting y supernetting

La máscara de subred separa la parte de red de la parte de host de una dirección IP y, con ello, define el rango de direcciones disponibles en una red.

• El subnetting consiste en dividir la red en otras más pequeñas o subredes, tomando bits de la parte de host para crear porciones de red adicionales.

• El supernetting (agregación de rutas, base de CIDR) es la operación inversa: combinar dos o más redes o subredes que comparten un prefijo de encaminamiento común en un único bloque, reduciendo el tamaño de las tablas de rutas.

El número de direcciones de host asignables en una subred es ​2^n − 2, donde n es el número de bits de host (se restan la dirección de red y la de difusión):

La wildcard (máscara comodín) es el complemento a uno de la máscara de subred. Para un host con prefijo /30 (máscara 255.255.255.252), como 138.100.255.201/30, la wildcard es 0.0.0.3.

Direcciones privadas

Según RFC 1918, el espacio de direcciones IP privadas (no enrutables en Internet) comprende 10.0.0.0/8, 172.16.0.0/12 y 192.168.0.0/16. Por ejemplo, 10.10.10.10 es una dirección privada.

IPv6: multicast

En IPv6, el prefijo FF00::/8 (los ocho bits iniciales a 1, 11111111) identifica las direcciones multicast (grupos de destino), según RFC 4291. IPv6 no usa direcciones de difusión (broadcast); su función se cubre con multicast.

Asignación automática de direcciones: DHCP, BOOTP y RARP

El protocolo más utilizado para la asignación automática de direcciones IP a equipos, teléfonos y demás dispositivos finales de una red empresarial es DHCP (Dynamic Host Configuration Protocol), definido en RFC 2131. DHCP se apoya en UDP (puertos 67 servidor y 68 cliente) y permite la asignación dinámica y reutilizable de direcciones, además de otros parámetros (máscara, puerta de enlace, DNS).

DHCP evolucionó a partir de BOOTP (Bootstrap Protocol), un protocolo de red sobre UDP que los clientes usan para obtener su dirección IP de forma automática pero que solo admite configuración estática de las direcciones (asignación fija por MAC, sin arrendamientos dinámicos). DHCP y BOOTP comparten formato de mensaje y puertos UDP.

El protocolo RARP (Reverse Address Resolution Protocol) está diseñado para resolver la dirección IP de un dispositivo a partir de su dirección MAC (es el inverso de ARP, que obtiene la MAC a partir de la IP).

Herramientas de administración en Windows

ipconfig

ipconfig muestra y gestiona la configuración TCP/IP del equipo. Es la herramienta que asiste en la administración y modificación de las rutinas DHCP de la interfaz. Si en Windows se ha configurado la obtención automática de IP para una LAN, la forma de conocer la IP concreta asignada es abrir la consola cmd y ejecutar ipconfig. Entre otros datos suministra dirección IP, máscara de subred y puerta de enlace (“todas las anteriores”).

Para liberar y renovar las direcciones IPv4 e IPv6 de una interfaz concreta se usa:

nslookup

nslookup sirve para realizar consultas DNS y diagnosticar problemas de resolución de nombres, comprobando la dirección IP que se resuelve para un nombre de dominio dado (o el nombre asociado a una IP).

• Opción -t: especifica el tipo de registro DNS a consultar (A, MX, NS, etc.).

• En modo interactivo, el comando server cambia el servidor DNS que se está utilizando.

• Con la sintaxis nslookup <consulta> <servidor>, por ejemplo nslookup 81.89.32.200 10.31.15.6, se realiza la resolución de 81.89.32.200 usando como servidor DNS 10.31.15.6; devolvería el nombre correspondiente a esa IP tras consultar en dicho servidor (resolución inversa).

Servicios de nombres: DNS y WINS

En la resolución DNS, el solucionador recursivo consulta primero a un servidor de nombres raíz, que es el componente responsable de indicarle el servidor de dominio de nivel superior (TLD) al que debe dirigirse; desde el TLD se llega al servidor autoritativo del dominio. La caché DNS es un sistema de almacenamiento temporal de datos de resolución (asocia nombres a IP recientemente consultados) que acelera futuras peticiones.

