Subimos un peldaño en el modelo OSI: la capa 2 o capa de enlace de datos. Si la capa física entrega un chorro de bits "en bruto", la capa de enlace es la que le pone orden: agrupa los bits en tramas, les asigna remitente y destinatario dentro de la red local, decide quién puede transmitir en cada momento y detecta cuándo una trama ha llegado corrupta. En el módulo 2 (lección 02-02) ya trabajaste con sus protagonistas —la trama Ethernet, las direcciones MAC, ARP y la tabla del switch—, así que aquí no vamos a repetir ese detalle: vamos a mirar la capa 2 desde el modelo OSI, entendiendo sus servicios como capa, sus dos subcapas internas (LLC y MAC), y añadiendo una pieza nueva de enorme importancia práctica: las VLANs. Esta capa es tu territorio siempre que el problema esté "dentro de la oficina": entre un equipo y su switch, o entre equipos de la misma red local.

1. La función de la capa de enlace dentro del modelo
2. Los cuatro servicios de la capa 2
3. Las dos subcapas: LLC y MAC
4. El switch, dispositivo de capa 2 por excelencia
5. VLANs: redes lógicas sobre un mismo switch
6. El dominio de difusión, revisitado desde OSI

El contrato de la capa 2 con sus vecinas es el siguiente:

• Qué recibe de arriba (capa 3): un paquete que hay que entregar al siguiente salto dentro de la red local — sea el destinatario final (el servidor .10, si está en la misma red) o el router que sacará el paquete hacia otra red.
• Qué servicio ofrece a la capa 3: entrega del paquete al nodo vecino correcto, con los errores de transmisión detectados y las tramas corruptas descartadas.
• Qué usa de abajo (capa 1): la transmisión de bits por el medio, con sus imperfecciones.
• Su PDU: la trama. Sus direcciones: las MAC.

La palabra clave es local. La capa de enlace solo ve un enlace: un tramo entre nodos directamente conectados (el PC de Marta y su switch, el switch y el router). No sabe nada de redes remotas: cuando el ping de Marta viajó hasta Bilbao en 02-03, el paquete IP fue el mismo de extremo a extremo, pero la trama se destruyó y se reconstruyó en cada salto. La trama es el sobre de reparto del último tramo; el paquete es la carta que viaja entera. Este reparto —capa 2 local, capa 3 extremo a extremo— es una de las divisiones más importantes de todo el modelo OSI.

Visto como capa del modelo, el enlace de datos ofrece cuatro servicios. Los dos primeros te sonarán de 02-02; los enunciamos ahora con su nombre formal:

Convertir el chorro continuo de bits de la capa 1 en unidades con principio y fin: las tramas. Cada trama lleva un delimitador de inicio, cabecera, carga útil y cola, de modo que el receptor sepa exactamente dónde empieza y termina cada unidad. Sin entramado, los bits recibidos serían ininterpretables — como un texto sin espacios ni puntuación. La estructura concreta de la trama Ethernet ya la desglosamos en 02-02.

Cada trama lleva la MAC de origen y de destino, lo que permite que, en un medio donde hay muchos nodos (todos los equipos de Valencia cuelgan del mismo switch), cada trama llegue solo a quien debe. Recuerda de 02-02 que la traducción "tengo una IP destino, necesito su MAC" la hace ARP, y que puedes ver la caché de tu equipo con arp -a. Desde la perspectiva OSI, ARP es el pegamento entre el direccionamiento lógico de la capa 3 y el físico de la capa 2.

Cuando varios nodos comparten un medio, alguien tiene que arbitrar los turnos de transmisión. Son los mecanismos CSMA/CD (Ethernet clásico con hubs) y CSMA/CA (Wi-Fi) que vimos en 02-02: escuchar antes de hablar y gestionar las colisiones. En el Ethernet conmutado moderno de Meridiano las colisiones han desaparecido (cada equipo tiene su cable dedicado al switch), pero en el Wi-Fi de la oficina el arbitraje sigue plenamente vigente: el aire es un medio compartido y el punto de acceso y los portátiles se reparten los turnos con CSMA/CA.

