Manual de Redes

Una vez vi a un técnico pasar dos horas arriba de una escalera, a pleno sol, convencido de que una cámara IP venía mala de fábrica. La cámara tenía la 192.168.1.130, el NVR la 192.168.1.10, el ping no cruzaba, y el veredicto era «hay que devolverla». La cámara estaba perfecta: el NVR tenía máscara /24 y la cámara /26. Vivían en la misma calle, pero cada uno creía que la calle terminaba en una esquina distinta.

Ese es el punto: la máscara no es un campo decorativo que se rellena con 255.255.255.0 «porque siempre va ahí». Es la mitad de la dirección. Y la buena noticia es que todo el subnetting — máscaras, CIDR, VLSM — se reduce a una sola idea que cabe en una fila de 32 casillas.

Una IP por dentro: 32 interruptores

Una dirección IPv4 son 32 bits: 32 interruptores que solo pueden estar en 0 o en 1. Para no dictar 32 unos y ceros por teléfono, los agrupamos en 4 octetos de 8 bits y escribimos cada octeto en decimal: 192.168.1.0. Con 32 bits alcanzan 2³² combinaciones — unos 4.295 millones de direcciones — que en los años 80 parecían infinitas y hoy se reparten con cuentagotas.

La máscara dibuja una línea vertical sobre esas 32 casillas y divide la dirección en dos partes, como una dirección postal: la parte de red es el nombre de la calle (compartido por todos los vecinos) y la parte de host es el número de la casa (único para cada equipo). La máscara son unos contiguos por la izquierda — «esto es calle» — y ceros por la derecha — «esto es casa». 255.255.255.0 en binario es 24 unos seguidos de 8 ceros: la frontera cae justo en el tercer punto.

Si quieres ver cualquier dirección desarmada bit por bit, el conversor de IP la muestra en decimal, binario y hexadecimal al mismo tiempo. Verla una vez en binario vale más que diez definiciones.

CIDR y el truco del salto

Escribir 255.255.255.192 cada vez es un castigo, así que la notación CIDR resume la máscara en un número: cuántos bits de red tiene. /24 significa «24 unos», /26 significa «26 unos». Mientras más grande el número después de la barra, más chica la subred — sí, es contraintuitivo, y sí, todos nos confundimos la primera vez.

Para leer un prefijo de un vistazo sirve anclarse en los múltiplos de 8: /8 corta después del primer octeto, /16 después del segundo, /24 después del tercero. Todo lo que queda entre medio se resuelve con el truco del salto: toma el octeto «interesante» de la máscara (el que no es 255 ni 0) y calcula 256 menos ese valor. El resultado es el tamaño del bloque, y las subredes arrancan en los múltiplos de ese salto.

Con /26 la máscara es 255.255.255.192, así que el salto es 256 − 192 = 64: las subredes empiezan en .0, .64, .128 y .192. ¿Te preguntan dónde vive 192.168.1.135/26? Cuentas los múltiplos de 64 — 0, 64, 128… — y 135 cae después del 128: su red es 192.168.1.128, su broadcast 192.168.1.191. Sin calculadora, sin binario, en el tiempo que otro sigue buscando la app.

Red y broadcast: los dos puestos reservados

Cada subred pierde dos direcciones antes de empezar a trabajar. La primera — todos los bits de host en 0 — es la dirección de red: el nombre de la calle, no se le asigna a nadie. La última — todos los bits de host en 1 — es el broadcast: el megáfono para hablarle a toda la calle. Por eso los hosts útiles son 2ⁿ − 2, donde n es la cantidad de bits de host.

Y ojo, que en la práctica se pierde una tercera: el gateway también consume una dirección útil. Una /26 tiene 62 hosts en el papel, pero 61 sillas libres una vez que el router se sienta. Esta es la tabla que conviene tener pegada en la frente (la versión completa, de /0 a /32, está en la tabla CIDR):

Detalle para puristas: existe el /31 (RFC 3021) para enlaces punto a punto sin red ni broadcast, pero no todos los equipos lo soportan de buena gana; el /30 sigue siendo el estándar de facto en terreno. Si quieres jugar con cualquier combinación de red y prefijo, la calculadora de subredes te entrega red, broadcast, rango y binario al instante.

VLSM: repartir el pastel sin desperdiciar

Ahora el caso real. Te pasan la red 192.168.1.0/24 para una oficina con Ventas (50 equipos), Soporte (20), TI (10) y un enlace punto a punto (2) hacia el router de la sucursal. La opción floja es partirla en 4 pedazos iguales con el divisor FLSM: cuatro /26 de 62 hosts. Funciona… pero el enlace de 2 hosts se queda con 64 direcciones, un departamento de lujo para dos personas.

VLSM (máscara de longitud variable) reparte a la medida: a cada área el bloque más chico que le alcance. La única regla sagrada es asignar de mayor a menor, para que cada bloque quede alineado a un múltiplo de su propio tamaño. Así se hace:

1. Ordena las necesidades de mayor a menor: Ventas 50, Soporte 20, TI 10, enlace 2. Siempre. Si empiezas por el chico, los grandes después no encajan alineados.
2. Ventas, 50 hosts: con 5 bits de host salen 2⁵ − 2 = 30 (no alcanza); con 6 bits, 2⁶ − 2 = 62 ✓. Prefijo: 32 − 6 = /26. Bloque: 192.168.1.0/26 → hosts .1 a .62, broadcast .63.
3. Soporte, 20 hosts: 2⁵ − 2 = 30 ✓ → /27. El siguiente bloque libre empieza justo donde terminó Ventas: 192.168.1.64/27 → hosts .65 a .94, broadcast .95.
4. TI, 10 hosts: 2⁴ − 2 = 14 ✓ → /28. Bloque: 192.168.1.96/28 → hosts .97 a .110, broadcast .111.
5. Enlace, 2 hosts: 2² − 2 = 2, justo → /30. Bloque: 192.168.1.112/30 → hosts .113 y .114, broadcast .115.
6. Haz el balance: ocupaste 64 + 32 + 16 + 4 = 116 direcciones y te quedan .116 a .255 libres — 140 direcciones para el crecimiento que el cliente jura que no va a pedir (y va a pedir).

El plan completo, listo para la carpeta del proyecto:

Ventas   192.168.1.0/26    hosts .1–.62     bcast .63   (62 útiles)
Soporte  192.168.1.64/27   hosts .65–.94    bcast .95   (30 útiles)
TI       192.168.1.96/28   hosts .97–.110   bcast .111  (14 útiles)
Enlace   192.168.1.112/30  hosts .113–.114  bcast .115  (2 útiles)
Libre    192.168.1.116 – .255                            (140 dirs)

¿Quieres verificar que no me equivoqué (o repetirlo con tus números)? Mete los mismos requerimientos en el planificador VLSM y compara: debería darte exactamente estos rangos.

Wildcard: la máscara con el chaleco al revés

La wildcard es la máscara con los bits invertidos: donde la máscara dice «esto es fijo», la wildcard dice «esto me da lo mismo». Una /26 (255.255.255.192) tiene wildcard 0.0.0.63, así que permit 192.168.1.0 0.0.0.63 en una ACL significa «cualquier dirección del bloque de Ventas».

Los tres errores más costosos

1. Solapar subredes. Dos bloques que se pisan — un 192.168.1.0/24 acá y un 192.168.1.64/26 allá — conviven en silencio hasta que levantas la VPN con la otra sede y el enrutamiento se vuelve una ruleta. Renumerar una red en producción se paga en noches sin dormir. Antes de agregar cualquier bloque nuevo, pásalo por el detector de solapamiento: son diez segundos contra un fin de semana.

2. Contar hosts como si fueran personas. «Ventas tiene 50 personas» no significa 50 direcciones: falta el gateway, la impresora, el AP, la cámara, el sensor que alguien enchufó sin avisar, y el rango que DHCP necesita de holgura. Dimensiona con margen y define reservas con la calculadora DHCP antes de que el pool se agote un lunes a las 9:00.

3. Desalinear los bloques. Una subred solo puede empezar en un múltiplo de su tamaño: un /27 arranca en .0, .32, .64, .96… — 192.168.1.80/27 no existe, por mucho que el Excel diga que sí. Por eso VLSM se asigna de mayor a menor: los bloques van quedando alineados solos. Bonus: los bloques bien alineados y contiguos después se pueden resumir en una sola ruta con el agregador CIDR (dos /27 pegados y alineados = un /26).

Ahora te toca

Toma una red que administres hoy y hazle la autopsia: ¿cuántas direcciones tiene asignadas versus cuántas usa de verdad? Después arma el plan como corresponde — necesidades de mayor a menor en el planificador VLSM, verificación de choques en el detector de solapamiento — y guarda la tabla en la carpeta del proyecto. La próxima cámara que no haga ping se va a resolver desde el suelo, sin escalera.

En una puesta en marcha de CCTV, un colega anotó con toda seriedad "la IP del NVR" en la carpeta del proyecto: fe80::ba27:ebff:fe12:34c9. Dos semanas después, desde la otra sede, nadie podía llegar al equipo. Obvio: había anotado la dirección link-local, que solo existe dentro de ese cable. Es como anotar "habitación del fondo, segunda puerta" como dirección postal: perfecta si ya estás dentro de la casa, inútil desde afuera.

Ese tipo de accidente pasa porque IPv6 se ve intimidante y la reacción natural es copiarlo sin mirarlo. La buena noticia: detrás de esos 128 bits hay menos misterio que en IPv4. Vamos por partes.

De 32 a 128 bits: por qué se ve tan rara

Una dirección IPv4 son 32 bits vestidos de cuatro números decimales. Una IPv6 son 128 bits vestidos de 8 grupos de 16 bits, cada grupo escrito con 4 dígitos hexadecimales y separados por dos puntos. Nada más. Si te parece larga es porque es larga: escrita completa mide 39 caracteres.

Como escribir 39 caracteres para cada dirección sería un castigo, el estándar (RFC 5952) define dos reglas de compresión:

• Regla 1: dentro de cada grupo, elimina los ceros a la izquierda. 0db8 pasa a db8, 0000 pasa a 0.
• Regla 2: la corrida más larga de grupos que quedaron en cero se colapsa en ::. Y esto solo se puede hacer UNA vez por dirección: si hubiera dos ::, no sabrías cuántos ceros pusiste en cada uno y la dirección sería ambigua.

Así, 2001:0db8:0000:0000:0000:0000:0000:0001 queda en 2001:db8::1. Misma dirección, 28 caracteres menos. Si quieres jugar con esto en ambos sentidos —expandir y comprimir— la calculadora IPv6 lo hace al instante y te muestra además el tipo de dirección y el rango.

Anatomía de una GUA: tres piezas, no ocho

El error de lectura más común es intentar leer los 8 grupos como si fueran los 4 octetos de IPv4. No: una dirección global (GUA) se lee en tres piezas, como un número telefónico internacional — código de país, código de área y número local:

Fíjate en la proporción: de los 128 bits, tú solo administras 16. El prefijo te lo dan hecho y el identificador de interfaz se lo autogeneran los equipos con SLAAC. Todo el "diseño de red" de un sitio IPv6 vive en 4 dígitos hexadecimales. Por eso planificar IPv6 termina siendo más simple que IPv4: el problema es más pequeño, no más grande.

Los tipos que verás en terreno

La primera palabra de la dirección te dice de inmediato qué tienes al frente. Estas son las que aparecen en la vida real:

La link-local es la estrella incomprendida. Toda interfaz IPv6 tiene una fe80:: apenas se levanta, sin pedir permiso a nadie, y solo vale dentro de ese enlace físico. Los routers la usan para hablar entre ellos, y el gateway que te anuncia un router por RA es casi siempre una link-local. Por eso ver fe80::… como próximo salto en una tabla de rutas es normal — y por eso anotarla como "la IP del equipo" para alcanzarlo desde otra red es el error de mi colega del NVR.

Las ULA son el equivalente espiritual de 10.0.0.0/8, con una mejora: el estándar (RFC 4193) te pide generar 40 bits aleatorios para tu prefijo fd…::/48. Suena a burocracia hasta el día en que tu empresa se fusiona con otra y las dos usaban 10.0.0.0/8: en IPv4 eso es una renumeración dolorosa; con ULA aleatorias la colisión es casi imposible. Si heredaste redes de terceros, el verificador de solapamiento te dice en segundos si dos prefijos chocan.

¿Y el broadcast? No existe. IPv6 lo reemplazó por multicast bien dirigido: ff02::1 alcanza a todos los nodos del enlace y ff02::2 solo a los routers. Hasta el reemplazo de ARP (NDP) usa multicast selectivo en vez de gritarle a toda la red. Tu switch lo agradece.

La regla de oro: toda LAN es un /64

Grábatela: cada VLAN, cada segmento, cada LAN recibe un /64. No un /96 "porque son pocos equipos", no un /120 "para no desperdiciar". Un /64. Siempre.

La razón es técnica, no estética: SLAAC —el mecanismo con que los equipos se autoconfiguran la dirección— necesita exactamente 64 bits de identificador de interfaz (RFC 4862). Si le das menos, SLAAC no funciona y quedas dependiendo de DHCPv6 para todo… y Android no habla DHCPv6. Un /64 "recortado" es una red donde los celulares no obtienen dirección.

¿Y el "desperdicio"? Hagamos la aritmética: un /64 contiene 2⁶⁴ direcciones — 18,4 trillones. Todo el espacio IPv4 completo son 2³² ≈ 4.295 millones. O sea, cada /64 podría contener 4.295 millones de copias de todo el Internet IPv4, y aún así le asignamos uno a la VLAN de las tres impresoras. Está bien. Está diseñado así: los 64 bits de host no son inventario que se agota, son espacio para que la autoconfiguración y la privacidad de direcciones funcionen sin coordinación.

El plan jerárquico: /48 → /56 → /64

Con la regla de oro clara, planificar es repartir /64. Un /48 de sitio te deja 16 bits de subred: 2¹⁶ = 65.536 redes /64. La gracia no es la cantidad, es cómo la ordenas. El patrón que nunca falla:

• /48 = el sitio. Lo que te delega el ISP (o tu bloque ULA).
• /56 = el edificio (o piso, o zona): 8 bits → 256 edificios por sitio.
• /64 = la VLAN: otros 8 bits → 256 VLANs por edificio.

¿256 edificios te queda grande? No importa. El objetivo de un plan IPv6 no es "usar" el espacio, es que la dirección se lea sola: miras …cafe:0530::/64 y sabes que es el edificio 05, VLAN 30, sin abrir ninguna planilla. Eso, en una madrugada de incidente, vale oro.

El límite de nibble: por qué 4 en 4

Un nibble son 4 bits — exactamente un dígito hexadecimal. Si divides tus prefijos en múltiplos de 4 bits (/48, /52, /56, /60, /64), cada bloque empieza y termina en un dígito hex completo y los prefijos se leen a ojo. Si cortas en /49 o /57, la frontera queda en la mitad de un dígito: 2001:db8:cafe:8000::/49 existe y es válido, pero para saber qué direcciones contiene tienes que ponerte a hacer aritmética binaria mental. Nadie quiere eso a las 3 AM.

Hay un premio extra: el DNS inverso de IPv6 (ip6.arpa) se delega dígito por dígito, o sea, nibble por nibble. Un plan alineado al nibble se traduce en zonas PTR limpias y delegables; uno desalineado, en dolores de cabeza. La herramienta de zona PTR inversa te genera los nombres ip6.arpa desde cualquier prefijo y lo vas a ver de inmediato.

Manos a la obra: un plan completo en 6 pasos

Supongamos que el ISP te delegó 2001:db8:cafe::/48 para un campus, y empezamos por la VLAN 10 (datos) del edificio 5:

1. Ubica tus 16 bits. Los primeros 48 bits (2001:0db8:cafe) son fijos. Tu lienzo es el cuarto grupo completo: 4 dígitos hex. Los últimos 64 bits son de los equipos.
2. Parte el grupo en el límite de nibble: 2 primeros dígitos = edificio (8 bits → 256 edificios), 2 últimos = VLAN (8 bits → 256 VLANs por edificio).
3. Edificio 5 → 05. Su bloque completo es 2001:db8:cafe:0500::/56: toda dirección cuyo cuarto grupo empiece con 05 vive ahí.
4. VLAN 10 → 10. El cuarto grupo queda 0510 y la LAN es 2001:db8:cafe:0510::/64.
5. Comprime (RFC 5952): cae el cero a la izquierda (0510 → 510) y los grupos de ceros colapsan en ::. Resultado: 2001:db8:cafe:510::/64, con gateway 2001:db8:cafe:510::1.
6. Cuenta lo que tienes: 256 edificios × 256 VLANs = 65.536 redes /64 en un solo /48. Y cada una con 2⁶⁴ direcciones adentro. Deja de sufrir: el plan te va a sobrar.

El plan del edificio 5 queda así de legible:

sitio               2001:db8:cafe::/48
edificio 05         2001:db8:cafe:500::/56
├─ vlan 10 datos    2001:db8:cafe:510::/64
├─ vlan 20 voz      2001:db8:cafe:520::/64
├─ vlan 30 camaras  2001:db8:cafe:530::/64
└─ gw vlan 10       2001:db8:cafe:510::1

Cada línea se lee sola: sitio cafe, edificio 05, VLAN a la vista. Pega cualquiera de estos prefijos en la calculadora IPv6 y verifica la expansión, el rango y el tipo antes de configurarlo.

Qué hacer ahora

Toma un sitio real que administres, dibuja su jerarquía edificio → VLAN y pásala por el planificador IPv6: en cinco minutos tienes el plan completo alineado al nibble. Después revisa qué direcciones fe80:: tienes anotadas por ahí como si fueran alcanzables — ya sabes por qué no responden desde la otra sede.

La primera vez que dejé unas cámaras "listas para ver desde el celular" en un condominio, me fui feliz. Puerto 8080 abierto en el router, prueba local impecable, cliente contento. Dos horas después me llama: desde afuera no se veía nada. Volví, revisé el firewall, rehice el port-forwarding, reinicié todo dos veces… hasta que miré la IP WAN del router: 100.72.19.4. Se veía pública. No lo era. Esa tarde aprendí más de internet que en cualquier curso, y esta guía es esa tarde comprimida — sin la vergüenza ni el combustible gastado.

El barrio privado: por qué existe RFC 1918

Una dirección IPv4 tiene 32 bits: 4.294.967.296 combinaciones posibles, unos 4.300 millones. En los 80 sonaba infinito; hoy hay más chips con antena que personas en el planeta. Para no gastar una dirección única del mundo en cada impresora y cada ampolleta inteligente, el RFC 1918 reservó en 1996 tres bloques que cualquiera puede usar dentro de su red, sin pedirle permiso a nadie.

La analogía es el depto 302: existe en miles de edificios a la vez y jamás hay conflicto, porque nadie manda una carta a "depto 302, Chile" y espera que llegue. Dentro del edificio, el número basta. Para el mundo exterior necesitas la dirección de la calle: la IP pública.

Los tres bloques RFC 1918 suman 17.891.328 direcciones — casi 18 millones — que se repiten en millones de redes al mismo tiempo. La regla de oro: estos rangos no cruzan internet. Ningún router de la ruta va a reenviar un paquete con origen 192.168.1.20; para salir al mundo, alguien tiene que traducirlo primero.

NAT y PAT: el conserje que traduce direcciones

Si las IPs privadas no pueden salir, ¿cómo navega tu notebook? Piensa en el conserje del edificio. Las cartas que salen llevan la dirección de la calle más un número de casilla, y el conserje anota en su cuaderno: casilla 40001 = depto 302. Cuando llega la respuesta dirigida a la casilla 40001, sabe exactamente a quién subírsela. Ese cuaderno es la tabla NAT, y la casilla es el puerto.

Técnicamente: NAT (Network Address Translation) reescribe la IP de origen del paquete; PAT (Port Address Translation, el "NAT con sobrecarga" que hace tu router) reescribe IP y puerto, para que cientos de equipos compartan una sola IP pública. Cada conversación queda identificada por la 5-tupla: protocolo, IP de origen, puerto de origen, IP de destino y puerto de destino. Cambia cualquiera de los cinco valores y es otra sesión — otra fila en el cuaderno del conserje.

Aquí viene el número que manda en todo esto: el campo de puerto tiene 16 bits, o sea 65.536 valores. Del 0 al 1023 están reservados para servicios conocidos, así que para traducir quedan del 1024 al 65535: 64.512 puertos efímeros por IP pública. Dicho de otra forma, una sola IP pública multiplexa del orden de 64 mil sesiones simultáneas. Suena holgado… hasta que recuerdas que un teléfono con WhatsApp, Instagram, Spotify y 30 pestañas mantiene decenas de sesiones abiertas sin que nadie lo note.

Ejemplo trabajado: el día que se acaban los puertos

Modelemos un edificio corporativo que sale a internet por una IP pública — el mismo modelo de la calculadora de agotamiento NAT/PAT, por si quieres jugar con tus propios números.

1. Puertos disponibles por IP pública. Rango efímero típico: 1024 a 65535. Eso da 65.535 − 1.024 + 1 = 64.512 puertos.
2. Demanda. 700 usuarios × 100 sesiones concurrentes cada uno = 70.000 sesiones pidiendo puerto al mismo tiempo. (100 por usuario no es exageración: navegador + correo + Teams + streaming lo logran sin esfuerzo.)
3. Comparación. 70.000 > 64.512: faltan 70.000 − 64.512 = 5.488 sesiones que no encuentran puerto libre. La utilización queda en 70.000 ÷ 64.512 = 108,5 %.
4. Síntoma en terreno. Sobre el 100 % no se cae "internet": fallan conexiones al azar. Páginas que cargan a medias, apps que reintentan, videollamadas que entran a la tercera. El clásico ticket "internet está raro" que nadie sabe reproducir.
5. Solución. IPs necesarias = ⌈70.000 ÷ 64.512⌉ = 2 IPs públicas. La capacidad sube a 2 × 64.512 = 129.024 puertos y la utilización baja a un cómodo 54,3 %, con holgura para los picos del lunes.

Otra forma de mirar el mismo límite: con una sola IP y 700 usuarios, a cada uno le tocan como máximo 92 sesiones de promedio. Un solo equipo con torrents o malware puede comerse miles de puertos por sí solo y dejar al resto del edificio esperando fila en el cuaderno del conserje.

CGNAT: cuando tu IP "pública" también es privada

Volvamos al condominio y su 100.72.19.4. A los ISP les pasa lo mismo que a tu oficina: no tienen IPv4 públicas para regalarle una a cada cliente. ¿La solución? Aplicarle NAT a los clientes otra vez, dentro de su propia red: Carrier-Grade NAT. Para ese NAT intermedio, el RFC 6598 reservó el bloque 100.64.0.0/10 — 4.194.304 direcciones que no son RFC 1918, pero tampoco son públicas. Tierra de nadie entre tu router y la internet real.

La consecuencia práctica: hay dos traducciones y tú solo controlas la primera. El port-forwarding que configuras en tu router funciona perfecto… hasta el borde de tu casa. Cuando alguien intenta entrar desde internet, golpea la puerta del CGNAT del ISP, y ese equipo no tiene idea de que tu cámara existe. El paquete muere ahí, educadamente y sin avisar.

¿De quién es esa IP? Sistemas autónomos en tres frases

Ya sabemos cómo sale el paquete de tu casa. ¿Y quién lo lleva? Tres frases, tal como prometí. Uno: internet no es una red, son unas 80.000 redes independientes llamadas sistemas autónomos (AS), cada una con un número único: el ASN. Dos: cada AS anuncia por BGP los bloques de direcciones que administra, y sus vecinos deciden si le creen y por dónde enrutar. Tres: tu paquete cruza varios AS de mano en mano — tu ISP, uno o dos intermediarios, el AS de destino — y eso, literalmente, es todo internet.

Los AS se conectan con dos tipos de acuerdo: tránsito (le pago a un AS grande para que me lleve a cualquier parte del mundo) y peering (dos AS intercambian tráfico gratis porque a ambos les conviene, normalmente en un punto de intercambio o IX). Por eso Netflix o YouTube cargan de inmediato: sus CDN hacen peering directo con tu ISP y el tráfico ni siquiera sale de Santiago.

Sobre los números: los ASN partieron con 16 bits (hasta el 65.535) y, película repetida, se agotaron; hoy son de 32 bits, hasta 4.294.967.295. Hay dos notaciones: asplain, el número plano (196629), y asdot, en formato alto.bajo (3.21 — el mismo número, porque 3 × 65.536 + 21 = 196.629). El punto confunde a los equipos antiguos y rompe más de una regex, así que conviene saber leer ambas. El conversor de ASN traduce entre las dos y te dice además si el número es público, privado (del 64512 al 65534 hay 1.023 ASN privados de 16 bits, los "192.168 de BGP") o reservado. Un ejemplo real y verificable: en Chile, Entel opera el AS27651 — ese número identifica su red completa ante el resto del planeta.

Modo detective: investigar cualquier IP

Con las piezas anteriores, investigar una IP toma menos de un minuto. El kit tiene tres herramientas:

• ¿Cómo me ve el mundo? Mi IP te muestra tu IP pública real, el ASN y la organización de tu ISP, geolocalización y DNS inverso. Es además la primera prueba de CGNAT: si lo que sale ahí no coincide con la WAN de tu router, ya sabes qué pasó.
• ¿De quién es esta IP? RDAP es el WHOIS moderno: en vez de texto libre, entrega datos estructurados desde el registro correspondiente (LACNIC para esta parte del mundo). Ahí sale la organización dueña, el rango completo que le asignaron y — la joya — el contacto de abuse: el correo oficial para reportar que esa IP está haciendo maldades.
• ¿Necesito filtrar todo su rango? Si decides bloquear o buscar en logs, CIDR a regex convierte el bloque completo en una expresión regular y en el rango exacto de direcciones, listo para grep o para la ACL.

Mini-caso: una IP lleva toda la noche golpeando tu firewall. RDAP te dice en segundos que pertenece a un hosting con abuse contact público; reportas con logs, fecha y zona horaria, y de paso descubres si el "ataque internacional" era en realidad el scanner académico de una universidad que escanea todo internet a diario (pasa más de lo que crees). No cambia el mundo, pero los abuse desks sí dan de baja bots — y tú dejas de adivinar.

Tu turno

Abre Mi IP y compárala con la WAN de tu router: ahora sabes exactamente qué significa si no coinciden. Después pasa tus números reales por la calculadora NAT/PAT antes de que un lunes cualquiera los puertos se agoten solos. Y a la próxima IP sospechosa en un log, regálale 30 segundos de RDAP: internet deja de ser una nube y empieza a ser un mapa.

Un lunes a las 8:30 me llamaron de un colegio: “se murió la red completa, seguro se quemó el switch”. El culpable era un cable de dos metros que alguien, con la mejor intención, enchufó entre dos salidas de pared “para que no quedara colgando”. Ese cable creó un loop, el loop una tormenta de broadcast, y la tormenta dejó sin clases a 800 alumnos. Para entender por qué dos metros de cobre pueden tumbar un edificio entero —y por qué casi nunca lo logran— hay que abrir el switch y mirar qué pasa adentro. Spoiler: no hay magia. Hay una tabla, unas etiquetas y un árbol.