En entornos Windows heredados, WINS (Windows Internet Name Service) resuelve nombres NetBIOS a IP; un proxy WINS es un proxy de resolución de nombres con WINS, que atiende peticiones de nombres en nombre de clientes que no pueden consultar directamente al servidor WINS.

Seguridad perimetral y redes especiales

• Una DMZ (zona desmilitarizada) es una red intermedia y aislada situada entre la red interna (privada) de la organización y la red externa (normalmente Internet), que permite ofrecer acceso controlado a ciertos servicios públicos sin exponer la red interna.

• La red TOR (The Onion Router) es una red anónima que permite acceder a contenido en Internet de forma privada, encaminando el tráfico por múltiples nodos cifrados.

Fuentes

• RFC 2131 — Dynamic Host Configuration Protocol (IETF): https://datatracker.ietf.org/doc/html/rfc2131

• RFC 4291 — IP Version 6 Addressing Architecture (IETF): https://datatracker.ietf.org/doc/html/rfc4291

• RFC 1918 — Address Allocation for Private Internets (IETF): https://datatracker.ietf.org/doc/html/rfc1918

• RFC 903 — A Reverse Address Resolution Protocol (IETF): https://datatracker.ietf.org/doc/html/rfc903

• RFC 4632 — Classless Inter-domain Routing (CIDR) (IETF): https://datatracker.ietf.org/doc/html/rfc4632

• IEEE Std 802.6-1990 — Distributed Queue Dual Bus (DQDB) Subnetwork of a MAN (IEEE): https://standards.ieee.org/standard/802_6-1990.html

• IEEE Std 802.3 — Ethernet (IEEE): https://standards.ieee.org/standard/802_3-2022.html

• Microsoft Learn — ipconfig: https://learn.microsoft.com/windows-server/administration/windows-commands/ipconfig

• Microsoft Learn — nslookup: https://learn.microsoft.com/windows-server/administration/windows-commands/nslookup

Gestión de usuarios y directorio en redes LAN

La administración de una red de área local exige gestionar de forma centralizada y segura las identidades (usuarios y grupos), su autenticación (contraseñas) y su autorización (privilegios y acceso a la red). Los principales entornos son los sistemas tipo UNIX/Linux, los servicios de directorio de Microsoft (Directorio Activo) y, en instalaciones heredadas, Novell NetWare.

Gestión de usuarios y grupos en Linux

En los sistemas GNU/Linux la información de las cuentas se reparte en varios ficheros de texto plano ubicados en /etc:

Históricamente el hash de la contraseña estaba en /etc/passwd, pero como ese fichero debe ser legible por todos, se trasladó el hash a /etc/shadow, accesible únicamente por el superusuario. Así se evita que cualquier usuario pueda leer los hashes y atacarlos por fuerza bruta.

Un punto clave: todo usuario de Linux pertenece siempre, como mínimo, a un grupo, su grupo primario (indicado por el GID en /etc/passwd). Por tanto, la afirmación de que "un usuario puede no pertenecer a ningún grupo" es incorrecta: no existe esa circunstancia. Adicionalmente puede pertenecer a varios grupos secundarios, y esa pertenencia adicional se registra en /etc/group.

Crear y administrar usuarios

Existen dos comandos habituales para dar de alta cuentas:

• useradd: utilidad de bajo nivel presente en prácticamente todas las distribuciones. La opción -g fija el grupo primario del nuevo usuario. Por ejemplo, para crear el usuario migracion asignándolo al grupo temporales:

• adduser: instrucción de más alto nivel (un script interactivo, habitual en Debian/Ubuntu) que también crea un nuevo usuario, creando el home y solicitando datos de forma guiada. Se apoya internamente en useradd.

Elevación de privilegios: sudo y /etc/sudoers

Para conceder a un usuario privilegios de root sin compartir la contraseña de la cuenta de superusuario se emplea sudo. La configuración reside en el fichero /etc/sudoers (que debe editarse con visudo). Para que el usuario migracion pueda ejecutar cualquier comando como cualquier usuario, se añade la línea:

que significa: desde cualquier host (ALL=), pudiendo actuar como cualquier usuario y cualquier grupo destino ((ALL:ALL)), ejecutar cualquier comando (ALL).

