Tema 59 · Núvol i xarxes

Models de computació híbrids. IaaS, PaaS i SaaS

Enunciat oficial. Models de computació híbrids. Models de servei IaaS, PaaS, SaaS. Núvols públics, privats, híbrids i multicloud.

1. La definició del NIST

NIST SP 800-145 (SP: Special Publication) — The NIST Definition of Cloud Computing: model que permet un accés ubic, convenient i sota demanda a través de la xarxa a un conjunt compartit de recursos informàtics configurables —xarxes, servidors, emmagatzematge, aplicacions i serveis— que es poden proveir i alliberar ràpidament amb un esforç mínim de gestió o d'interacció amb el proveïdor del servei.

Les cinc característiques essencials

1. Autoservei sota demanda (on-demand self-service): l'usuari provisiona capacitat unilateralment, sense interacció humana amb el proveïdor.
2. Accés ampli per xarxa (broad network access): disponible per la xarxa amb mecanismes estàndard, des de qualsevol tipus de client.
3. Agrupació de recursos (resource pooling): els recursos del proveïdor s'agrupen per servir múltiples consumidors en model multiinquilí (multi-tenant), assignats i reassignats dinàmicament; el client no coneix ni controla la ubicació exacta, encara que en pot especificar el nivell —país, regió, CPD (Centre de Processament de Dades)—.
4. Elasticitat ràpida (rapid elasticity): les capacitats es proveeixen i alliberen elàsticament, a vegades automàticament, i al consumidor li semblen il·limitades.
5. Servei mesurat (measured service): l'ús es mesura, controla i informa automàticament, amb transparència per a totes dues parts. És el que fa possible el pagament per ús.

Aquestes cinc són les que es pregunten. No en són característiques la «seguretat garantida», la «ubicació física coneguda» ni el «cost sempre inferior».

1.1 Núvol, clúster i graella: paradigmes veïns, no sinònims

Un clúster de computació (cluster computing) és un conjunt de màquines individuals que treballen amb les seves capacitats individuals per executar un treball de càlcul col·lectiu: cada node hi aporta la seva CPU (Central Processing Unit) i memòria per a una sola tasca compartida, típicament de càlcul científic o d'alt rendiment. No té les característiques essencials del núvol —no és autoservei sota demanda ni serveix múltiples clients de manera elàstica i mesurada—, encara que sovint s'hi confon. La graella (grid computing) hi afegeix la distribució dels recursos entre institucions i ubicacions diferents, coordinades per resoldre una mateixa tasca.

2. Els tres models de servei

Els tres models responen sempre a la mateixa pregunta: on es talla la pila, és a dir, fins on arriba el que gestiona el proveïdor i què li queda al client. Com més amunt talla el proveïdor, menys feina d'administració té el client —i menys marge per configurar el que hi ha a sota—. IaaS li deixa el sistema operatiu cap amunt; PaaS li deixa només el codi i les dades; SaaS no li deixa ni el codi. No hi ha cap tall que sigui millor: n'hi ha un que encaixa amb cada cas d'ús (§4.1).

Definicions literals que cauen:

• IaaS: la modalitat en què l'usuari és responsable del sistema operatiu i de totes les dades, les aplicacions, el middleware i els temps d'execució, i el proveïdor li dona accés i administra la xarxa, els servidors, la virtualització i l'emmagatzematge que sigui necessari. També: el model que proporciona recursos d'infraestructura sota demanda —computació, emmagatzematge i xarxes— però deixa al client la gestió del sistema operatiu i del programari.
• PaaS: el proveïdor aporta tot l'entorn de desenvolupament, prova, preproducció i execució; el client només hi posa el codi i les dades. És la resposta correcta quan l'escenari diu que l'equip de desenvolupament no pot assumir tasques d'infraestructura i cal sortir a temps: amb PaaS no cal administrar servidors ni sistemes operatius.
• SaaS: aplicació acabada oferta com a servei; el client només configura i posa dades. Dropbox, Microsoft 365 i Salesforce en són exemples. També ho és contractar l'accés a un sistema de gestió d'actius en format de pagament per ús, per exemple per un nombre màxim d'usuaris simultanis.

Categories derivades: CaaS (contenidors), FaaS/serverless (funcions), DBaaS (bases de dades), DaaS (escriptori), STaaS (emmagatzematge), XaaS (qualsevol cosa com a servei).

Responsabilitat compartida — el concepte que més s'oblida: la responsabilitat sobre la seguretat es reparteix entre proveïdor i client segons el model, però la responsabilitat jurídica sobre les dades continua sent sempre del client, que és el responsable del tractament (RGPD) i el titular del servei públic. Regla mnemotècnica: el proveïdor és responsable de la seguretat del núvol; el client, de la seguretat en el núvol.

3. Els models de desplegament

Mentre que els models de servei diuen qui gestiona què, els de desplegament diuen qui pot fer servir la infraestructura. Els quatre del NIST es distingeixen per l'abast d'aquest ús —una sola organització, una comunitat, tothom, o una combinació lligada de les anteriors—, no per la ubicació física: aquesta confusió és la que el tribunal explota.

Definicions que es pregunten literalment:

• Núvol híbrid: quan una organització té allotjats els seus sistemes d'informació en proveïdors externs i també en els seus propis CPD, amb interoperació entre tots dos entorns. La característica imprescindible perquè una infraestructura sigui híbrida és precisament aquesta: la combinació d'infraestructura pròpia i externa amb integració i portabilitat de dades i càrregues entre elles. No n'hi ha prou d'usar tots dos entorns per separat i sense connexió.
• Multinúvol (multicloud): ús de serveis de diversos proveïdors de núvol públic. Multinúvol ≠ híbrid: es pot ser multinúvol sense tenir res propi, i híbrid amb un sol proveïdor. La diferència no és quants núvols hi ha, és si estan integrats: l'híbrid exigeix que les dades i les càrregues puguin passar d'un entorn a l'altre; el multinúvol es pot fer amb quatre proveïdors que no es parlin entre ells. Aquesta és la distinció que més cau.
• Un núvol privat pot estar allotjat a casa d'un tercer: el que el defineix és l'exclusivitat d'ús, no la ubicació. Del comunitari el separa quantes organitzacions el poden fer servir —una contra unes quantes amb interessos comuns—, i del públic, que aquest està obert a qualsevol client sense relació amb els altres. Els tres poden estar a la mateixa nau: la ubicació no distingeix cap dels tres.

Motivacions de l'híbrid: dades o càrregues que no poden sortir per raons legals o de sobirania, sistemes heretats no migrables, inversió ja feta en CPD, latència, i cloud bursting (absorbir pics de demanda al núvol públic mantenint la base a casa).

Elements tècnics de l'híbrid: connectivitat dedicada (AWS (Amazon Web Services) Direct Connect, Azure ExpressRoute, Google Cloud Interconnect) o VPN (Virtual Private Network); identitat federada; xarxa i adreçament coherents; Kubernetes com a capa d'abstracció comuna; i solucions de núvol estès al CPD del client (Azure Stack, AWS Outposts, Google Anthos, OpenShift).

4. Beneficis, riscos i decisió

Beneficis: elasticitat, pagament per ús, rapidesa de provisió, accés a serveis gestionats i a tecnologia que no es podria operar internament, resiliència multizona, i conversió de CAPEX (Capital Expenditure: inversió amortitzable en actius que es compren una vegada) en OPEX (Operating Expenditure: despesa corrent que es paga mentre dura el servei). No és un estalvi automàtic —el mateix consum pot sortir més car—: el que canvia és quan es paga i de quin capítol surt; l'anàlisi econòmica de la decisió es fa al tema 3.

Riscos:

• Bloqueig de proveïdor (vendor lock-in): serveis propietaris, formats no exportables i costos d'egress. Mitigació: estàndards oberts, Kubernetes, OpenTelemetry, dades en formats oberts, i exigir la reversibilitat al plec.
• Cost descontrolat si no hi ha FinOps → tema 27. La despesa al núvol es genera cada hora, així que només es controla amb monitoratge continu del consum: revisar la factura un cop l'any, o contractar serveis dedicats per «tenir-ho tancat», arriben tard i encareixen.
• Pèrdua d'integritat, confidencialitat o disponibilitat de les càrregues allotjades a l'exterior. La integritat és que les dades no siguin alterades ni corrompudes sense autorització; al núvol el risc no ve tant del client com de l'entorn on aterren les dades: els recursos són compartits entre organitzacions (resource pooling, §1) i queden dins d'infraestructures de seguretat més complexes que el client no controla ni pot auditar directament. Aquesta última formulació és la que el tribunal ha donat per correcta quan ha preguntat a què fa referència el risc de pèrdua d'integritat: no l'apunta a la dificultat d'intercanviar dades amb altres proveïdors (això és bloqueig), ni a la ubicació dels servidors i la normativa aplicable (això és sobirania), ni al canvi de subencarregats durant el contracte.
• Dependència de la connectivitat i de la disponibilitat del proveïdor.
• Sobirania i jurisdicció de les dades → tema 60.
• Configuració incorrecta: la causa número u dels incidents al núvol (cubells oberts, permisos excessius, ports exposats). És responsabilitat del client.
• Shadow IT (Information Technology): qualsevol targeta de crèdit obre un compte.

Elasticitat vs escalabilitat: l'escalabilitat és la capacitat de créixer; l'elasticitat és fer-ho automàticament i en tots dos sentits segons la demanda, i alliberar el recurs quan ja no cal. Tota elasticitat és escalabilitat; no a l'inrevés: un sistema que només sap créixer, o que necessita una intervenció manual per fer-ho, és escalable i no elàstic. L'avantatge que ofereixen els proveïdors amb l'elasticitat en l'aprovisionament és que el client pot aprovisionar els recursos en funció de les seves necessitats de manera instantània, pagant només pel que s'utilitza i sense sobredimensionar per al pic: no cal informar el proveïdor per endavant dels aprovisionaments futurs —seria el contrari de l'autoservei sota demanda (§1)— ni el moviment és d'un sol sentit.