Cómo aprende un switch (sin magia)

Piensa en el conserje de un edificio que no conoce a nadie el primer día. Cada vez que un residente le deja una carta para despachar, el conserje mira el remitente y anota: “la señora Pérez vive en el 402”. No pregunta, no adivina: aprende mirando de dónde vienen las cosas. Un switch hace exactamente eso con cada trama que entra: lee la MAC de origen y apunta en su tabla “esta MAC vive detrás de este puerto”.

Cuando llega una trama con destino conocido, la reenvía solo por el puerto donde vive esa MAC. ¿Y si el destino no está en la tabla? El conserje grita en el hall: la trama se inunda (flooding) por todos los puertos menos por el que entró. Quien responda quedará anotado, y la próxima vez el envío será directo. Los broadcast (destino ff:ff:ff:ff:ff:ff) se inundan siempre, por definición. Y como los residentes se mudan, las entradas de la tabla caducan: el aging por defecto es de 300 segundos sin ver tráfico de esa MAC.

Vlan    Mac Address        Type      Ports
----    -----------        ----      -----
  10    b4:96:91:1a:2f:03  DYNAMIC   Gi1/0/07
  10    f4:39:09:55:c0:11  DYNAMIC   Gi1/0/12
  20    00:11:32:8b:44:9e  DYNAMIC   Gi1/0/24
Total Mac Addresses for this criterion: 3

La trama: un sobre con 20 bytes invisibles

El sobre que viaja por el cable tiene un formato fijo: MAC destino (6 bytes), MAC origen (6), EtherType (2, dice qué hay adentro: IPv4, IPv6, ARP…), el payload (46 a 1500 bytes) y el FCS (4 bytes de checksum al final). Mínimo legal: 64 bytes. Máximo clásico: 1518.

Pero el cable cobra más de lo que Wireshark te muestra. Antes de cada trama van 8 bytes de preámbulo + SFD (una claqueta que sincroniza los relojes) y después vienen 12 bytes de IFG, el silencio obligatorio entre tramas. Son 20 bytes por trama que ninguna captura enseña, pero que ocupan cable igual. Con tramas pequeñas, ese impuesto duele.

Esos 20 bytes explican el número más citado —y menos entendido— del switching: cuántas tramas por segundo aguanta un enlace. Hagamos la cuenta a 1 Gbps con tramas mínimas:

1. La trama mínima legal mide 64 bytes: 6 (destino) + 6 (origen) + 2 (EtherType) + 46 (payload) + 4 (FCS).
2. Súmale el impuesto invisible: 8 de preámbulo+SFD y 12 de IFG. En el cable ocupa 64 + 20 = 84 bytes.
3. Pásalo a bits: 84 × 8 = 672 bits por trama.
4. Divide la tasa de línea: 1.000.000.000 ÷ 672 = 1.488.095 tramas/s ≈ 1,49 Mpps. Ese es el techo teórico de un puerto gigabit con tráfico de tramas pequeñas (piensa VoIP o ataques).
5. Contraste: con tramas de 1518 B son 1.538 × 8 = 12.304 bits, o sea apenas 81.274 pps. Mismo enlace, 18 veces menos paquetes: por eso un firewall se especifica en pps, no solo en Gbps.

¿Quieres jugar con otros tamaños y velocidades sin sacar la calculadora? La calculadora de trama Ethernet y PPS hace exactamente esta cuenta de 1G a 100G, con y sin etiqueta VLAN.

VLAN 802.1Q: paredes virtuales dentro del mismo equipo

Una VLAN convierte un switch físico en varios switches lógicos: cámaras por un lado, invitados por otro, y ninguno ve los broadcast del vecino. El mecanismo es ridículamente simple: una etiqueta de 4 bytes que se inserta dentro de la trama, entre la MAC de origen y el EtherType (mírala en el diagrama de arriba). Dos bytes de TPID (0x8100, “ojo, esto viene etiquetado”) y dos bytes que cargan el PCP (3 bits de prioridad, valores 0 a 7), el bit DEI y el VLAN ID de 12 bits: 4096 valores, de los cuales 4094 son usables (el 0 y el 4095 están reservados).

Volvamos al edificio. Un puerto access es la puerta de una oficina: todo lo que sale de ahí pertenece a esa oficina, así que nadie anda con credencial adentro — el switch le pone la etiqueta al entrar al pasillo y se la quita al entregar. Un puerto trunk es el pasillo compartido del correo interno: por ahí circulan sobres de todas las oficinas y cada uno viaja con su sticker puesto, porque sin sticker nadie sabría a cuál oficina pertenece. Access = un puerto, una VLAN, sin etiqueta. Trunk = muchas VLANs, todas etiquetadas.

Los 3 bits de PCP (802.1p) son el “frágil” del sobre: marcan la voz con prioridad 5 o 6 para que el switch la despache antes que la descarga de Windows Update. Y cuando un proveedor de servicios transporta tus VLANs por su red, usa Q-in-Q (802.1ad): mete tu trama, etiqueta incluida, dentro de otra etiqueta suya (S-TAG, TPID 0x88a8). Sobre dentro de sobre: tú sigues viendo tus 4094 VLANs intactas y el proveedor te mueve como un solo cliente. La trama máxima crece a 1522 B con una etiqueta y 1526 B con dos. Puedes desarmar cualquier etiqueta bit a bit con el decodificador VLAN y armar el doble etiquetado con la herramienta Q-in-Q.

STP: el árbol que apaga la tormenta

Ahora sí, el cable del colegio. En capa 2 no existe TTL: una trama puede circular para siempre. Si conectas dos switches con dos cables (o enchufas una pared con otra), cada broadcast que entra al anillo se reenvía, vuelve, se reenvía de nuevo… y como cada switch lo inunda por todos los puertos, la cosa no solo gira: se multiplica. En segundos, los enlaces se saturan con copias del mismo ARP —recuerda el techo: hasta 1,49 millones de tramas por segundo en cada puerto gigabit—, las CPU se ahogan y las tablas MAC enloquecen viendo la misma MAC de origen entrar por dos puertos a la vez (MAC flapping). Eso es una tormenta de broadcast, y no se arregla sola: se arregla cortando el loop.

Spanning Tree (STP/RSTP) corta el loop por ti, a propósito y con criterio. Primero los switches eligen un root bridge: gana el menor bridge ID, que es la prioridad (0 a 61440 en saltos de 4096, default 32768) seguida de la MAC. A igual prioridad, gana la MAC más baja — que suele ser el switch más viejo del rack, no el mejor. Después, cada switch calcula su camino más barato hacia el root sumando el costo de cada enlace, deja ese puerto como root port, y todo enlace redundante queda con un puerto bloqueado: sigue ahí, escuchando BPDUs, listo para activarse si el camino principal muere.

La escala short original se quedó sin números sobre 10 Gbps (todo vale “casi lo mismo”), así que 802.1t definió la escala long: 20.000.000.000.000 dividido por la velocidad en bps. De ahí salen los valores que conviene memorizar: 1G = 20.000 y 10G = 2.000. Atención en redes mixtas: si un switch habla short y otro long, las decisiones de camino pueden ser absurdas. La calculadora de costo STP te suma rutas completas en ambas escalas y te dice quién gana como root.

LAG: sumar enlaces, con letra pequeña

Cuando un enlace no da abasto, la reacción natural es poner otro al lado y agruparlos con LAG/LACP (802.1AX, el ex 802.3ad). Funciona, STP los ve como un solo enlace lógico y no bloquea nada. Pero la letra pequeña importa: el switch decide por cuál miembro va cada trama con un hash de las MACs, IPs o puertos de origen y destino. Todas las tramas de un mismo flujo dan el mismo hash y viajan por el mismo miembro — si no, llegarían desordenadas. Consecuencia directa: 4×1G son 4 Gbps agregados, pero un solo flujo jamás pasa de 1 Gbps. El respaldo nocturno del NAS por una sola sesión TCP no se entera de que existen los otros tres cables.

Hay otra trampa menos conocida: el hash no reparte entre miembros, reparte entre buckets, y los buckets suelen ser una potencia de 2 (8 es típico). Con 2 o 4 miembros el reparto es exacto. Con 3 miembros, 8 buckets se reparten 3, 3 y 2: dos miembros reciben el 37,5 % de los flujos cada uno y el tercero solo el 25 %. Con muchos flujos parecidos, ese desbalance se nota. La calculadora de LAG te muestra el reparto exacto y el límite por flujo para cualquier combinación.

Multicast en L2: 32 IPs, una sola MAC

Última pieza de la caja: cuando una cámara transmite a un grupo multicast IPv4, la trama no lleva la MAC de nadie en particular. Se construye una MAC especial: el prefijo 01:00:5e más los 23 bits bajos de la IP del grupo. Y aquí hay un detalle precioso: una IP multicast tiene 28 bits de grupo (los primeros 4 son fijos, 1110), pero solo 23 caben en la MAC. Se pierden 5 bits, así que 2⁵ = 32 direcciones IP distintas comparten la misma MAC. Por ejemplo, 224.1.1.1, 225.1.1.1 y 239.129.1.1 aterrizan todas en 01:00:5e:01:01:01.

Moraleja: filtrar multicast por MAC en capa 2 nunca es exacto — el switch (vía IGMP snooping) puede entregarte tráfico de un grupo “vecino” que colisiona en la misma MAC, y el descarte fino lo hace la IP del receptor. En IPv6 el mapeo es más generoso: prefijo 33:33 más los últimos 32 bits de la dirección. El conversor multicast IP ↔ MAC te muestra la MAC resultante y las 31 IPs que chocan con la tuya, útil cuando el streaming de la TV corporativa aparece en la VLAN equivocada.

Abre tu propia caja

Ya sabes qué hay adentro: una tabla que aprende mirando remitentes, etiquetas de 4 bytes que levantan paredes, un árbol que corta loops y hashes que reparten flujos. Ahora entra a tu switch: mira la tabla MAC, verifica quién es tu root bridge (y decide si merece serlo), y calcula los pps reales de tus enlaces con la calculadora de trama antes de que el próximo cable de dos metros lo haga por ti.

Hace un tiempo nos llamaron por "el WiFi lento de la sala de reuniones". El teléfono marcaba señal llena al lado del AP y aun así la videollamada se congelaba cada dos minutos. El culpable apareció al fondo del pasillo: una cámara IP antigua, colgada del mismo AP, negociando 6 Mbps desde la bodega. El problema nunca fue la señal: era el micrófono. En WiFi, como en el karaoke, canta uno a la vez — y esa cámara no soltaba el micrófono nunca.

Un solo micrófono: el WiFi es medio compartido

Un cable UTP moderno es full-duplex: cada equipo tiene su par de cobre dedicado y puede hablar y escuchar al mismo tiempo. La radio no. En un canal WiFi transmite uno a la vez: el AP y todos sus clientes comparten el mismo aire, en half-duplex. El protocolo que ordena la fila se llama CSMA/CA y funciona como una conversación educada: escucho antes de hablar, espero un turno aleatorio, transmito y cruzo los dedos esperando el ACK. Si dos hablan a la vez, la trama se pierde y ambos reintentan — más lento.

De ese único hecho deriva todo lo demás: los canales definen cuántas salas de karaoke hay, el ancho de canal es el tamaño de cada sala, el MCS es la velocidad a la que canta cada uno, y el airtime es cuánto rato acapara el micrófono cada cliente. Cuando entiendes eso, dejas de perseguir barritas de señal y empiezas a diseñar celdas.

Canales: el mapa de 2,4, 5 y 6 GHz

La banda de 2,4 GHz es un barrio antiguo con calles angostas. Hay 13 canales numerados (en Chile y buena parte del mundo), con centros cada 5 MHz desde 2412 hasta 2472 MHz. El detalle cruel: cada canal ocupa 20 MHz de ancho, así que los canales vecinos se pisan entre sí. Con 25 MHz de separación entre centros, solo hay una combinación que convive limpia: 1, 6 y 11.

En el papel también funcionaría 1/5/9/13 (justo 20 MHz de separación), pero solo si todo el vecindario se pone de acuerdo — y basta un router en canal 6 para arruinar la fiesta. Súmale que en 2,4 GHz también viven microondas, Bluetooth y timbres inalámbricos, y entiendes por qué es la banda de los problemas heredados.

La banda de 5 GHz es otro mundo: alrededor de 25 canales de 20 MHz (según la regulación local) y sin hornos microondas metidos en la conversación. El peaje son los canales DFS (del 52 al 144): ahí el WiFi es huésped del radar meteorológico y militar. Y 6 GHz (WiFi 6E) es la pradera nueva: hasta 1200 MHz de espectro — 59 canales de 20 MHz, 14 de 80 o 7 de 160 — y Chile fue de los primeros países en liberar la banda completa. Antes de fijar canales a mano, mira el mapa completo en la calculadora de canales WiFi.

Ancho de canal: más pista, más roce

Duplicar el ancho de canal casi duplica la tasa: pasar de 20 a 40 MHz multiplica las subportadoras de datos por 2,08, y de 40 a 80 MHz por 2,17 (se aprovechan mejor las bandas de guarda). Suena a mejora gratis, pero el canal ancho ocupa el espectro del vecino: un canal de 40 MHz en 2,4 GHz pisa dos de los tres canales limpios él solo, y en 5 GHz cuatro AP en 80 MHz pueden agotar los canales no-DFS de la zona.

La regla práctica: en despliegues densos (oficinas, edificios, aulas) usa 20 o 40 MHz en 5 GHz y deja los 80 MHz para donde el espectro sobra: una casa aislada, o 6 GHz. Un canal angosto y limpio rinde más que uno ancho y disputado — la interferencia co-canal no aparece en las barritas de señal, pero se come tu airtime en reintentos.

MCS: la señal decide cuánto corres

Dentro del canal, la velocidad la fija la modulación. Es como dictar un número de teléfono: si la línea está impecable, lo dices rápido y de corrido; si hay ruido, terminas deletreando dígito por dígito. El índice MCS es exactamente esa escala: con señal pobre el cliente baja a BPSK (1 bit por símbolo, lento pero robusto); con señal excelente sube a 256-QAM (8 bits por símbolo) o, en WiFi 6, a 1024-QAM.

Ojo con el número que muestra el driver: esa es la tasa PHY, la velocidad instantánea mientras se transmite. Entre preámbulos, ACKs, contención y espacios entre tramas, el throughput real de una celda sana ronda el 65 % de la PHY. Un cliente a MCS9 en 80 MHz con 1 stream marca 433 Mbps, pero en un iperf verás cerca de 280. No está fallando nada: así funciona el MAC de 802.11.

Para ver qué MCS está negociando un cliente Linux, basta una consulta al driver:

$ iw dev wlan0 station dump | grep -E 'signal|tx bitrate'
        signal:         -58 dBm
        tx bitrate:     433.3 MBit/s VHT-MCS 9 80MHz short GI VHT-NSS 1

La escalera completa por estándar, ancho, intervalo de guarda y streams está en la tabla de tasas PHY (MCS). Con WiFi 6 y 1024-QAM, el mismo canal de 80 MHz y 1 stream llega a 600 Mbps PHY — si la señal aguanta la modulación, que es mucho pedir lejos del AP.

Airtime: el cantante lento acapara el micrófono

Aquí se junta todo. Como el aire es uno solo, lo que importa no es cuántos megabits pide cada cliente, sino cuánto tiempo de aire necesita para conseguirlos. Y el tiempo depende de su tasa: transmitir 1 MB a MCS9 toma milisegundos; el mismo MB a 6 Mbps toma casi un segundo entero, con todos los demás mirando el reloj. La cuenta es simple: airtime = throughput pedido ÷ (PHY × 0,65). Hagámosla con la cámara de la anécdota:

1. La cámara vieja está lejos y negocia PHY 6 Mbps (la tasa base más lenta de 802.11g). Su techo real es 6 × 0,65 = 3,9 Mbps.
2. Le configuraron un stream de 5 Mbps. Airtime necesario: 5 ÷ 3,9 = 128 %. No cabe: la cámara consume el 100 % del aire de la celda ella sola, entrega apenas 3,9 Mbps y el video igual se entrecorta.
3. El notebook de la sala negocia MCS9 en 80 MHz: 433 Mbps PHY, unos 282 Mbps reales (433 × 0,65).
4. Su videollamada pide 50 Mbps: 50 ÷ 282 = 17,8 % del aire. Podrían convivir cinco notebooks así y todavía sobraría micrófono.
5. Moraleja con número: cada megabit de la cámara cuesta 72 veces más aire que uno del notebook (282 ÷ 3,9 ≈ 72). Un solo cliente lento degrada a todos los rápidos — no porque consuma muchos datos, sino porque acapara el turno.

Puedes jugar con estos escenarios — mezclar clientes, tasas y demandas, y ver cuándo revienta la celda — en la calculadora de airtime y capacidad.

Diseño exprés: la celda que rinde

Con todo lo anterior, el diseño de una celda decente cabe en tres reglas:

• Borde de celda entre -65 y -67 dBm, medido con el cliente real más débil (el teléfono barato, no tu notebook con antenas grandes). Con esa señal, los clientes sostienen MCS altos y nadie canta a 6 Mbps.
• Canales alternados entre AP vecinos: 1/6/11 en 2,4 GHz, y en 5 GHz sin repetir canal entre celdas que se escuchan. Dos AP en el mismo canal no suman capacidad: comparten el mismo micrófono.
• Potencia moderada. El enlace es de ida y vuelta: un AP a máxima potencia llega lejos, pero el teléfono — que transmite bastante menos — no logra responderle. El resultado es esa celda mentirosa con señal llena y pérdida de paquetes. Apunta a que AP y cliente tengan potencias parecidas; el EIRP lo puedes calcular en la calculadora de antena y RF.

¿Y si el problema es llevar la señal de un edificio a otro? Eso ya no es una celda, es un radioenlace: dimensiónalo con la calculadora de enlace inalámbrico en vez de estirar un AP más allá de su dignidad.

Ahora, a terreno: recorre el área con el teléfono mirando señal y tasa negociada, fija canales con la calculadora de canales y pasa tus clientes más lentos por la de airtime. Si después de eso la celda sigue lenta, ya sabes exactamente a quién quitarle el micrófono.

El enlace quedó impecable en enero. Señal firme, ping de 2 ms, cliente feliz, foto para el Instagram de la empresa. En mayo llegan las lluvias, y el enlace empieza a caerse todas las tardes. ¿Mala suerte? No: una suma que nadie hizo. Un radioenlace punto a punto no se «instala a ver si funciona»; se calcula antes, con aritmética que cabe en una servilleta. Esta guía es esa servilleta, con todos los números a la vista.

El presupuesto del enlace: una suma en una servilleta

Piensa en el enlace como tu sueldo a fin de mes. La potencia del transmisor es el ingreso, el camino cobra peajes, y las antenas son bonos que te pagan en ambas puntas. Lo que llega al receptor es:

Prx = Ptx + Gtx − Lcables − FSPL + Grx

Donde Ptx es la potencia del radio en dBm, Gtx y Grx las ganancias de las antenas en dBi, Lcables las pérdidas de coaxial y conectores, y FSPL la pérdida de espacio libre, el peaje grande. Todo en decibeles, y esa es justamente la gracia: los dB convierten multiplicaciones horribles en sumas de colegio. Ojo con las unidades, eso sí: dBm es potencia absoluta (referida a 1 mW), dB es una razón, y dBi es ganancia referida a una antena isotrópica. Se suman entre sí precisamente porque las razones «escalan» a la potencia absoluta. Si los dBm todavía te miran feo, date una vuelta por el conversor dBm/mW: 23 dBm son unos 200 mW, 30 dBm son 1 W, y de ahí para arriba.

La regla de vida es una sola: si Prx − sensibilidad del receptor ≥ margen, el enlace vive. La sensibilidad es el piso que declara el fabricante para cada modulación, y el margen es tu colchón contra el mundo real: apunta a 10–15 dB, no menos. Todo lo que sigue en esta guía existe para llenar esa desigualdad con números honestos.

FSPL: el peaje que cobra el vacío

La pérdida de espacio libre suena a que el aire «absorbe» la señal, pero no absorbe nada: es pura geometría. La energía sale de la antena y se reparte sobre una esfera cada vez más grande, y tu antena receptora captura siempre la misma ventanita de esa esfera. Más lejos, esfera más grande, porción más chica. La fórmula, con frecuencia en MHz y distancia en km:

FSPL = 32.45 + 20·log10(f) + 20·log10(d)

$ fspl --freq 5800 --dist 10
FSPL = 32.45 + 20·log10(5800) + 20·log10(10)
     = 32.45 + 75.27 + 20.00
     = 127.7 dB

Ese 127.7 dB significa que al otro lado llega una parte entre casi seis billones de lo que salió. Suena apocalíptico, pero los receptores modernos escuchan señales de −90 dBm sin despeinarse, así que la cuenta cierra. Dos propiedades de la fórmula te sirven para pensar rápido en terreno:

• Doblar la distancia cuesta +6 dB, siempre. Y el logaritmo hace algo curioso: el primer kilómetro a 5.8 GHz ya cuesta 107.7 dB; los otros nueve, apenas 20 dB más. Lo caro es existir, no viajar.
• Subir de frecuencia también cuesta: pasar de 2.4 a 5.8 GHz agrega 7.7 dB de pérdida en el mismo vano. A cambio ganas espectro limpio y antenas más compactas para la misma ganancia — a 5.8 GHz la onda mide unos 5.2 cm, contra 12.5 cm a 2.4 GHz (juega con el conversor de frecuencia y longitud de onda).

EIRP: lo que de verdad sale de la antena

La antena no amplifica nada — no tiene de dónde sacar watts — pero concentra. Una antena de 14 dBi toma la energía que iría en todas direcciones y la aprieta en un haz, como pasar de una ampolleta a una linterna. La potencia «aparente» en la dirección del haz es el EIRP:

EIRP = Ptx + Gantena − Lcables

Con un radio de 23 dBm, antena de 14 dBi y 1 dB de jumper: 23 + 14 − 1 = 36 dBm ≈ 4 W equivalentes, saliendo de un equipo que consume menos que una ampolleta. El conversor de antena y RF te hace estas cuentas, incluidas las conversiones dBi↔dBd que los catálogos usan para confundirte.

Sobre la ley, dos frases y ninguna más: las bandas libres tienen límites de EIRP que fija el regulador de cada país — en Chile, SUBTEL — típicamente del orden de 36 dBm en punto-multipunto y con más holgura para enlaces punto a punto con antenas direccionales. Antes de subir potencia revisa la norma vigente para tu banda: la multa siempre sale más cara que la antena buena.

La zona de Fresnel: la salchicha invisible

Aquí muere la mayoría de los enlaces «bien instalados». La señal de radio no viaja por un hilo entre las dos antenas: ocupa un volumen con forma de elipsoide — una salchicha invisible, gorda al medio y afinada en las puntas. Si algo se mete dentro de esa salchicha, parte de la energía se difracta y llega en contrafase, restándose de la señal directa. Resultado: ves la otra torre con binoculares y el enlace igual anda pésimo.

El radio de la primera zona en el punto medio del vano, con d en km y f en GHz:

r = 8.657 × √(d / f)

Para nuestros 10 km a 5.8 GHz: r = 8.657 × √(10/5.8) ≈ 11.4 m. La práctica acepta despejar el 60% de ese radio — unos 6.8 m libres de todo bajo la línea de vista en el centro del vano — porque dentro del 60% la difracción todavía no muerde. Y fíjate en la fórmula: la frecuencia va dividiendo, así que a 2.4 GHz la salchicha engorda a 17.7 m de radio. Frecuencias bajas perdonan la lluvia, no los obstáculos.

Dos detalles que separan al que calcula del que reza. Primero, la Tierra es curva: en un vano de 10 km, el planeta mete una «panza» de un metro y medio en el punto medio que se suma a la altura de cualquier obstáculo. Segundo, los obstáculos crecen: un pino insigne o un eucalipto joven te regala uno o dos metros por año. El despeje que hoy sobra, en tres inviernos es un ticket de soporte. La calculadora de enlace inalámbrico te entrega el radio de Fresnel junto con el resto del presupuesto para que no lo estimes a ojo.

Ejemplo trabajado: 10 km a 5.8 GHz, paso a paso

Juntemos todo. Enlace rural típico: 10 km entre un cerro y una planta, banda de 5.8 GHz, radios integrados montados pegados a la antena (pérdida de cable ≈ 0).

1. Anota los datos. Ptx = 23 dBm, antenas de 14 dBi por lado, sensibilidad = −85 dBm para la modulación que necesitas. Atención aquí: el datasheet presume la sensibilidad de la modulación más lenta; usa la de la tasa que de verdad quieres vender.
2. Calcula el peaje. FSPL = 32.45 + 20·log10(5800) + 20·log10(10) = 32.45 + 75.27 + 20 = 127.7 dB.
3. Arma la escalera. Sales con 23 dBm, la antena te sube a 23 + 14 = 37 dBm de EIRP, el vano te baja a 37 − 127.7 = −90.7 dBm, y la antena receptora te rescata: −90.7 + 14 = Prx ≈ −76.7 dBm.
4. Mide el colchón. Margen = −76.7 − (−85) = 8.3 dB.
5. Dicta el veredicto. El enlace enciende y en enero se ve espléndido… pero 8.3 dB está bajo los 10–15 dB de margen recomendado. Este es, exactamente, el enlace de la primera línea de esta guía: el que se cae en mayo.
6. Arréglalo en el papel, que es gratis. Antenas de 20 dBi por lado suman 12 dB al presupuesto: margen de 20.3 dB, enlace de invierno. La otra palanca es acortar el vano con un repetidor; subir Ptx suele estar limitado por norma.

Margen, VSWR y el coaxial que cobra por metro

¿Por qué 10–15 dB de margen y no 3? Porque el FSPL es el único término educado de la ecuación; el resto del mundo se mueve. Reflexiones en el agua o en techos de zinc que llegan en contrafase (multipath), follaje que en invierno pesa el doble por el agua, ductos atmosféricos que doblan el haz. Dato para la sobremesa: bajo los 10 GHz la lluvia en sí atenúa poquísimo — a 5.8 GHz, fracciones de dB por kilómetro incluso con aguacero — pero todo lo que la acompaña (hojas mojadas, reflexiones nuevas, viento moviendo la antena) sí muerde. Sobre 10 GHz, en las bandas licenciadas, la lluvia pasa a ser la protagonista del cálculo. El margen es tu seguro contra todo eso a la vez.