Buenas prácticas de gestión de contraseñas

La contraseña sigue siendo el mecanismo de autenticación más extendido. Una buena práctica consiste en utilizar un gestor de contraseñas que las almacene cifradas y protegerlo con una contraseña maestra fuerte como forma de acceso. Esto permite emplear credenciales largas, únicas y complejas para cada servicio sin necesidad de memorizarlas ni reutilizarlas.

Gestión de usuarios en Windows Server y Directorio Activo

En Microsoft Windows, el Directorio Activo (Active Directory, AD) centraliza las identidades del dominio. Desde la línea de comandos, con privilegios de administrador, el comando net user administra cuentas. Para cambiar la contraseña del usuario pepe de forma segura se usa el asterisco, que provoca que el sistema solicite la nueva contraseña de forma oculta (sin mostrarla en pantalla):

Políticas de contraseña diferenciadas: PSO

De forma predeterminada, la política de contraseñas se aplica a todo el dominio mediante GPO. Para aplicar políticas de contraseña distintas a usuarios o grupos concretos dentro de un mismo dominio se utilizan las fine-grained password policies, que se materializan en un objeto de AD denominado Password Settings Object (PSO). Un PSO contiene los mismos parámetros de contraseña que una GPO y solo puede vincularse a grupos de seguridad globales y a cuentas de usuario; cuando un usuario tiene un PSO aplicado, deja de usar la política del dominio y adopta la del PSO (requiere nivel funcional de dominio Windows Server 2008 o superior).

Cuentas integradas de Directorio Activo

Al instalarse AD se crean varias cuentas integradas (built-in) en el contenedor Users. Las principales son Administrador (la cuenta más potente del dominio), Invitado (Guest, deshabilitada por defecto y con acceso limitado) y el Asistente de ayuda (HelpAssistant, empleada en sesiones de Asistencia remota). Existe además la cuenta de servicio KRBTGT usada por Kerberos.

Novell NetWare

En los entornos Novell NetWare la cuenta privilegiada por excelencia, empleada por el administrador del sistema, es supervisor (equivalente conceptual al root de UNIX o al Administrador de Windows), con control total sobre el servidor y sus recursos.

Control de acceso a la red (NAC)

NAC (Network Access Control) es el protocolo/conjunto de mecanismos de control de acceso a la red. Su objetivo principal es controlar el acceso a la red aplicando políticas de seguridad: antes de admitir un dispositivo se comprueba su cumplimiento (antivirus actualizado, parches del sistema, configuración correcta). Los nodos que cumplen las políticas se admiten; los que no, se bloquean, se ponen en cuarentena o se someten a remediación.

El proceso de remediación automática cumple la función de corregir los nodos que no cumplen las normativas antes de permitirles el acceso a la red: mientras el equipo es evaluado por el agente, solo puede alcanzar los recursos necesarios para subsanar sus carencias (instalar parches o actualizar firmas antivirus), y una vez conforme se le concede el acceso completo.

Fuentes

• Linux man-pages, shadow(5), group(5), useradd(8), sudoers(5): https://man7.org/linux/man-pages/man5/shadow.5.html · https://man7.org/linux/man-pages/man5/group.5.html · https://man7.org/linux/man-pages/man8/useradd.8.html · https://www.sudo.ws/docs/man/sudoers.man/

• Microsoft Learn — net user: https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/net-user

• Microsoft Learn — Configure fine-grained password policies (PSO): https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/get-started/adac/fine-grained-password-policies

• Microsoft Learn — Active Directory default user accounts: https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/manage/understand-default-user-accounts

• Cisco — What is Network Access Control (NAC): https://www.cisco.com/site/us/en/learn/topics/security/what-is-network-access-control-nac.html

• Wikipedia (referencia técnica) — Network access control: https://en.wikipedia.org/wiki/Network_access_control

Gestión de dispositivos de red

La administración de una red de área local (LAN) engloba la configuración, supervisión y aseguramiento de todos los equipos que la componen (conmutadores, routers, puntos de acceso, servidores, estaciones e impresoras). El administrador de red es el responsable de llevar a cabo las tareas de administración, gestión y seguridad de los equipos conectados a una red: altas y bajas de usuarios y dispositivos, direccionamiento IP, aplicación de políticas, copias de seguridad, monitorización del tráfico y resolución de incidencias.