Escalat vertical (més recursos a la mateixa instància: té un sostre físic i sol exigir aturar el servei) davant d'horitzontal (més instàncies darrere d'un balancejador). El núvol premia l'horitzontal, que és l'únic que permet elasticitat de veritat.

Absorbir un pic de trànsit sense marge de temps: és el mateix escenari que decanta cap a PaaS quan cal sortir a temps sense assumir infraestructura (§2) — un lloc web perquè la ciutadania es descarregui dades, amb una campanya de comunicació imminent i un creixement exponencial de visites previst però no quantificat. La mesura més ràpida d'implementar per garantir que el servei ho aguanta és contractar una CDN (Content Delivery Network, xarxa de distribució de continguts) al núvol: replica el contingut a punts de presència distribuïts geogràficament, prop de qui el demana, i absorbeix el gruix del trànsit abans que arribi a l'origen. Escalar un sol servidor al màxim té un sostre físic (escalat vertical); balancejar-lo no serveix si no hi ha rèpliques darrere; i una CDN on-premise no dona l'abast geogràfic ni es desplega en pocs dies.

4.1 Criteris de selecció del model segons el cas d'ús

No hi ha un model millor: hi ha el que encaixa amb el que demana el cas. Les preguntes que el decideixen són poques i sempre les mateixes.

Quin model de servei. La pregunta és quanta pila vol —i pot— administrar el client:

Quin model de desplegament. La pregunta és qui pot fer servir la infraestructura i què impedeix que les dades surtin:

Criteris transversals, per desempatar quan més d'un model val: el cost total i no només la factura mensual (migració, sortida, formació, egress); la reversibilitat i portabilitat que es puguin exigir al plec; la latència cap a on són els usuaris i els sistemes que hi parlen; i quina part de la responsabilitat compartida pot assumir de debò l'organització —un SaaS no elimina la seva responsabilitat sobre les dades, només la del que hi ha a sota (§2)—.

5. Al sector públic

• ENS: els serveis de núvol han de ser conformes amb l'Esquema Nacional de Seguretat; el CCN (Centro Criptológico Nacional) publica el perfil de compliment específic per a serveis al núvol i guies de la sèrie CCN-STIC (Seguridad de las Tecnologías de la Información y las Comunicaciones) 800 (la 823 sobre utilització de serveis al núvol). El client ha de verificar la conformitat del proveïdor i assumir la part que li correspon de la responsabilitat compartida.
• RGPD: el proveïdor és encarregat del tractament; cal el contracte de l'RGPD, art. 28, l'anàlisi de subencarregats, la ubicació del tractament i les transferències internacionals (RGPD, art. 44 i següents) → tema comú 16.
• LCSP: la contractació de serveis al núvol ha de preveure reversibilitat, portabilitat de dades, propietat de les dades, nivells de servei i penalitats, auditoria i sortida.
• Data Act (Data Act): obliga els proveïdors a facilitar el canvi de proveïdor i a eliminar progressivament les tarifes de canvi.
• Pressupost: el pas a OPEX trasllada despesa del capítol 6 al capítol 2, amb l'impacte pressupostari corresponent → tema 27.
• Sobirania digital: la Mesura de digitalització oberta exigeix valorar el control sobre les dades i la infraestructura, i preferir programari lliure i estàndards oberts.

Claus d'examen

• Un supòsit que descriu urgència, equip que no pot assumir infraestructura i sortida a temps en el núvol públic demana PaaS, no IaaS (TS-TIC 2021 practica, s4-p020).
• El mateix supòsit, quan després pregunta com aguantar un creixement exponencial de visites amb poc marge de temps, demana una CDN al núvol: ni escalar un sol servidor, ni balancejar-lo sense rèpliques, ni una CDN on-premise (TS-TIC 2021 practica, s4-p028).
• Clúster de computació ≠ núvol: la definició que cau és «màquines individuals que uneixen les seves capacitats per a un treball de càlcul col·lectiu», sense autoservei ni elasticitat multiclient (TS-TIC 2021 especific, s0-p015).
• L'híbrid ha caigut tres vegades i sempre pel mateix: el que el defineix és la composició de dues o més infraestructures diferents que interoperen —CPD propi i proveïdor extern—, mai qui les gestiona, ni el consum energètic del CPD, ni un model de servei concret (TS-TIC 2018 especific, s0-p014; TS-TIC 2025 especific, s0-p066; TS-TIC 2025 practica, s4-p013).
• Risc de pèrdua d'integritat al núvol: l'opció correcta el lliga als recursos compartits entre organitzacions i a infraestructures de seguretat més complexes, no a la dificultat d'intercanviar dades amb altres proveïdors (bloqueig) ni a la ubicació dels servidors (sobirania) (TS-TIC 2023 especific, s0-p014).
• Elasticitat: l'afirmació certa és que el client aprovisiona de manera instantània segons les seves necessitats. Els distractors la neguen o la deixen coixa —només augmentar, o haver d'avisar el proveïdor per endavant— (TS-TIC 2023 especific, s0-p081).

Per recordar

• Cinc característiques essencials (NIST): autoservei sota demanda, accés ampli per xarxa, agrupació de recursos, elasticitat ràpida i servei mesurat.
• IaaS: el client gestiona SO (Sistema Operatiu), middleware, aplicacions i dades; el proveïdor, xarxa, servidors, virtualització i emmagatzematge.
• PaaS: el proveïdor aporta tot l'entorn de desenvolupament i execució; el client només codi i dades. És la resposta quan l'equip no pot assumir infraestructura.
• SaaS: aplicació acabada. Dropbox i Microsoft 365 en són exemples.
• Quatre models de desplegament: privat, comunitari, públic i híbrid.
• Híbrid = sistemes propis en CPD propi i en proveïdors externs, amb interoperació entre tots dos. Multinúvol = diversos proveïdors públics, integrats entre ells o no. No són el mateix.
• Un núvol privat es defineix per l'ús exclusiu, no per la ubicació.
• Responsabilitat compartida: el proveïdor respon de la seguretat del núvol; el client, de la seguretat en el núvol — i sempre de les dades.
• La causa número u dels incidents al núvol és la configuració incorrecta del client.
• Elasticitat = ajustar automàticament la capacitat a la demanda, en tots dos sentits, i pagar només l'usat; escalabilitat = només poder créixer. Tota elasticitat és escalabilitat, no a l'inrevés.
• Clúster de computació: màquines individuals que uneixen les seves capacitats per a un sol treball de càlcul col·lectiu. No és núvol: li falten l'autoservei i l'elasticitat multiclient.
• Davant un pic de trànsit imprevisible i poc marge de temps, la resposta ràpida és una CDN al núvol, no ampliar un sol servidor (escalat vertical, amb sostre físic) ni un CDN on-premise.

Tema 60 · Núvol i xarxes

Cloud sobirà i cloud per a l'Administració Pública

Enunciat oficial. Cloud sobirà i cloud per a l'Administració Pública. Regulació, sobirania del dada i cloud de confiança europeu.

1. El problema: què vol dir sobirania

Un núvol sobirà és el servei al núvol que garanteix alhora que les dades, les persones que hi accedeixen i la tecnologia que el sustenta queden sota una jurisdicció i un control determinats —a Europa, els de la UE—, de manera que ni una llei de fora en pugui forçar l'accés ni el proveïdor en pugui impedir la sortida. No el defineix on són els servidors: el defineixen les tres condicions que venen tot seguit, i n'hi ha prou que en falli una perquè la sobirania sigui nominal.

Sobirania de les dades (data sovereignty): les dades estan subjectes a les lleis del país on es troben o on opera qui les tracta. Emmagatzemar dades europees en un servei operat per una empresa nord-americana les fa potencialment accessibles sota la legislació dels Estats Units, encara que els servidors siguin a Europa.

Tres nivells que no s'han de confondre:

Residència de dades ≠ sobirania de dades. Que el CPD (Centre de Processament de Dades) sigui a Irlanda no impedeix una ordre judicial estrangera al proveïdor.

El conflicte concret: la CLOUD (Clarifying Lawful Overseas Use of Data) Act dels EUA (Estats Units d'Amèrica) (2018) permet a les autoritats nord-americanes requerir dades a proveïdors sotmesos a la seva jurisdicció allà on estiguin emmagatzemades. Això entra en tensió directa amb el RGPD i és el nucli del debat europeu.

2. Marc jurídic

2.1 Protecció de dades i transferències

• RGPD, capítol V (arts. 44–49): les transferències a tercers països requereixen decisió d'adequació (RGPD, art. 45), garanties adequades (RGPD, art. 46: clàusules contractuals tipus, normes corporatives vinculants) o alguna de les excepcions taxades (RGPD, art. 49).
• Schrems II (TJUE (Tribunal de Justícia de la Unió Europea), 2020): anul·la l'Escut de privadesa UE-EUA i exigeix, a més de les clàusules contractuals, una TIA (Transfer Impact Assessment, l'avaluació de l'impacte de la transferència) i, si escau, mesures suplementàries (xifratge amb claus en poder del client, pseudonimització, control d'accés).
• EU (European Union) -US (United States) Data Privacy Framework (decisió d'adequació de juliol de 2023): marc vigent que permet les transferències a entitats nord-americanes certificades. És, com els anteriors, objecte d'impugnació.
• Rol de l'Administració: és responsable del tractament; el proveïdor de núvol, encarregat. Cal el contracte de l'RGPD, art. 28, control dels subencarregats, i el DPD (Delegat de Protecció de Dades) ha d'intervenir.