Este servicio merece detenerse, porque cierra el cabo suelto de la lección anterior: la capa 1 entrega los bits tal cual llegan, incluidos los corruptos por ruido o atenuación. La capa 2 los detecta así:

• El emisor calcula un valor matemático a partir de todos los bits de la trama —un CRC (comprobación de redundancia cíclica)— y lo escribe en la cola de la trama, en el campo FCS (Frame Check Sequence).
• El receptor rehace el mismo cálculo sobre los bits recibidos y lo compara con el FCS que llegó.
• Si no coinciden, algún bit cambió por el camino: la trama se descarta silenciosamente.

Conceptualmente, el CRC es como el dígito de control de un número de cuenta bancaria o de un DNI: un valor derivado del contenido que delata casi cualquier alteración. Dos matices importantes:

• Es detección, no corrección: la capa 2 tira la trama corrupta, pero no la arregla ni pide su reenvío. Recuperar los datos perdidos, si hace falta, es trabajo de capas superiores (TCP, capa 4, con sus retransmisiones — módulo 02-04).
• Los contadores de "CRC errors" de un switch son oro para el diagnóstico: un puerto que acumula errores de CRC delata casi siempre un problema de capa 1 (cable dañado, conector sucio, interferencias). Si el cable averiado de la sala de reuniones de Valencia hubiera estado casi bien en vez de cortado, el síntoma habría sido exactamente ese: red lenta e intermitente y errores de CRC creciendo en el puerto 24.

El estándar divide internamente la capa 2 en dos subcapas. Es un detalle clásico de examen y ayuda a entender el diseño:

La idea de fondo: la subcapa MAC es distinta para Ethernet y para Wi-Fi (medios distintos, reglas de acceso distintas), pero la subcapa LLC presenta a la capa 3 la misma cara en ambos casos. Gracias a eso, IP no necesita saber si va sobre cable o sobre radio: cuando el portátil de Ana pasa del cable de su mesa al Wi-Fi de la sala de reuniones, cambia la subcapa MAC, pero IP ni se entera. De aquí viene, por cierto, el nombre "dirección MAC": es la dirección de la subcapa MAC.

Si el router es el dispositivo emblema de la capa 3, el switch lo es de la capa 2. Su funcionamiento ya lo estudiaste en 02-02, así que solo lo situamos en el mapa OSI: el switch recibe la trama (subiendo por las capas 1 y 2), lee la MAC de destino, consulta su tabla MAC (que construye aprendiendo las MAC de origen que ve por cada puerto) y reenvía la trama únicamente por el puerto correcto; si no conoce el destino, la difunde por todos. Ahí se detiene: no mira la IP ni los puertos TCP — eso sería subir a capas 3 y 4, que no son asunto suyo.

Esta posición en la capa 2 explica sus virtudes frente al hub que enterramos en la lección anterior: al entender direcciones MAC puede conmutar cada trama solo hacia su destino, eliminando colisiones y dando a cada puerto su ancho de banda completo. El punto de acceso Wi-Fi de Valencia es también, esencialmente, un dispositivo de capa 2: un "switch inalámbrico" que tiende puentes entre el aire y el cable.

En el catálogo verás también "switches de capa 3": equipos que además saben enrutar entre redes. No te confundan: son un híbrido (switch + router en una caja) habitual en empresas grandes; el de Meridiano es un switch de capa 2 clásico.

Y ahora, la novedad importante de esta lección. Planteemos el problema con un caso real de Meridiano:

El caso: Grupo Meridiano recibe visitas de clientes en la oficina de Valencia, y les ofrece Wi-Fi. Pero hay un problema serio: cualquier dispositivo conectado a la red 192.168.10.0/24 está "dentro" — puede intentar acceder al servidor de ficheros .10, ver a los demás equipos y recibir todas las difusiones. ¿La dirección quiere que el portátil personal de un visitante conviva en la misma red local que el servidor con los datos de los clientes? Desde luego que no.

La solución ingenua: comprar un segundo switch, un segundo punto de acceso y cablear una red física separada para invitados. Funciona, pero duplica hardware, cableado y mantenimiento para dar servicio a tres visitas por semana.

La solución de capa 2: las VLANs (Virtual LANs, redes locales virtuales). Una VLAN permite dividir un mismo switch físico en varios switches lógicos: se asigna cada puerto a una VLAN, y el switch se comporta como si los puertos de VLANs distintas estuvieran en aparatos separados y sin conexión entre sí.