El dispositivo en el modelo OSI: capa de enlace de datos

Gran parte de la gestión de dispositivos ocurre en la capa 2 (enlace de datos) del modelo OSI. Esta capa se subdivide, según IEEE 802, en dos subcapas:

• LLC (Logical Link Control) — subcapa superior, definida en IEEE 802.2; ofrece control de flujo y multiplexación de protocolos de red hacia la capa superior.

• MAC (Medium Access Control) — subcapa inferior; gestiona el acceso al medio físico y utiliza las direcciones MAC (48 bits) para identificar cada interfaz.

Por tanto, tanto la subcapa MAC como la subcapa LLC se sitúan en la capa de enlace de datos del modelo OSI, no en la capa física ni en la de red.

Para consultar direcciones MAC de otros equipos de la misma LAN, Windows dispone del protocolo ARP. Tras hacer un ping a un host, este responde y su par (IP↔MAC) queda almacenado en la caché ARP local; se visualiza con el comando arp -a, que lista las asociaciones dirección IP–dirección física conocidas por el equipo.

Enrutamiento en la LAN: RIP y Split Horizon

Cuando la red se segmenta en varias subredes, los routers intercambian información mediante protocolos de enrutamiento. RIP (Routing Information Protocol) es un protocolo de vector distancia que usa el número de saltos como métrica (máximo 15; 16 = inalcanzable). Su principal debilidad son los bucles de enrutamiento y la lenta convergencia (problema de count-to-infinity).

Para mitigarlo, RIP incorpora la técnica Split Horizon, que impide anunciar una ruta por la misma interfaz por la que se aprendió. De este modo se evitan bucles y ayuda a reducir los tiempos de convergencia. Se complementa con poison reverse (anunciar la ruta con métrica 16) y con temporizadores de holddown.

Tramas y tamaño: jumbo frames

La trama Ethernet estándar transporta una carga útil (MTU) de hasta 1.500 bytes. Para mejorar el rendimiento en enlaces de alta velocidad (backbones, SAN, almacenamiento), se emplean jumbo frames, tramas ampliadas que permiten una carga útil de hasta 9.000 bytes. Al enviar más datos por trama se reduce la sobrecarga de cabeceras y el número de interrupciones de CPU. Los jumbo frames no forman parte del estándar 802.3 oficial, pero 9.000 bytes es el valor convencionalmente admitido por conmutadores y tarjetas de red; todos los dispositivos del camino deben soportarlos para evitar fragmentación o descartes.

Alimentación de dispositivos: Power over Ethernet (PoE)

PoE (Power over Ethernet) permite transmitir energía eléctrica junto con los datos por el mismo cable de par trenzado, alimentando puntos de acceso Wi-Fi, teléfonos IP o cámaras sin toma de corriente independiente. Sus estándares IEEE son:

Es falso afirmar que «el último estándar de PoE activo es el IEEE 802.3at»: el 802.3bt-2018 (PoE++, Tipos 3 y 4) es posterior y ofrece mayor potencia usando los cuatro pares. Por ello, en una pregunta que pida la afirmación incorrecta sobre PoE, la que señala a 802.3at como «último estándar» es la errónea.

Impresión en red: IPP

Los dispositivos de impresión se gestionan de forma remota mediante el IPP (Internet Printing Protocol). El IPP/1.1 quedó definido en las RFC 2910 («Encoding and Transport») y RFC 2911 («Model and Semantics»), publicadas por el IETF en septiembre de 2000, y permite la impresión remota desde un PC: enviar trabajos, consultar el estado de la impresora y de los trabajos, cancelarlos, retenerlos o reanudarlos. IPP viaja habitualmente sobre HTTP/HTTPS. (Ambas RFC fueron posteriormente actualizadas por RFC 8010 y RFC 8011.)

Acceso y administración remota segura: SSH

La administración remota de routers, switches y servidores se realiza de forma cifrada con SSH (Secure Shell), que sustituye a Telnet. SSH escucha por defecto en el puerto 22/TCP, número asignado por la IANA. Cifra la sesión completa (autenticación, comandos y datos), evitando la captura de credenciales en texto claro.