2.2 Seguretat

• ENS (RD (Reial Decret) 311/2022): d'aplicació obligatòria. Els serveis contractats han de ser conformes amb l'ENS, amb la corresponent declaració o certificació de conformitat segons la categoria, i la norma hi dedica una família pròpia de mesures, op.nub (serveis al núvol) → tema 66. El CCN (Centro Criptológico Nacional) publica les guies CCN-STIC (Seguridad de las Tecnologías de la Información y las Comunicaciones) de la sèrie 800 —la CCN-STIC-823 és la de referència sobre utilització de serveis al núvol— i els perfils de compliment específics i el catàleg que es veuen a §4.1.
• NIS2 (Network, Information i Systems, directiva 2) i RDL 12/2018 (RDL (Reial Decret Llei)): seguretat de les xarxes i sistemes d'informació; les administracions i els proveïdors de serveis digitals hi estan subjectes, amb obligacions de gestió de riscos i notificació d'incidents.
• Llei 8/2011: infraestructures crítiques.

2.3 Dades i mercat

• DGA (Data Governance Act, Reglament (UE) 2022/868): reutilització de dades protegides en poder del sector públic, serveis d'intermediació de dades i altruisme de dades.
• Data Act (Data Act, Reglament (UE) 2023/2854, aplicable des del 12 de setembre de 2025): dades generades per productes connectats i, molt rellevant aquí, el capítol VI —arts. 23 a 31— d'obligacions de canvi de proveïdor de serveis de tractament de dades. És la resposta jurídica europea al bloqueig de proveïdor i ataca les tres barreres alhora: la contractual (preavís i terminis màxims de migració), la tècnica (interoperabilitat, assistència, equivalència funcional) i l'econòmica (l'art. 29 suprimeix del tot les tarifes de canvi (switching charges) a partir del 12 de gener de 2027; fins llavors només se'n poden cobrar de reduïdes, limitades al cost real).
• Directiva 2019/1024: dades obertes i reutilització → tema 33.
• RIA (Reglament d'Intel·ligència Artificial): regula la IA (Intel·ligència Artificial) → tema 29.

3. El núvol de confiança europeu

Iniciatives:

• Gaia-X: iniciativa europea per definir un marc de confiança i d'interoperabilitat per a serveis de dades i de núvol, amb etiquetes de compliment verificables (Gaia-X Trust Framework, Compliance Service) i espais de dades sectorials. No és un núvol públic europeu: és un marc de regles i de federació, no un proveïdor.
• EUCS (European Union Cybersecurity Certification Scheme per a serveis al núvol), de l'ENISA (European Network and Information Security Agency, avui Agència de la Unió Europea per a la Ciberseguretat), en tramitació: nivells d'assegurament bàsic, substancial i alt, amb el debat obert sobre si el nivell alt ha d'incloure requisits d'immunitat davant lleis extracomunitàries.
• IPCEI (Important Project of Common European Interest) -CIS (Cloud Infrastructure and Services) i Alliance for Industrial Data, Edge and Cloud.
• Espais europeus de dades sectorials (salut, mobilitat, administració pública).
• EuroHPC per a supercomputació.
• Ofertes «sobiranes» dels grans proveïdors: Microsoft EU Data Boundary, AWS (Amazon Web Services) European Sovereign Cloud, Google Cloud amb socis locals (S3NS a França), Oracle EU Sovereign Cloud. Són respostes comercials: cal analitzar-ne l'abast real —quines dades cobreixen, qui opera el servei i des d'on, i què passa amb el suport i la telemetria.
• Proveïdors europeus: OVHcloud, Scaleway, IONOS, Aruba, Stackit, T-Systems; a Espanya, ofertes de Telefónica i altres. I la via pública: núvols sobirans impulsats per les mateixes administracions, com el que a Catalunya preveu l'ESTRATEC (Estratègia d'Autonomia Tecnològica) del Govern —infraestructura situada al territori, operada dins del marc regulador europeu i integrada en un model híbrid amb el que ja hi ha.

Alternatives tecnològiques amb sobirania per disseny: OpenStack i Kubernetes com a bases de núvols privats i comunitaris; Ceph, Proxmox, OpenNebula; i el programari lliure com a garantia de portabilitat.

4. El núvol per a l'Administració espanyola

• Nube SARA (SARA: Sistema de Aplicaciones y Redes para las Administraciones) i els serveis compartits de la Secretaria General d'Administració Digital.
• Xarxa SARA com a interconnexió segura entre administracions.
• AOC (Administració Oberta de Catalunya) i els serveis comuns de Catalunya → tema 4.
• Plans de digitalització i fons PRTR (Pla de Recuperació, Transformació i Resiliència).
• Model habitual: híbrid — càrregues sensibles i sistemes de tramitació en CPD propis o en núvol privat, i càrregues elàstiques o de dades obertes al núvol públic.

Criteris de decisió per portar un servei al núvol públic:

1. Classificació de la informació i categoria del sistema segons l'ENS.
2. Base jurídica i transferències (RGPD).
3. Criticitat i continuïtat: què passa si el proveïdor cau o si es perd la connectivitat.
4. Reversibilitat i portabilitat: com se surt, en quant de temps i a quin cost. És la cara pràctica del bloqueig de proveïdor (vendor lock-in), que com a risc genèric del núvol es desenvolupa al tema 59 i, com a criteri de compra, al tema 3; el que hi afegeix la sobirania és que un servei del qual no es pot sortir tampoc no es pot sotmetre a una altra llei, per molt que el contracte digui el contrari.
5. Cost total i model pressupostari (capítol 2 vs capítol 6).
6. Competències internes per operar-lo amb seguretat.
7. Sobirania: qui hi pot accedir i sota quina llei.

La regla per defecte: pujar dades personals o corporatives (per exemple, un registre de queixes ciutadanes, amb dades de contacte i de l'assumpte) al núvol d'un proveïdor extern —per prestigiós que sigui el proveïdor— no és recomanable sense abans haver resolt els set criteris anteriors. El prestigi comercial no acredita ni la conformitat amb l'ENS ni la base jurídica de la transferència (RGPD): si el proveïdor no té una oferta certificada per al sector públic espanyol i sotmesa a una jurisdicció compatible, el risc per defecte és de seguretat i de conformitat legal, no un problema de rendiment ni de cost.

4.1 El catàleg de serveis al núvol del CCN

«Conforme amb l'ENS» no s'ha de creure: es comprova en una llista. La resposta espanyola a què puc contractar té dues peces, i no són el mateix.

El catàleg, el CPSTIC. El CPSTIC (Catàleg de Productes i Serveis de Seguretat de les Tecnologies de la Informació i la Comunicació) és la llista de referència de productes i serveis amb garanties de seguretat contrastades —per avaluació o certificació— i amb un PES (Procedimiento de Empleo Seguro) publicat. El desenvolupa la guia CCN-STIC-105, es consulta al portal del CCN i s'actualitza contínuament. Té tres apartats:

Els serveis al núvol hi entren com una família pròpia de la taxonomia (CCN-STIC-140, annex G), amb els seus requisits fonamentals de seguretat; el procediment d'inclusió és la CCN-STIC-106, i el servei ha d'arribar-hi ja amb la conformitat ENS vigent. La conseqüència pràctica per a un plec: l'ENS exigeix productes i serveis certificats o del catàleg als sistemes de categoria ALTA, els valora als de categoria mitjana i no els demana als de bàsica → tema 66.

Els perfils de compliment específics. Són guies que tradueixen les mesures de l'ENS a un servei concret, de manera que l'organisme no hagi de reinterpretar-les proveïdor a proveïdor. Sobre la base de la CCN-STIC-823, el CCN n'ha publicat per als núvols que més contracta l'Administració espanyola —Azure, Office 365, AWS i Google Cloud— i, molt important per a qui no vol sortir de casa, un per a núvols privats i comunitaris (CCN-STIC-886), que és el que empara la infraestructura pròpia d'un ajuntament o d'un consorci.

El que no resol el catàleg. Un servei qualificat acredita seguretat tècnica, no sobirania: la conformitat ENS no diu res sobre qui opera el servei, des d'on, ni sota quina llei. Els criteris 2 i 7 de la llista anterior segueixen sent del contractant.

5. Mesures pràctiques per protegir la sobirania

• Xifratge amb claus gestionades pel client (BYOK (Bring Your Own Key) / HYOK (Hold Your Own Key)), custodiades en HSM (Hardware Security Module) fora del proveïdor. Si el proveïdor no té les claus, la dada que li puguin requerir és inintel·ligible.
• Confidential computing: xifratge de les dades en ús, dins d'enclavaments segurs.
• Pseudonimització i minimització abans de portar dades al núvol.
• Arquitectura portable: contenidors i Kubernetes, evitar serveis propietaris no substituïbles, dades en formats oberts.
• Exigència contractual de: ubicació de les dades i del suport, llista de subencarregats amb dret d'oposició, notificació de requeriments d'autoritats estrangeres, auditoria, pla de reversibilitat amb terminis i format d'exportació, i conformitat ENS.
• Estratègia de sortida documentada i provada, no només escrita.
• Diversificació: evitar la concentració de tots els serveis crítics en un sol proveïdor.

6. La posició de Barcelona

La Mesura de digitalització oberta i els Barcelona Digital Standards fixen la posició municipal:

• Sobirania tecnològica i de les dades com a principi rector: l'Ajuntament ha de controlar les seves dades i la seva infraestructura.
• Les dades generades pels serveis públics són un bé comú, també les que generen els concessionaris —cosa que s'ha d'imposar per plec.
• Programari lliure i estàndards oberts per defecte; «public money, public code».
• Contractació ètica i responsable, amb reversibilitat i propietat del codi.
• Ètica de les dades i de la IA → temes 29 i 30.
• Projectes emblemàtics: Decidim, Sentilo, DECODE (DEcentralised Citizens Owned Data Ecosystems, sobirania de dades ciutadana) i la Cities Coalition for Digital Rights, impulsada per Barcelona amb Amsterdam i Nova York.