Puntos clave del concepto (nos quedamos en lo conceptual; la configuración detallada excede este curso):

• La separación es total a nivel de capa 2: ni tramas dirigidas ni difusiones cruzan de una VLAN a otra. El portátil del visitante no puede ni "ver" el servidor .10, aunque esté enchufado al mismo aparato físico.
• Cada VLAN es su propia red lógica y normalmente lleva su propio rango IP (la corporativa seguiría en 192.168.10.0/24; la de invitados usaría otro rango con salida solo a Internet).
• Si algo debe cruzar entre VLANs, hace falta un dispositivo de capa 3 (el router): pasar de una VLAN a otra es, a todos los efectos, pasar de una red a otra. Esto refuerza la frontera OSI: el switch separa (capa 2), el router comunica redes (capa 3).
• Cuando varias VLANs deben viajar por un mismo cable (por ejemplo, del switch al punto de acceso que emite el Wi-Fi corporativo y el de invitados), las tramas se marcan con una etiqueta que indica su VLAN (estándar 802.1Q); así los dispositivos saben a qué red lógica pertenece cada trama. Quédate con la idea de la etiqueta; el detalle del estándar no es necesario ahora.

Las VLANs son omnipresentes en redes de empresa: separar departamentos, aislar la telefonía IP, las cámaras de seguridad o los invitados, todo sobre el mismo hardware. Para Meridiano, la propuesta técnica queda: VLAN 10 corporativa y VLAN 20 de invitados sobre el switch y el punto de acceso existentes, y el router controlando (y restringiendo) cualquier paso entre ambas.

En 02-02 definimos el dominio de difusión: el conjunto de equipos que reciben una trama enviada a la MAC de difusión (FF:FF:FF:FF:FF:FF), como las peticiones ARP o el descubrimiento DHCP. Ahora podemos enunciarlo con precisión OSI:

• Un switch (capa 2) NO separa dominios de difusión: reenvía las difusiones por todos sus puertos... de la misma VLAN.
• Un router (capa 3) SÍ los separa: las difusiones no atraviesan la capa 3. Valencia y Bilbao son dos dominios de difusión distintos; un ARP lanzado por Marta jamás llega a Bilbao.
• Cada VLAN es un dominio de difusión propio: esta es la novedad. Con las VLANs 10 y 20 configuradas, el switch de Valencia contiene dos dominios de difusión sobre un solo aparato. Las tormentas de difusión, los ARP y los DHCP de los invitados se quedan en su VLAN.

Esta tabla condensa medio módulo: memorízala entendiéndola, porque es pregunta segura en cualquier certificación y, más importante, es la que te dice qué aparato necesitas para cada problema de diseño.

• Pensar que la trama viaja de extremo a extremo. No: la trama vive un solo salto; en cada router se desencapsula y se crea una nueva para el siguiente tramo. Lo que persiste de extremo a extremo es el paquete IP (capa 3). Confundir esto arruina cualquier razonamiento de diagnóstico.
• Creer que el FCS corrige errores o provoca reenvíos. Solo detecta y descarta. Si nadie retransmite por encima (UDP, por ejemplo), esos datos se pierden sin más.
• Atribuir al switch inteligencia de capa 3. Un switch estándar no entiende de IPs: si un equipo tiene mal la máscara o la gateway, el switch seguirá entregando sus tramas felizmente; el problema estará una capa más arriba.
• Pensar que una VLAN es "más o menos" una separación. La separación de capa 2 es absoluta: sin un router de por medio, dos VLANs no se comunican en absoluto. Es precisamente su valor como medida de seguridad.
• Olvidar que Wi-Fi también es capa 2 (y 1). El punto de acceso participa del mismo dominio de difusión que el cable al que se conecta (salvo VLANs); los problemas de asociación Wi-Fi son problemas de capas 1-2, no de IP.
• Consejo: ante una red local "lenta e intermitente", pide los contadores de errores CRC de los puertos del switch. Es el puente perfecto entre el diagnóstico de capa 2 y la causa de capa 1.

