El modelo OSI: las 7 capas explicadas

El modelo OSI divide la comunicación en red en siete capas, desde el cable físico (capa 1) hasta la aplicación (capa 7). Cada capa tiene una única función y solo se comunica con las capas inmediatamente superior e inferior. El modelo es una herramienta didáctica y de diagnóstico; la internet real utiliza el modelo TCP/IP de cuatro capas, más sencillo.

Las siete capas

En el lado emisor, los datos bajan por las capas y cada una añade su propia cabecera. Esto se denomina encapsulación. El receptor retira las cabeceras en el orden inverso. La unidad de datos de cada capa se llama PDU (unidad de datos de protocolo).

Capa	Nombre	PDU	Protocolos de ejemplo	Dispositivos habituales
7	Aplicación	Datos	HTTP, DNS, SMTP, SSH	Proxy, cortafuegos de aplicación
6	Presentación	Datos	TLS (en parte), codificaciones de caracteres, MIME	-
5	Sesión	Datos	RPC, sesión NetBIOS, TLS (en parte)	-
4	Transporte	Segmento (TCP) o datagrama (UDP)	TCP, UDP	Cortafuegos, balanceador de carga
3	Red	Paquete	IP, ICMP, OSPF	Router, conmutador de capa 3
2	Enlace de datos	Trama	Ethernet, Wi-Fi (802.11), ARP	Conmutador, punto de acceso
1	Física	Bit	Cableado Ethernet, fibra, radio	Cable, hub, repetidor

OSI frente a TCP/IP

El modelo TCP/IP tiene cuatro capas y refleja cómo se construyeron realmente los protocolos. La correspondencia es aproximada:

Capa TCP/IP	Capas OSI
Aplicación	7, 6, 5
Transporte	4
Internet	3
Enlace (acceso a la red)	2, 1

Algunos libros presentan TCP/IP con cinco capas, dividiendo la capa de enlace en enlace de datos y física. En el trabajo diario se sigue hablando de «conmutador de capa 2» o «cortafuegos de capa 7» con la numeración OSI, así que conviene conocer ambos modelos.

Qué ocurre al abrir un sitio web

Imagine que escribe https://example.com en el navegador.

1. Capa 7: el navegador necesita una dirección, así que envía una consulta DNS para example.com. Más tarde envía una petición HTTP.
2. Capa 6/5: un handshake TLS negocia las claves de cifrado y comprueba el certificado del servidor.
3. Capa 4: TCP abre una conexión al puerto 443 con un handshake de tres pasos (SYN, SYN-ACK, ACK) y divide los datos en segmentos.
4. Capa 3: IP coloca las direcciones de origen y destino en los paquetes. Los routers los reenvían salto a salto.
5. Capa 2: en cada enlace, el paquete se coloca en una trama con direcciones MAC. En redes IPv4, ARP averigua la dirección MAC del siguiente salto.
6. Capa 1: la trama se convierte en señales eléctricas, pulsos de luz u ondas de radio.

En el servidor, los mismos pasos se ejecutan en orden inverso, de la capa 1 a la capa 7.

¿Qué capa comprueba cada herramienta?

Cada comprobación de red demuestra que las capas hasta cierto punto funcionan. La tabla muestra dónde encaja cada una de nuestras herramientas.

Herramienta	Capa	Qué demuestra
Ping	3 (ICMP)	El equipo es alcanzable a nivel IP y cuánto tarda un viaje de ida y vuelta
Traceroute	3	Qué routers hay en la ruta y dónde empiezan el retardo o la pérdida
Comprobador de puertos	4 (TCP)	Se puede abrir una conexión TCP a un puerto determinado
Comprobador SSL	6/5, sobre 4	El handshake TLS funciona y el certificado es válido
Cabeceras HTTP	7	El servidor web responde y qué estado y cabeceras envía
Comprobador DNS	7	Los servidores de nombres devuelven los registros esperados

Hay tres detalles que requieren cuidado:

• TLS no encaja en una sola capa. En el modelo OSI suele situarse en la capa 6 (cifrado y presentación), a veces en la capa 5 (sesión). En el modelo TCP/IP forma simplemente parte de la capa de aplicación y se ejecuta sobre TCP. Para el diagnóstico basta saber que TLS actúa después de TCP y antes de HTTP.
• Ping puede fallar en un equipo que funciona. Muchos cortafuegos descartan las solicitudes de eco ICMP. Un ping fallido no siempre significa que el equipo esté caído, así que compruebe también el puerto. Además, traceroute usa el campo TTL de los paquetes IP y las respuestas ICMP de tiempo excedido, y algunos routers no responden, lo que se ve como un hueco en la salida.
• DNS funciona en la capa 7 aunque se necesite antes que todo lo demás. Normalmente usa el puerto UDP 53, y el puerto TCP 53 para respuestas grandes y transferencias de zona.

Diagnóstico de abajo arriba

Un método fiable consiste en empezar por la capa 1 y subir. Cada paso descarta todo un grupo de posibles causas.

1. Capa 1: ¿Está conectado el cable, activado el Wi-Fi y encendida la luz de enlace?
2. Capa 2: ¿Tiene el dispositivo enlace con el conmutador o el punto de acceso? ¿Es correcta la VLAN? Compruebe si hay direcciones MAC duplicadas o una contraseña Wi-Fi errónea.
3. Capa 3: ¿Tiene el dispositivo una dirección IP, una máscara y una puerta de enlace válidas? ¿Puede hacer ping a la puerta de enlace y después a una dirección externa como 192.0.2.1? Use traceroute si la ruta falla a mitad de camino. Consulte qué es una dirección IP y subredes para ver los errores de direccionamiento más comunes.
4. Capa 4: ¿Está abierto el puerto y no lo bloquea un cortafuegos? Consulte los puertos conocidos.
5. Capas 5-6: ¿Se completa el handshake TLS? Busque un certificado caducado, un nombre incorrecto o una versión de protocolo no admitida.
6. Capa 7: ¿Se resuelve el nombre y devuelve la aplicación una respuesta correcta?

En la práctica también se puede trabajar de arriba abajo o dividir el problema por la mitad: si la comprobación de un puerto funciona, las capas 1 a 4 están bien y puede centrarse en la aplicación.