Claus d'examen

• «Un proveïdor prestigiós» no és un criteri de decisió. Una pregunta pràctica plantejava hostatjar dades de queixes ciutadanes (dades personals) al núvol d'un proveïdor prestigiós: la resposta correcta no és sobre velocitat ni sobre preu, és que no és recomanable pujar-hi dades personals o corporatives per problemes de seguretat —conformitat ENS i base jurídica de la transferència no resoltes— (TS-TIC 2021, pràctica s4 p. 29).

Per recordar

• Residència ≠ sobirania: el CPD a Europa no impedeix una ordre judicial estrangera al proveïdor (CLOUD Act).
• Tres nivells: sobirania de les dades (on i quina llei), operativa (qui hi accedeix) i tecnològica (portabilitat i codi obert).
• Schrems II exigeix avaluació de la transferència i mesures suplementàries; el marc vigent és el EU-US Data Privacy Framework (2023).
• L'ENS és obligatori: cal conformitat del servei, la família op.nub i el perfil de compliment específic del CCN sobre la base de la CCN-STIC-823.
• El CPSTIC (guia CCN-STIC-105) és el catàleg on es mira si un servei al núvol està qualificat per a l'ENS. Qualificat no vol dir sobirà: acredita seguretat tècnica, no jurisdicció.
• Gaia-X no és un núvol europeu: és un marc de confiança i federació.
• El Data Act obliga a facilitar el canvi de proveïdor i suprimeix progressivament les tarifes de canvi.
• Mesura tècnica decisiva: xifratge amb claus en poder del client (BYOK/HYOK).
• L'Administració és sempre responsable del tractament, encara que el núvol sigui d'un tercer.
• El model realista al sector públic és l'híbrid, amb criteris explícits de què pot sortir i què no.

Tema 61 · Núvol i xarxes

Xarxes Wi-Fi

Abast decidit per nosaltres: l'enunciat oficial no acota la matèria

Elaboració pròpia: la font és de pagament i no es reprodueix

Enunciat oficial. Xarxes Wi‑Fi: estàndards, arquitectura, seguretat i criteris de disseny, desplegament i administració.

1. Estàndards

IEEE 802.11 és la família d'estàndards de xarxa local sense fil, o WLAN (Wireless Local Area Network); Wi-Fi és la marca de la Wi-Fi Alliance, que certifica la interoperabilitat dels equips que la implementen. Els dos noms es fan servir indistintament, però no són el mateix: l'estàndard el fa l'IEEE i la certificació la dona l'Aliança.

Altres estàndards de la família: 802.11i (seguretat, WPA2), 802.11e (QoS, WMM, Wi-Fi Multimedia), 802.11r (fast roaming), 802.11k (assistència en la selecció d'AP), 802.11v (gestió de la xarxa i direcció de clients), 802.11w (protecció de trames de gestió), 802.11s (mallat), 802.11ah (HaLow, IoT de llarg abast a sub-1 GHz), 802.11p (vehicular).

MIMO i OFDMA

MIMO (Multiple Input Multiple Output): utilitza múltiples antenes en transmissió i recepció per enviar diversos fluxos de dades simultanis pel mateix canal (spatial multiplexing), aprofitant la propagació multitrajecte per augmentar la capacitat i la velocitat de la xarxa i millorar-ne la fiabilitat, sense necessitat de més ample de banda ni més potència. Aquest és l'objectiu de MIMO i la resposta que es pregunta.

• SU (Single-User)-MIMO: diversos fluxos cap a un sol client alhora.
• MU-MIMO: diversos fluxos cap a diversos clients simultàniament.
• Beamforming: concentra l'energia radiada cap al client en lloc d'emetre en totes direccions.
• La notació 4×4:4 indica antenes de transmissió × antenes de recepció : fluxos espacials.

OFDMA (Wi-Fi 6): divideix el canal en RU (Resource Unit, unitats de recursos) i serveix diversos clients dins de la mateixa transmissió. Millora dràsticament l'eficiència en entorns d'alta densitat amb trànsit petit i freqüent —exactament el cas d'un edifici municipal o d'una wifi ciutadana.

2. Bandes i canals

Les tres bandes són d'ús comú: el CNAF (Cuadro Nacional de Atribución de Frecuencias) les atribueix a aplicacions d'ús comú, de manera que s'hi pot emetre sense llicència individual de l'espectre, a canvi de suportar les interferències dels altres usuaris i de respectar-ne les condicions tècniques i els límits de potència radiada. És la diferència de fons amb la telefonia mòbil, que treballa en bandes d'ús privatiu concedides a un operador: a la wifi ningú no té l'espectre garantit, i per això el disseny es fa comptant amb la interferència (§5), no suposant que no n'hi haurà.

DFS (Dynamic Frequency Selection) i TPC (Transmit Power Control): obligatoris en part de la banda de 5 GHz per no interferir amb radars meteorològics i militars; poden provocar canvis de canal inesperats.

Amplada de canal: més amplada = més velocitat però menys canals disponibles i més interferència. En entorns densos és millor 20 o 40 MHz que 80 o 160.

3. Arquitectura

Una WLAN s'organitza en cel·les. Cada punt d'accés, o AP (Access Point), forma un BSS (Basic Service Set), la cel·la bàsica, que s'identifica per l'adreça MAC de la seva ràdio —el BSSID (Basic Service Set Identifier)—. El conjunt de cel·les que comparteixen el mateix nom de xarxa, l'SSID (Service Set Identifier), i entre les quals un client es pot moure sense perdre la sessió és un ESS (Extended Service Set). Qui es connecta veu un SSID; qui administra gestiona els BSS que hi ha al darrere, i és aquesta distinció la que fa possible tant la itinerància (§5) com que un mateix AP publiqui diversos SSID amb VLAN i polítiques diferents (§4).

3.1 Modes

• Autònom (fat AP / standalone): cada punt d'accés es configura per separat. Només viable en instal·lacions molt petites.
• Centralitzat amb controladora (thin AP): el model corporatiu. La controladora gestiona la configuració, la seguretat i la ràdio.
• Basat en el núvol: la gestió és un servei (Meraki, Mist, Aruba Central, Ubiquiti UniFi).
• Mallat (mesh): els AP s'interconnecten sense fil, saltant de node en node dins de l'abast ràdio de cadascun (multi-hop); útil només on no arriba el cablatge, a canvi de rendiment, perquè el mateix canal ràdio serveix els clients i fa de backhaul entre AP.

Si ja hi ha cablatge estructurat a cada planta, l'actuació adient és fer un estudi de cobertura i connectar cada AP per cable a l'armari de planta corresponent (i per PoE), per donar connectivitat de dades a telèfons mòbils i altres dispositius sense sacrificar amplada de banda; el mesh es reserva per als punts on el cable no arriba. Una oficina petita no actua de gàbia de Faraday pel simple fet de ser petita; cal blindatge metàl·lic complet, que no és el cas habitual d'un edifici d'oficines.

3.2 La controladora Wi-Fi

La controladora WLAN és l'equip —físic, virtual o al núvol— que administra de manera centralitzada tot el conjunt de punts d'accés. L'AP hi delega les decisions de ràdio, de seguretat i d'itinerància i es queda amb la funció de radiar; d'aquí que en el model centralitzat se l'anomeni thin AP. No s'ha de confondre amb el punt d'accés: l'AP serveix una cel·la, la controladora governa totes.

Funcions de la controladora dins d'una xarxa sense fil —la pregunta d'examen:

• Gestió centralitzada de la configuració de tots els punts d'accés: SSID, VLAN (Virtual Local Area Network), polítiques, actualitzacions de microprogramari.
• Gestió de recursos de ràdio (RRM, Radio Resource Management): assignació automàtica de canals i ajust de potència per minimitzar la interferència i cobrir els forats quan un AP cau.
• Gestió de la itinerància (roaming) dels clients entre punts d'accés, amb 802.11r/k/v, de manera que el canvi sigui transparent i no talli les sessions de veu o vídeo.
• Aplicació de les polítiques de seguretat i autenticació (integració amb RADIUS (Remote Authentication Dial-In User Service), portal captiu, aïllament de clients).
• Balanceig de càrrega entre AP i entre bandes (band steering).
• Monitoratge, detecció d'AP no autoritzats (rogue) i prevenció d'intrusions sense fil (WIPS, Wireless Intrusion Prevention System).
• Túnel del trànsit (en mode centralitzat) o commutació local (en mode FlexConnect/bridge).

En resum: centralitza la configuració, l'automatisme de ràdio, la seguretat i la itinerància de tot el conjunt d'AP.

3.3 Alimentació: PoE

PoE (Power over Ethernet, IEEE 802.3af/at/bt): que un punt d'accés estigui connectat a un commutador PoE significa que el commutador li subministra ALIMENTACIÓ ELÈCTRICA a través del mateix cable de xarxa que porta les dades, de manera que no cal cap presa de corrent al lloc on s'instal·la l'AP.

Avantatges: flexibilitat d'ubicació (sostres, exteriors), menys obra elèctrica, i continuïtat: si el commutador té SAI (Sistema d'Alimentació Ininterrompuda), els AP continuen funcionant en un tall de llum. Cal dimensionar el pressupost de potència del commutador: 48 ports a 30 W són 1.440 W.

4. Seguretat

802.1X: arquitectura d'autenticació amb tres elements — suplicant (el client), autenticador (l'AP o el commutador) i servidor d'autenticació (RADIUS). Mètodes EAP: EAP-TLS (certificat de client i de servidor, el més segur), PEAP (Protected Extensible Authentication Protocol)-MSCHAPv2 (usuari i contrasenya dins d'un túnel TLS), EAP-TTLS (Tunneled Transport Layer Security), EAP-FAST.