Ejercicio 1. Asigna cada tarea a uno de los cuatro servicios de la capa de enlace (entramado, direccionamiento físico, control de acceso al medio, detección de errores): (a) el portátil de Ana espera a que el canal Wi-Fi quede libre antes de transmitir; (b) el servidor .10 descarta una trama cuyo FCS no cuadra; (c) el switch lee AA:BB:CC:11:22:33 como destino de una trama; (d) la tarjeta de red localiza el delimitador de inicio para saber dónde empieza la trama.

Ejercicio 2. Tras configurar las VLANs 10 (corporativa) y 20 (invitados) en el switch de Valencia, un visitante conectado al Wi-Fi de invitados intenta: (a) hacer ping al servidor 192.168.10.10, (b) navegar por Internet, (c) recibir IP por DHCP. Razona qué ocurre con cada intento y qué dispositivo tendría que intervenir para que (a) fuera posible si algún día se necesitara.

Ejercicio 3. El puerto 7 del switch de Valencia (el de Marta) acumula miles de errores de CRC desde ayer, y Marta nota la red lentísima. (a) ¿En qué capa OSI está actuando la detección que genera esos contadores? (b) ¿En qué capa está casi seguro la causa? (c) Propón dos comprobaciones concretas. (d) ¿Por qué la navegación de Marta "funciona pero lenta" en vez de fallar del todo? (Pista: piensa en qué capa retransmite.)

Solución 1. (a) Control de acceso al medio (CSMA/CA en Wi-Fi). (b) Detección de errores (comprobación FCS/CRC). (c) Direccionamiento físico (MAC destino para conmutar). (d) Entramado (delimitar dónde empieza y acaba la trama).

Solución 2. (a) Falla: el ping requeriría que la trama cruzara de la VLAN 20 a la 10, y la separación de capa 2 es total; el equipo del visitante ni siquiera resuelve por ARP la MAC del servidor. (b) Funciona, si la VLAN 20 tiene salida hacia el router y este da acceso a Internet: navegar no requiere tocar la VLAN corporativa. (c) Funciona, siempre que exista un servicio DHCP para la VLAN 20 (recuerda que DHCP usa difusiones y estas no salen de su VLAN, así que el servicio debe estar presente en esa VLAN o el router debe reenviarlas). Para que (a) fuera posible, tendría que intervenir el router (capa 3): solo un dispositivo de capa 3 comunica VLANs, y permitiría aplicar reglas (por ejemplo, permitir solo un servicio concreto).

Solución 3. (a) La detección es un servicio de capa 2: el FCS de las tramas se comprueba al recibirlas y los fallos se cuentan por puerto. (b) La causa es casi con seguridad de capa 1: cable dañado, conector defectuoso, interferencia — algo corrompe bits en el medio. (c) Comprobaciones: sustituir el latiguillo de Marta por uno conocido bueno; probar la roseta/tramo fijo con un comprobador o conectar a Marta a otra roseta y ver si los errores siguen; revisar si algo cambió ayer (obras, un cable pinzado). (d) Funciona lenta porque TCP (capa 4) retransmite los segmentos cuyas tramas se descartaron: los datos acaban llegando, pero cada pérdida cuesta tiempo. Es el modelo OSI en acción: la capa 2 descarta, la capa 4 recupera, y el usuario solo percibe lentitud.

La capa de enlace de datos convierte el chorro de bits de la capa física en comunicación ordenada dentro de la red local: entrama los datos, los dirige con MACs, arbitra el acceso al medio y detecta los errores con el FCS, descartando lo corrupto y dejando la recuperación a las capas superiores. Por dentro se divide en LLC (cara uniforme hacia la capa 3) y MAC (lo específico de cada medio). Su dispositivo estrella es el switch, y con las VLANs aprendiste a partir un switch físico en varias redes lógicas — cada una su propio dominio de difusión —, resolviendo el aislamiento de los invitados de Meridiano sin comprar hardware. Pero la capa 2 tiene una frontera infranqueable: solo conoce su red local. Para que el ping de Marta llegue a Bilbao, para comunicar las VLANs 10 y 20, para elegir caminos entre redes, hay que subir un escalón: direcciones lógicas, routers y encaminamiento. Es la capa de red, y es la próxima lección.