VSWR: la señal que rebota antes de salir

Entre el radio y la antena hay otro campo de batalla. El VSWR mide cuánta señal rebota en una desadaptación de impedancia: con VSWR 1.5 rebota un 4% de la potencia (pierdes 0.18 dB), con VSWR 2.0 rebota un 11% (0.5 dB). El número parece inocente, y ahí está la trampa: la pérdida no es el problema, el síntoma sí. Un VSWR que sube es un conector mal ponchado, agua dentro del cable o una antena dañada — y eso empeora antes de mejorar. El conversor de antena y RF traduce entre VSWR, return loss y coeficiente de reflexión.

El coaxial: cada metro tiene precio

Y el clásico silencioso: el cable. El coaxial cobra por metro, sube su tarifa con la frecuencia (proporcional a √f), y no negocia:

Valores nominales aproximados; a 5.8 GHz multiplica por ~1.55. Traducción: 20 m de RG-58 a 2.4 GHz son 10.1 dB — más que todo el margen de nuestro ejemplo, quemado dentro de un tubo de plástico. La calculadora de pérdida de coaxial interpola por tipo de cable, frecuencia y largo exacto.

Ahora te toca: pasa tu próximo vano por la calculadora de enlace inalámbrico con las coordenadas y equipos reales, exige margen de dos dígitos y despeje del 60% de Fresnel con los árboles a tres años. Si la suma no da en el papel, no va a dar en el techo.

El técnico juraba que la fibra estaba dañada. Diez kilómetros recién tendidos entre dos plantas, módulos SFP nuevos, y el enlace muerto: ni un parpadeo en el puerto. Se habló de arrendar un OTDR, de traer una cuadrilla, de re-tender el tramo completo. Al final alguien desconectó el patch cord, le pasó un lápiz limpiador al conector y el enlace subió antes de que se enfriara el café. Diagnóstico final: una huella digital.

Esta guía es para que eso no te pase — o para que, cuando pase, seas tú quien saca el lápiz limpiador. La fibra deja de ser misteriosa cuando la miras como lo que es: una carretera de peaje para la luz. Cada kilómetro, cada conector y cada empalme le cobran su cuota en dB, y tu trabajo es asegurarte de que la luz llegue al otro extremo con dinero en el bolsillo.

Monomodo y multimodo: dos maneras de mover luz

Toda fibra tiene la misma anatomía: un núcleo de vidrio ultrapuro por donde viaja la luz, un revestimiento de 125 µm que la mantiene rebotando adentro, y capas de protección alrededor. La diferencia que importa está en el diámetro del núcleo, y es brutal.

La fibra monomodo (SM) tiene un núcleo de apenas 9 µm: un pelo humano (~70 µm) es unas ocho veces más grueso. Por un túnel tan angosto la luz solo puede viajar de una forma — un único modo, en línea recta — y eso exige un láser como fuente (1310 o 1550 nm). A cambio, la señal no se desparrama y aguanta decenas de kilómetros: una óptica 10GBASE-LR hace 10 km sin despeinarse, y las de 1550 nm llegan a 40 u 80.

La fibra multimodo (MM) tiene un núcleo de 50 µm (OM3, OM4 y OM5): unas 31 veces más área. Ese túnel ancho acepta luz de fuentes baratas — VCSEL a 850 nm — pero deja que la luz entre por muchos caminos a la vez: unos rebotan más, otros menos, y el pulso llega "desparramado" en el tiempo. Esa dispersión modal fija el límite: a 10 Gbps, OM3 llega a 300 m y OM4 a 400 m. Cientos de metros, no kilómetros.

En terreno, la chaqueta te sopla la respuesta antes de leer la etiqueta: amarillo = monomodo; aqua = OM3/OM4 (OM4 a veces viene en violeta y OM5 en verde lima); el naranja delata OM1/OM2 antiguas que ya conviene jubilar. Regla práctica: dentro del rack o del data center, multimodo abarata las ópticas; entre edificios o sobre los 300–400 m, monomodo sin discusión. Si dudas cuánto aguanta cada combinación de fibra y velocidad, la calculadora de alcance por tipo de fibra trae la tabla IEEE completa.

El dB es un peaje (y se cobra en porcentaje)

El decibel asusta porque es logarítmico, pero la intuición cabe en dos líneas: −3 dB significa "queda la mitad de la luz" y −10 dB significa "queda la décima parte". Y la gracia de trabajar en dB es que los peajes no se multiplican: se suman. Tres conectores de 0.5 dB son 1.5 dB, punto. Para jugar con la conversión entre dB, dBm y milivatios está la calculadora dBm.

¿Cuánto cobra cada caseta? La fibra monomodo moderna pierde típicamente 0.35 dB/km en 1310 nm y 0.22 dB/km en 1550 nm. Dicho en porcentaje: cada kilómetro a 1310 deja pasar el 92% de la luz. Suena generoso, hasta que multiplicas — a los 10 km solo queda el 45%. Por eso el presupuesto se hace con calculadora y no con optimismo.

Fíjate en el detalle incómodo de la tabla: un solo conector puede costar lo mismo que dos kilómetros de fibra. La distancia es el peaje predecible; los conectores son donde el presupuesto se gana o se pierde.

El presupuesto de pérdidas: la cuenta antes de tirar cable

Un presupuesto de pérdidas (loss budget) responde una sola pregunta: ¿la luz que sale del transmisor llega al receptor con potencia suficiente? Hagamos la cuenta completa de un enlace real: 10 km de monomodo a 1310 nm, con 4 conectores (patch cord y ODF en cada extremo) y 2 empalmes de fusión en la ruta. El transmisor entrega −3 dBm y el receptor tiene sensibilidad de −14 dBm.

1. Fibra: 10 km × 0.35 dB/km = 3.5 dB.
2. Conectores: 4 × 0.5 dB = 2.0 dB.
3. Empalmes de fusión: 2 × 0.1 dB = 0.2 dB.
4. Pérdida total: 3.5 + 2.0 + 0.2 = 5.7 dB.
5. Potencia que llega: −3 dBm − 5.7 dB = −8.7 dBm.
6. Margen: −8.7 − (−14) = 5.3 dB. El enlace enciende, y con holgura sana.

Esos 5.7 dB significan que al receptor llega apenas el 27% de la luz que salió — y aun así sobra, porque el receptor escucha hasta −14 dBm. El colchón de 5.3 dB no es lujo, es seguro de vida: la fibra envejece, los conectores se ensucian, y algún día un roedor o una retroexcavadora te van a regalar un par de empalmes extra.

En terreno, la comprobación es con fuente de luz y power meter: se fija la referencia en un extremo y se mide en el otro. Si la cuenta de la pizarra y la del instrumento coinciden a menos de 1 dB, puedes dormir tranquilo.

Tx (ref) −3.0 dBm
Rx (campo) −8.7 dBm
pérdida 5.7 dB
sensibilidad −14.0 dBm
margen 5.3 dB ✓

El enemigo n.º 1 no es la distancia: es el conector sucio

Cuando un enlace nuevo no enciende, el instinto apunta a lo grande: mucha distancia, fibra quebrada, óptica quemada. La experiencia de terreno apunta a lo pequeño: la cara del conector. Piensa en las proporciones — el núcleo monomodo mide 9 µm y una mota de polvo común mide entre 2 y 5. No es "un poco de sombra": es un camión estacionado en la boca del túnel. Una huella digital es peor todavía: grasa que dispersa la luz en todas direcciones y que, con potencias altas, hasta se cocina sobre el ferrule.

El ritual correcto tiene tres pasos y ningún atajo: inspeccionar, limpiar, volver a inspeccionar. Idealmente con microscopio de fibra; a falta de uno, limpia siempre antes de conectar, sin excepción. La herramienta que vale oro es el lápiz limpiador tipo one-click: un clic en seco y listo. Nada de soplarle (eso es saliva pulverizada), nada de frotar con la camiseta (pelusa más rayas).

Si después de limpiar la pérdida sigue alta, ahí sí: OTDR o medición con fuente y power meter, y a buscar el empalme flojo o la curva apretada. Pero limpia primero. La mayoría de las veces la historia termina ahí.

Ventanas y WDM: varias conversaciones por la misma fibra

¿Por qué justo 1310 y 1550 nm? Porque el vidrio no cobra parejo: la atenuación tiene valles en ciertas longitudes de onda, y esas dos son las ventanas clásicas del monomodo. 1310 es la ventana "cómoda", con dispersión cromática casi nula; 1550 es la más barata en peajes — 0.22 dB/km — y por eso reina en las largas distancias y en los sistemas amplificados.

Y aquí viene la idea más rentable de la óptica moderna: colores distintos de luz no se mezclan entre sí. Puedes inyectar 1310 y 1550 en la misma fibra y separarlas al otro extremo con un filtro, como dos conversaciones en idiomas diferentes dentro de la misma habitación. Eso es WDM, multiplexación por longitud de onda. Tu casa probablemente ya lo usa: en GPON la bajada viaja en 1490 nm y la subida en 1310, simultáneas, por una sola hebra.

En versión industrial: CWDM separa canales cada 20 nm (hasta 18 canales entre 1271 y 1611 nm) con óptica económica; DWDM los aprieta cada 100 GHz — unos 0.8 nm alrededor de 1550 — o incluso menos, y mete decenas de canales amplificables en la misma hebra. La grilla DWDM/CWDM convierte entre canal, frecuencia y longitud de onda cuando te toque planificar. Dato de regalo: dentro del vidrio la luz viaja a unos 204,000 km/s, así que cada kilómetro suma ~4.9 µs de ida; puedes jugar con eso en la calculadora de latencia en fibra.

Demasiada luz también es falla

El receptor óptico tiene un rango de trabajo, no solo un piso. Por abajo está la sensibilidad (−14 dBm en nuestro ejemplo); por arriba está el overload: el punto donde tanta luz lo satura y empieza a corromper bits, típicamente alrededor de 0 dBm en módulos comunes. Suena a problema de ricos, pero es un clásico: pruebas en mesa una óptica de 40 km con un patch cord de dos metros y el enlace "misteriosamente" pierde paquetes.

La cura es ridículamente barata: un atenuador fijo de 5 o 10 dB en el extremo receptor, que le baja el volumen a la señal. La calculadora de margen de Rx óptico avisa cuando estás en zona de saturación, además de calcular el margen contra la sensibilidad.

Ahora, a la práctica: arma el presupuesto de tu próximo enlace en la calculadora de loss budget antes de comprar un solo metro de cable, y consíguete un lápiz limpiador hoy — es la herramienta con mejor retorno por gramo de toda tu caja. La fibra no tiene misterio: tiene aritmética de suma y resta, y conectores que agradecen la limpieza.

La escena es de manual: dos edificios de una empresa separados por el estacionamiento, unos 600 metros de patio de por medio, y la orden de «llevar 40 gigas de un lado al otro». El contratista llegó con una bobina de fibra multimodo OM4 «porque es la buena, la naranja gruesa» y un par de módulos SR4. Tendió, fusionó, conectó… y el enlace ni siquiera levantó. No es mala suerte ni un módulo fallado: es que a 40G esa fibra llega a 150 metros, y el patio mide 600. La física de la luz tampoco negocia.

Elegir fibra parece un tema de especialistas, pero se reduce a tres preguntas con respuestas concretas: ¿monomodo o multimodo?, ¿qué construcción de cable según dónde va?, y ¿qué chaqueta exige el código contra incendios? Lo que sigue es esa decisión ordenada, con los porqués — porque un enlace de fibra mal elegido no «anda lento», simplemente no enciende.

Monomodo vs multimodo: es el diámetro del núcleo

Toda la diferencia empieza en un número: el diámetro del núcleo, la hebra de vidrio por donde viaja la luz. En monomodo (OS1/OS2) ese núcleo mide apenas ~9 µm — tan fino que la luz solo puede tomar un camino, un solo modo, derecho como una regla. Se alimenta con láser en 1310 o 1550 nm, tiene pérdida bajísima y por eso viaja kilómetros sin despeinarse.

En multimodo el núcleo es mucho más ancho: 62,5 µm en la vieja OM1 y 50 µm en OM2/OM3/OM4/OM5. Ese diámetro grande deja que la luz entre en muchos ángulos a la vez — muchos «modos» — y cada rayo rebota por un camino distinto dentro del vidrio. Se alimenta con LED o VCSEL en 850 nm, óptica barata. El problema es lo que pasa lejos: los rayos que rebotan más recorren más distancia que los que van casi rectos, así que llegan al otro extremo desfasados. Ese emborronamiento del pulso se llama dispersión modal, y es la razón física por la que la multimodo tiene un alcance tan corto.

Aquí conviene matar un mito de una vez: mucha gente cree que el multimodo es «más rápido» porque el cable es más grueso y la óptica más barata. No. El grosor del núcleo es justamente su límite. La luz láser fina del monomodo, viajando por un solo camino, es la que aguanta 10, 40, 100 y hasta 400 Gb/s por la misma hebra a distancias que la multimodo ni sueña. El multimodo gana solo en un terreno: el corto y barato dentro del datacenter o del edificio.

¿Cuándo cada uno? La regla de terreno

La decisión real casi siempre la manda la distancia, y en segundo lugar el futuro del enlace.

Elige MONOMODO (OS2) cuando: es un enlace de campus o WAN, el tramo pasa de ~550 m, es un backbone que quieres a prueba de futuro (hoy pones 10G y mañana 100G en la misma hebra sin re-tender), va por exteriores largos, o entra a un carrier. Elige MULTIMODO (OM3/OM4) cuando: es dentro de un mismo edificio o sala, las distancias son cortas (patch de datacenter, enlaces de piso), o cuando ya existe planta multimodo instalada y quieres seguir usándola.

Grados OM/OS y distancias reales (IEEE 802.3)

Cada grado de fibra tiene distancias máximas medidas y normadas, no de folleto. Estas son las que importan para dimensionar:

Lo que salta a la vista: la OM4, la mejor multimodo común, a 40/100G llega solo a 150 m. La OM3 a 100 m. En cambio la OS2 monomodo hace 10 km con óptica LR4 estándar, y con módulos ER llega a 40 km. Entre 150 m y 10 km hay un abismo, y ese abismo es toda la conversación. La OM5 no «va más lejos» que la OM4 en un solo color: su gracia es soportar SWDM (varias longitudes de onda 850–950 nm por la misma hebra) para multiplicar capacidad en tramos cortos. Puedes contrastar tu tramo con estos límites en la calculadora de alcance por tipo de fibra antes de comprar un solo metro.

Construcción del cable: dónde va manda la estructura

La misma hebra de vidrio puede venir armada de formas muy distintas según el ambiente. Confundirlas es garantía de falla a los meses.

Tight-buffered (ajustado): cada fibra va forrada con una capa plástica firme pegada al vidrio. Es flexible, fácil de conectorizar y aguanta el manejo. Es la construcción de interior: backbones dentro del edificio, patch cords, cables de rack.

Loose-tube (holgado): las fibras flotan sueltas dentro de tubos rellenos de gel. Ese gel bloquea la humedad y el juego permite que el cable se dilate y contraiga con la temperatura sin estirar el vidrio. Es la construcción de exterior: entre edificios, enterrado, aéreo. Si ves gel, es para afuera.

Ribbon (cinta): las fibras van pegadas en cintas planas de 12, agrupando 144, 288 o más fibras en un cable delgadísimo. Permite fusionar 12 a la vez y alimenta conectores MPO de alta densidad. Es lo habitual en datacenters grandes y troncales de carrier.

Para exteriores hostiles hay dos refuerzos que conviene conocer: el armado (una cinta metálica corrugada bajo la chaqueta que frena a los roedores — sí, las ratas mastican fibra — y el aplastamiento), y el ADSS (All-Dielectric Self-Supporting), un cable 100 % dieléctrico y autosoportado que se cuelga entre postes sin mensajero metálico, ideal para tendidos aéreos junto a líneas de energía porque no conduce.

Chaqueta: la clasificación de fuego es código, igual que en cobre

La cubierta exterior no es solo color: define qué tan seguro es el cable en un incendio y por dónde te deja tenderlo el código. Es exactamente la misma lógica que en cobre.

La jerarquía práctica: si un espacio maneja retorno de aire (el cielo raso por donde el aire acondicionado devuelve) exige plenum (OFNP), porque un cable ardiendo ahí reparte humo tóxico por todo el edificio. Los ductos verticales que suben entre pisos piden riser (OFNR), que no deja que el fuego trepe. El plenum siempre puede reemplazar al riser, nunca al revés. El LSZH es la filosofía europea y de espacios confinados: cero halógenos, casi nada de humo. Poner un cable de menor clase «porque es más barato» no es ahorro: es la observación que te frena la recepción de obra.

Conectores: LC, SC y MPO, más el pulido que no se mezcla

El conector es donde la luz entra y sale, y ahí también hay decisiones. Por tamaño y uso:

LC: el chico, con pestillo tipo RJ, casi siempre en dúplex (una fibra transmite, otra recibe). Es el estándar de hoy: la altísima densidad de puertos SFP+ lo hizo rey. SC: el cuadrado grande de empujar-tirar, robusto, todavía muy visto en ODF de operadores y equipos GPON. MPO/MTP: el conector paralelo, que junta 12 o 24 fibras en una sola cara. No es para más velocidad por fibra, sino para llevar muchas hebras juntas: es lo que alimenta 40G y 100G SR4, donde el enlace usa 4 fibras para transmitir y 4 para recibir en paralelo.

Ojo con símplex vs dúplex: símplex es una sola fibra (para BiDi o para monofibra); dúplex son dos, el caso normal de un enlace bidireccional. Y el detalle que quema proyectos: el pulido de la férula. El UPC (Ultra Physical Contact, carcasa azul) tiene la cara pulida plana. El APC (Angled Physical Contact, carcasa verde) la tiene pulida en un ángulo de 8°, lo que devuelve mucho menos reflexión y es obligatorio en enlaces sensibles como GPON y video RF.

Ejemplo: 40 Gb/s entre dos edificios a 600 m

Volvamos a la escena del principio y hagámoslo bien, con los números de la norma:

1. El requisito: 40 Gb/s entre dos edificios separados 600 m, tendido de campus por el estacionamiento.
2. Probar la opción multimodo OM4: a 40G (40GBASE-SR4) la OM4 alcanza 150 m. El tramo mide 600 m → 600 > 150. No alcanza, ni cerca: falta por un factor de 4.
3. ¿Y OM3? Peor: a 40G llega a 100 m. Descartada.
4. Probar monomodo OS2: a 40G con óptica LR4 la OS2 alcanza 10 km = 10.000 m. El tramo son 600 m → 600 < 10.000. Sobra holgadamente (más de 16 veces el margen).
5. Además es exterior y largo: el cable debe ser loose-tube (con gel, para humedad y temperatura), idealmente armado contra roedores, y empalmar a un cable interior riser/plenum en cada punto de entrada.
6. Conclusión: se tiende OS2 monomodo con módulos LR4 y conectores LC. No solo resuelve los 600 m: deja el enlace listo para subir a 100G en la misma hebra el día que haga falta, sin volver a tocar el patio.

La moraleja de terreno: cuando el tramo pasa de un par de cientos de metros o vas a subir de velocidad, la pregunta ya no es «¿qué multimodo?», es «monomodo, seguro». Antes de comprar, verifica alcance en alcance por tipo de fibra y cierra el enlace con el loss budget de fibra para sumar la pérdida de conectores y fusiones.

Cerrar el enlace, no solo tenderlo

Elegir bien la fibra es la mitad; la otra mitad es que la luz que sale del transmisor llegue con suficiente potencia al receptor. Cada conector suma del orden de 0,3 dB, cada fusión ~0,1 dB y cada kilómetro de OS2 ~0,35 dB en 1310 nm. Suma todo eso, compáralo contra la potencia del módulo y verás si el enlace cierra con margen. Esa cuenta la hacen el loss budget de fibra y el margen de Rx óptico, y conviene convertir unidades con el conversor dBm/mW para no perderse entre milivatios y decibeles.

Dos cierres útiles: si el tramo es larguísimo y necesitas exprimir la fibra, el multiplexado por longitud de onda mete varios canales en una sola hebra — dimensiona la grilla con el planificador DWDM/CWDM. Y si el proyecto es sensible a demora (trading, sincronización, storage remoto), recuerda que la luz en fibra viaja a ~5 µs por kilómetro: mide el retardo real con la latencia de fibra. La fibra bien elegida no da problemas por años; la mal elegida no enciende el día uno. Elige por distancia y por futuro, y deja que la física juegue a tu favor.

Hay una escena que se repite en todo Chile: la cámara del portón quedó a 130 metros del rack — «total, el cable es bueno» — y el enlace parpadea cada vez que llueve. El instalador jura que es Cat6 original, con caja y todo. Da lo mismo: la norma dice 100 metros, y la física no negocia con la marca del cable.

La buena noticia es que el cableado estructurado no tiene misterio. La receta completa está en la familia TIA-568 desde los años noventa: cuánto cable, de qué tipo, en qué orden van los colores y cuánto espacio dejar en la canalización. Lo que sigue es esa receta, con los porqués — porque un técnico que entiende el porqué no vuelve a tirar 130 metros «porque el cable es bueno».

Los 100 metros del canal: 90 + 10, y ni uno más

El famoso límite de 100 metros no es un número redondo elegido por flojera. Es un canal con dos partes bien definidas: hasta 90 m de enlace permanente (el cable sólido que va por pared, bandeja portacables (escalerilla) o canaleta, desde la toma hasta el patch panel) y hasta 10 m de patch cords repartidos entre ambos extremos — típicamente 5 m en el gabinete y 5 m en el puesto de trabajo.

¿Por qué esa división y no simplemente «100 metros de cable»? Porque los patch cords son de conductor trenzado (para que se doblen sin quebrarse), y el hilo trenzado atenúa del orden de un 20 % más por metro que el conductor sólido del tendido fijo. La norma hizo la matemática de atenuación con exactamente esa mezcla — 90 m sólidos más 10 m trenzados — y ahí el presupuesto cierra justo. Si tiras 100 m de enlace permanente y le cuelgas 5 m de patch a cada lado, no estás «apenas pasado»: estás fuera del modelo con el que se diseñó todo lo demás. Antes de prometer un punto de red lejano, pasa el tendido por la calculadora de canal TIA-568 y sal de dudas en diez segundos.

Categorías sin marketing

La caja del cable promete maravillas; la norma promete cosas medibles. Esto es lo que cada categoría hace de verdad, en canal completo de 100 m:

El dato que el marketing siempre omite: Cat6 sí hace 10 Gb/s, pero solo hasta 55 m — y en un amarre con muchos cables corriendo juntos (donde manda el alien crosstalk, la interferencia entre cables vecinos), la recomendación baja a 37 m. Si el proyecto habla de 10G a distancias de piso completo, la respuesta corta es Cat6A. También vale mencionar que Cat5e soporta 2.5GBASE-T a 100 m gracias a 802.3bz, lo que le dio una segunda juventud a mucha instalación antigua con APs WiFi 6.

¿Y el blindaje?

El cable blindado (F/UTP, S/FTP) no es «mejor» a secas: es una herramienta para problemas específicos. Tiene sentido en plantas industriales con variadores de frecuencia y motores, cerca de radiotransmisores, y en amarres densos de PoE alto donde el blindaje además ayuda a disipar calor. Fuera de esos casos, un UTP bien instalado certifica igual. Y ojo: un blindaje sin puesta a tierra correcta (aterrizado en el patch panel, con toda la cadena de herrajes blindados) se convierte en una antena — peor que no tenerlo.

T568B: los ocho colores que hay que saberse de memoria

En América el estándar de facto es T568B (T568A sobrevive en proyectos de gobierno y en la norma residencial). El orden, pin por pin, mirando el conector con el clip hacia abajo y los contactos hacia ti:

El detalle que separa al que memorizó de la que entendió: los pines 3 y 6 forman un solo par trenzado. El trenzado es lo que cancela el ruido (las dos mitades de la señal viajan abrazadas y la interferencia les pega igual a ambas, así que se resta sola). Por eso el orden de colores importa: no es estética, es garantizar que cada señal viaje sobre un par realmente trenzado.

¿Directo o cruzado? Directo: T568B en ambas puntas. Cruzado: B en una y A en la otra (intercambia los pares 2 y 3). Hoy es casi trivia: prácticamente todo puerto gigabit trae Auto-MDIX y cruza los pares solo si hace falta. Aun así, no mezcles A y B dentro de una misma instalación: elige B, decláralo en la memoria técnica y listo. Si necesitas el pinout a mano en terreno, está en la herramienta de código de colores.

PoE: el mismo cable ahora lleva watts

Durante veinte años el par trenzado llevó solo señal. Hoy alimenta cámaras, APs, teléfonos y hasta pantallas: 802.3af entrega 15,4 W desde el switch, 802.3at sube a 30 W y 802.3bt llega a 90 W. Y aquí aparece un costo que antes no existía: el cable cobra peaje en watts. En af se pueden quedar hasta 2,45 W en el cobre; en at, 4,5 W; en bt tipo 4, hasta 18,7 W — casi una ampolleta LED calentando tu tendido.

Ese peaje depende de la resistencia del conductor, y ahí el calibre deja de ser letra chica: un Cat6 de 23 AWG tiene un 21 % menos resistencia que uno de 24 AWG (66,6 contra 84,0 Ω/km por conductor). Menos resistencia significa menos caída, menos calor y más watts llegando al equipo. Para PoE denso o distancias largas, el calibre 23 AWG se paga solo. Puedes dimensionar la carga total del switch con el presupuesto PoE y revisar el efecto de la distancia con la calculadora de caída de tensión.

El calor, además, se acumula donde el cable no respira. La costumbre de enrollar los 8 metros sobrantes en un rollo apretado detrás de la cámara era inocua con datos puros; con PoE, ese rollo es un pequeño calefactor donde cada vuelta calienta a la vecina. Deja el sobrante en una «S» suelta sobre la bandeja portacables, o mejor: corta a la medida. Lo mismo aplica a amarres gruesos de 50 cables PoE — mientras más apretado el bundle, más sube la temperatura del centro y más se degrada la atenuación (que empeora con el calor).

Canalización: la regla del 40 % se llena antes de lo que crees

El NEC limita el llenado de una tubería al 53 % con un cable, 31 % con dos y 40 % con tres o más. La regla nace en tubería conduit, pero úsala igual como techo práctico en canaleta: deja espacio para tirar sin dañar la chaqueta, para el crecimiento y para que el calor de PoE tenga adónde ir. ¿Y por qué 40 y no 100? Porque los cables son cilindros: aunque quisieras, no puedes llenar el área con círculos, y forzarlos raya chaquetas y aplasta trenzados.