Bones pràctiques de seguretat wifi:

• WPA3 o, com a mínim, WPA2-Enterprise amb 802.1X per a la xarxa corporativa.
• Certificats i validació del certificat del servidor al client (per evitar AP falsos).
• SSID separats amb VLAN diferents: corporativa, convidats, IoT, dispositius no gestionats.
• Aïllament de clients i portal captiu amb condicions d'ús a la xarxa de convidats.
• Ocultar l'SSID i filtrar per MAC (Media Access Control) NO són mesures de seguretat: es burlen en segons i només dificulten la gestió.
• WPS (Wi-Fi Protected Setup) desactivat (vulnerable).
• Detecció d'AP no autoritzats i WIPS.
• Segmentació i NAC (Network Access Control) (ENS): control d'accés a la xarxa segons l'estat del dispositiu → tema 52.
• Xifratge del trànsit d'aplicació igualment: la wifi és un mitjà compartit.

5. Disseny i desplegament

Fases:

1. Requisits: usuaris i dispositius simultanis per zona, aplicacions (veu, vídeo, dades), cobertura exterior, velocitat mínima per client i disponibilitat.
2. Estudi predictiu amb plànols i materials de construcció (Ekahau, iBwave, AirMagnet).
3. Estudi de camp (site survey): el seu objectiu és avaluar la propagació real de la radiofreqüència a l'edifici i determinar la ubicació òptima dels punts d'accés, abans de desplegar-los. Tres tipus: passiu (escolta), actiu (amb associació) i espectral (detecció d'interferències no wifi).
4. Disseny: nombre i ubicació dels AP, model d'antena, canals, potència, amplada de canal i relació senyal-soroll.
5. Desplegament: cablatge, PoE, muntatge i configuració.
6. Validació post-desplegament amb un nou estudi de camp.
7. Operació: monitoratge, RRM, actualitzacions i optimització contínua.

Criteris de disseny:

• Dissenyar per CAPACITAT, no per cobertura: en entorns d'alta densitat el límit és el nombre de clients per AP, no el senyal. Un sol AP potent que arriba a tot arreu és un mal disseny.
• Nivell de senyal: ≥ −65 dBm per a dades i ≥ −60/−67 dBm per a veu; SNR (Signal-to-Noise Ratio) ≥ 25 dB.
• Solapament del 15-20 % entre cel·les per permetre la itinerància.
• Reducció de la potència dels AP en entorns densos, perquè les cel·les siguin petites i es reutilitzin els canals.
• Desactivar les taxes de dades baixes (1 i 2 Mbps) per evitar que clients llunyans degradin tota la cel·la.
• Banda de 5/6 GHz preferent amb band steering.
• Comptar amb el pitjor client: la cel·la la determina el dispositiu més limitat, no el portàtil nou.
• QoS/WMM per a veu i vídeo.
• Cablatge i commutació dimensionats: 1 Gbps per AP com a mínim, i multigigabit (2,5/5 Gbps) per a Wi-Fi 6 i posteriors.

Itinerància (roaming)

Un client es mou dins d'un ESS canviant de BSS sense perdre la sessió. La decisió la pren el client, no la xarxa: la controladora pot suggerir, però no obligar, i per això el problema típic és el client enganxat (sticky client) que continua parlant amb un AP llunyà mentre en té un de millor a sobre. Contra això no hi ha cap funció màgica; hi ha disseny: cel·les petites, potència ajustada i el solapament del 15-20 % de l'esquema.

Les tres esmenes que hi ajuden i que s'acostumen a confondre:

• 802.11k: l'AP passa al client un informe de veïns amb els AP candidats i els seus canals, perquè no hagi d'escanejar tot l'espectre per decidir.
• 802.11v: la xarxa suggereix al client que passi a un altre AP (BSS transition management). És la base del band steering i del balanceig de càrrega.
• 802.11r: transició ràpida (fast transition), que reaprofita el material criptogràfic ja negociat perquè el canvi d'AP no repeteixi tot el diàleg d'autenticació.

La diferència es nota justament on més molesta: sense 802.11r, cada canvi d'AP en una xarxa WPA2/WPA3-Enterprise torna a passar per l'autenticació completa contra el RADIUS, i aquesta pausa és prou llarga per tallar una trucada de veu; amb 802.11r el canvi és imperceptible. Per a dades i navegació, en canvi, la pausa passa desapercebuda: 802.11r es justifica per la veu i el vídeo, no per l'ofimàtica.

6. Wi-Fi pública i municipal

Barcelona Wifi és un dels desplegaments de wifi ciutadana més grans d'Europa, amb centenars de punts a equipaments i via pública.

Consideracions específiques:

• Model de contractació: sovint servei gestionat amb un operador; cal definir SLA (Service Level Agreement) de disponibilitat i de cabal, cobertura i manteniment → tema 20.
• Protecció de dades: el registre d'usuaris, l'adreça MAC i les dades de connexió són dades personals; cal base de licitud, informació clara, minimització i terminis de conservació. L'anàlisi de mobilitat a partir de MAC exigeix anonimització robusta i, en general, avaluació d'impacte.
• Conservació de dades de trànsit: la Llei 25/2007 imposa obligacions als operadors; l'ajuntament ha de definir clarament el seu paper.
• Condicions d'ús i filtratge de continguts proporcionat.
• Bretxa digital: la wifi pública és una eina d'inclusió digital, i és un dels arguments centrals per justificar-la.
• Accessibilitat del portal captiu (WCAG (Web Content Accessibility Guidelines) 2.1 AA).
• ENS: segmentació total respecte de la xarxa corporativa municipal.
• IoT urbà: la mateixa infraestructura sol donar servei a xarxes de sensors sense fil (WSN, Wireless Sensor Network) i càmeres, cosa que exigeix VLAN i polítiques separades → tema 62. En un desplegament WSN, cada element té un paper propi: el sensor mesura magnituds habitualment físiques o químiques (temperatura, soroll, ocupació) i les transforma en variables codificades, normalment elèctriques; el concentrador agrupa els senyals de diversos sensors; la passarel·la (gateway) tradueix entre el protocol del sensor i la xarxa IP (Internet Protocol); el transceptor només emet i rep, sense processar. Les WSN solen organitzar-se en malla (mesh)**, amb encaminament salt a salt entre nodes propers.

Claus d'examen

• Si ja hi ha cablatge a cada planta, es connecta cada AP per cable, no per mesh; i una oficina petita no és una gàbia de Faraday: cap de les dues excuses val per no fer estudi de cobertura (TS-TIC 2018 pràctica, p. 19).
• L'objectiu del site survey és avaluar la propagació real de radiofreqüència i triar la ubicació dels AP, no evitar proves posteriors ni és un tràmit de protecció de dades (TS-TIC 2025 pràctica, p. 28).
• MIMO no és una mesura de seguretat: el seu objectiu és augmentar la velocitat i l'abast amb múltiples antenes (TS-TIC 2025 específic, p. 69).
• PoE vol dir que l'AP rep alimentació pel mateix cable de xarxa, no que estigui connectat a un endoll (TS-TIC 2023 específic, p. 35).
• En una xarxa mesh, cada node parla amb els que té a l'abast i el trànsit s'encamina salt a salt (multi-hop); no és una estructura en arbre ni en estrella (TS-TIC 2018 específic, p. 79).

Per recordar

• Wi-Fi 5 = 802.11ac (només 5 GHz); Wi-Fi 6 = 802.11ax (afegeix OFDMA i BSS coloring); Wi-Fi 6E hi afegeix 6 GHz; Wi-Fi 7 = 802.11be amb MLO.
• A 2,4 GHz només hi ha 3 canals no solapats (1, 6, 11).
• MIMO = múltiples antenes i fluxos espacials simultanis per augmentar capacitat i fiabilitat aprofitant el multitrajecte.
• PoE = el commutador alimenta l'AP pel mateix cable de xarxa; 802.3af 15,4 W · at 30 W · bt fins a 90 W.
• La controladora WLAN centralitza configuració, canals i potència (RRM), seguretat, itinerància i monitoratge dels AP; l'AP serveix una cel·la (BSS) i el conjunt de cel·les amb el mateix SSID és un ESS.
• La itinerància la decideix el client: 802.11k li diu quins veïns té, 802.11v l'hi suggereix i 802.11r fa ràpid el canvi (és el que salva la veu).
• WPA3-Enterprise amb 802.1X i EAP-TLS és el màxim; WPA2-Enterprise és el mínim corporatiu acceptable.
• Ocultar l'SSID i filtrar per MAC no són seguretat.
• Dissenyar per capacitat, no per cobertura; senyal ≥ −65 dBm, SNR ≥ 25 dB, solapament del 15-20 %.
• A la wifi ciutadana, la MAC i les dades de connexió són dades personals.

Tema 62 · Núvol i xarxes

Internet i els seus components

Abast decidit per nosaltres: l'enunciat oficial no acota la matèria

Enunciat oficial. Internet i els seus components: arquitectura, protocols, dominis i DNS.

1. Arquitectura d'Internet

Internet és una xarxa de xarxes: xarxes autònomes interconnectades que fan servir la família de protocols TCP (Transmission Control Protocol) / IP.

El model client-servidor és el patró sobre el qual està construït tot el que ve després: un client —el navegador, el client de correu, el resolutor DNS— inicia la conversa, i un servidor, permanentment a l'escolta en un port conegut, la processa i respon. Per això el servidor necessita adreça estable i publicada al DNS i el client no. L'alternativa és el model d'igual a igual (peer-to-peer), on cada node fa de client i de servidor alhora i no hi ha punt central. Tots els protocols d'aquest tema són client-servidor, i el que canvia és qui fa de client i quan: un servidor de correu és servidor davant del seu usuari i client davant del següent servidor.