Seguridad perimetral: el host bastión

En el perímetro de la red se ubica el host bastión (bastion host): un equipo fuertemente securizado (hardened), expuesto a la red externa, cuya misión es filtrar el tráfico de entrada y de salida y ocultar hacia el exterior la configuración interna de la red. Concentra y minimiza la superficie de ataque; suele alojar servicios proxy o de salto y trabaja junto con cortafuegos y zonas desmilitarizadas (DMZ).

Gestión de incidencias y atención al usuario

La operación de la red se apoya en herramientas de Service Desk / gestión de incidencias (marco ITIL), que registran, priorizan y resuelven las peticiones de los usuarios. Un ejemplo clásico de Desktop Service o gestor de atención al usuario comercial es BMC Remedy (BMC Helix ITSM). Existen además numerosos gestores de incidencias disponibles como software libre o gratuito, entre ellos OTRS, GLPI, Request Tracker (RT) y osTicket; cuando una pregunta enumera varios de estos, la respuesta correcta es que todos son gestores de incidencias de software libre o free.

Fuentes

• IETF — RFC 2911, «Internet Printing Protocol/1.1: Model and Semantics»: https://www.rfc-editor.org/rfc/rfc2911.html

• IETF — RFC 2910, «Internet Printing Protocol/1.1: Encoding and Transport»: https://www.rfc-editor.org/rfc/rfc2910.html

• IEEE — Estándar 802.3bt-2018 (PoE++), resumen Ethernet Alliance: https://ethernetalliance.org/wp-content/uploads/2018/04/WP_EA_Overview8023bt_FINAL.pdf

• IEEE 802.2 (LLC) e IEEE 802.3 (MAC/Ethernet), modelo de subcapas de enlace: https://www.ieee802.org/

• IANA — Service Name and Transport Protocol Port Number Registry (SSH, puerto 22): https://www.iana.org/assignments/service-names-port-numbers/service-names-port-numbers.xhtml

• Microsoft Learn — comando arp (Windows): https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/arp

• IETF — RFC 2453, «RIP Version 2» (Split Horizon, count-to-infinity): https://www.rfc-editor.org/rfc/rfc2453.html

Monitorización y control de tráfico en redes LAN

La monitorización de red consiste en observar de forma continua el estado, el rendimiento y la disponibilidad de los dispositivos y del tráfico que circula por una LAN, con el fin de detectar fallos, cuellos de botella y anomalías de seguridad. La ISO (International Organization for Standardization) definió, dentro del modelo de gestión OSI, cinco áreas funcionales de gestión de red, conocidas por el acrónimo FCAPS: gestión de Fallos (Fault), de Configuración (Configuration), de Contabilidad (Accounting), de Prestaciones/rendimiento (Performance) y de Seguridad (Security).

Dos conceptos básicos de rendimiento son la latencia —el tiempo que tarda un paquete de datos en transferirse desde su origen hasta su destino— y el ancho de banda. La latencia elevada y su variación (jitter) son síntomas típicos de congestión.

Protocolos de gestión: SNMP y CMIP

SNMP (Simple Network Management Protocol) es el protocolo estándar de facto para recopilar y organizar información sobre dispositivos gestionados en redes IP y para modificar esa información con el fin de cambiar el comportamiento de los dispositivos; en resumen, sirve para monitorizar y gestionar dispositivos en una red. Sus características clave:

• Transporte: SNMP se apoya en UDP (no en TCP), habitualmente puerto 161 para peticiones y 162 para las notificaciones (traps). Por tanto, la afirmación «el protocolo estándar de transporte de SNMP es TCP» es incorrecta.

• MIB (Management Information Base): es la base de datos jerárquica que contiene, de forma estructurada, la información sobre los dispositivos de red gestionados. El agente SNMP expone sus datos a través de la MIB.

• Comunidad (community): es una relación entre un agente SNMP y un conjunto de gestores que define autenticación y control de acceso. Este esquema de seguridad basado en comunidad es propio de SNMPv1/SNMPv2c.

Operaciones (PDU) de SNMP

Los TRAP son, pues, la forma de enviar una notificación de evento a un dispositivo de gestión.