Hagamos el cálculo completo, el mismo que hace la calculadora de llenado de canaleta:

1. Área interna de la canaleta: 40 mm × 25 mm = 1000 mm².
2. Aplica el límite del 40 %: 1000 × 0,40 = 400 mm² utilizables (son tres o más cables, así que rige el 40 %).
3. Área de un cable: un Cat6 típico tiene diámetro exterior (OD) de 6 mm → π × 3² = 28,3 mm². Usa siempre el OD de la ficha técnica: entre marcas va de 5,5 a 7,5 mm y el resultado cambia bastante.
4. Divide y trunca hacia abajo: 400 ÷ 28,3 = 14,1 → 14 cables. El decimal no se redondea a favor: un cable entra entero o no entra.
5. Comprueba: 14 × 28,3 = 396 mm² → 39,6 % de llenado. Justo bajo el techo.
6. El cable 15 rompe la regla: quedarías en 42,4 % — fuera de norma, y en la práctica ya se tira con esfuerzo y se raya la chaqueta.

Patch panels y la prueba de la verdad

En el rack se aplica la misma filosofía de holgura. La regla de oficio: 25 % de reserva sobre los puntos del día uno. ¿38 puntos de red? 38 × 1,25 = 47,5 → 48 puertos: dos paneles de 24, con un organizador horizontal por panel (sí, «gasta» 1U cada uno — y es la diferencia entre un rack mantenible y una maraña de patch cords donde nadie quiere meter la mano). La cuenta completa de paneles, organizadores y unidades de rack la hace la herramienta de planificación de patch panels.

Y al final del proyecto viene la pregunta que separa una instalación profesional de un tendido de cables: ¿certificar o «probar con el LED»? El tester de LEDs verifica continuidad y mapa de pines — es decir, que cada hilo llega a donde debe. Nada más. No mide atenuación, ni NEXT, ni pérdida de retorno, ni la longitud real. Un par partido, un destrenzado excesivo o un cable pisado por un tabique pasan el LED sin problemas. La certificadora, en cambio, compara cada enlace contra los límites de la norma, frecuencia por frecuencia, y entrega un reporte por punto: eso es lo que respalda la garantía del fabricante (que en cableado estructurado suele ser de 20 años o más) y lo que te defiende cuando el cliente diga «la red está lenta».

Certificar cuesta; volver a terreno cuesta más. Si el presupuesto no da para certificadora propia, arriéndala para la entrega o subcontrata la certificación: es un ítem pequeño del proyecto y elimina la categoría completa de fallas fantasma.

Ahora, a aterrizarlo: mide tus tendidos contra el canal de 100 m, dimensiona canaleta con el llenado al 40 % y arma el rack con la reserva del 25 % en patch panels. La norma ya hizo la parte difícil hace treinta años; lo tuyo es no llevarle la contraria.

El cliente pidió «el mejor cable, sin escatimar» para una oficina de dos pisos, y el vendedor de la tienda le vendió rollos de «Cat7 blindado» carísimos. Llega el instalador, abre la caja y se encuentra un S/FTP grueso, rígido, con un drenaje de tierra por par que nadie sabe dónde aterrizar. Termina peleando con cada conector, el rack queda con una maraña de mallas al aire y, para colmo, el enlace certifica igual que un Cat6A U/UTP de la mitad de precio. La lección de terreno es vieja: el cable «mejor» no existe; existe el cable correcto para este caso.

Elegir cobre bien es entender cinco decisiones que van juntas: la categoría (cuánto ancho de banda), el blindaje (cuánta protección contra ruido), sólido o multifilar (rigidez contra flexibilidad), el calibre AWG (grosor del cobre) y la chaqueta (qué exige el código de construcción). Ninguna se decide por gusto ni por lo que diga la caja: cada una tiene un porqué medible. Vamos una por una.

Categorías: lo que cada una hace de verdad

La categoría define el ancho de banda garantizado del cable, en megahertz, y de ahí sale a qué velocidad y a qué distancia corre. El truco es que la caja te vende el número grande y omite la distancia. Esto es lo que cada categoría entrega de verdad, siempre sobre el canal completo de 100 m:

Cat5e parecía jubilado, pero 802.3bz le dio segunda juventud: hace 2.5GBASE-T a 100 m, justo lo que pide un AP WiFi 6 moderno. Para 1 Gb/s puro sigue siendo perfecto y barato. Cat6 es hoy el piso razonable de una oficina: 1G a 100 m sin drama. El dato que el marketing esconde es su 10G: Cat6 sí hace 10GBASE-T, pero solo hasta 55 m en buen entorno, y en un manojo apretado con muchos cables corriendo juntos la recomendación baja a 37 m por la diafonía entre cables vecinos (el alien crosstalk). Cat6A es la que hace 10G a los 100 m completos, y por eso es la respuesta cuando el proyecto habla de diez gigas a distancia de piso.

Blindaje: cuándo sí y cuándo no

El blindaje protege contra interferencia electromagnética (EMI) externa, y viene en tres sabores que conviene nombrar bien. U/UTP es sin blindaje: cuatro pares trenzados y la chaqueta, punto. F/UTP agrega una lámina (foil) general que envuelve los cuatro pares juntos. S/FTP es el completo: una malla trenzada (screen) alrededor de todo, más una lámina individual por cada par. La nomenclatura se lee «blindaje-general / blindaje-por-par-UTP».

¿Cuándo blindar? En plantas industriales con variadores de frecuencia, motores grandes y soldadura; junto a transmisores de radio; en bandejas que comparten espacio con fuerza; y en instalaciones muy densas de 10G, donde la lámina reduce el alien crosstalk entre cables vecinos apretados. Fuera de esos casos —o sea, en la enorme mayoría de oficinas, colegios y clínicas— un U/UTP bien instalado certifica igual y es mucho más fácil de terminar. El blindaje agrega rigidez, encarece cada conector y, sobre todo, exige una cadena de tierra impecable.

Sólido o multifilar: cada uno a su puesto

El cobre viene en dos construcciones. El sólido es un único hilo por conductor: menos atenuación, se poncha limpio en jacks y patch panels, y es el que va en el enlace permanente —el tendido fijo por muro, canaleta o bandeja portacables (escalerilla)—. El multifilar (stranded) trenza varios hilos finos por conductor: se dobla mil veces sin quebrarse, por eso es el de los patch cords. El precio de esa flexibilidad es más atenuación, del orden de un 20 % más por metro.

Por eso el canal de 100 m se reparte 90 m de sólido más 10 m de multifilar: la norma hizo la matemática con esa mezcla exacta. Meter patch cords de más, o —peor— ponchar cable sólido en un plug de patch cord (que espera hilos trenzados), es salirse del modelo y coleccionar fallas intermitentes. Regla de bolsillo: sólido para lo que no se mueve, multifilar para lo que se enchufa y desenchufa.

El calibre AWG: el grosor sí importa (sobre todo con PoE)

El AWG mide el grosor del conductor, y va al revés de lo intuitivo: número más bajo, cobre más grueso. Un Cat6 de 23 AWG es más grueso que uno de 24 AWG y tiene alrededor de 21 % menos resistencia (66,6 contra 84,0 Ω/km por conductor). Menos resistencia significa menos caída de tensión, menos calor y más distancia útil, sobre todo cuando el cable lleva potencia. Por eso el 23 AWG es el favorito para PoE alto y tramos largos.

En el otro extremo están los patch cords «slim» de 28 AWG, esos cables delgados que se ven ordenados en el rack. Son cómodos y ocupan poco, pero su cobre tan fino tiene bastante más resistencia: hay que acortar la distancia del canal cuando se usan (los fabricantes publican tablas de reducción) y no conviene meterlos en enlaces con PoE alto. Lindos para 30 cm entre panel y switch; malos para reemplazar un patch de 5 m que además alimenta una cámara.

PoE y calor: el manojo se calienta

Hoy el mismo par trenzado lleva watts: 802.3af entrega 15,4 W, 802.3at sube a 30 W y 802.3bt (PoE++, Tipo 3 y 4) llega hasta 90 W desde el switch. Esa corriente calienta el cobre, y cuando amarras 24, 48 o más cables con PoE en un manojo apretado, el calor de cada uno se suma y el centro del bundle sube de temperatura. El problema es doble: la resistencia del cobre aumenta con la temperatura (más caída, menos watts al equipo) y la atenuación también empeora. Por eso las normas aplican un derating: mientras más lleno y apretado el manojo, menos capacidad de corriente por cable.

La receta contra el calor tiene tres partes. Primero, calibre grueso: para PoE Tipo 3/4, el 23 AWG (idealmente en Cat6A) disipa y cae menos. Segundo, no saturar la canalización: dejar aire entre cables ayuda a que el calor escape. Tercero, no enrollar el sobrante: ese rollo apretado detrás de la cámara era inofensivo con datos, pero con PoE es un pequeño calefactor donde cada vuelta calienta a la vecina. Deja una «S» suelta o corta a la medida. Puedes dimensionar la carga total del switch con el presupuesto PoE y revisar el efecto de la distancia con la caída de tensión.

La chaqueta: es tema de código, no de gusto

La chaqueta exterior no cambia el rendimiento de datos, pero define dónde tienes permitido tender el cable según el código de construcción y la seguridad contra incendios. No se elige por bonito: se elige por dónde va.

La confusión más cara es el plenum: si el cielo falso se usa como retorno de aire acondicionado (muy común en oficinas y malls), el código exige CMP en ese espacio, porque un incendio ahí manda humo directo a los ductos que ventilan el edificio. Poner CM donde debía ir CMP no lo nota nadie… hasta la inspección o el siniestro. Y en Chile y buena parte del mundo, LSZH se pide cada vez más por defecto en espacios con público, por el humo. Verifica siempre qué exige la especificación del proyecto antes de comprar el rollo.

La decisión, sin vueltas

Bajemos todo a reglas de terreno. Cat5e cuando el proyecto es 1G puro, sin PoE pesado y con presupuesto ajustado: sigue siendo honesto y barato, y hasta te da 2.5G para un AP. Cat6 como piso razonable de oficina nueva si el 10G no está en el horizonte o los tramos son cortos. Cat6A cuando quieres 10G a distancia real, PoE++ tranquilo y dejar la instalación a prueba de futuro: es el punto dulce de hoy. «Cat7» en oficina es casi siempre marketing, y «Cat8» es datacenter. Sobre blindaje: U/UTP por defecto, y F/UTP o S/FTP solo cuando el entorno (EMI industrial o 10G muy denso) lo justifique y puedas aterrizarlo bien.

Un caso real para amarrar todo: hay que elegir cable para un access point WiFi 6 con PoE++ (802.3bt Tipo 4), a 90 m del switch, y el cliente quiere que además quede «10G-ready» para el próximo upgrade. El razonamiento paso a paso:

1. Distancia: 90 m de enlace permanente + patch cords caben dentro del canal de 100 m. Cualquier categoría desde Cat5e cumple la distancia para 1G, así que la distancia sola no decide. Confírmalo con el canal TIA-568.
2. Requisito 10G-ready: a 90 m, un Cat6 no hace 10GBASE-T (su tope es 55 m, y menos en manojo). Solo Cat6A garantiza 10G a los 90–100 m. Esto ya descarta Cat5e y Cat6.
3. PoE alto: con PoE++ (802.3bt) el switch entrega hasta 60 W por puerto en Tipo 3 y hasta 90 W en Tipo 4 (PSE); a la carga le llegan unos 51 W o 71 W (PD) según el tipo. Esa corriente calienta el cobre y cae con la distancia, así que conviene el conductor más grueso: elige 23 AWG, estándar en Cat6A de buena marca.
4. Blindaje: es una oficina, no una planta industrial. Un U/UTP Cat6A certifica 10G sin problema y es más fácil de terminar; no hay EMI que justifique blindar ni la complicación de aterrizar mallas.
5. Manojo y calor: como lleva PoE++, no saturar la canaleta y no enrollar el sobrante; dejar aire. Verifica el llenado con el llenado de canaleta.
6. Conclusión: Cat6A U/UTP, 23 AWG, chaqueta según dónde pase (CMP si va sobre cielo con retorno de aire, LSZH si el proyecto lo pide). Cumple la distancia, garantiza el 10G futuro y el calibre grueso agradece el PoE alto.

Con eso tienes el mapa completo. Valida las distancias contra el canal de 100 m, revisa la carga con el presupuesto PoE, cuida el llenado de la canaleta y ten a mano el código de colores al momento de ponchar. El cable «correcto» no es el más caro ni el más blindado: es el que la física y el código aprueban para tu caso.

El certificador marcó FAIL en catorce de veinte enlaces y el instalador anterior juraba que «el cable era Cat6A del bueno». Era verdad: el cable era impecable. El problema estaba en las puntas. Alguien había crimpado plugs RJ45 de patch cord directo sobre el cable sólido de pared, sin panel ni jacks, y los había enchufado al switch «para ahorrar». Resultado: contactos que muerden mal el hilo sólido, fallas intermitentes cada vez que alguien mueve el rack y un canal que jamás va a certificar. La lección de terreno se repite en cada obra: el enlace vale lo que valen sus terminaciones. Puedes comprar el mejor cobre del mercado, pero si lo rematas mal en las puntas, compraste un problema caro.

Esta guía es sobre todo lo que va en las puntas: los jacks keystone donde muere el cable sólido, los plugs RJ45 de los patch cords, los patch panels que ordenan el rack y las face plates que rematan el puesto. Cada pieza tiene su regla y su porqué, y elegirla bien importa tanto como elegir el cable.

El mapa primero: qué se poncha y qué se enchufa

Antes de hablar de piezas, hay que tener claro el modelo del canal TIA-568: 100 m totales que se reparten en 90 m de enlace permanente (el cable sólido fijo, de jack a jack) más 10 m de patch cords (multifilar, con plugs). El enlace permanente empieza en el jack del patch panel y termina en el jack de la face plate: eso es lo que se certifica, y por eso los dos jacks son parte del enlace, no un accesorio. Los patch cords se enchufan en cada extremo para completar el canal.

De ahí sale la regla de oro que el instalador del FAIL se saltó: el cable sólido se poncha en jacks y paneles; el cable multifilar se crimpa en plugs. El sólido va en lo que no se mueve, el multifilar en lo que se enchufa y desenchufa. La excepción moderna (MPTL) viene más abajo; el mapa general es este:

Módulos keystone: donde muere el cable sólido

El jack keystone es el conector hembra donde se poncha el cable sólido, tanto en el panel como en la pared. Y aquí va la regla que más dinero ahorra (o pierde): la categoría del jack debe acompañar la del cable, porque el canal certifica por su componente más débil. Un jack Cat5e ponchado en un tendido Cat6A no «pierde un poco»: degrada el canal completo a Cat5e, y el certificador lo va a decir sin anestesia. Si el proyecto es Cat6A, todo es Cat6A: cable, jacks, panel y patch cords.

En terminación hay dos escuelas. El punch-down 110 clásico: acomodas cada hilo en su ranura según el código de colores y lo asientas con la herramienta de impacto, que inserta y corta en un golpe. Es barato, confiable y rápido cuando tienes la mano hecha. Los jacks toolless (sin herramienta) traen una tapa que al cerrarla asienta los ocho hilos de una vez: son notablemente más rápidos para manos nuevas y más cómodos trabajando en escalera o sobre el cielo raso, pero cuestan más por unidad. Eléctricamente, bien ejecutados, ambos certifican igual: la elección es de productividad y presupuesto, no de rendimiento.

Si el cable es blindado (F/UTP o S/FTP), el jack también debe serlo: el jack blindado tiene cuerpo metálico que toma la lámina o malla del cable y le da continuidad de blindaje hasta el panel, donde la cadena se aterriza. Un cable blindado terminado en jacks plásticos deja la malla flotando, y una malla flotando es una antena. Y si el cable es U/UTP, jacks sin blindar: pagar cuerpo metálico para un cable sin malla es tirar el dinero.

Plugs RJ45: el macho tiene sus reglas

El plug RJ45 (técnicamente 8P8C) es el conector macho que se crimpa en las puntas de los patch cords. Sus contactos están diseñados para morder cable multifilar: las láminas se clavan entre los hilitos trenzados y quedan firmes. Sobre un conductor sólido, en cambio, la lámina puede quedar apoyada de lado y hacer contacto «a veces»: la clásica falla intermitente. Por eso el plug de siempre pertenece al patch cord, no a la pared.

La excepción moderna se llama MPTL (modular plug terminated link): TIA-568.2-D reconoce terminar el cable sólido directo en un plug de campo diseñado para conductor sólido, para casos donde no tiene sentido poner una caja con jack: cámaras IP en un poste, access points sobre el cielo raso, sensores. Ojo con las dos condiciones: se usan plugs específicos para sólido (el plug común de bolsa no sirve) y es una salida para dispositivos, no para puestos de trabajo, que siguen terminando en jack y face plate.

Dos detalles de compra que evitan dolores de cabeza. Primero, los plugs passthrough: el hilo atraviesa el plug completo y la crimpadora lo corta al ras al cerrar. Facilitan verificar el orden de colores y mantener el destrenzado corto; bien crimpados, el resultado eléctrico es el mismo. Segundo, el plug también tiene categoría y calibre: un plug dimensionado para 24 AWG aprieta mal un conductor 23 AWG, y un plug Cat5e en un patch Cat6A es el mismo cuello de botella que un jack equivocado. El plug se compra mirando la ficha del cable, no el precio de la bolsa.

Patch panels: cuatro formas de ordenar el rack

El patch panel es donde los 24, 48 o 96 cables que bajan del edificio se convierten en puertos ordenados. Un panel típico de 1U trae 24 puertos (48 en versiones de alta densidad), y el tipo define cuánta flexibilidad te queda a diez años:

Para una oficina, el debate real es punch-down fijo contra keystone modular. El fijo gana por precio y no tiene nada de malo si el edificio es estable. Pero el modular paga su diferencia el primer día que algo cambia: un puerto roto se reemplaza sacando un jack, y la fibra o el jack blindado entran al mismo panel sin drama. Los angulados son un truco de densidad: la V apunta cada cord hacia el organizador vertical del costado y en racks con varios paneles ahorra los organizadores horizontales intermedios.

Dos reglas de diseño valen para cualquier tipo. Primera: barra trasera de gestión siempre. El peso del manojo que baja de la bandeja portacables (escalerilla) se amarra a la barra, no a los ocho hilos ponchados: un punch-down traccionado es una falla en incubación. Segunda: deja puertos de sobra y etiqueta todo. Un panel se dimensiona para el edificio que viene, no para el de hoy, y cada puerto lleva su identificador según TIA-606, igual en el panel, en la placa y en el plano. Para repartir puestos, reservas y crecimiento sin hacer la matemática a mano, arma el rack con el planificador de patch panels.

Face plates y salidas: la última pulgada

En el otro extremo del enlace está la face plate: la placa de pared con posiciones keystone, de 1 a 6 puertos, en formato simple o doble (gang). La versión angulada o biselada apunta el puerto hacia abajo, y ese detalle tonto resuelve dos problemas reales: el patch cord sale sin forzar el radio de giro contra el mueble, y el polvo no se acumula dentro del conector. Donde no hay caja embutida en el muro —galpones, muebles, laboratorios— la salida se resuelve con una caja de superficie (surface mount box), de 1 a 12 puertos.

Como la placa es keystone, vale la misma ventaja del panel modular: en la misma salida puedes mezclar RJ45 + acoplador de fibra + HDMI + conector F para el coaxial del televisor. Y no lo olvides: el jack de la face plate es parte del enlace permanente. El certificador mide de jack a jack: un jack malo en la pared arruina la medición igual que uno malo en el panel. La punta «de la pared» no es la punta barata.

Ejemplo trabajado: 40 puestos y 6 cámaras PoE

Oficina nueva: 40 puestos de trabajo cableados en Cat6A U/UTP y 6 cámaras PoE en los pasillos. Armemos la terminación completa, con el porqué de cada decisión:

1. Contar puertos del panel: 40 puestos + 6 cámaras + 2 de reserva = 48. Justo un panel keystone de 48 puertos en 1U de alta densidad. La reserva te salva cuando aparece la impresora o el control de acceso que nadie mencionó. Dimensiona la distribución con el planificador de patch panels.
2. Elegir el panel modular, no el fijo: keystone modular porque el edificio va a cambiar: un puerto dañado se reemplaza en un minuto y la fibra entre pisos entra al mismo panel con un acoplador LC. El sobreprecio por puerto se paga solo la primera vez que no hay que desechar un panel completo.
3. Jacks a juego con el cable: el cable es Cat6A, entonces jacks Cat6A, porque el canal certifica por el componente más débil. Y como es U/UTP, jacks sin blindar: el cuerpo metálico solo se justifica cuando hay malla a la que dar continuidad a tierra. Blindaje a medias es una antena, y blindaje sin cable blindado es dinero perdido.
4. Face plates dobles por puesto: placa de 2 puertos, biselada, con un jack Cat6A instalado (dato) y la segunda posición con tapa ciega o segundo jack según presupuesto (voz o reserva). El doble cuesta centavos más y evita abrir la pared después. Este jack también se certifica: misma calidad que el del panel.
5. Cámaras con MPTL: las 6 cámaras van con el cable sólido terminado directo en plug de campo para conductor sólido, sin caja ni jack en la altura: TIA-568.2-D reconoce esta salida justamente para dispositivos como cámaras y APs. Usar plugs específicos para sólido y del calibre del cable (23 AWG): el plug común ahí es falla asegurada.
6. Un solo esquema de colores: todo el proyecto en T568B —el estándar de facto comercial—, ponchado igual en panel y placas, verificado con el código de colores a mano. Mezclar A y B entre extremos fabrica cables cruzados accidentales.
7. Gestión y certificación: panel con barra trasera y el manojo amarrado a ella (revisa de paso el llenado de la bandeja con el llenado de canaleta), cada puerto etiquetado según TIA-606, y certificación de enlace permanente jack a jack contra los límites del canal TIA-568. Lo que no se etiqueta, se pierde; lo que no se certifica, se discute.

Resumen: cada pieza y su terminación

Con esto la terminación deja de ser el punto ciego del proyecto. Reparte puertos y reservas con el planificador de patch panels, poncha con el código de colores a la vista, valida las distancias contra el canal TIA-568 y cuida que el manojo que llega al rack no reviente la canaleta. El cable lleva los bits; las puntas deciden si llegan.

La historia se repite en todo Chile: instalas 24 cámaras un martes, pruebas todo de día, la imagen impecable, el cliente firma feliz. A las 21:47 llama el guardia: la mitad de las cámaras se cayó «sola». No es un fantasma. Son los LED infrarrojos que despertaron con la oscuridad, el consumo subió unos watts por cámara, y el switch —que ya venía al límite— empezó a apagar puertos como quien corta ramas para salvar el árbol. PoE es magia moderna, pero administra una caja chica implacable: si los watts no alcanzan, alguien se queda sin cenar. Esta guía es para que ese alguien nunca sea tu proyecto.

48 volts por el mismo cable: el truco explicado

Power over Ethernet inyecta corriente continua —48 V nominales, entre 44 y 57 V según el tipo— por los mismos pares trenzados que llevan tus datos. ¿Y no se pelean? No: los datos viajan como diferencia de voltaje entre los dos hilos de cada par, y la energía viaja como nivel común de ambos hilos, acoplada por los transformadores de cada extremo. Es como silbar mientras caminas: dos cosas a la vez, cero interferencia.

Los dos actores tienen nombre propio: el PSE (power sourcing equipment: el switch o el inyector, quien pone la energía) y el PD (powered device: la cámara, el AP o el teléfono, quien la gasta). Y aquí viene el primer número que hay que grabarse: el PSE siempre entrega más de lo que el PD recibe, porque el cable cobra peaje en el camino:

• 802.3af (PoE, tipo 1): el PSE entrega 15.4 W, al PD le llegan 12.95 W garantizados.
• 802.3at (PoE+, tipo 2): 30 W del PSE, 25.5 W al PD.
• 802.3bt (PoE++): tipo 3 con 60 W / 51 W, y tipo 4 con 90 W / 71.3 W.

Esa diferencia no es redondeo comercial: es física pura. La pérdida en el cable es I²·R, y los números del estándar calzan al watt. En 802.3af circulan hasta 350 mA por un lazo de 20 Ω en el peor caso: 0.35² × 20 = 2.45 W exactos, que es justo 15.4 − 12.95. En 802.3at son 600 mA sobre 12.5 Ω: 0.6² × 12.5 = 4.5 W, o sea 30 − 25.5. Y en el tipo 4, con casi 1.73 A en juego, se pierden 18.7 W: uno de cada cinco watts se queda calentando el cable. Por eso —spoiler de la sección de caída de tensión— 802.3bt reparte la corriente por los cuatro pares.

Clases 0–8: el switch reserva el peor caso

Cuando conectas un PD, ocurre una negociación silenciosa en milisegundos. Primero el PSE detecta una firma de resistencia de 25 kΩ («aquí hay un equipo PoE de verdad, no un notebook mojado»). Después el PD declara su clase, un número del 0 al 8 que dice cuánta potencia podría llegar a necesitar. Y aquí está el detalle que explica la mitad de los dramas en terreno: el switch reserva el máximo de la clase, no lo que el equipo consume.

Es como reservar mesa en un restaurante para 8 personas «por si acaso»: aunque lleguen 3, la mesa completa queda bloqueada toda la noche. Una cámara clase 4 que consume 8 W reales le bloquea 30 W al presupuesto del switch, porque el switch no puede adivinar cuándo van a encenderse los infrarrojos, el calefactor del housing o el motor del PTZ.

La trampa de los 720 W: el presupuesto del switch

Ahora juntemos las piezas con el caso más clásico del rubro. Compraste un switch «24 puertos PoE+» para tus 24 cámaras clase 4. Suena perfecto: 24 puertos, 24 cámaras. Pero en la letra chica del datasheet dice PoE budget: 370 W. Hagamos la aritmética que el vendedor no hizo:

1. Cada cámara clase 4 obliga al switch a reservar 30 W, aunque en reposo consuma 8 W. La reserva es por clase, no por consumo.
2. Demanda total: 24 × 30 = 720 W solicitados al presupuesto.
3. Presupuesto disponible: 370 W. Déficit: 720 − 370 = 350 W. El switch cubre apenas el 51% de lo pedido.
4. Puertos que sí puede alimentar a la vez: 370 ÷ 30 = 12.3, o sea 12 puertos (12 × 30 = 360 W, quedan 10 W libres). El puerto 13 pediría llegar a 390 W y no hay de dónde.
5. Resultado: 12 cámaras funcionando y 12 mendigando watts. El datasheet no mintió — «24 puertos PoE+» significa que cualquier puerto puede dar PoE+, no que todos puedan al mismo tiempo.
6. Para las 24 cámaras clase 4 con un 20% de holgura necesitas 720 × 1.2 = 864 W de presupuesto — o dos switches, o cámaras que negocien menos por LLDP.

Antes de comprar el switch (o de prometer puertos), pasa tu lista de equipos por la calculadora de presupuesto PoE: suma por clase, aplica la holgura y te dice de inmediato si el presupuesto alcanza.