Sistema autònom (AS, Autonomous System): conjunt de xarxes sota una mateixa administració i política d'encaminament, identificat per un ASN (Autonomous System Number).

Operadors i punts d'intercanvi: un ISP (Internet Service Provider, proveïdor de serveis d'Internet) és l'empresa que ven connectivitat —accés a l'usuari final, o trànsit cap a la resta de la xarxa—. S'ordenen en Tier 1 (arriben a tot Internet sense pagar trànsit a ningú), Tier 2 (fan peering, però compren trànsit a un Tier 1) i Tier 3 (només accés final). Els punts neutres d'intercanvi (IXP, Internet eXchange Point) —a Catalunya el CATNIX (CATalunya Neutral Internet eXchange); a Espanya ESPANIX— són la instal·lació neutra on operadors i sistemes autònoms s'intercanvien trànsit directament, reduint costos i latència. ISP i IXP no són el mateix, i el tribunal ho explota: l'ISP et ven el servei; l'IXP és el lloc on els ISP s'interconnecten, i no ven trànsit a ningú. Un acord de peering és, doncs, dues organitzacions que actuen com a ISP i AS intercanviant-se el trànsit típicament sense cost en un IXP —no una cessió d'adreces d'un altre ISP, ni un limitador de cabal, ni un servei de monitoratge—; s'oposa al trànsit (transit), que es paga i dona accés a tot Internet.

Governança: ICANN (Internet Corporation for Assigned Names and Numbers) coordina noms i números; IANA (Internet Assigned Numbers Authority) en fa l'assignació; els RIR (Regional Internet Registry) la reparteixen per continents —RIPE (Réseaux IP Européens) NCC (Network Coordination Centre) a Europa, APNIC (Asia Pacific Network Information Centre) a Àsia-Pacífic, i els seus homòlegs a Amèrica i l'Àfrica—; l'IETF (Internet Engineering Task Force) publica els estàndards com a RFC (Request For Comments).

Adreçament: les adreces IP públiques baixen per la cadena IANA → RIR → LIR/operador → usuari final. L'Ajuntament de Barcelona té adreçament públic sol·licitat al RIPE NCC, amb quota anual de manteniment (assignació PI (Provider Independent)). Per obtenir un rang estable i independent del proveïdor d'accés cal l'estatus de LIR (Local Internet Registry) i després el de sistema autònom (AS): així s'encamina directament amb altres AS per punts neutres com el CATNIX, en lloc de dependre d'un únic operador.

Adreces IPv4 i IPv6: una adreça IPv4 té 32 bits en quatre octets decimals (192.168.1.1); l'espai és d'uns 4.300 milions d'adreces, esgotat a la pràctica per IANA el 2011. IPv6 és la resposta: 128 bits en vuit grups hexadecimals (2001:db8::1), espai pràcticament inesgotable i sense necessitat de NAT (Network Address Translation). Les adreces privades (RFC 1918: 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16) no s'encaminen per Internet i necessiten NAT per sortir-hi; les públiques són úniques al món. Les dues versions conviuen en doble pila (dual stack), que és la migració recomanada. El detall —classes, CIDR (Classless Inter-Domain Routing), subnetting i pla d'adreçament— és a TCP/IP v4 i MPLS.

Encaminament bàsic: un encaminador tria la sortida de cada paquet amb la seva taula d'encaminament, on cada entrada lliga un prefix de destinació amb el següent salt; guanya el prefix més específic, i si cap no encaixa s'aplica la ruta per defecte cap al proveïdor. Dins d'un AS omplen la taula els protocols interiors (IGP, Interior Gateway Protocol: OSPF, Open Shortest Path First; RIP, Routing Information Protocol), que trien pel camí més curt o més ràpid. Entre AS, l'únic protocol exterior (EGP, Exterior Gateway Protocol) d'Internet: BGP (Border Gateway Protocol, RFC 4271), de vector de camí, que anuncia cada prefix amb la llista d'AS travessats —així descarta bucles— i no tria pel camí més ràpid, sinó per política. Els atributs i la millor ruta són a TCP/IP v4 i MPLS.

Intranet: xarxa privada d'una organització que fa servir les mateixes tecnologies que Internet (TCP/IP, HTTP) però amb accés restringit als seus membres. En ser una infraestructura controlada per l'organització —a diferència d'Internet, pública i compartida entre milers d'operadors—, ofereix més predictibilitat de rendiment i funcionament. Es pot estendre entre seus amb túnels IP (VPN, Virtual Private Network) sense deixar de ser privada, i el seu adreçament ha de seguir estant planificat i sense duplicitats.

2. El model de capes

La correlació correcta: les capes 5, 6 i 7 d'OSI (sessió, presentació i aplicació) es corresponen amb la capa d'aplicació de TCP/IP; les capes 1 i 2 (física i enllaç), amb la d'accés a la xarxa; i les capes 3 i 4, una a una amb Internet i transport. Aquesta és la pregunta literal.

TCP vs UDP: TCP és orientat a connexió (encaixada de tres vies SYN, SYN-ACK, ACK), garanteix el lliurament i l'ordre amb confirmacions i retransmissions, i hi afegeix control de flux i de congestió — al preu de més sobrecàrrega. UDP és sense connexió i no garanteix res, però és mínim: per això se l'emporten el DNS, el DHCP (Dynamic Host Configuration Protocol), l'SNMP (Simple Network Management Protocol) i la veu i el vídeo en temps real, on retransmetre arriba tard. QUIC (RFC 9000) és transport xifrat sobre UDP: la base de HTTP/3.

3. Protocols d'aplicació

Mètodes HTTP: GET, POST, PUT, DELETE, PATCH, HEAD, OPTIONS, TRACE, CONNECT. La llista és tancada, i la trampa recurrent és un verb plausible que no hi és: UPDATE i DOWNLOAD no existeixen. Codis d'estat: 1xx informatiu, 2xx èxit, 3xx redirecció, 4xx error del client (404 no trobat, 403 prohibit, 401 no autenticat) i 5xx error del servidor (500).

SIP (Session Initiation Protocol, RFC 3261): estàndard de l'IETF per establir, gestionar i alliberar sessions, usat en la majoria d'implementacions de ToIP (Telephony over IP). No és un protocol compacte: es defineix per capes —sintaxi, transport, transacció i usuari de transacció— i incorpora serveis de seguretat (autenticació, integritat, xifratge). RTP transporta la veu un cop establerta la sessió. Un desplegament de ToIP combina telèfons IP i softphones, gateways (o mediagateways) cap a la xarxa telefònica tradicional, call servers (centraleta IP), compressors de veu (còdecs) i encriptadors.

Quan la infraestructura IP no arriba. La telefonia IP dona per fet un cablatge estructurat en bon estat, amb PoE (Power over Ethernet) i QoS per prioritzar la veu. Si un edifici no reuneix aquests mínims —típicament els soterranis, on tampoc hi ha cobertura mòbil—, l'alternativa no és renunciar-hi, ni desplegar-hi igualment terminals IP, ni enllaçar per 4G/LTE (Long-Term Evolution): és reaprofitar el cablatge telefònic existent, desplegar-hi telefonia analògica i connectar-la a un mediagateway, que la converteix a IP i la integra a la mateixa centraleta (TS-TIC 2018 pràctica, p. 7 i 27).

Arquitectura del correu electrònic: el MUA (Mail User Agent, el client) lliura el missatge al seu MTA (Mail Transfer Agent) per SMTP; els MTA se'l reenvien entre si, també per SMTP i per tantes xarxes com calgui, fins al domini de destinació, on el MDA (Mail Delivery Agent) el diposita a la bústia. El destinatari hi accedeix al final i ja no amb SMTP, sinó amb POP3 o IMAP. Per això la funció pròpia de SMTP és transportar i reenviar: no xifra enllaços, ni filtra correu maliciós, ni gestiona agendes. La defensa bàsica contra la suplantació del domini són tres registres DNS: SPF (Sender Policy Framework) (RFC 7208: quins servidors poden enviar en nom del domini), DKIM (DomainKeys Identified Mail) (signatura criptogràfica del missatge) i DMARC (Domain-based Message Authentication, Reporting and Conformance) (política i informes que uneixen els dos anteriors).

DHCP (Dynamic Host Configuration Protocol, RFC 2131) evita configurar a mà cada equip: el servidor li cedeix (lease) una adreça per un temps limitat i li lliura també la màscara, la passarel·la per defecte i els servidors DNS —per això una avaria de DHCP es manifesta com «no hi ha Internet» encara que la xarxa funcioni—. La cessió es renova abans de caducar, i a un servidor, una impressora o un telèfon IP se'ls fa una reserva. L'intercanvi DORA (Discover, Offer, Request, Acknowledge) i l'agent de retransmissió per servir diverses VLAN (Virtual Local Area Network) són a TCP/IP v4 i MPLS.

4. El sistema de noms de domini (DNS)

Tradueix noms de domini llegibles per les persones en adreces IP i publica altres metadades del domini.

És una base de dades jeràrquica, distribuïda i replicada, amb delegació d'autoritat i memòria cau a tots els nivells.

4.1 Jerarquia

Nou gTLD: .barcelona és un gTLD de ciutat gestionat per l'Ajuntament, i .cat, el domini de la comunitat lingüística catalana, gestionat per la Fundació puntCAT —el primer TLD (Top-Level Domain) concedit a una comunitat cultural.