Versiones de SNMP

La versión más reciente es SNMPv3. Su principal aportación es la seguridad: introduce tres niveles (noAuthNoPriv, authNoPriv y authPriv), añadiendo autenticación (integridad y verificación de origen) y cifrado/privacidad. En consecuencia, el control de acceso basado en comunidad NO es una mejora de SNMPv3: es precisamente el modelo débil de las versiones anteriores que v3 sustituye por el modelo de seguridad basado en usuarios (USM).

CMIP (Common Management Information Protocol) es el protocolo de gestión definido en el marco OSI; también se utiliza para administrar dispositivos de una red, aunque su complejidad hizo que SNMP se impusiera en la práctica.

Software de monitorización y gestión

• Nagios: software que permite la supervisión (monitorización) de las infraestructuras de Tecnologías de la Información de una organización (hosts, servicios, redes). Se apoya en el protocolo SNMP para recabar datos. Nagios NO realiza tareas como copias de seguridad del LDAP: eso no es una funcionalidad suya.

• HP OpenView Network Node Manager: herramienta de gestión que proporciona un mapa de la red mostrando el estado de los elementos y ofrece diversas utilidades para gestionarlos.

• Gestores de incidencias libres/gratuitos: existen múltiples sistemas de gestión de incidencias que son software libre o free (OTRS, GLPI, Request Tracker, etc.).

Herramientas de diagnóstico y captura

• Ping: verifica la conectividad entre dos dispositivos de red (envía ICMP echo request y espera echo reply).

• Traceroute (tracert en Windows): identifica la ruta que sigue un paquete en la red, mostrando el número de saltos hasta el destino. En Windows se basa en el protocolo ICMP. Manipula el campo TTL de forma incremental; la opción -m especifica el número máximo de saltos antes de finalizar. Comprobando el tiempo de respuesta de cada salto permite localizar problemas de congestión.

• MTR: combina ping y traceroute de forma continua; útil para identificar problemas de congestión salto a salto.

• iftop: utilidad de línea de comandos en Linux para monitorizar y controlar el tráfico de red en tiempo real por conexión.

• Iperf: herramienta para medir el ancho de banda y realizar pruebas de carga en una red.

• Wireshark: analizador de paquetes (sniffer) multiplataforma, compatible con Windows, Linux y OS X (macOS). Su decodificación de protocolos permite analizar el tráfico a nivel de aplicación. Los filtros de visualización usan sintaxis como tcp.port == 80 para mostrar solo el tráfico HTTP. Para capturar en una red inalámbrica protegida con WPA se emplea el modo monitor. Wireshark puede capturar prácticamente cualquier protocolo de red que llegue a la interfaz.

• Nmap: escáner que permite identificar qué dispositivos están conectados a una red y sus puertos/servicios. Opciones relevantes:

• -F: fast scan, escanea solo los puertos TCP más comunes.

• -PE: descubrimiento de hosts mediante ICMP echo request (en lugar de los paquetes SYN habituales).

• -iL: toma como destino una lista de direcciones IP desde un fichero de entrada.

• NSE (Nmap Scripting Engine): motor de scripts (en lenguaje Lua) que amplía las capacidades de Nmap.

Control de tráfico: puerto espejo y proxys

• Puerto espejo (port mirroring / SPAN): puerto de un switch configurado para duplicar el tráfico de otros puertos; se usa comúnmente en aplicaciones que requieren monitorizar el tráfico de la red (IDS, sniffers) sin interferir en él.

• Proxys transparentes: combinan el proxy con NAT de manera que las conexiones se enrutan a través del proxy sin necesidad de configuración por parte del cliente.

Fuentes

• IETF, RFC 3411–3418 (SNMPv3 y MIB): https://datatracker.ietf.org/doc/html/rfc3418

• IETF, RFC 3416 (Protocol Operations for SNMPv2, incluye GetBulk): https://datatracker.ietf.org/doc/html/rfc3416

• Nmap Reference Guide — Options Summary y NSE (nmap.org): https://nmap.org/book/man-briefoptions.html y https://nmap.org/book/nse.html

• ITU-T/ISO — Modelo de gestión OSI, áreas funcionales FCAPS (Recomendación X.700 / ISO/IEC 7498-4)

• Wireshark User's Guide (wireshark.org): https://www.wireshark.org/docs/wsug_html_chunked/

• Nagios — documentación oficial (nagios.org): https://www.nagios.org/documentation/