La distancia también cobra: caída de tensión

El segundo cobrador silencioso es el largo del cable. El cobre tiene resistencia, y la ley de Ohm no negocia: con 600 mA circulando por un canal de peor caso (lazo de 12.5 Ω en 100 m), se caen 0.6 × 12.5 = 7.5 V en el camino. Un PSE tipo 2 entrega mínimo 50 V, así que al equipo llegan 42.5 V — que es exactamente el mínimo que un PD tipo 2 acepta. El estándar está calculado al milímetro: a 100 m con todo en contra, sobrevives con lo justo. A 110 m «porque quedaba cerquita», ya no.

Con cable decente la cosa mejora: un Cat6 real de 23 AWG ronda los 6.68 Ω de lazo por 100 m usando dos pares, así que a plena carga 802.3at pierdes unos 4 V y 2.4 W — mejor que el peor caso, pero sigue siendo energía que pagaste y que termina como calor dentro de la canaleta. Y aquí se entiende la jugada de 802.3bt: al repartir la misma corriente entre los cuatro pares, la resistencia efectiva se reduce a la mitad, y la pérdida también: esos 2.4 W bajan a 1.2 W. Con 90 W en juego no es elegancia, es supervivencia térmica.

Dos consecuencias prácticas: primero, respeta los 100 m del canal estructurado (la guía de canal TIA-568 te arma el tramo con patch cords incluidos) y verifica los tramos dudosos con la calculadora de caída de tensión. Segundo, si llevas muchos cables PoE apretados en una misma bandeja, ese calor I²R se suma: los manojos grandes obligan a derating térmico, el mismo concepto que la ampacidad de conductores aplica en eléctrica.

Buenas prácticas para dormir tranquilo

No mezcles inyectores de dudosa procedencia. El «PoE pasivo» de 24 V que viene con algunos radios no negocia nada: mete voltaje sin preguntar si el otro extremo lo tolera. Conectar un equipo 802.3af a un inyector pasivo (o al revés) es lotería con el puerto de por medio. Regla simple: 802.3 con 802.3, pasivo con pasivo, y jamás un inyector sin marca «porque era el que había».

Mide el consumo real, pero presupuesta por clase. Tus 24 cámaras quizás consumen 8 W cada una en reposo — 192 W reales, cómodo dentro de 370 W. Pero el switch reserva por clase (720 W) y el consumo real sube de noche con los IR. La CLI del switch te muestra ambas columnas:

switch# show power inline
Disponible: 370.0 W    Reservado: 360.0 W    Libre: 10.0 W

Puerto     Estado   Clase   Reserva(W)   Consumo(W)
Gi1/0/1    on       4       30.0         7.9
Gi1/0/2    on       4       30.0         8.4
⋮
Gi1/0/12   on       4       30.0         8.1
Gi1/0/13   off      n/a     0.0          0.0   ← sin presupuesto

Deja 20% de holgura. Sobre lo que decidas presupuestar (clase o consumo negociado), suma un 20%: cubre los IR, el calefactor del housing, el envejecimiento de la fuente y la cámara extra que el cliente «se acordó» de pedir a mitad de obra. Con consumo real medido de 192 W, presupuesta 230.4 W como piso — y si reservas por clase, los 864 W del ejemplo. Y configura la prioridad por puerto: si algún día faltan watts, que el switch apague la cámara del estacionamiento y no el AP de gerencia.

Qué hacer ahora

Arma la lista de tus PD con clase y consumo real medido, pásala por la calculadora de presupuesto PoE y valida los tramos largos o dudosos con la de caída de tensión. Si el número queda justo, sube de switch o baja de clase — pero que la decisión la tomes tú con aritmética, y no la oscuridad a las 21:47.

El apagón de febrero de 2025 dejó a casi todo Chile a oscuras y enseñó, en una sola tarde, quién había dimensionado bien su respaldo. Hubo racks que aguantaron como si nada y hubo UPS que "duraban una hora" según el vendedor y murieron a los 12 minutos, con el cliente mirando el reloj. La diferencia no fue suerte: fue entender tres o cuatro números que el datasheet dice a media voz. Vamos a ponerlos en voz alta.

Watts vs voltamperes: la cerveza y la espuma

Primera trampa del pasillo de UPS: se venden en VA, pero tu carga vive en watts. No son lo mismo, y confundirlos es la forma más rápida de quedarse corto en la compra.

Piensa en una cerveza recién servida. El vaso completo son los voltamperes (VA): la potencia aparente, todo lo que el circuito tiene que mover. La cerveza que efectivamente te tomas son los watts (W): la potencia real, la que hace trabajo útil. Y la espuma es la potencia reactiva: ocupa espacio en el vaso y en los cables, pero no refresca a nadie. El factor de potencia (PF) es qué tan bueno es el barman: PF = W / VA.

Los equipos IT modernos, con fuentes con corrección de factor de potencia, andan cerca de PF 0,9 o más. Y la mayoría de las UPS actuales se especifican con PF de salida 0,9. La regla que hay que tatuarse:

1000 VA × 0,9 ≈ 900 W usables. Una UPS "de 1 kVA" no alimenta 1000 W de servidores; alimenta 900, y eso si el fabricante fue generoso. Al revés funciona igual: una carga de 500 W pide 500 / 0,9 ≈ 556 VA al circuito. Si andas convirtiendo entre kW, kVA y amperes todo el día, la calculadora de potencia trifásica hace la gimnasia por ti, mono o trifásico.

La autonomía no es lineal: el efecto Peukert

Segunda trampa, y esta es más sutil: una batería a media carga no dura el doble, dura más del doble. Y a plena carga dura menos de lo que la aritmética simple promete.

La culpa es de la química. Cuando le exiges mucha corriente a una batería de plomo, parte de la energía se pierde en resistencia interna y la reacción no alcanza a "llegar" a todo el material activo: sacas menos energía total. Es como correr: al trote completas 40 km; a sprint no completas 10. No te cansas "proporcionalmente más rápido" — te fundes.

Esto lo describe el efecto Peukert. Para una batería VRLA típica (exponente ≈ 1,2), bajar la carga a la mitad multiplica la autonomía por 2^1,2 ≈ 2,3, no por 2. En números: una UPS que da 10 minutos a plena carga entrega unos 23 minutos al 50% y cerca de 53 minutos al 25%. Por eso los fabricantes serios no publican "la autonomía": publican curvas de autonomía vs carga, y por eso la calculadora de autonomía de UPS te pide la carga real y no solo el modelo.

Las tres capas del respaldo

Nadie dimensiona un solo equipo "para todo el corte". La energía de respaldo se diseña en capas, cada una con su escala de tiempo y su lógica de compra:

La UPS existe para los segundos y minutos: absorbe el parpadeo, condiciona la señal y le da tiempo al resto. El banco de baterías DC (los 48 V de tradición telco) compra horas. Y el generador compra días, siempre que alguien se acuerde del diésel. En tabla:

Ejemplo trabajado: 500 W que no pueden parpadear

Caso real de manual: un rack de comunicaciones con 500 W de carga medida — switch, router, radios, un NVR chico. El cliente quiere 4 horas de autonomía porque los cortes en su zona rural duran eso. Capa por capa:

1. Mide la carga real: 500 W. Con pinza amperimétrica o la PDU, no sumando placas. Las placas declaran el peor caso y suelen inflar la realidad 2–3 veces.
2. UPS: convierte a VA. 500 W / 0,9 PF ≈ 556 VA. Una UPS de 1 kVA queda al ~56% de carga: zona cómoda. La curva del fabricante a esa carga da del orden de 10–15 minutos — suficiente para que la capa siguiente tome el relevo, no para sobrevivir la tarde.
3. Banco de baterías: define la energía. 4 h de objetivo × 500 W = 2000 Wh.
4. Convierte Wh a Ah con los tres factores. Ah = 2000 / (48 V × 0,5 DoD × 0,9 eficiencia) = 2000 / 21,6 = 92,6 Ah. El 48 V es el voltaje del banco; el 0,5 es la profundidad de descarga que respeta la vida útil del plomo; el 0,9 es lo que se come el inversor.
5. Redondea a batería comercial: 100 Ah. Para armar 48 V con baterías de 12 V: 4 baterías de 12 V / 100 Ah en serie (la serie suma voltaje, mantiene los Ah).
6. Comprueba al revés. 48 V × 100 Ah = 4800 Wh brutos; × 0,5 × 0,9 = 2160 Wh usables; / 500 W = 4,3 h. Objetivo cumplido con un pelo de margen.

Generador: margen, motores y altitud

Cuando el corte se mide en días, entra el grupo electrógeno, y aquí las trampas son mecánicas además de eléctricas.

El margen de marcha

Regla base: kVA de marcha × 1,25. Una carga de 40 kW con PF 0,8 son 40 / 0,8 = 50 kVA de marcha, y el generador recomendado es 50 × 1,25 = 62,5 kVA (o el tamaño comercial siguiente). El 25% no es gordura: cubre la regulación de voltaje, los armónicos de las fuentes conmutadas y el crecimiento que "no estaba contemplado" pero siempre llega.

Los motores arrancan a lo bruto

Un motor de inducción con partida directa (DOL) pide del orden de 6 veces su corriente nominal durante el arranque. Una bomba de 5 kW que en marcha son 6,25 kVA puede exigir ~37,5 kVA por un segundo — más de la mitad de nuestro generador de 62,5 kVA, solo para partir. Si el grupo alimenta aire acondicionado, bombas o compresores, dimensiona por el peor arranque (o exige partidores suaves / variadores). La calculadora de dimensionamiento de generador considera exactamente esto.

La altitud cobra peaje

Un diésel aspirado pierde potencia donde el aire escasea: la regla práctica es ~3,5% por cada 300 m sobre los 1000 m. En una faena minera a 2500 m, son 17,5% menos: tu generador "de 62,5 kVA" entrega ~51,6. Para tener 62,5 reales arriba, necesitas ~76 kVA de placa. En Chile esto no es nota al pie — es Calama, es el altiplano, es media minería.

Breaker: la regla del 80%

Toda esta energía pasa por un interruptor termomagnético, y los breakers tienen su propia regla de oro: para carga continua (más de 3 horas seguidas — o sea, un rack), el breaker no debe trabajar sobre el 80% de su capacidad nominal. El térmico se calienta, y un breaker caliente dispara cuando quiere él, no cuando corresponde.

Ejemplo: una carga de 3000 VA a 230 V son 3000 / 230 ≈ 13 A. Mínimo de breaker: 13 / 0,8 ≈ 16,3 A. En la escalera IEC (6, 10, 13, 16, 20, 25, 32…) el de 16 A queda corto por tres décimas — el correcto es el de 20 A. Tres décimas de ampere separan una instalación que certifica de una que dispara los viernes a las 18:00. La calculadora de carga y breaker te da el calibre estándar directo, mono o trifásico.

PUE: enfriar también cuesta (el extra)

Último número, de regalo: cada watt que entra al rack sale convertido en calor, y sacar ese calor también consume energía. El PUE (Power Usage Effectiveness) es el total de la instalación dividido por lo que consume el IT. Un PUE de 1,6 — común en salas chicas sin pasillo contenido — significa que por cada watt de cómputo pagas 0,6 extra en clima y pérdidas: el 37,5% de tu cuenta eléctrica no calcula nada.

En cifras: 10 kW de IT con PUE 1,6 son 16 kW totales → 140.160 kWh al año → a $150/kWh, unos $21 millones CLP anuales. Bajar el PUE de 1,6 a 1,4 ahorra más que varios sueldos de mantenimiento. La calculadora de costo energético y PUE convierte tu caso a pesos y a CO₂.

Ahora, a terreno: mide la carga real de tu rack esta semana (pinza o PDU, no placas), pásala por ups-autonomia y banco-baterias, y anota la fecha de compra de tus baterías en el mismo Excel donde anotas todo lo demás. Las baterías envejecen igual que los contratos: en silencio, hasta el día del corte.

El conserje está seguro: «la cámara lo agarró clarito». Abres la grabación y sí, ahí está: un tipo cruzando el portón con una bici al hombro, a plena luz del día. Haces zoom a la cara y la cara es una nube de doce píxeles con gorra. Se ve, pero no se reconoce — la frase más cara del CCTV, porque casi siempre se pronuncia después del robo, cuando ya no hay nada que zoomear. La buena noticia: que una cámara identifique o no a alguien no es suerte ni marketing del fabricante. Es una división. Y se puede hacer antes de comprar.

DORI: ponerle números a "se ve bien"

La norma EN 62676-4 le puso números a la nitidez con el criterio DORI: cuatro niveles de tarea visual, cada uno con una densidad mínima de píxeles sobre el objetivo, medida en píxeles por metro (px/m). No es cuántos megapíxeles tiene la cámara: es cuántos píxeles le tocan a cada metro de escena en el plano donde está tu sujeto.

Ojo con la diferencia entre reconocer e identificar: reconocer sirve para alguien que ya conoces («es el guardia nocturno del edificio de al lado»); identificar es individualizar a un desconocido con calidad suficiente para una denuncia. Entre uno y otro hay exactamente el doble de píxeles — y como vas a ver, el doble de píxeles se paga caro en distancia.

De la cámara a los px/m: una división

La cuenta madre es esta: px/m = resolución horizontal ÷ ancho de escena. Una cámara 1080p tiene 1920 píxeles horizontales. Si su encuadre cubre un plano de 7,68 m de ancho, cada metro recibe 1920 ÷ 7,68 = 250 px/m: identificación plena en todo ese plano. Si la misma cámara abarca una cancha de 40 m, tocan 48 px/m: detectas bultos, y hasta ahí llegamos.

¿Y qué define el ancho de escena? La distancia y el lente. Un lente con campo de visión (FOV) horizontal θ abre, a distancia d, una escena de 2 · d · tan(θ/2) metros. Combinando ambas: px/m = res ÷ (2 · d · tan(θ/2)). Despeja con un FOV de 90° — tan 45° = 1, qué amable — y una 1080p: identificas hasta 1920 ÷ 500 = 3,84 m. Menos de cuatro metros del lente. Más allá el pasillo entero "se ve": reconoces hasta 7,7 m, observas hasta 15,2, detectas hasta 38,4… pero nada de eso individualiza a un desconocido.

¿Duplicar resolución? Una cámara 4K (3840 px) con el mismo FOV 90° corre la frontera de identificación de 3,84 a 7,68 m. El doble exacto — no un milagro — y lo cobra en bitrate y disco, como verás más abajo. Antes de pelear con la trigonometría, la calculadora de lente y FOV hace esta cuenta con el sensor y la focal reales de tu cámara, y te dibuja las cuatro zonas en el plano.

Lente fijo, varifocal y el peaje del gran angular

El lente fijo (2,8 o 4 mm en la mayoría de los domos) es barato y no se desajusta, pero su encuadre queda casado de fábrica: si la escena no encaja, la cámara queda mal para siempre. El varifocal (típicamente 2,8–12 mm) te deja ajustar el encuadre en sitio — y la versión motorizada, desde el escritorio. Cuesta más, pero cuando no puedes medir la escena antes de cotizar, es un seguro contra la segunda visita a terreno.

El trade-off central del CCTV vive aquí: el gran angular reparte los mismos 1920 píxeles sobre una escena enorme. Mucho campo, poca densidad. Y hay una forma elegante de verlo: con 1080p, la identificación siempre ocurre donde la escena mide 7,68 m de ancho — el lente solo decide a qué distancia queda ese plano. Con 2,8 mm (≈ 90°), a 3,8 m de la cámara. Con un tele de ≈ 10 mm (FOV 30°), a 14,3 m: la misma escena, casi cuatro veces más lejos, a cambio de ver un pasillo angosto y nada más.

Storage: bitrate × tiempo, sin magia

El almacenamiento de un NVR no tiene misterio: es bitrate total × tiempo de retención, con un ÷ 8 en el camino porque los bits viajan de a ocho en cada byte. Hagamos el proyecto canónico — 8 cámaras 1080p en H.264 a 4 Mbps, retención de 30 días — con todos los decimales a la vista:

1. Bitrate agregado: 8 cámaras × 4 Mbps = 32 Mbps llegando al NVR, día y noche.
2. De bits a bytes: 32 ÷ 8 = 4 MB/s de escritura sostenida en disco.
3. Un día tiene 86 400 segundos: 4 × 86 400 = 345 600 MB = 345,6 GB/día (43,2 GB por cámara).
4. Retención de 30 días: 345,6 × 30 = 10 368 GB ≈ 10,37 TB — en unidades decimales, las mismas con que los discos se venden, así que la comparación es directa.
5. ¿Con H.265? El mismo período baja a ≈ 5,18 TB: el códec entrega calidad similar con más o menos la mitad del bitrate. Y si activas VBR con grabación por movimiento, el promedio real cae aún más — un estacionamiento a las 4 AM genera muchos menos bits que una caja de supermercado a mediodía.

La aritmética además se deja auditar en producción: un día de una cámara a 4 Mbps pesa lo que la fórmula dice que pesa.

$ du -sh /nvr/cam-porton/2026-07-09/
43,2G   /nvr/cam-porton/2026-07-09/
# 4 Mbps × 86 400 s ÷ 8 = 43,2 GB — la fórmula no falla

Al total súmale un 10–20 % de margen: los bitrates VBR tienen picos, los discos no deben llenarse al 100 % y el día del incidente siempre hay más movimiento que el promedio. La calculadora de almacenamiento CCTV hace esta cascada con resolución, FPS, códec y factor de actividad; y si tu proyecto mezcla perfiles distintos — cuatro domos, dos teles, una PTZ —, la calculadora de proyecto CCTV suma todo el mix de una vez.

El servidor VMS: el que nadie dimensiona

Todos cotizan cámaras; casi nadie dimensiona la máquina que las graba. Un servidor VMS tiene tres cuellos de botella, y ninguno es el procesador.

El primero es el ancho de banda de grabación: cuántos Mbps sostenidos puede escribir el software sin soltar frames. Un servidor típico de gama media se especifica en torno a los 300 Mbps — a 4 Mbps por cámara son 75 cámaras; nuestro proyecto de 32 Mbps va holgado, pero un casino con 120 cámaras 4K ya necesita más de un servidor. El segundo es la RAM: grabar es liviano, lo pesado es la analítica y transcodificar streams para los monitores; los fabricantes suelen pedir 8 GB de base y 16 o más con analítica activa. El tercero — el que más se olvida — son los discos.

La escritura de CCTV es continua, secuencial y eterna: 24/7, los 365 días. Nuestro ejemplo "chico" escribe 126 TB al año — 63 TB por disco si es un par en espejo. Un disco de escritorio típico está especificado para unos 55 TB/año de carga de trabajo y uso de oficina; lo estarías haciendo trabajar sobre su rating desde el día uno. Los discos de videovigilancia ("purple", SkyHawk y compañía) están especificados para 180 TB/año, operación 24/7 y firmware pensado para streams: fallan menos y fallan más tarde. La calculadora de servidor VMS cruza cámaras, bitrate, retención y límites por servidor para decirte cuántas máquinas y qué discos necesitas.

PoE: tus cámaras también almuerzan

Cada cámara IP come watts por el mismo cable de datos, y el switch tiene un presupuesto finito. Una domo fija consume 4–7 W: clase 802.3af de sobra (hasta 12,95 W entregados al equipo). Pero el IR de largo alcance, los motores de una PTZ o el calefactor de una cámara de intemperie cambian la liga: PoE+ (802.3at, 25,5 W) o incluso 802.3bt para las más golosas. Nuestras 8 cámaras a ~6 W suman 48 W — y un switch PoE de 8 puertos con presupuesto de 60 W queda con 12 W libres: la PTZ que alguien va a pedir el próximo año ya no cabe. Haz la suma con la calculadora de presupuesto PoE antes de cotizar el switch, y si el tema clases-watts-caída de tensión te resulta nuevo, la guía PoE sin sorpresas lo destripa completo.

La receta cabe en una servilleta: define el nivel DORI de cada punto, elige el lente con la calculadora, multiplica bitrate por tiempo antes de cotizar discos y verifica que servidor y switch aguanten la carga. Pasa el proyecto completo por la calculadora de proyecto CCTV y llega a la reunión con números — que "se ve, pero no se reconoce" lo diga la competencia.

Nos llamaron un enero por "servidores que se apagan solos en la tarde". El "datacenter" era una bodega de tres por tres con un rack, un split de pared y una orden de gerencia: apagar el aire al cierre, para ahorrar. Cada tarde de verano la sala subía de 22 a casi 40 °C, los servidores se protegían apagándose solos, y a la mañana siguiente todo "volvía a funcionar". Los equipos estaban perfectos. El problema era un malentendido con la física.

Tu sala ya es un datacenter

Un datacenter no es un edificio con guardias y puertas biométricas: es cualquier sala donde el negocio guarda sus equipos. La sala del NVR, el clóset del rack, la oficina que "mientras tanto" aloja el servidor de facturación. Y aquí viene la parte incómoda: esa sala obedece exactamente las mismas leyes que un datacenter Tier IV. La electricidad se convierte en calor, el calor hay que sacarlo con aire, los discos fallan con calendario propio y la disponibilidad se compra con dinero. La diferencia entre Google y tu bodega no es la física — es cuánto presupuesto le pusieron a cada ley.

Esta guía recorre las cuatro cuentas que deciden si tu sala es un datacenter pequeño o una freidora lenta: espacio (el rack), calor (los BTU), aire (el caudal) y promesas (los nueves). Todas con números verificables, porque en este rubro los "más o menos" se pagan en madrugadas.

El rack: 42U de orden y de física

La unidad rack existe para que todo encaje: 1U = 1,75 pulgadas = 44,45 mm, un estándar que sobrevive desde la época de los tableros telefónicos. El gabinete típico es de 42U: 42 × 44,45 = 1.866,9 mm — 1,87 m de espacio útil en una estructura de unos dos metros. En teoría caben 42 servidores de 1U. En la práctica caben bastantes menos, y casi nunca por espacio: te quedas sin energía o sin frío mucho antes que sin U.

El peso es el otro número que se subestima. Un switch pesa unos 5 kg, un servidor de 1U entre 12 y 18, un UPS de rack con sus baterías pasa los 60 con facilidad, y un banco de baterías externo puede duplicarlo. Un rack medianamente poblado supera la media tonelada — por eso los gabinetes serios declaran carga estática de 1.000 a 1.500 kg, y por eso importa dónde va cada cosa. La regla es cargar desde abajo: lo más pesado (UPS, baterías) al fondo, servidores al medio, switches y patch panels arriba, donde llegan los cables. No es manía de orden: es centro de gravedad. Cuando extiendes un equipo pesado sobre sus rieles, todo su peso queda en voladizo frente al rack; si ese equipo está arriba, el rack se puede venir encima — contigo agarrándolo. Antes de comprar el gabinete, cuadra U, kilos y kilowatts en la calculadora de capacidad de rack.

Todo watt entra como electricidad y sale como calor

La primera ley del datacenter es la primera ley de la termodinámica: prácticamente cada watt que consumen tus equipos se convierte en calor dentro de la sala. No "una parte" — todo. Los datos que procesa un servidor no pesan ni abrigan; el 100 % de esa energía termina en el aire. Un rack de 10 kW es, térmicamente, cinco estufas eléctricas de 2 kW encendidas 24/7 en una habitación cerrada. Nadie dejaría cinco estufas a puerta cerrada un fin de semana largo; un rack de densidad media es exactamente eso.

Para hablar con el proveedor de clima hay que traducir unidades: kW IT × 3412 = BTU/h, que es la unidad en que se venden los equipos, y kW ÷ 3,517 = toneladas de refrigeración (1 TR = 12.000 BTU/h). A la carga IT súmale lo que no sale en la ficha: el UPS disipa entre un 4 y un 10 % de lo que pasa por él, la iluminación aporta lo suyo, y si la sala tiene un muro al sol de la tarde, ese muro también es una estufa. La calculadora de carga térmica junta todas las piezas.

Aire: pasillo frío, pasillo caliente

Sacar el calor no es solo "poner frío": es organizar el tránsito. Los servidores respiran de adelante hacia atrás — aire frío por el frente, aire caliente por la espalda. Si ese aire caliente da la vuelta y entra al frente del rack vecino (o al propio), el equipo respira aire pre-cocido y trabaja con fiebre. La solución tiene décadas y sigue vigente: enfrentar los racks cara a cara formando un pasillo frío donde se inyecta el aire, y dejar que las espaldas descarguen al pasillo caliente, que retorna al CRAC por arriba. Frío y caliente no se mezclan: se saludan de lejos.

¿Y cuánto aire hay que mover? La fórmula es Q = P ÷ (ρ × cp × ΔT): la potencia térmica dividida por la densidad del aire (≈ 1,2 kg/m³), su calor específico (≈ 1005 J/kg·°C) y el ΔT — cuánto se calienta el aire al cruzar los servidores, típicamente entre 10 y 15 °C. Puedes jugar con kW y ΔT en la calculadora de caudal y CRAC, pero hagamos la sala completa de 10 kW a mano, de una vez:

1. Calor a evacuar: 10 kW × 3412 = 34.120 BTU/h. Ese es el número que entiende el proveedor de clima.
2. En toneladas de refrigeración: 10 ÷ 3,517 = 2,84 TR (la misma cuenta por el otro camino: 34.120 ÷ 12.000 = 2,84). Un equipo de 3 TR queda justo; con redundancia N+1, dos de 3 TR.
3. Caudal de aire con ΔT de 12 °C: Q = 10.000 ÷ (1,2 × 1005 × 12) = 0,69 m³/s.
4. En la unidad de las fichas técnicas: 0,69 m³/s × 2119 ≈ 1.464 CFM. Para dimensionarlo mentalmente: son unos 2.490 m³/h — 25 extractores de baño soplando al mismo tiempo, para una sala de tres por tres.
5. El ΔT manda: si el aire se mezcla y tu ΔT real baja a 6 °C, necesitas el doble de caudal para el mismo calor. Contener pasillos y tapar huecos no es cosmética: es caudal gratis.

¿Y cómo saber tu ΔT real? Los propios servidores lo miden — sin instrumentos extra:

$ ipmitool sdr type Temperature
Inlet Temp       | 04h | ok  |  7.1 | 24 degrees C
Exhaust Temp     | 01h | ok  |  7.1 | 36 degrees C
CPU1 Temp        | 0Eh | ok  |  3.1 | 58 degrees C

Entrada 24 °C, salida 36 °C: ΔT de 12 °C, justo el de nuestra cuenta. Si el inlet marca 30 °C o más, el problema no es el CRAC: es aire caliente recirculando hacia el frente.

Los nueves: la disponibilidad se compra con dinero

"Necesitamos que nunca se caiga" es la frase más cara del rubro, medida por palabra. La disponibilidad se expresa en nueves, y la trampa está en que la escala engaña: entre 99 % y 99,999 % parece que hay "casi nada", pero cada nueve extra divide la caída anual por diez — y multiplica el presupuesto por algo muy parecido.