Qui gestiona un domini: tres papers que no s'han de barrejar. El registre (registry) opera el TLD i en manté la base de dades autoritativa —la Fundació puntCAT per al .cat, Red.es per al .es, l'Ajuntament per al .barcelona—; el registrador (registrar), acreditat, és l'empresa que ven el domini al públic; i el registrant és el titular. Com que la cadena és pública, la titularitat es pot consultar (§4.4): és la primera comprovació davant d'un web que imita l'estètica corporativa sense ser de l'organització.

4.2 Components

• Resolutor (stub resolver): la peça del sistema operatiu que consulta en nom de l'aplicació; no resol res, ho delega.
• Servidor recursiu: fa tota la feina per al client —pregunta a l'arrel, al TLD i a l'autoritatiu— i desa el resultat a la memòria cau. No té cap dada pròpia.
• Servidor autoritatiu: té la zona i respon amb dades pròpies, no de memòria cau. La distinció que es pregunta és aquesta: l'autoritatiu és l'origen de la dada; el recursiu és qui la va a buscar i la guarda. Cada zona té un primari (on s'edita) i uns quants secundaris, que en reben còpia.
• Servidors arrel: 13 identitats (a…m.root-servers.net) replicades arreu del món; no saben cap adreça final, només deleguen cap als TLD.
• Recursiva vs iterativa: en la recursiva qui pregunta fa una sola pregunta i rep la resposta definitiva; en la iterativa cada servidor contesta «jo no ho sé, pregunta a aquest altre». Un recursiu parla recursivament amb el seu client i iterativament amb la resta de servidors.

Pas a pas: es demana www.barcelona.cat → el resolutor pregunta al recursiu → si no ho té a la cau, aquest pregunta a un arrel, que el remet al .cat, que el remet als autoritatius de barcelona.cat, que retornen el registre A → el recursiu el desa mentre duri el TTL. Per això abaixar el TTL abans d'una migració fa que el canvi es propagui de seguida.

4.3 Tipus de registre

TTL (Time To Live): temps que un registre es pot conservar a la memòria cau.

Transferència de zona: la rèplica de la zona del primari cap als secundaris. AXFR (RFC 5936) en porta la còpia completa; IXFR (RFC 1995) només els canvis posteriors al número de sèrie que el secundari ja té —per a això serveix el número de sèrie del SOA, que s'incrementa cada cop que s'edita la zona—. Les dues s'han de restringir als secundaris autoritzats: una AXFR oberta regala l'inventari sencer de noms interns. (AXFR i IXFR no són inicials de res: són els noms que els RFC donen a aquests tipus de consulta, i per això no s'obren lletra per lletra.)

4.4 Seguretat del DNS

• DNSSEC (RFC 4033-4035): signa criptogràficament els registres per garantir-ne l'autenticitat i la integritat i evitar l'enverinament de la memòria cau (cache poisoning). No xifra res: el DNS continua sent públic.
• DoT (DNS over TLS, port 853) i DoH (DNS over HTTPS, 443) xifren la consulta: complementen DNSSEC, no el substitueixen.
• Amenaces: enverinament de memòria cau, segrest de domini i amplificació DNS per a atacs de denegació de servei. S'hi respon separant el DNS intern del públic (vista dividida), restringint la recursivitat, limitant les transferències de zona i bloquejant dominis maliciosos.

Whois / RDAP (Registration Data Access Protocol) publiquen les dades de registre d'un domini —titular, registrador, dates d'alta i caducitat, servidors de noms—; RDAP és el successor del whois, amb respostes estructurades. La informació és pública i la pot consultar qualsevol: no cal ser registrador ni anar al whois del TLD concret —el del .cat és el de la Fundació puntCAT, però qualsevol servei whois genèric hi arriba igual—. És l'eina per esbrinar qui hi ha al darrere d'un web que aparenta ser de l'organització sense ser-ho (TS-TIC 2021 pràctica, p. 22).

5. Altres components d'Internet

5.1 CDN (Content Delivery Network)

Xarxa de lliurament de contingut: infraestructura distribuïda de servidors que serveix el contingut des del punt més proper a l'usuari.

Punts de presència (PoP): les ubicacions distribuïdes geogràficament on la CDN allotja els seus servidors de vora (edge). La seva funció és emmagatzemar el contingut en memòria cau i servir-lo des del punt més proper a l'usuari final, cosa que redueix la latència, estalvia ample de banda a l'origen i millora la disponibilitat davant pics de demanda. Aquesta —i no «fer còpies de seguretat», ni «crear contingut», ni «fer de tallafocs»— és la resposta que es demana.

Funcions afegides: terminació TLS, compressió, WAF (Web Application Firewall) i protecció anti-DDoS.

5.2 Proxy i proxy invers

El proxy directe (forward proxy) se situa davant dels clients i controla la seva sortida a Internet; el proxy invers (reverse proxy) se situa davant dels servidors i rep les peticions externes i les reenvia als servidors interns, amagant-ne la topologia → arquitectures de seguretat on premise.

5.3 IoT

Internet de les coses: objectes físics amb sensors —que mesuren una magnitud: temperatura, soroll, CO₂, ocupació— i actuadors —que actuen sobre el món físic— connectats a la mateixa xarxa que la resta de serveis. Hi aporta connectivitat i protocols que no són els d'un navegador: LPWAN (Low-Power Wide-Area Network) de llarg abast i baix consum (LoRaWAN, NB (Narrowband)-IoT) o, per a curt abast, Bluetooth LE (Low Energy); i, per als missatges, MQTT (Message Queuing Telemetry Transport)*, l'estàndard de facto, de publicació-subscripció i molt lleuger. L'edge computing*** processa a prop de l'origen per reduir latència i volum cap al núvol.

La ingesta d'aquestes dades a la plataforma municipal —Sentilo— és a arquitectura de dades; la seva publicació, a dades obertes i reutilització.

Claus d'examen

• SIP no és «compacte i sense nivells»: es defineix per capes (sintaxi, transport, transacció, usuari de transacció) i inclou seguretat (TS-TIC 2018 pràctica, p. 9).
• Adreçament públic propi: cal l'estatus de LIR i després el de sistema autònom (AS) per encaminar-se directament via un IXP com el CATNIX; no basten la banda ampla, ni la categoria d'operador davant la CNMC (Comisión Nacional de los Mercados y la Competencia, que regula però no assigna adreces), ni un Tier 2, que compra trànsit. I el RIR de Catalunya és RIPE NCC, no APNIC (p. 23 i 24).
• ISP no és IXP: el peering és intercanvi de trànsit típicament sense cost entre organitzacions que actuen com a ISP i AS, fet en un IXP; no és cedir adreces d'un altre ISP, ni limitar el cabal contractat, ni monitorar (p. 25).
• La intranet, en ser privada i controlada, té més predictibilitat de rendiment i funcionament que Internet: la trampa és pensar-ho al revés (p. 30).
• ToIP: el desplegament el formen telèfons IP, softphones, gateways/mediagateways, call servers, compressors de veu i encriptadors —no directori actiu, ni IPS (Intrusion Prevention System), ni SAI (Sistema d'Alimentació Ininterrompuda)—; i si la infraestructura IP de l'edifici no dona el mínim, l'alternativa és cablatge telefònic + telefonia analògica contra un mediagateway, no el 4G ni renunciar-hi (p. 7 i 27). (Les quatre anteriors, TS-TIC 2018 pràctica.)
• El whois es pot consultar amb qualsevol servei whois, no només amb el del .cat, i no està reservat als registradors ni és informació privada (TS-TIC 2021 pràctica, p. 22).

Per recordar

• OSI 5+6+7 → aplicació de TCP/IP; OSI 1+2 → accés a la xarxa; 3 i 4 es corresponen una a una.
• TCP = orientat a connexió i fiable; UDP = sense connexió i ràpid, per a DNS, veu i vídeo.
• MUA → MTA → (SMTP) → MTA → MDA: SMTP envia i reenvia; POP3 descarrega (i esborra); IMAP sincronitza. UPDATE i DOWNLOAD no són mètodes HTTP.
• El DNS és jeràrquic, distribuït i amb memòria cau; registres A, AAAA, CNAME, MX, NS, SOA, PTR, TXT, SRV, CAA. Autoritatiu = origen de la dada; recursiu = qui la va a buscar i la guarda durant el TTL; AXFR copia la zona sencera i IXFR només els canvis.
• DNSSEC autentica i garanteix la integritat; NO xifra — DoT/DoH sí; i SPF, DKIM i DMARC són registres DNS contra la suplantació del correu.
• Els PoP d'una CDN guarden en memòria cau i serveixen el contingut des del punt més proper a l'usuari, reduint la latència.
• Les adreces públiques venen de IANA → RIR (RIPE NCC a Europa) → operador, amb quota anual; ser LIR i sistema autònom (AS) dona adreçament estable i peering directe via IXP.
• Un ISP ven accés o trànsit; un IXP és la instal·lació neutra on s'interconnecten: el peering és sense cost i el trànsit es paga. BGP tria per política, no pel camí més ràpid.
• La intranet és més predictible que Internet perquè és privada i controlada.
• SIP (RFC 3261) és per capes i inclou seguretat; ToIP vol telèfons/softphones, gateways, call servers i compressors de veu — i si l'edifici no té infraestructura IP mínima, cablatge telefònic + analògics contra un mediagateway.

Tema 63 · Núvol i xarxes

Protocols, estructura i adreçament: TCP/IP v4 i MPLS

Abast decidit per nosaltres: l'enunciat oficial no acota la matèria

Enunciat oficial. Protocols, estructura i adreçament: TCP/IP v4 i MPLS.

1. L'estructura: la pila TCP/IP

TCP/IP (Transmission Control Protocol / Internet Protocol) és la família de protocols d'Internet, organitzada en 4 capes; el model OSI (Open Systems Interconnection) en té 7.