¿Cómo se suben peldaños? Con redundancia N+1: si la carga necesita N equipos, instalas N+1 para que la falla de cualquiera no afecte el servicio. Y la regla de oro para combinar componentes: en serie, las disponibilidades se multiplican — todo debe funcionar, así que dos eslabones de 99 % encadenados dan 0,99 × 0,99 = 98,01 % (la cadena es peor que su peor eslabón). En paralelo, el sistema perdona: basta que uno funcione, y dos equipos de 99 % en paralelo alcanzan 99,99 %. La cadena completa — empresa eléctrica, UPS, clima, servidor, switch — se modela en la calculadora de disponibilidad y SLA, con los nueves y los minutos de cada configuración.

Discos: RAID no es backup (y escribe con recargo)

Primero lo doloroso: RAID no es backup. RAID protege contra la falla de un disco; no protege contra el borrado accidental, el ransomware, ni el incendio — todos replican su desastre a los demás discos con entusiasmo y en tiempo real. Backup es otra copia, en otro equipo, idealmente en otra parte. Dicho eso, el RAID correcto sí decide cuánto rinde y cuánto aguanta tu almacenamiento, y ahí hay un número que casi nadie mira: la penalización de escritura.

Cada escritura lógica se convierte en varias operaciones físicas. En RAID 10 se escribe el dato y su espejo: 2 operaciones. En RAID 5 hay que leer el dato viejo, leer la paridad, escribir el dato nuevo y escribir la paridad nueva: 4. En RAID 6, con doble paridad, son 6. La cuenta con un arreglo real: 8 discos de 150 IOPS suman 1.200 IOPS crudos; con una carga típica de 70 % lectura / 30 % escritura en RAID 5, quedan 1.200 ÷ (0,7 + 0,3 × 4) = 632 IOPS funcionales. La paridad se comió casi la mitad del arreglo — antes de encender la primera máquina virtual.

La capacidad útil y la tolerancia de cada nivel están en la calculadora RAID; el rendimiento con tu mezcla real de lectura/escritura, en la de IOPS con penalización.

Crecimiento: que el 80 % no te tome por sorpresa

El almacenamiento nunca se llena por carta certificada: se llena un viernes a las 18:30. La defensa es aburrida y efectiva — mide tu tasa de crecimiento mensual real (la de tu negocio, no la del folleto del proveedor) y proyecta. Ojo, que el crecimiento suele ser compuesto: más clientes generan más cámaras, más correos y más respaldos, y la curva se empina sola.

Un ejemplo con números: tienes 6 TB usados de 10, creciendo 4 % mensual compuesto. Llegas al 80 % (8 TB) en 7,3 meses y al disco lleno en 13. ¿Por qué importa el 80 %? Porque sobre ese umbral muchos sistemas de archivos y arreglos empiezan a degradar rendimiento, y porque ahí se acaba tu margen de maniobra: migrar, hacer snapshots o reconstruir un RAID necesita espacio libre. Proyecta la fecha exacta con la calculadora de crecimiento de almacenamiento y agenda la compra con meses de ventaja: la orden de compra tarda menos que un disco averiado un día domingo.

La sala pequeña y el datacenter grande obedecen la misma física; la diferencia es quién hizo las cuentas antes. Empieza hoy: mide el consumo real de tu rack, convierte esos kW en BTU y caudal, y anota cuánto cuesta una hora tuya caída. Con esos tres números, cada decisión de la sala — clima, UPS, RAID, espacio — deja de ser un acto de fe y pasa a ser aritmética.

Un cliente estrenó su enlace dedicado de 1 Gbps hacia el datacenter donde respalda todo. Primera noche de gloria: el respaldo avanza a 100 Mbps clavados. Reclamo al proveedor, el proveedor corre un iperf con ocho flujos en paralelo y marca 940 Mbps. "El enlace está perfecto." Y es verdad. También es verdad que el respaldo va a un décimo de lo contratado. Nadie miente y nada está malo: es TCP haciendo su trabajo. TCP despacha carga solo cuando le devuelven el recibo firmado, y entre esa oficina y ese datacenter el recibo demora 20 ms en ir y volver. Esta guía es la cuenta de ese recibo.

El recibo firmado: por qué TCP espera

TCP promete algo casi milagroso: entrega completa y en orden sobre una red que pierde paquetes y los desordena. Su método es de encargado de almacén antiguo: numera cada byte y exige acuse de recibo (el ACK). Y como no puede mandar carga infinita sin saber si llegó, existe un tope de datos que pueden viajar sin confirmar: la ventana. Piensa en un servicio de mensajería estricto: despacha hasta N cajas y, mientras no vuelva el recibo firmado del destinatario, no despacha ni una más.

Si el almacén de destino está al lado, el recibo vuelve de inmediato y el flujo es continuo. Si está a 20 ms de ida y vuelta, pasa esto: enviar una ventana de 64 KB por un enlace de 1 Gbps toma apenas 0,52 ms… y esperar el ACK toma 20 ms. El emisor trabaja el 2,6 % del tiempo y espera de brazos cruzados el 97,4 % restante. El enlace no está lento: está ocioso.

De ahí sale la fórmula más importante de esta guía: throughput máximo = ventana ÷ RTT. Fíjate en lo que no aparece en esa fórmula: el ancho de banda del enlace. Puedes contratar 10 Gbps y la cuenta no cambia ni un bit. Por eso el primer paso ante un "anda lento" nunca es mirar el contrato: es medir el RTT.

Los tres retardos que componen tu RTT

Ese RTT de 20 ms no es un castigo divino: es la suma de tres retardos con personalidades muy distintas.

1. Serialización: el tiempo de poner los bits en el cable, uno tras otro. Un paquete de 1500 bytes a 1 Gbps son 12.000 bits ÷ 10⁹ bps = 12 µs. A 100 Mbps, 120 µs; a 10 Gbps, 1,2 µs. Se paga en cada salto que recibe el paquete completo antes de reenviarlo (store-and-forward), así que un camino con ocho saltos la cobra ocho veces.

2. Propagación: pura física. La luz en fibra no viaja a la velocidad de la luz en el vacío, sino a unos 204.000 km/s (el vidrio frena, índice de refracción ≈ 1,47). Eso da la regla de oro: ≈ 5 µs por kilómetro. 100 km de fibra = 0,5 ms de ida = 1 ms de RTT sin que nadie haya hecho nada malo. 2.000 km = 20 ms de RTT. Y 8.000 km hasta un datacenter en Miami = 80 ms de RTT solo en propagación. Contra esto no hay upgrade que valga: es distancia, no equipamiento.

3. Cola y procesamiento: el retardo veleidoso. Buffers llenos en un router congestionado, inspección profunda del firewall, un switch barato con la CPU al 100 %. Es el único de los tres que puedes pelear con QoS y buen dimensionamiento — y el único que produce jitter.

La consecuencia incómoda: subir de 1 a 10 Gbps solo mejora la serialización, que pasa de 12 µs a 1,2 µs. En un RTT de 20 ms, eso es redondeo. Puedes sumar los tres retardos de tu camino, salto por salto, con el presupuesto de latencia.

BDP: tu enlace es una tubería (y la ventana, la tapa)

Ahora juntemos las piezas. Un enlace se comporta como una tubería: el ancho es el ancho de banda (cuántos bits por segundo caben) y el largo es el RTT (cuánto demoran en cruzar y confirmar). El volumen de esa tubería se llama producto ancho de banda–retardo (BDP, bandwidth-delay product): cuántos bytes tienen que estar "en vuelo" — enviados y aún sin confirmar — para que la tubería trabaje llena. Si tu ventana es menor que el BDP, la tubería viaja con aire.

Hagamos la cuenta completa, con los números exactos:

1. Quieres sostener 100 Mbps por un camino con RTT de 20 ms. BDP = 100.000.000 bits/s × 0,020 s = 2.000.000 de bits.
2. 2.000.000 ÷ 8 = 250.000 bytes = 250 KB. Eso es lo que debe viajar sin confirmar, en todo momento, para que la tubería nunca se vacíe.
3. El campo ventana original de TCP tiene 16 bits: máximo 64 KB (65.536 bytes). Throughput techo = 65.536 × 8 ÷ 0,020 s = 26.214.400 bps ≈ 26,2 Mbps.
4. Y aquí lo decisivo: da exactamente lo mismo que el enlace sea de 1 Gbps. Con 64 KB de ventana y 20 ms de RTT, el techo sigue siendo 26,2 Mbps. Para llenar 1 Gbps × 20 ms necesitas 2,5 MB en vuelo — 38 ventanas clásicas.
5. El rescate se llama window scaling (RFC 7323): una opción negociada en el handshake que multiplica la ventana por hasta 2¹⁴, permitiendo ventanas de ~1 GB. Todo sistema operativo de este siglo la trae activada — pero basta un middlebox prehistórico que borre la opción del SYN para devolverte a 1994.

¿Con cuánta ventana y cuánto RTT alcanzas tu meta? Esa es exactamente la cuenta que hace la calculadora de throughput TCP: le das RTT, ventana y pérdida, y te dice el techo real de un flujo.

MTU y MSS: cuánto cabe en cada caja

Hasta aquí hablamos de cuántas cajas van en vuelo. Ahora, el tamaño de cada caja. En Ethernet la carga útil máxima de una trama — el MTU — es de 1500 bytes. De esos, la cabecera IP se lleva 20 y la TCP otros 20: quedan 1460 bytes de payload real, el famoso MSS (maximum segment size). Hasta ahí, limpio.

El problema es que cada túnel del camino cobra peaje en bytes. PPPoE — el clásico de las conexiones GPON residenciales — mete 8 bytes de sesión y deja el MTU en 1492. GRE roba 24. VXLAN, el estándar de los datacenters, se lleva 50. Y como el límite físico del camino sigue siendo 1500, todo lo que agregan las cabeceras se lo descuentan a tu carta.

¿Y si el paquete sale más grande de lo que aguanta el camino? Dos escenarios, ambos feos. Con fragmentación, el router parte el paquete en pedazos: si se pierde un fragmento, TCP retransmite el paquete completo, y el reensamblado quema CPU en el destino. La fragmentación no es una solución: es veneno lento. Y con el bit DF activado (el default de TCP moderno), el router descarta el paquete y avisa por ICMP para que el emisor pruebe con uno más pequeño — el mecanismo llamado Path MTU Discovery.

Encontrar el MTU real de un camino toma treinta segundos con ping y el bit DF:

$ ping -M do -s 1472 vps.ejemplo.cl
From 192.168.1.1 icmp_seq=1 Frag needed and DF set (mtu = 1492)

$ ping -M do -s 1464 vps.ejemplo.cl
1472 bytes from vps.ejemplo.cl: icmp_seq=1 ttl=55 time=19.8 ms

1464 de payload + 8 de ICMP + 20 de IP = 1492: hay PPPoE en el camino. La cuenta completa de cabeceras, para cualquier combinación de túneles, la hace la calculadora de MTU y MSS.

El firewall no muere por Gbps: muere por pps

Última pieza del rompecabezas, y la que más dinero cuesta cuando se ignora. Un equipo de red no procesa "megabits": procesa paquetes. Cada paquete — pequeño o grande — exige la misma coreografía: lookup de ruta, sesión, políticas, NAT. Por eso la métrica que mata firewalls es pps (paquetes por segundo), no Gbps.

Los números son elocuentes. A 1 Gbps con tramas mínimas de 64 bytes (cada una ocupa 84 B en el cable, contando preámbulo e interframe gap), el equipo enfrenta 1,49 Mpps. Con tramas llenas de 1518 bytes, apenas 81.274 pps: 18 veces menos trabajo por el mismo "ancho de banda". El datasheet que dice "firewall de 1 Gbps" casi siempre midió con paquetes grandes; tu tráfico real — VoIP, DNS, juegos, ACKs de TCP — está lleno de paquetes pequeños.

Para dimensionar sin engañarse existe el IMIX, una mezcla estadística de tráfico real: 7 tramas de 64 B + 4 de 570 + 1 de 1518, promedio 353,83 bytes. A 1 Gbps son unos 334.000 pps — cuatro veces más exigente que el escenario de tramas llenas. Puedes desmenuzar el overhead por trama en la calculadora de trama Ethernet y PPS y dimensionar el equipo de borde con la de dimensionamiento de firewall.

Recetas: latencia primero, paralelismo después

Con toda la física sobre la mesa, las recetas de terreno son tres.

Para aplicaciones interactivas, RTT bajo le gana a ancho de banda alto. Abrir una sesión HTTPS cuesta unas 4 idas y vueltas antes del primer byte útil: con 10 ms de RTT son 40 ms y se siente instantáneo; con 150 ms son 600 ms y el usuario ya está reclamando. Escritorio remoto, ERP, videollamadas: todos viven del RTT. Elegir el datacenter más cercano vale más que duplicar el enlace.

Cuando el RTT es inevitable, paraleliza. La limitación ventana ÷ RTT es por flujo: cuatro conexiones TCP en paralelo, cada una con su ventana de 64 KB, mueven 104,9 Mbps donde una sola mueve 26,2. Por eso el iperf del proveedor con -P 8 marcaba 940 Mbps mientras el respaldo mono-flujo arrastraba los pies — y por eso las herramientas serias de transferencia (rsync en paralelo, robocopy multihilo, los navegadores con sus 6 conexiones) abren varios flujos.

Y dimensiona con las tres unidades. Un enlace se compra en Gbps, se llena en pps y se aprovecha según ventana ÷ RTT. Antes de firmar un upgrade, pasa la transferencia por la calculadora de tiempo de transferencia y confirma cuál de las tres te está frenando de verdad.

La próxima vez que un enlace "ande lento", no partas por el contrato: mide el RTT, calcula el BDP y revisa el MSS del camino. En ese orden. Nueve de cada diez veces, el gigabit estaba intacto — lo que faltaba era ventana.

El reclamo llegó un lunes: «la telefonía se corta justo cuando alguien sube respaldos». El gráfico del enlace mostraba un plácido 40 % de uso promedio, y el gerente preguntaba — con toda razón — para qué había pagado 100 Mbps. La trampa: el promedio se mide en minutos y la congestión ocurre en milisegundos. Basta una ráfaga de 30 ms que llene la cola de salida para que un paquete de voz llegue tarde a su cita. Ahí entra QoS, y conviene decirlo de entrada: QoS no le agrega ni un bit al enlace. Es triaje.

QoS no fabrica ancho de banda

Piensa en la sala de urgencias de un hospital. El triaje no construye pabellones ni contrata médicos: decide quién pasa primero cuando no alcanza para todos. QoS es exactamente eso para una interfaz de red: cuando llegan más paquetes de los que caben en el cable, alguien tiene que esperar en la cola — o descartarse — y QoS elige a quién le duele. Nada más, y nada menos.

De ahí salen dos verdades incómodas. Uno: sin congestión, QoS no hace nada. Con la cola vacía, el paquete marcado como oro y el marcado como carbón salen igual de rápido; toda tu política elegante es un adorno. Dos: si el enlace vive congestionado, QoS es anestesia, no cura — la voz sonará impecable mientras todo lo demás agoniza, y la solución de fondo es más ancho de banda. El terreno fértil de QoS es el medio: enlaces que en promedio sobran pero sufren microrráfagas, que es exactamente donde vive el 90 % de las redes reales.

DSCP: el sticker en la frente del paquete

Para discriminar con criterio primero hay que etiquetar. En el encabezado IPv4 hay un byte que nació llamándose «Type of Service» y hoy es el campo DiffServ: sus 6 bits superiores son el DSCP (Differentiated Services Code Point) y los 2 restantes son ECN, que es otra película. Seis bits dan 64 valores posibles, pero en la práctica cuatro hacen casi todo el trabajo:

EF (Expedited Forwarding) es para tráfico que prefiere morir antes que llegar tarde: la voz. AF41 le da al video interactivo garantía de ancho de banda sin el pase VIP de la voz. CS0 es el ciudadano común. Y CS1 — la clase scavenger — es la más subvalorada del catálogo: marca ahí los respaldos y las actualizaciones y podrán usar todo el enlace a las 3 de la mañana, pero cederán hasta el último bit cuando alguien lo necesite. A veces la mejor QoS no es subir a la voz: es bajar al respaldo.

Para ver la marca en vivo basta un tcpdump: el byte ToS aparece en cada paquete.

$ sudo tcpdump -n -v -c1 udp portrange 16384-32767
IP (tos 0xb8, ttl 63, id 4211, offset 0, proto UDP (17), length 200)
    10.1.20.14.16402 > 10.1.9.7.16388: UDP, length 172

Ese tos 0xb8 es el mismo EF escrito de otra forma: 46 corrido dos bits a la izquierda (46 × 4 = 184 = 0xB8). Las conversiones entre DSCP, ToS, binario y nombres de clase — con las 21 clases estándar — las tienes en la calculadora DSCP / QoS.

La frontera: confiar o remarcar

Un sticker lo pega cualquiera. Si tu política dice «EF pasa primero», nada impide que un PC con el driver de red «optimizado para gaming» marque sus paquetes como EF y se cuele en la fila de la voz. Por eso toda red seria define una frontera de confianza: en el puerto de acceso decides si le crees a las marcas que llegan o las reescribes. ¿Teléfono IP corporativo? Se le cree. ¿Laptop de usuario? Gracias por participar: todo a CS0, y si es tráfico conocido de voz o video, lo remarcas tú con una ACL. Del borde hacia el núcleo ya nadie clasifica de nuevo: se confía en la marca y punto — clasificar por DPI en el core es caro; confiar mal, carísimo.

Y aquí la parte que suele olvidarse: la marca por sí sola es decoración. El trabajo sucio lo hacen las colas. Un switch o router serio clasifica cada paquete por su DSCP hacia una cola distinta: EF a la cola prioritaria (se atiende antes que todas, con un policer encima para que la voz jamás se coma el enlace entero), AF41 a una cola con ancho de banda garantizado, CS0 a la cola común y CS1 a las migas. La marca es el diagnóstico; la cola es el tratamiento.

El balde de fichas: así se mide «cuánto puede pasar»

Marcar y encolar ordenan la fila; falta el guardia que mide el caudal. Casi todos los equipos usan el mismo mecanismo: el token bucket, el balde de fichas. Funciona como los juegos de un arcade: transmitir 1 bit cuesta 1 ficha. Las fichas caen al balde a ritmo constante — el CIR, tu tasa comprometida — y el balde tiene un tamaño máximo, Bc. Si el balde está lleno, las fichas nuevas se derraman y se pierden: no existe el ahorro infinito. ¿Llega un paquete y hay fichas? Pasa de inmediato. ¿No hay? Ahí se define el carácter del guardia, y lo vemos en un momento.

Con números redondos y verificados: CIR de 1 Mbps y Bc de 8.000 bits. El intervalo de recarga es Tc = Bc ÷ CIR = 8.000 ÷ 1.000.000 = 8 ms, o sea 125 recargas por segundo de 8.000 bits cada una — que multiplicadas dan exactamente el CIR. Y como el balde nunca guarda más de Bc, la ráfaga máxima instantánea es Bc: 8.000 bits, unos 1.000 bytes de una sola vez.

El balde es lo que hace tolerable la vida real: el tráfico nunca es plano, y Bc define cuánta ráfaga perdonas sin castigar el promedio. Ahora sí, ¿qué pasa cuando llega tráfico y no quedan fichas? Dos filosofías:

• Policing — la tijera. El exceso se descarta o se remarca a una clase peor, en el acto. Sin cola, sin retardo extra, sin memoria. Brutal pero barato.
• Shaping — el embudo. El exceso se encola y espera fichas. Nada se pierde (mientras la cola aguante), pero el precio es retardo: la ráfaga sale «planchada» al ritmo del CIR.

Misma ráfaga, destinos distintos: llegan 20.000 bits de golpe con el balde lleno. El policer deja pasar 8.000 (las fichas que había) y corta 12.000. El shaper deja pasar los mismos 8.000 de inmediato y encola los otros 12.000, que salen en los 12 ms siguientes (12.000 ÷ 1.000.000). Todo llega — más tarde.

¿Cuándo cada uno? Police lo que recibes: en el borde de entrada, para que ningún cliente o sede se pase de lo contratado. Shape lo que envías hacia un enlace más lento o hacia un CIR contratado: prefieres que tu propia cola decida qué espera, con tus prioridades, antes que el policer del otro lado corte parejo y sin criterio. TCP, además, sufre mucho menos con retardo que con pérdidas: cada drop del policer es una retransmisión y un frenazo de ventana. Los parámetros — CIR, Bc, Tc y si tu ráfaga pasa o no — los puedes probar en la calculadora de token bucket.

Jitter buffer: comprar orden con latencia

Aunque marques y suavices perfecto, la red nunca entrega con ritmo de reloj. La voz lo necesita: un códec con ptime de 20 ms emite un paquete cada 20 ms exactos — 50 por segundo — y el que escucha necesita reproducirlos con ese mismo compás. La variación entre llegadas es el jitter, y el remedio es el jitter buffer: una sala de espera que retiene los paquetes recién llegados unos instantes y se los entrega al códec con metrónomo. El truco es que ese orden se compra con latencia — cada milisegundo de buffer es un milisegundo más de retardo en la conversación. La regla práctica de dimensionamiento: 2 × el jitter medido. Hagamos la cuenta completa:

1. Mides el jitter real de la red hacia la central: 20 ms. La llamada usa ptime de 20 ms (un paquete de voz cada 20 ms).
2. Buffer = 2 × jitter = 2 × 20 = 40 ms. En profundidad: 40 ÷ 20 = 2 paquetes esperando en la sala.
3. Presupuesto boca-a-oído: red 50 ms + buffer 40 ms + códec 15 ms + paquetización (ptime) 20 ms = 125 ms.
4. La recomendación ITU-T G.114 pone el límite cómodo en 150 ms en un sentido: 125 ≤ 150 → conversación fluida, con 25 ms de holgura.
5. Contraprueba: si el jitter sube a 40 ms, el buffer se va a 80 ms y el total a 165 ms — sobre el límite, y aparece el efecto walkie-talkie donde ambos hablan encima del otro. El jitter cobra doble: desordena la llegada y encarece el buffer.

Ese es el motivo de fondo para marcar la voz EF y darle cola prioritaria: no es por los megabits (una llamada pesa poco), es por mantener el jitter a raya para que el buffer pueda ser pequeño. Dimensiona el buffer y el presupuesto boca-a-oído con la calculadora de jitter buffer, y el ancho de banda real por llamada — con todos sus encabezados — con la calculadora VoIP.

Video: reserva por percentil, no por promedio

El video es el elefante de la sala de QoS: una sola cámara puede pesar más que toda tu telefonía junta. Su bitrate depende de resolución, cuadros por segundo, códec y calidad (bits por píxel), y la palanca grande es el códec: a calidad comparable, H.265 pide más o menos la mitad que H.264. Un 1080p30 a 0,1 bpp da 1920 × 1080 × 30 × 0,1 ≈ 6,2 Mbps en H.264 y ≈ 3,1 Mbps en H.265. Estima el tuyo — con tus resoluciones y calidades — en la calculadora de bitrate de video.

El detalle que rompe redes: ese número es un promedio, y el video moderno es de tasa variable. Escena quieta, casi nada; alguien camina frente a la cámara o llega un I-frame, y el bitrate salta a 2 o 3 veces el promedio durante unos cientos de milisegundos. Si dimensionaste la cola AF41 con el promedio, cada pico llega justo cuando la garantía no alcanza — y el video pixela exactamente en el momento interesante. Reserva por percentil (el p95 del bitrate real medido, no el folleto), y deja que el shaping absorba lo que asome por encima.

La receta corta

QoS en serio son cuatro movimientos: comprueba que la congestión existe (en milisegundos, no en promedios de 5 minutos), marca en el borde y remarca lo que no controlas, dale a cada clase una cola con garantía real, y suaviza tus salidas antes de que el policer de otro las corte. Empieza hoy: revisa con tcpdump si tu voz llega marcada EF a la salida — es un minuto, y la respuesta suele ser la mitad del diagnóstico.

El reclamo llega siempre con las mismas palabras: "se escucha como robot". El gerente estaba cerrando un negocio por teléfono y la voz del otro lado se convirtió en un metalizado incomprensible. Lo primero que revisó el equipo de soporte fue el ancho de banda — y sobraba con creces. Ahí está la trampa de la voz IP: casi nunca es un problema de peso. Una llamada es de los tráficos más livianos que cruzan tu red, pero es de lejos el más impaciente. No pide espacio: pide puntualidad.

Puntualidad, no peso

Pongámosle números al "liviano". Una llamada G.711 — el códec clásico, sin compresión — consume 87,2 kbps por dirección con todo su overhead de Ethernet. Un solo stream de video HD de 5 Mbps equivale a 57 llamadas simultáneas. En cualquier enlace moderno, el volumen de la voz es anecdótico.

Lo que la voz exige es otra cosa. Piensa en un pedido de sushi a domicilio: no importa que el pedido sea pequeño, importa que llegue fresco y que los rolls lleguen en orden. La recomendación ITU-T G.114 fija el presupuesto: 150 ms como máximo de boca a oído (en un sentido). Hasta ahí la conversación fluye; pasado eso, los dos hablan encima del otro y la llamada se vuelve walkie-talkie. A eso súmale dos límites más: jitter bajo 30 ms (la variación entre llegadas de paquetes) y pérdida bajo 1 %.

¿Por qué tan estricto? Porque la voz viaja en RTP sobre UDP, sin retransmisiones. Es una decisión correcta: una palabra que llega tarde ya no sirve — reproducirla dos segundos después sería un eco absurdo, así que el paquete atrasado simplemente se descarta. TCP, con su "¿me repites?", es perfecto para archivos e inútil para conversar. La consecuencia práctica: en VoIP nadie te salva de una red impuntual. O llega a tiempo, o no llega.

Anatomía del paquete: 160 bytes de voz, 58 de papeleo

Abramos una llamada G.711 con bisturí. El códec muestrea el audio 8000 veces por segundo con 8 bits por muestra: 64 kbps de voz pura. El teléfono no manda muestra por muestra: junta 20 ms de audio — 160 bytes — y los despacha en un paquete. Eso da 50 paquetes por segundo por cada dirección de la llamada.

Cada uno de esos 160 bytes viaja con comitiva: 12 bytes de RTP (número de secuencia y timestamp, para reordenar y medir jitter), 8 de UDP y 20 de IP. Total en capa 3: 200 bytes, que a 50 paquetes por segundo son 80 kbps. Y en la LAN falta el sobre exterior: la trama Ethernet agrega 18 bytes más (cabecera y FCS), dejando 218 bytes en el cable — es decir, 87,2 kbps reales por dirección.

Fíjate en la proporción: el 26,6 % del paquete es burocracia. Y ojo con un clásico de terreno: la llamada es bidireccional, así que en un enlace simétrico reserva 87,2 kbps en cada sentido. Puedes jugar con códecs, paquetización y overhead de capa 2 en la calculadora de ancho de banda VoIP.

Códecs: la garganta de la llamada

El códec decide cuánto pesa la voz y cómo suena. Tres nombres cubren el 95 % de lo que verás en terreno:

• G.711 — el abuelo confiable (1972 y sigue firme). No comprime: 64 kbps de bitrate y calidad de teléfono fijo de toda la vida. Su MOS de 4,1 es la vara contra la que se mide el resto. Gasta, pero casi no agrega retardo ni CPU.
• G.729 — el ahorrador. Comprime la voz a 8 kbps (¡8 veces menos!) a cambio de un MOS de 3,9, algo de CPU y 15 ms de retardo algorítmico. Suena levemente "apretado", pero correcto. Nació para enlaces WAN caros y ahí sigue teniendo sentido.
• Opus — el moderno. Libre de regalías, bitrate variable y wideband: captura hasta el doble de espectro de la voz humana, y por eso su MOS de 4,3 supera al "teléfono de toda la vida". Es el códec de WebRTC, así que ya lo usas en cada videollamada de navegador.

Mira la paradoja de la tabla: comprimir 8 veces (G.729) solo reduce el consumo real a un tercio, no a un octavo. La culpa es de los 58 bytes de cabeceras, que no se comprimen: mientras más pequeño el payload, más pesa el papeleo en proporción. La comparación completa — con AMR-WB, G.722 y compañía — está en la calculadora de códecs de voz.

MOS y sus tres asesinos

El MOS (Mean Opinion Score) es la nota con que un oído humano califica la llamada, de 1 (inentendible) a 5 (perfecta). Sobre 4,0 nadie nota que es VoIP; bajo 3,5 empiezan los reclamos y la gente corta y vuelve a llamar. Los códecs parten con su nota de fábrica — la del termómetro — y la red solo puede bajarla desde ahí.

¿Y qué la empuja hacia abajo? Tres asesinos, en este orden de percepción:

• Retardo — el que más molesta y el primero que se nota. No degrada el sonido: degrada la conversación. Pasados los 150 ms de ida, los turnos se pisan; a 300 ms hablas por walkie-talkie. Y se acumula en silencio: códec, paquetización, colas, distancia (la fibra suma unos 5 ms por cada 1000 km) y el propio jitter buffer.
• Jitter — los paquetes salen cada 20 ms exactos, pero llegan a ritmo de baterista con jet lag: 18, 25, 19, 40… El jitter buffer los re-alinea, hasta que la variación supera lo que el buffer tolera y empieza a desechar los atrasados. Sobre 30 ms de jitter, ya está descartando.
• Pérdida — la más tolerada, gracias al PLC (packet loss concealment) que "rellena" huecos interpolando. Hasta 1 % en pérdidas sueltas casi no se oye; una ráfaga de 3 paquetes seguidos son 60 ms de sílaba desaparecida, y eso sí se nota.

La buena noticia: los tres se miden con una captura. Los propios paquetes RTP llevan número de secuencia y timestamp, así que Wireshark o tshark calculan jitter y pérdida por ti:

$ tshark -q -z rtp,streams -r llamada.pcap
========================= RTP Streams =========================
Src 10.1.20.14:16384 → Dst 190.98.x.x:18210   SSRC 0x4C3A11F2
Payload: g711U   Pkts: 2890   Lost: 6 (0,2 %)
Max jitter: 11,3 ms   Mean jitter: 4,1 ms     [OK]

¿Cuántas troncales? Erlang sin sufrir

Hasta aquí hablamos de una llamada. La otra pregunta de todo proyecto de telefonía es cuántas llamadas simultáneas debes soportar — o sea, cuántas troncales contratar. La respuesta tiene apellido desde 1917: Erlang B, la fórmula con que Agner Erlang dimensionó las centrales de Copenhague. La unidad es el Erlang: 1 Erlang equivale a una línea ocupada el 100 % del tiempo.

La intuición tramposa es pensar "5 Erlangs de tráfico = 5 líneas". No: las llamadas llegan cuando quieren, no coordinadas. A veces habrá 3 en curso, a veces 8. Erlang B calcula la probabilidad de que un pico de llamadas encuentre todas las troncales ocupadas — el bloqueo — y tú decides cuánto bloqueo tolera el negocio. Un ejemplo completo:

1. Mide el tráfico de la hora cargada. Tu central registra 100 llamadas por hora, de 3 minutos promedio: 100 × 3 = 300 minutos de conversación por hora. En Erlangs: 300 ÷ 60 = 5 Erlangs.
2. Fija la meta de servicio. Bloqueo ≤ 1 %: a lo más 1 de cada 100 llamadas de la hora punta escucha tono de ocupado.
3. Descarta la intuición. Con 5 troncales para 5 Erlangs, Erlang B da 28,5 % de bloqueo: más de una de cada cuatro llamadas rechazada. La aleatoriedad cobra caro.
4. Itera hacia arriba. Con 8 troncales el bloqueo baja a 7,0 %; con 10 llega a 1,84 % — cerca, pero aún no cumple.
5. Con 11 troncales: 0,83 %. Es la primera cantidad que baja del 1 %. Respuesta: 11 troncales — más del doble del tráfico promedio, y ese margen es exactamente lo que pagas por absorber los picos.
6. Tradúcelo a ancho de banda. Si la troncal es SIP con G.711: 11 × 87,2 kbps = 959 kbps ≈ 1 Mbps simétrico reservado para voz. Comprueba todo el ejercicio en la calculadora Erlang — y de paso mira Erlang C, que responde la pregunta hermana: cuántos agentes necesita un call center.

QoS: la voz viaja en primera clase

Ya sabes qué necesita la llamada (puntualidad) y cuántas caben (Erlang). Falta garantizarlo cuando el enlace se llena — porque se va a llenar, justo durante la llamada importante. La receta estándar tiene tres ingredientes:

• Marca la voz como EF (Expedited Forwarding, DSCP 46) lo más cerca posible del teléfono, y la señalización SIP como CS3. El conversor DSCP/QoS traduce entre todas las notaciones cuando el equipo pide el número en otra moneda.
• Cola prioritaria estricta para EF en cada salida que se congestione — típicamente el router WAN. Prioridad estricta significa que la voz sale primero, siempre; el policer que la acompaña evita que un tráfico mal marcado disfrazado de EF mate al resto. El detalle fino — colas, shaping, token buckets — está en la guía QoS en serio.
• Jitter buffer bien dimensionado en el extremo receptor. Es un trueque, no un ajuste gratis: cada milisegundo de buffer absorbe jitter pero se suma al retardo de boca a oído, o sea, gasta presupuesto G.114. Los adaptativos modernos se mueven solos entre 30 y 50 ms; dimensiona el tuyo y verifica el retardo total con la calculadora de jitter buffer.

Una advertencia de frontera: tu marca DSCP manda dentro de tu red, pero el ISP la suele borrar o reescribir al cruzar su borde. En enlaces de Internet la prioridad real la pones tú en tu router de salida, encolando antes del cuello de botella — no esperes que la nube respete tu EF.

Resumen operativo: reserva 87,2 kbps por llamada G.711 (o 39 con Opus) en cada sentido, dimensiona troncales con Erlang B en vez de adivinar, marca EF y encola con prioridad antes del cuello de botella. Con retardo bajo 150 ms, jitter bajo 30 y pérdida bajo 1 %, la llamada suena a persona y no a robot — y el gerente cierra su negocio sin enterarse de que existes, que es la definición de éxito en telefonía.

Sala de directorio, TV 4K recién desembalada, rack de equipos a 20 metros. El instalador anterior tiró un HDMI "4K certificado" de origen dudoso, y el resultado es un clásico del rubro: pantalla negra dos segundos, imagen de vuelta, chispas blancas cuando alguien mueve el mouse. El vendedor culpa al TV, el cliente te culpa a ti, y el verdadero culpable es la física: una señal 4K60 pesa 14,26 Gbps y un HDMI pasivo de cobre empieza a rendirse pasados los 5 metros a esa tasa. La buena noticia: la cuenta que explica todo esto cabe en una servilleta.

La cuenta que salva instalaciones

Por un cable HDMI o DisplayPort el video viaja sin comprimir: cada píxel de cada cuadro, con todos sus bits, sesenta veces por segundo. Nada de códecs ni milagros — es fuerza bruta pura, y por eso los números son tan grandes.

Hay un detalle que descoloca la primera vez: la señal transmite más píxeles de los que ves. Entre línea y línea, y entre cuadro y cuadro, viajan píxeles "en blanco" (el blanking), herencia del tubo de rayos catódicos que necesitaba tiempo para devolver el haz al inicio. Un 1080p muestra 1920×1080, pero transmite 2200×1125; un 4K muestra 3840×2160 y transmite 4400×2250. Ese blanking hoy carga audio y metadatos, así que no es grasa: es parte de la señal. Con eso, la fórmula completa:

1. Ancho de banda = píxeles totales por cuadro × cuadros por segundo × bits por píxel. A 8 bits por color y sin submuestreo (4:4:4), cada píxel pesa 24 bits.
2. 1080p60: 2200 × 1125 = 2.475.000 píxeles totales. × 60 cuadros = 148,5 millones de píxeles por segundo (el famoso pixel clock de 148,5 MHz). × 24 bits = 3,564 Gbps. Cualquier cable decente lo pasa — por eso "en la casa funcionaba".
3. 4K60, 8 bits: 4400 × 2250 = 9.900.000 píxeles. × 60 = 594 MHz de pixel clock. × 24 bits = 14,256 Gbps. HDMI 2.0 transporta 14,4 Gbps de datos efectivos: cabe con un 1 % de holgura. Justo, justo.
4. 4K60, 10 bits, HDR: mismo pixel clock, pero 30 bits por píxel: 594 MHz × 30 = 17,82 Gbps. Ya no cabe en HDMI 2.0. Necesitas HDMI 2.1, DisplayPort — o bajarle bits al color, que es el próximo capítulo.
5. Moraleja: cuadruplicar píxeles (1080p → 4K) cuadruplica Gbps, y el HDR encima suma un 25 %. Antes de cotizar cables y extensores, pasa el formato por la calculadora de ancho de banda HDMI/DP y sabrás exactamente contra qué techo estás peleando.

Submuestreo de croma: el descuento que el ojo no ve

Tu retina es desequilibrada a propósito: distingue cambios de brillo con precisión quirúrgica y cambios de tinte con mucha menos precisión. El video profesional explota esa asimetría hace décadas: se transmite la luminancia (Y) completa y el color (croma) diluido. La notación 4:x:x describe cuántas muestras de color sobreviven en cada bloque de 2×2 píxeles:

El truco es tan bueno que casi todo el cine y la TV que has visto en tu vida es 4:2:0: Blu-ray, streaming, TDT. En imagen en movimiento nadie lo nota. ¿Dónde se cae? En los bordes de color duros y quietos: texto rojo fino sobre fondo blanco, líneas de un plano CAD, la letra de 12 px de una hoja de cálculo. Ahí el color diluido convierte bordes nítidos en franjas sucias.

HDMI, DisplayPort y la letra chica

Los folletos anuncian el número bruto (18, 48, 80 Gbps), pero parte de esos bits son embalaje: codificación de línea para que la señal viaje estable. HDMI hasta 2.0 usa 8b/10b — de cada 10 bits, 2 son cartón — así que de los 18 Gbps brutos quedan 14,4 de datos. HDMI 2.1 cambió a 16b/18b (48 → 42,67) y DisplayPort 2.1 a 128b/132b, donde casi todo es carga útil. Comparar folletos sin descontar el embalaje es como comparar sueldos sin preguntar si son netos o brutos.

Y sobre los cables: a 1080p (3,5 Gbps) pasa casi cualquier cosa, por eso el cable genérico "funciona" en la prueba rápida. A 4K60 le estás pidiendo 6 Gbps por línea y ahí aparecen las chispas, los cortes y el HDCP caído. Compra cables con certificación real — Premium High Speed (18 Gbps) o Ultra High Speed (48 Gbps), con etiqueta holográfica y QR verificable — y sobre 7 u 8 metros en 4K olvídate del cobre pasivo: cable activo u óptico (AOC), que llega a 30, 50 o 100 m. La palabra "4K" impresa en el empaque no es una especificación: es decoración.

Más de 10 metros: HDBaseT y AV sobre IP

Cuando la distancia supera lo que el HDMI tolera con dignidad, cambias de vehículo. HDBaseT empaqueta video, audio, control (RS-232 e IR), Ethernet y hasta alimentación (PoH) en un solo par trenzado Cat6: Clase A llega a 100 m, Clase B a 70 m. Las generaciones clásicas mueven el equivalente a HDMI 1.4 (10,2 Gbps brutos), así que 4K60 viaja en 4:2:0 (7,13 Gbps: cabe); HDBaseT 3.0 sube a 18 Gbps por Cat6A y ya pasa 4K60 4:4:4 sin trucos. La ventaja operativa: el cable es UTP común, lo tira el mismo técnico que cablea la red, y se certifica con las mismas herramientas. Las variantes y sus alcances están en la calculadora HDBaseT.

AV sobre IP es la otra filosofía: en vez de matriz dedicada, un encoder por fuente y un decoder por pantalla, todos colgados de un switch. Sobre red de 1 Gbps viaja comprimido (H.264/H.265, latencia de algunos cuadros — bien para señalética, regular para presentar); sobre 10 Gbps (SDVoE, JPEG-XS) la compresión es tan leve y la latencia tan baja que compite con la matriz. Escala como red que es: ¿otra pantalla? otro puerto en el switch, no un chasis nuevo.

Regla de bolsillo: punto a punto hasta 100 m → HDBaseT; matriz grande, muchos pisos o crecimiento imprevisible → AV sobre IP. Y si eliges IP, dimensiona el switch con multicast e IGMP snooping en serio: veinte streams de 900 Mbps no se enrutan solos.

Proyección y muros: la pantalla también se calcula

Falta la otra mitad del proyecto: qué tan grande se ve y desde dónde. Para proyectores la clave es el throw ratio: distancia dividida por ancho de imagen. Un proyector con TR 1,5 que quiere llenar una pantalla de 2,4 m de ancho necesita 1,5 × 2,4 = 3,6 m de distancia — ni un centímetro de fe. Al revés también: un tiro corto TR 0,8 colgado a 4,2 m pintaría 5,25 m de ancho, más que la pared. Por eso el proyector se elige según la sala y no según la oferta de la semana; la calculadora de proyección hace el despeje en ambos sentidos, con lúmenes incluidos.

¿Y un muro de video? Es aritmética de baldosas, con un detalle traicionero: el bisel. Tomemos el clásico 3×2 con paneles de 55" para video wall: área activa de 1210,6 × 681 mm por panel y 3,5 mm de bisel combinado entre paneles vecinos. Ancho total: 3 × 1210,6 + 2 × 3,5 = 3638,8 mm ≈ 3,64 m. Alto: 2 × 681 + 3,5 = 1365,5 mm ≈ 1,37 m. Resolución combinada: 5760 × 2160 = 12,4 megapíxeles — un 50 % más píxeles que 4K, y el controlador del muro tiene que alimentarlos todos. El pixel pitch queda en 0,63 mm: nítido incluso a un metro.

Antes de prometerle un muro al cliente, pasa la matriz de paneles por la calculadora de muro de video: dimensiones, resolución, pitch y distancia mínima de visión salen solos, y descubres a tiempo que ese "3×3 de 65 pulgadas" no cabe en la pared de 4 metros con la moldura del techo.

El checklist antes de cotizar

Todo proyecto de video se reduce a cuatro preguntas: cuántos Gbps pesa la señal (calcúlalos), qué eslabón de la cadena es el más débil, cuántos metros hay que recorrer y qué tamaño de imagen exige la sala. Respóndelas con números antes de comprar un solo cable, y esa TV a 20 metros se enciende a la primera — sin chispas, sin pantalla negra y sin segunda visita a terreno.

Nos llamaron de una tienda porque «el amplificador se apaga solo cuando subimos el volumen». En la trastienda encontramos la escena del crimen: veinte parlantes de cielo de 8 Ω, todos en paralelo, colgando de un amplificador HiFi doméstico. Veinte cargas de 8 Ω en paralelo son 0,4 Ω — para el amplificador eso no es un sistema de audio, es un cortocircuito con música de fondo. El equipo hacía lo único sensato (entrar en protección) justo en hora punta. La solución no era un amplificador más grande: era cambiar de filosofía. Bienvenido a la línea de 70 V.

El problema: los ohms no suman, dividen

En paralelo, la impedancia total es la de un parlante dividida por la cantidad: 8 Ω ÷ 20 = 0,4 Ω. Un amplificador típico tolera hasta 4 Ω; a 0,4 Ω la corriente se dispara y la etapa de salida levanta bandera blanca. Podrías armar combinaciones serie-paralelo para subir la impedancia — y para dos o cuatro parlantes de una sala de reuniones funciona perfecto; la calculadora de impedancia de parlantes te hace esa gimnasia. Pero para veinte parlantes repartidos en una tienda es un castigo: cada parlante que agregas o quitas cambia la cuenta completa, y la potencia se reparte pareja aunque el pasillo 3 necesite el doble que la caja.

Hay un segundo problema más silencioso: a baja impedancia, mover 200 W exige 22,4 A por el cable. Eso pide conductor grueso, y en tiradas largas el cable se come una parte vergonzosa de la potencia. Veinte parlantes implican fácilmente 100 o 200 metros de cable. Mal negocio.

La línea de 70 V: piensa como la compañía eléctrica

La red eléctrica resolvió esto hace un siglo: transmitir a alta tensión y baja corriente, y bajar el voltaje con un transformador en cada casa. El audio comercial copió el truco tal cual. El amplificador publica una línea de tensión constante de 70 V, y cada parlante se cuelga de ella a través de un pequeño transformador con selector de taps: una perilla que dice cuántos watts toma ese parlante — 5, 10, 30 W — sin preguntarle nada al resto.

Las consecuencias son deliciosas. Todos los parlantes van en paralelo sobre un solo cable en cadena, y la impedancia deja de ser tu problema: mientras la suma de taps no supere la potencia del amplificador, la línea está sana. Con 200 W a 70 V circulan apenas 2,86 A (contra los 22,4 A del enfoque de baja impedancia), así que el cable puede ser delgado y largo. Y cada zona ajusta su volumen relativo girando su tap: bodega fuerte, probadores suave, sin tocar el amplificador.

La cuenta completa: una suma de almacén

Aquí viene lo mejor: dimensionar una línea de 70 V no requiere álgebra de circuitos. Es literalmente sumar watts, como quien suma recibos. El caso de la tienda, paso a paso:

1. Suma los taps. 20 parlantes, cada uno con el tap en 10 W: 20 × 10 W = 200 W. Esa es toda la carga que verá el amplificador.
2. Deja holgura. Un amplificador trabajando al 100 % vive poco y suena peor. Suma un 20 %: 200 × 1,2 = 240 W. El escalón comercial siguiente es un amplificador de 250 W. Ese compras.
3. Verifica la impedancia mínima. Aunque la línea de 70 V te libera de pensar en ohms, el amplificador igual ve una impedancia: Z = V² / P = 70² / 200 = 4900 / 200 = 24,5 Ω. Si mides la línea instalada con un medidor de impedancia y te da menos que eso, hay taps de más (o un parlante conectado sin transformador) colgando del cable.
4. Dimensiona el cable con la corriente real. I = P / V = 200 / 70 = 2,86 A. Un conductor de 1,5 mm² lleva esa corriente sin esfuerzo — compáralo con los 22,4 A del mismo sistema en baja impedancia.
5. Disfruta la escalabilidad. ¿Mañana piden un parlante en el pasillo nuevo? Lo cuelgas del cable, fijas su tap y sumas: 210 W. Mientras la suma quepa en el amplificador con su holgura, no recalculas nada más. La calculadora de línea 70V lleva la suma, la Z y el headroom por ti.

Los taps disponibles vienen impresos en el selector del parlante, y cada tap equivale a una impedancia fija sobre la línea (Z = 4900/P a 70 V):

SPL: cuánto llega al oído

Ya sabes cuántos watts toma cada parlante. La pregunta del cliente es otra: ¿se va a escuchar? Para responderla necesitas dos datos del datasheet y una regla de la física.

El dato uno es la sensibilidad: cuántos dB SPL produce el parlante con 1 W medido a 1 m (típico: 86 a 95 dB). El dato dos es la potencia del tap. Y la regla de la física es la ley del inverso del cuadrado: cada vez que doblas la distancia, pierdes 6 dB. La fórmula completa cabe en una línea:

SPL = sensibilidad + 10·log₁₀(W) − 20·log₁₀(d)

Ejemplo real: un horn de bodega con sensibilidad de 90 dB y el tap en 30 W, con el oyente a 8 m: 90 + 10·log₁₀(30) − 20·log₁₀(8) = 90 + 14,77 − 18,06 = 86,7 dB. ¿Y eso alcanza? Una bodega con grúas ronda los 70-75 dB de ruido ambiente, y para que un aviso se entienda necesitas estar unos 10-15 dB por encima: 86,7 dB pasa la prueba, justo pero pasa. La calculadora de SPL hace esta cuenta en ambos sentidos: te dice cuánto llega, o qué potencia necesitas para un objetivo de dB.

Dos trampas de los decibeles antes de seguir. Doblar la potencia solo suma 3 dB — apenas perceptible. Y para que algo suene «el doble de fuerte» al oído necesitas +10 dB, o sea diez veces la potencia. Por eso el camino barato a más nivel casi nunca es un amplificador más grande: es un parlante más sensible o, mejor, más parlantes bien repartidos. Lo que nos lleva al cielo.

Cobertura de cielo: círculos que se tocan

Un parlante de cielo no ilumina la sala entera: pinta un círculo de sonido a la altura de las orejas, como una ducha pinta un círculo de agua en el piso. Fuera del círculo, el nivel y la claridad caen rápido. El diseño de cobertura es entonces un problema de geometría: repartir círculos hasta cubrir la planta.

Para el parlante de cielo típico con dispersión de 90°, la regla es un regalo: el radio del círculo a la altura de la oreja es igual a la distancia entre el cielo y la oreja (tan 45° = 1, la trigonometría más amable del rubro). Con cielo a 3,0 m y oyentes sentados (orejas a 1,2 m): r = 3,0 − 1,2 = 1,8 m. Para música de fondo y avisos generales basta que los círculos se toquen borde con borde: un parlante cada 2 × r = 3,6 m. ¿Público de pie? Orejas a 1,5 m, radio 1,5 m, parlantes cada 3 m. ¿Inteligibilidad crítica (mensajes de evacuación)? Traslapa los círculos: separación de r·√2 ≈ 2,5 m.

Fíjate en el detalle contraintuitivo: con cielos más altos el círculo crece y necesitas menos parlantes por metro cuadrado — pero cada uno necesita más tap para compensar la distancia extra hasta la oreja (la escalera de −6 dB no perdona). La geometría y el SPL se calculan juntos, nunca por separado.

Delay: el sonido llega tarde a todas partes

El sonido viaja a c = 331,3 + 0,606·T m/s — a 20 °C, unos 343,4 m/s. En términos de terreno: casi 3 ms por metro (2,912 ms exactos). La luz de tus VLANs no espera a nadie; el sonido, en cambio, llega tarde a todas partes, y en salas grandes esa tardanza se escucha.

Caso típico: un escenario con sus parlantes principales y una fila de refuerzo bajo el mezzanine, 10 m más atrás. Para el público del fondo, el refuerzo (que está al lado) suena antes que el escenario: dos llegadas separadas, sonido emborronado, y si la diferencia crece, eco declarado. La solución es elegante: retrasar electrónicamente los parlantes cercanos para que su audio salga cuando el del escenario va llegando. Los 10 m de diferencia son 10 ÷ 343,42 = 29,1 ms de retardo, que a 48 kHz son 1.398 muestras — el DSP trabaja en muestras enteras, por eso el número feo. La calculadora de retardo de audio convierte metros a ms y muestras, con la temperatura incluida.

Dante y AES67: el audio se toma la red

Queda el último tramo: mover el audio entre la consola, la matriz y los amplificadores. El multipar de cobre de 40 kg cedió su trono a un cable de red: Dante (y su estándar de interoperabilidad AES67) transporta audio sin comprimir por Ethernet común. La cuenta es tranquilizadora: un canal a 48 kHz y 24 bits pesa 48.000 × 24 = 1,152 Mbps de audio puro — con cabeceras IP queda bajo 1,5 Mbps — así que 64 canales son unos 74 Mbps y un enlace gigabit lleva cientos de canales sin transpirar; la calculadora de audio sobre IP te da el número exacto con overhead. La latencia típica de red es 1 ms — menos de lo que el sonido tarda en cruzar 34 cm de aire — o sea, mover el audio 100 m por fibra cuesta menos que moverlo del parlante a tu hombro.

El precio de la elegancia es disciplina de red: VLAN dedicada para el audio, QoS por DSCP respetada en cada switch (el reloj PTP manda), y nada de WiFi en la ruta de los canales. Dante ya marca su tráfico por sí solo; tu tarea es que los switches no lo traten como un torrent más:

PTP (reloj)   → DSCP 56 (CS7)  → cola de máxima prioridad
Audio         → DSCP 46 (EF)   → cola alta
Control       → DSCP 8  (CS1)  → normal
Resto         → DSCP 0  (BE)   → best effort

La próxima vez que te pidan sonorizar un local, ya tienes la receta completa: suma taps y holgura en la calculadora de línea 70V, comprueba con la de SPL que el aviso le gane al ruido, reparte los círculos en el cielo y dale al audio en red su VLAN con QoS. El amplificador vivirá años y el cliente no notará nada — que en audio comercial es exactamente la meta.

En una auditoría a una pyme encontramos la contraseña del NVR pegada en un post-it: "P@ssw0rd!". El encargado de TI estaba tranquilo — tenía mayúscula, número y símbolo, "cumplía la política". La probamos contra un diccionario de claves filtradas y cayó antes del primer sorbo de café: figura en todas las listas del planeta. Mientras tanto, "caballo correcto batería grapa" — que parece chiste — habría aguantado más que la empresa. La diferencia entre ambas no es opinión ni magia: es aritmética, y al final de esta guía la vas a poder hacer de memoria.

Entropía: la fuerza es largo × log₂(alfabeto)

Un atacante no "lee" tu contraseña: la adivina probando combinaciones. La fuerza de una clave es, literalmente, el tamaño del pajar donde está escondida. Ese tamaño se mide en bits de entropía, y la fórmula cabe en una servilleta: entropía = largo × log₂(tamaño del alfabeto). Cada bit adicional duplica las combinaciones que hay que probar.

Piensa en un candado de bicicleta: agregar símbolos raros es hacer cada rueda un poco más grande; agregar caracteres es agregar ruedas completas. Una minúscula aporta log₂(26) = 4,70 bits; un carácter sacado de las cuatro clases (94 símbolos ASCII imprimibles) aporta 6,55. La diferencia por carácter es pequeña — la diferencia por largo es enorme, porque el largo multiplica.

¿Y "P@ssw0rd!"? En teoría, 9 caracteres × 6,55 = 59 bits. Pero la fórmula asume que cada carácter se eligió al azar, y ahí está la trampa: "P@ssw0rd!" es la palabra "password" con las mutaciones a→@ y o→0 que toda herramienta de cracking prueba primero, por regla. Su entropía real es un puñado de bits: está a un par de millones de intentos del inicio de la fila, no a 2⁵⁹. Una passphrase hace lo contrario: elige palabras al azar de la lista EFF de 7776 palabras, y cada palabra vale log₂(7776) = 12,92 bits aunque se lea como cuento infantil.

El ejemplo con números: tu clave contra una GPU

Escenario realista: a un servicio se le filtró la base de datos y las claves estaban con hash rápido (SHA-256 sin sal ni estiramiento — pasa más de lo que crees). Una sola GPU de escritorio prueba del orden de 10¹⁰ hashes por segundo, y en promedio encuentra la clave al recorrer la mitad del espacio. Hagamos la cuenta completa:

1. La fórmula: entropía = largo × log₂(alfabeto). Para 8 minúsculas: 8 × log₂(26) = 8 × 4,70 = 37,6 bits, es decir 26⁸ ≈ 2,09 × 10¹¹ combinaciones.
2. Tiempo promedio = (2^bits ÷ 2) ÷ tasa. Con 10¹⁰ intentos/s: 2,09 × 10¹¹ ÷ 2 ÷ 10¹⁰ ≈ 10,4 segundos. Tu clave de 8 minúsculas dura menos que ir a buscar café.
3. Sube a 12 caracteres con 4 clases (pool 94): 12 × 6,55 = 78,7 bits → 94¹² ≈ 4,76 × 10²³ combinaciones. Promedio: 2,38 × 10¹³ segundos ≈ 754.000 años. La misma GPU, el mismo ataque.
4. La passphrase: 4 palabras EFF al azar = 4 × 12,92 = 51,7 bits → ≈ 2,1 días contra hash rápido. Justa. Con 6 palabras: 77,5 bits → ≈ 350.000 años, y encima se memoriza caminando al auto.
5. Moraleja: de 4 a 6 palabras el trabajo del atacante crece 7776² ≈ 60 millones de veces. La entropía no suma — multiplica.

Dos matices honestos. Primero, esto es un ataque offline contra hash rápido: si el servicio guardó bcrypt o scrypt, la tasa se desploma a unos 10⁴ intentos/s y las mismas 8 minúsculas pasan de 10 segundos a unos 4 meses (121 días). Segundo, un ataque online contra un login con límite de intentos es órdenes de magnitud más lento todavía. Puedes jugar con políticas, tasas y escenarios en la calculadora de entropía y tiempo de quiebre.

El gestor de contraseñas: la conclusión lógica

Sigamos la matemática hasta el final. Necesitas claves únicas por servicio — porque cuando se filtra el foro de aeromodelismo donde te registraste en 2019, lo primero que hacen los atacantes es probar ese mismo correo y clave en tu banco, tu VPN y tu correo corporativo (se llama credential stuffing y es el ataque más rentable que existe). Y necesitas que cada una tenga 75+ bits. Nadie memoriza ochenta cadenas aleatorias de 12 caracteres: la aritmética solo deja una salida.

Esa salida es el gestor de contraseñas: una sola clave maestra tipo passphrase de 6 palabras (77,5 bits, memorizable, no está escrita en ninguna parte) y todo lo demás generado por máquina — 20 caracteres, únicos, que jamás intentas recordar ni teclear. El gestor no es una comodidad: es la única arquitectura donde la fórmula cierra. Y donde el servicio lo permita, segundo factor encima.

Hash: huella digital, no cifrado

Cambio de tema, mismo espíritu numérico. Un hash es una función unidireccional: entra cualquier cosa — una letra, un firmware de 2 GB — y sale una huella de largo fijo. Como la huella dactilar: te identifica sin permitir reconstruirte. Aquí está el error conceptual más repetido del rubro: hash no es cifrado. Lo cifrado se descifra con la clave; el hash no tiene puerta de vuelta — no existe "deshashear". Y tiene efecto avalancha: cambia una letra de la entrada y la huella cambia completa.

Uso 1: verificar integridad. Bajaste un firmware y el fabricante publica su SHA-256: si tu hash calza, el archivo llegó intacto y nadie lo tocó en el camino. Se ve así (y sí, una letra distinta habría dado una huella irreconocible):

$ echo -n "redzilla" | md5sum
e9b5a2402e7ab94f63d139974709317a  -
$ echo -n "redzilla" | sha256sum
bcff34d1effbe914707d30410323f9ead560f3f610c8aa6aa710f95993551d15  -

Uso 2: guardar contraseñas. Un servicio bien hecho nunca almacena tu clave: guarda su hash, con dos condiciones. Una sal única por usuario — un valor aleatorio que se mezcla con la clave antes de hashear, para que dos usuarios con la misma clave no compartan hash y las tablas precalculadas no sirvan. Y un algoritmo lento a propósito: bcrypt, scrypt o Argon2 hacen miles de iteraciones justamente para que la GPU del ejemplo baje de 10¹⁰ a 10⁴ intentos por segundo. MD5 y SHA-1 son lo contrario: diseñados en los 90 para ser rápidos, que es exactamente lo que no quieres frente a un atacante.

Bonus de terreno: los hashes se identifican a ojo por largo y formato. Practica con el calculador de hash y el identificador de hash:

JWT por dentro: carnet firmado, no sobre cerrado

Los tokens JWT mueven la mitad de las sesiones de internet y cargan el mismo malentendido que el hash. Un JWT son tres bloques en Base64URL unidos por puntos: header (algoritmo), payload (los datos: quién eres, cuándo vence) y firma. La analogía correcta es un carnet plastificado: cualquiera que lo tome puede leer tu nombre y tu RUT — el plástico no esconde nada. Lo que hace el holograma (la firma) es delatar si alguien lo alteró.

Compruébalo tú mismo — decodificar el header no requiere ningún secreto, solo deshacer el Base64:

$ echo 'eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9' | base64 -d
{"alg":"HS256","typ":"JWT"}

De ahí salen las dos reglas de oro. Uno: jamás metas secretos en el payload — ni claves, ni datos sensibles, ni nada que no le mostrarías al dueño del token, porque él (y cualquier proxy en el camino) lo lee con dos líneas de terminal. Dos: los claims iat (emitido) y exp (vence) van en segundos Unix, y el exp corto no es pesadez del backend: un JWT robado no se puede "revocar" fácilmente, así que su vida útil es tu único freno. Pega cualquier token en el decodificador JWT — corre 100% en tu navegador — y mira qué está declarando por dentro.

Base64, UUID y otros disfraces

Ya viste al culpable de que el payload sea legible: Base64 es codificación, no cifrado. Transforma bytes arbitrarios en 64 caracteres inofensivos para que sobrevivan viajes por correo, JSON o URLs — y cualquiera lo revierte sin clave, pagando de paso un 33% más de tamaño. Escribir en griego no esconde el mensaje de quien habla griego. Si ves un dato "protegido" en Base64, pásalo por el codificador y saluda al texto plano.

Y para cerrar el kit, los UUID en una frase cada uno. UUID v4: 122 bits de azar criptográfico — imposible de adivinar, perfecto como identificador público. UUID v7: antepone el timestamp en milisegundos, así los IDs nacen ordenados cronológicamente y no destrozan los índices de tu base de datos. Genera ambos (y ULID) en el generador de UUID — pero recuerda que un identificador no es una credencial: lo que protege acceso se llama token, y se firma.

Eso es seguridad práctica en tres hábitos: passphrase larga para lo único que memorizas, gestor para todo lo demás, y reflejo inmediato de desconfianza ante todo lo que "parece" cifrado pero solo está codificado. Pasa tu política actual por la calculadora de entropía y abre uno de tus propios tokens en el decodificador JWT: los números convencen más que cualquier charla.

Suena el teléfono: «se cayó internet». Llegas (o te conectas) y, por supuesto, internet está impecable: lo que no carga es el sistema de facturación. Después de suficientes visitas a terreno uno aprende que casi todos los «se cayó internet» son una de cuatro cosas: el nombre no resuelve, la máquina no responde, el puerto está bloqueado, o el problema es de otro — el hosting, el ISP, el dominio que alguien olvidó renovar. La buena noticia: las cuatro se comprueban en minutos, en orden, y con evidencia que puedes pegar en un ticket. Esta guía es ese orden.

Las cuatro preguntas del detective

Antes de reiniciar nada «por si acaso», hazte las preguntas en secuencia. Cada una descarta una capa completa del problema, y cada «no» apunta a un culpable distinto:

• ¿Resuelve el nombre? Si el dominio no se traduce a una IP, todo lo demás da igual. Herramienta: dig o la consulta DNS.
• ¿Responde la IP? El nombre puede resolver perfecto hacia una máquina apagada. Herramienta: ping.
• ¿Está abierto el puerto? La máquina puede estar viva pero con el servicio caído o un firewall de por medio. Herramienta: el probador de puertos.
• ¿Quién es el dueño y por dónde va el camino? Si todo lo tuyo está bien, necesitas saber a quién llamar. Herramienta: WHOIS / RDAP y traceroute.

El orden no es capricho: si el nombre no resuelve, probar el puerto es perder el tiempo; y si la IP responde pero el puerto calla, ya sabes que el cable no es el problema. Diagnóstico es descartar capas, no adivinar.

El caso completo: de «no carga» a ticket con evidencia

Corramos el flujo con un caso típico: la sucursal reporta que facturas.ejemplo.cl «no abre», y el resto de internet funciona. Cronómetro en mano:

1. ¿Resuelve? dig +short A facturas.ejemplo.cl devuelve 203.0.113.80. La respuesta trae TTL 287 de los 300 originales: el resolutivo la cacheó hace 13 segundos, o sea otro cliente acaba de preguntar lo mismo. El nombre está sano. Siguiente.
2. ¿Responde la IP? ping -c 4 203.0.113.80: 4 enviados, 4 recibidos, 0% de pérdida, rtt promedio 45,2 ms. La máquina vive y la ruta funciona. (Si el ping callara, atención: no es concluyente — muchos firewalls descartan ICMP a propósito. Pasa igual al paso 3.)
3. ¿Puerto abierto? Prueba TCP al 443 con el probador de puertos: el SYN se va y en 3 segundos… nada. Estado: filtrado. Eso no es un servicio caído — un servicio caído contesta de inmediato con un RST («cerrado»). El silencio total es la firma de un firewall descartando paquetes.
4. ¿Quién es el dueño? RDAP de 203.0.113.80: AS64500, «Hosting Ejemplo SpA». Es el proveedor correcto — nadie secuestró la IP ni venció el dominio. El problema está en la puerta de ellos.
5. El ticket. Sacas tu IP pública desde Mi IP (198.51.100.22) y escribes: «el DNS resuelve a 203.0.113.80, la IP responde ping en 45 ms, pero el TCP 443 aparece filtrado desde nuestra IP 198.51.100.22 desde las 09:40». Cuatro comandos, unos tres minutos, y el proveedor no puede contestarte «reinicie el router».

$ dig +short A facturas.ejemplo.cl
203.0.113.80

$ ping -c 4 203.0.113.80
4 packets transmitted, 4 received, 0% packet loss
rtt min/avg/max = 43.8/45.2/47.1 ms

$ nc -zv -w 3 203.0.113.80 443
nc: connect to 203.0.113.80 port 443 (tcp) timed out

El viaje de una consulta DNS

Para diagnosticar DNS con criterio hay que saber quién le pregunta a quién. Es como ubicar a una persona en una ciudad que no conoces: tú le preguntas al conserje del edificio; el conserje no sabe, pero sabe a quién preguntarle — y cuando averigua la respuesta, la anota para el próximo que pregunte.

• El stub es tu equipo: solo sabe delegar la pregunta completa a su resolutivo configurado.
• El resolutivo (el del ISP, o 1.1.1.1, o 8.8.8.8) es el conserje: hace el trabajo sucio y cachea cada respuesta.
• Los servidores raíz — 13 identidades, de a a m.root-servers.net, replicadas en cientos de instancias anycast por el mundo — solo saben una cosa: quién administra cada terminación. «¿.cl? Pregúntale a NIC Chile.»
• El TLD (.cl, .com) tampoco sabe tu IP: sabe qué servidores mandan en ejemplo.cl.
• El autoritativo es el dueño de casa: tiene la zona con los registros de verdad y responde con autoridad.

Aquí está la clave que arruina el mito favorito del rubro: cada respuesta viaja con una fecha de vencimiento — el TTL, en segundos. Mientras no expire, el resolutivo contesta desde su caché sin preguntarle a nadie. Por eso la famosa «propagación DNS» no existe: no hay ningún proceso empujando tu registro nuevo por el mundo. Lo que hay son miles de cachés que guardaron el valor viejo y lo van soltando cada una cuando su TTL expira. «Esperar la propagación» es, literalmente, esperar que venzan los yogures.

Los registros que vas a usar

La zona DNS es una tabla de hechos con tipos. Estos seis cubren el 95% del trabajo de un integrador — puedes consultarlos todos desde la herramienta de consulta DNS:

El PTR merece una frase más: vive en una zona espejo (in-addr.arpa para IPv4, ip6.arpa para IPv6) donde la IP se escribe con los octetos al revés — 203.0.113.80 se busca como 80.113.0.203.in-addr.arpa. Si necesitas armar esos nombres sin dolor, la herramienta de zona PTR inversa los genera desde la IP o el CIDR.

Cuando dos resolvedores no se ponen de acuerdo

Ayer migraste facturas.ejemplo.cl a un servidor nuevo, y hoy la mitad de los usuarios llega al viejo. ¿Magia negra? No: cachés. Pregúntale lo mismo a dos resolvedores distintos y compara:

$ dig A facturas.ejemplo.cl @1.1.1.1 +noall +answer
facturas.ejemplo.cl.   287   IN   A   203.0.113.80

$ dig A facturas.ejemplo.cl @8.8.8.8 +noall +answer
facturas.ejemplo.cl.   5100  IN   A   198.51.100.7

Cloudflare (1.1.1.1) ya tiene la IP nueva. Google (8.8.8.8) sigue sirviendo la vieja — y el número del medio te dice exactamente cuánto falta: 5100 segundos, 85 minutos de caché restante. No está «lento en propagar»: cacheó el registro antes del cambio, con el TTL viejo, y lo va a soltar cuando expire. Ni un segundo antes. La herramienta de propagación DNS hace esta comparación contra varios resolvedores públicos de una vez, que es la forma civilizada de responder «¿ya propagó?»: no, le quedan 85 minutos al yogurt de Google.

Correo que llega: SPF, DKIM y DMARC

La mitad del diagnóstico DNS moderno es correo que cae en spam. El correo electrónico nació sin autenticación — cualquiera puede escribir «De: gerencia@ejemplo.cl» en un sobre — así que se le añadieron tres capas, todas publicadas como registros TXT en tu zona:

• SPF es la lista de invitados: qué servidores pueden enviar correo a nombre del dominio. v=spf1 include:_spf.proveedor.com -all significa «estos sí, todo el resto no».
• DKIM es la firma notarial: el servidor emisor firma criptográficamente cada mensaje y publica la clave pública en selector._domainkey.ejemplo.cl. A diferencia de SPF, la firma sobrevive reenvíos, porque viaja con el mensaje.
• DMARC es la política: le dice al receptor qué hacer con lo que no pase SPF ni DKIM alineados con el dominio visible — y a qué casilla mandarte reportes (rua) de quién está enviando en tu nombre.

DMARC se adopta como escalera, no como interruptor:

Empieza en p=none y lee los reportes dos a cuatro semanas: ahí aparecen el CRM, la impresora multifuncional y ese sistema legado que nadie recordaba que enviaba correo. Cuando todos los emisores legítimos pasan SPF o DKIM, subes a quarantine (con pct=25 aplica a 1 de cada 4 correos, para frenar despacio) y al final reject. La herramienta de SPF/DKIM/DMARC consulta y explica los tres registros de un dominio de una pasada. Y no olvides el PTR del paso anterior: muchos servidores rechazan de plano el correo de una IP sin inverso coherente.

Puertos: abierto, cerrado o filtrado

El último eslabón del flujo merece su propia sección, porque los tres estados de un puerto cuentan tres historias distintas. Imagínate tocando una puerta:

• Abierto: te abren. El SYN recibió su SYN/ACK — hay un servicio escuchando y el firewall deja pasar. Si la aplicación igual falla, el problema está más arriba (TLS, credenciales, la aplicación misma).
• Cerrado: alguien grita «¡no hay nadie!». Llegó un RST inmediato — la red y el firewall funcionan, pero ningún servicio escucha en ese puerto. Servicio caído o puerto equivocado. En términos de firewall: comportamiento REJECT.
• Filtrado: silencio absoluto. El paquete murió en el camino sin respuesta — la firma de un firewall en modo DROP. Para el diagnóstico es oro: te dice que hay una regla de por medio, y que el ticket va al dueño del firewall, no al del servidor.

Un detalle que ahorra confusiones: el probador de puertos mira tu host desde internet. Un puerto puede estar abierto en la LAN y filtrado desde afuera (NAT o firewall perimetral), y eso no es un error: es exactamente la diferencia que quieres medir. Por lo mismo, cuando reportes un bloqueo por origen, incluye tu IP pública — Mi IP te la da con ASN y organización incluidos.

La próxima vez que griten «se cayó internet», respira y corre las cuatro preguntas: nombre, IP, puerto, dueño. Diez minutos y cuatro pestañas — DNS, ping, puertos y RDAP — te dejan con un diagnóstico defendible en vez de un «parece que es el proveedor». Y si el problema es correo, misma receta con SPF/DKIM/DMARC: primero evidencia, después política.

En la misma semana te pueden tocar tres conversaciones: el vendedor jura que su radio "tira 400 mW", el datasheet del SFP habla de un presupuesto óptico de 28 dB, y el cliente pregunta por qué el WiFi marca −72 dBm "si el router es nuevo". Milliwatts, dB, dBm — parecen tres idiomas, pero es uno solo con tres acentos. Y la gramática completa cabe en una servilleta: un logaritmo, tres números mágicos y una referencia. Vamos por partes, sin drama.

Un dB no es una unidad: es una comparación

Primero lo incómodo: el decibel no mide nada por sí solo. Es una forma de decir "cuántas veces más" (o menos) entre dos cantidades:

dB = 10 · log10(P2 / P1)

Eso es todo. Todo lo demás — dBm, dBi, dB SPL — son variantes de esta única fórmula donde alguien fijó el P1 de referencia. Si alguien te dice "la señal es de 40 dB" sin decir respecto a qué, te está diciendo "mi casa está a 40" sin decir de qué ni en qué unidad.

¿Y por qué meter un logaritmo en algo tan simple como dividir? Porque en RF y en óptica las razones son monstruosas. Un enlace de 10 km a 5,8 GHz pierde por el camino un factor de casi seis billones (un 6 seguido de 12 ceros). Nadie opera con esos números a mano. El logaritmo los aplasta a escala humana: esa pérdida atroz queda en 127,7 dB, un número que se anota en una servilleta. Piensa en el logaritmo como un contador de ceros: 10 dB por cada cero de la razón.

Y el logaritmo trae un regalo que justifica todo el invento: multiplicar razones equivale a sumar sus dB. Una cadena de amplificadores, cables y aire — cada etapa multiplicando o dividiendo la potencia — se convierte en una suma de colegio: +14 por aquí, −127,7 por allá, +14 de vuelta. Por eso los presupuestos de enlace se suman: no es una convención arbitraria, es la propiedad matemática que hace el decibel útil.

Los números mágicos: 3, 10 y sus combinaciones

Para operar en dB no necesitas calcular logaritmos. Necesitas memorizar dos equivalencias y combinar:

• +10 dB = ×10 exacto. Sale directo de la definición: log10(10) = 1. De ahí, +20 dB = ×100 y +30 dB = ×1000.
• +3 dB ≈ ×2. El valor real es ×1,995 — le falta un cuarto de punto porcentual para ser el doble, y en terreno nadie mide con esa finura. Su espejo: −3 dB ≈ ÷2 (×0,501).

Con esas dos piezas armas cualquier cosa, como con LEGO: +6 dB = 3+3 = ×4 (real: 3,98). +13 dB = 10+3 = ×20. −23 dB = ÷200. ¿Y +1 dB? Es ×1,26 — un cuarto más — pero honestamente, con el 3 y el 10 resuelves el 95 % de la vida. El conversor de dB te da los decimales cuando la servilleta no basta.

dBm: el dB que sí es una cantidad

Aquí aparece la variante estrella. El dBm es un dB donde la referencia quedó clavada por decreto: P1 = 1 mW. Al fijar la referencia, la comparación se vuelve absoluta: 0 dBm no es "cero potencia", es exactamente 1 mW. De ahí para arriba y para abajo, la escalera de 10 en 10:

• +30 dBm = 1 W (1 mW × 1000).
• 0 dBm = 1 mW — la referencia, el peldaño cero.
• −30 dBm = 1 µW, −60 dBm = 1 nW, −90 dBm = 1 pW.

Fíjate en el rango: de −90 a +30 dBm hay un factor de un billón, y la escala lo recorre en 120 pasos iguales. Sobre esa escalera vive todo tu trabajo diario: un radio WiFi transmite alrededor de +23 dBm (200 mW), un receptor de fibra está cómodo recibiendo −8 dBm (0,16 mW), y una celda WiFi bien diseñada entrega al borde unos −65 dBm — que son 316 picowatts, y con eso tu teléfono sostiene una videollamada. La radio moderna es, literalmente, el arte de escuchar picowatts.

Como la referencia es fija, la aritmética de unidades queda clara: dBm + dB = dBm (a un nivel le aplicas una ganancia o pérdida), y dBm − dBm = dB (la diferencia entre dos niveles es una razón). Para convertir con decimales de verdad, el conversor dBm/mW hace el trabajo en ambos sentidos.

Cabeza de calculadora: de dBm a mW en una tarde

El truco de conversión mental es descomponer el número en dieces y treses, partiendo del múltiplo de 10 más cercano:

$ dbm 23
23 dBm = 20 dBm + 3 dB = 100 mW × 2 = 200 mW   (exacto: 199,5)
$ dbm 27
27 dBm = 30 dBm − 3 dB = 1000 mW ÷ 2 = 500 mW  (exacto: 501,2)

Eso es todo el método: ancla en 0, 10, 20 o 30 dBm y ajusta con ±3. Una tarde de práctica y traduces datasheets más rápido de lo que carga la página del fabricante:

¿Te fijaste en el 26? Es el radio del vendedor del comienzo: "tira 400 mW" se traduce a 26 dBm, y ya puedes compararlo con cualquier otro sin sacar el teléfono. Para bajar de dBm a dBW, resta 30 y listo: +23 dBm = −7 dBW (por eso casi nadie usa dBW en interiores — los negativos confunden).

La familia dB: misma película, distinta referencia

Una vez que ves el patrón — dB genérico + referencia fija = unidad absoluta — reconoces a toda la parentela:

• dBi: ganancia de antena respecto a una antena isotrópica, la esfera ideal que reparte igual en todas direcciones. No existe físicamente; es la vara de medir.
• dBd: lo mismo, pero respecto a un dipolo de media onda, que ya tiene ganancia propia. La conversión es fija: dBi = dBd + 2,15. Ojo en los catálogos: la misma antena "rinde más" en dBi, y algún departamento de marketing lo sabe.
• dBµV: nivel de voltaje respecto a 1 µV, común en TV por cable y broadcast. Dato para lucirse: 0 dBm sobre 50 Ω equivale a 107 dBµV (224 mV).
• dB SPL: presión sonora respecto a 20 µPa, el umbral de audición humana. Por eso los calibradores de micrófono suenan a 94 dB SPL: es exactamente 1 pascal. Si además instalas audio, la calculadora de SPL de parlantes usa esta misma escala.

Misma fórmula, mismo truco mental, distinta vara. Aprendiste una unidad y de regalo te llevaste cinco.

10·log o 20·log: el detalle del cuadrado

Habrás notado que el dBµV y el dB SPL usan 20·log en vez de 10·log. No es otra definición: es la misma. La potencia crece con el cuadrado del voltaje (P = V²/R) y de la presión sonora, y el logaritmo saca el cuadrado como un ×2 al frente: 10·log10(V²) = 20·log10(V). Así los dB encajan entre mundos: duplicar el voltaje son +6,02 dB, que es lo mismo que cuadruplicar la potencia (+6 dB = ×4, real 3,98). Un solo idioma, sin traducción. La regla operativa: cantidades de potencia (watts) van con 10·log; cantidades de campo (voltios, amperes, pascales) van con 20·log. El conversor de dB trae ambos modos para que no te muerda el cuadrado.

El ejemplo que junta todo: 10 km a 5,8 GHz

Tomemos el mismo enlace de la guía de radioenlaces — las guías de esta casa se saludan entre sí — y mirémoslo solo con los lentes del decibel. Radio de 23 dBm, antenas de 14 dBi a cada lado, 10 km de aire a 5,8 GHz (onda de unos 5,2 cm, dicho sea de paso — el conversor de frecuencia y onda te lo confirma):

1. Sales del radio con +23 dBm. Ya sabes leerlo sin calculadora: 20 + 3 → 100 mW × 2 = 200 mW.
2. La antena transmisora suma su ganancia: 23 + 14 = +37 dBm de EIRP. En lineal serían unos 5 W equivalentes concentrados en el haz — y acabas de multiplicar por 25 sin multiplicar: solo sumaste 14.
3. El camino cobra su peaje: el espacio libre a 5,8 GHz y 10 km resta 127,7 dB. En razones: llega una parte entre casi seis billones. En dB: 37 − 127,7 = −90,7 dBm. Una resta.
4. La antena receptora rescata: −90,7 + 14 = Prx = −76,7 dBm. Eso es la magia completa: +23 + 14 − 127,7 + 14 = −76,7. Cuatro operaciones de suma para modelar multiplicaciones de doce cifras.
5. Traduce el resultado: −76,7 dBm son unos 21 pW. Sí, picowatts: saliste con 200 mW y llegas con la potencia de una luciérnaga agónica — y funciona, porque el receptor declara sensibilidad de −85 dBm. Margen: −76,7 − (−85) = 8,3 dB. Escaso para dormir tranquilo; cómo engordarlo es exactamente el tema de la guía de radioenlaces.

Si el montaje llevara 10 metros de coaxial entre radio y antena, entraría a la misma suma como otro término negativo — la calculadora de pérdida coaxial te dice cuántos dB según el cable y la frecuencia. Esa es la elegancia del sistema: aire, cable, conectores, antenas y amplificadores, todos hablan el mismo idioma y todos entran a la misma suma.

Ahora el drama quedó donde corresponde: en las telenovelas. Practica la escalera con el conversor dBm/mW hasta que 23 → 200 te salga sin pensar, verifica tus razones en el conversor de dB, y la próxima vez que un datasheet te hable en milliwatts, tradúcelo tú antes de que termine de cargar la página.