1.1 L'encapsulament

Cada capa afegeix la seva capçalera a les dades que rep de la de sobre i el receptor les retira en ordre invers: una mateixa dada viatja dins d'un segment, dins d'un paquet i dins d'una trama. La targeta de xarxa (NIC, Network Interface Card) és el component d'un ordinador que fa aquest encapsulament als extrems, tant a nivell 2 (Ethernet) com a nivell 3 (IP).

1.2 La trama Ethernet

• Adreça MAC (Media Access Control): 48 bits en hexadecimal; els 24 primers són l'OUI (Organizationally Unique Identifier) del fabricant, i FF:FF:FF:FF:FF:FF és la difusió.
• La trama porta MAC de destinació, MAC d'origen, EtherType (identifica el protocol de la capa 3 que transporta), les dades i el FCS (Frame Check Sequence).
• MTU (Maximum Transmission Unit): la mida màxima que admet l'enllaç. Un paquet més gran es fragmenta a nivell IP; cada capçalera afegida (VLAN, etiqueta MPLS) en resta marge.

2. Adreçament IPv4

Adreça IPv4: 32 bits, escrits en quatre octets decimals separats per punts. Es divideix en part de xarxa i part de host, delimitades per la màscara de subxarxa.

2.1 Classes (històric, però encara es pregunta)

Altres rangs especials: 127.0.0.0/8 loopback · 169.254.0.0/16 enllaç local (APIPA, Automatic Private IP Addressing) · 100.64.0.0/10 CGNAT (Carrier-Grade NAT).

Tot el que no cau en un rang privat és públic, i el públic s'assigna: baixa del RIPE (Réseaux IP Européens) NCC (Network Coordination Centre), el registre regional europeu, amb quota anual —la cadena sencera és a arquitectura d'Internet—. El de l'Ajuntament de Barcelona és 212.15.224.0 – 212.15.255.255, i per això l'adreça 212.15.224.5 és pública mentre que 10.x, 172.16-31.x i 192.168.x no ho són mai.

2.2 CIDR i subnetting

CIDR (Classless Inter-Domain Routing) abandona les classes: la màscara s'expressa amb el nombre de bits a 1 (/24).

Fórmula: hosts útils = 2^(32−prefix) − 2 (es resten l'adreça de xarxa i l'adreça de difusió).

Per dimensionar es va al revés: el prefix més llarg que encara doni prou hosts. Per a 300 màquines un /24 no arriba i un /23 sí; per a 50, un /26.

Quantes xarxes petites hi caben: un /n conté 2^(m−n) subxarxes /m. Un /19 són 32 xarxes /24 —és a dir, 32 «xarxes de classe C», que és com encara ho pregunta el tribunal—, i una classe C sencera té 256 adreces (254 útils). El mateix compte serveix per llegir un rang: de 212.15.224.0 a 212.15.255.255 el tercer octet pren 32 valors, i cada valor és un /24.

VLSM (Variable Length Subnet Mask): màscares de longitud variable, per assignar a cada subxarxa la mida que necessita.

2.3 Sumarització: com es calcula

Sumarització (supernetting o agregació): substituir diverses xarxes contigües per un únic anunci i reduir la taula d'encaminament. El prefix del resum és el nombre de bits inicials que totes comparteixen.

Exemple amb 10.1.1.0/24, 10.1.2.0/24, 10.1.3.0/24 i 10.1.4.0/24: els dos primers octets són idèntics (16 bits) i el tercer val 1, 2, 3 i 4, que en binari només comparteixen els 5 bits de l'esquerra. La ruta sumaritzada més petita que les inclou totes és 10.1.0.0/21, de 10.1.0.0 a 10.1.7.255.

De l'exemple surt el que es pregunta: la ruta sumaritzada inclou adreces que no són nostres —també queden incloses i anunciades 10.1.5.0/24, 10.1.6.0/24 i 10.1.7.0/24, si l'enunciat ho permet— i per tant és sempre igual o més gran que la suma de les xarxes. Només surt bé amb un pla jeràrquic, amb les xarxes d'una seu contigües i alineades.

Quan l'enunciat prohibeix incloure subxarxes no llistades, un únic resum ampli no val i cal el prefix més llarg vàlid per a cada grup alineat: 10.22.12.0/23, 10.22.14.0/23, 10.22.16.0/23 i 10.22.18.0/23 no resumeixen en un sol /21 —no comença en un múltiple de 8 al tercer octet—, sinó en dos /22: 10.22.12.0/22 i 10.22.16.0/22.

Encavalcament: dues subxarxes s'encavalquen quan els rangs es toquen (10.1.0.0/16 i 10.1.5.0/24), i l'encaminament es torna imprevisible. La solució no és una ruta: és renumerar una de les dues o, en una fusió d'empreses, aïllar-les amb NAT als dos costats —origen en un tallafocs, destí a l'altre, perquè el problema és simètric.

2.4 La màscara wildcard

Màscara wildcard (o màscara comodí): la inversa bit a bit de la màscara de subxarxa, utilitzada a les llistes de control d'accés (ACL, Access Control List) —a Cisco, access-list ... permit <IP> <wildcard>— i a la configuració d'OSPF (Open Shortest Path First) i EIGRP (Enhanced Interior Gateway Routing Protocol). Un 0 vol dir «aquest bit ha de coincidir exactament» i un 1, «aquest bit és indiferent»: si l'adreça a comprovar coincideix en tots els bits fixats, hi ha match. Càlcul: wildcard = 255.255.255.255 − màscara. Canviar la wildcard sense canviar l'adreça eixampla o redueix el bloc que fa match, encara que l'IP de la sentència sigui la mateixa.

2.5 NAT

NAT (Network Address Translation): el procés que permet que els equips amb adreçament privat surtin a Internet amb una adreça IP pública, traduint les adreces d'origen (i, en el cas de PAT, també els ports) a la sortida i desfent la traducció a l'entrada.

• NAT estàtic: correspondència un a un fixa, per publicar un servidor intern. NAT dinàmic: una bossa d'adreces públiques. NAT de destinació o redirecció de ports: per publicar serveis.
• PAT (Port Address Translation) o NAT overload: moltes adreces privades comparteixen una sola adreça pública distingint-se pel port d'origen. És el mecanisme habitual de sortida a Internet.
• NAT-Client a un balancejador de càrrega: reescriu la IP origen del client per la del propi balancejador, perquè la resposta del servidor torni sempre per ell i no directament al client, cosa que trencaria la sessió.

Quan els dos extrems que s'han d'interconnectar tenen rangs privats que se solapen, cap dels dos pot encaminar cap a l'altre sense ambigüitat i no n'hi ha prou de traduir en un costat: cada organització fa NAT de les seves adreces d'origen al seu propi tallafoc, de manera que l'altra les vegi dins d'un rang que no col·lisiona amb el seu. Traduir el destí no resol el solapament de l'origen.

NAT no és un mecanisme de seguretat, encara que dificulti les connexions entrants no sol·licitades.

2.6 IPv6

128 bits, notació hexadecimal en vuit grups. No té NAT ni difusió (usa multicast i anycast). Autoconfiguració SLAAC (StateLess Address AutoConfiguration), i NDP (Neighbor Discovery Protocol) sobre ICMPv6 en lloc d'ARP. Adreces: globals unicast (2000::/3), enllaç local (fe80::/10), úniques locals (fc00::/7) i loopback (::1). Transició: doble pila.

El subnetting en IPv6 no es fa per estalviar adreces, sinó per organitzar, i les mides són fixes: /64 per a tota subxarxa amb hosts —els 64 bits de la dreta són l'identificador d'interfície, i és el que SLAAC necessita—, /48 per a una organització i /56 per a un client domèstic. Un /48 dona 65.536 subxarxes /64, i un /32 d'operador dona 65.536 /48, que es reparteixen pels bits del mig: 2a00:c140:0::/48, 2a00:c140:1::/48…

3. Els protocols de transport

3.1 TCP

TCP (Transmission Control Protocol): orientat a connexió i fiable. Numera els bytes, confirma el que arriba, retransmet el que es perd i els lliura en ordre.

L'establiment de la connexió és el three-way handshake, i és el primer que passa abans de qualsevol dada:

El tancament ordenat en són 4 (FIN, ACK, FIN, ACK) i RST l'avorta de cop. Aporta a més finestra lliscant (control de flux), finestra de congestió amb slow start i suma de comprovació.

3.2 UDP

UDP (User Datagram Protocol): sense connexió i no fiable. Capçalera de 8 bytes —ports, longitud i suma de comprovació— i res més: ni handshake, ni confirmacions, ni ordre. És el que volen la veu i el vídeo en temps real, on retransmetre arriba tard, i les consultes breus (DNS, DHCP, SNMP).

3.3 Els ports

Port: 16 bits que identifiquen l'aplicació dins de la màquina; el parell adreça IP + port és un socket. Els 0-1023 són els ben coneguts (22 SSH (Secure Shell), 53 DNS, 80 HTTP, 443 HTTPS, HTTP Secure), els 1024-49151 els registrats i els 49152-65535 els efímers que tria el client com a port d'origen.

3.4 Protocols auxiliars

• ICMP (Internet Control Message Protocol): missatges de control i error. És el que fan servir ping (echo request/reply) i traceroute (missatge TTL (Time To Live) exceeded). No té ports.
• ARP (Address Resolution Protocol): resol una IP a una MAC dins del mateix segment, preguntant per difusió. Amenaça: ARP spoofing; mitigació amb DAI (Dynamic ARP Inspection) i DHCP snooping.
• DHCP (Dynamic Host Configuration Protocol): assigna IP, màscara, passarel·la i DNS amb l'intercanvi DORA (Discover, Offer, Request, Acknowledge). Com que va per difusió, servir una VLAN des d'un servidor central demana un agent de retransmissió (ip helper-address).
• DNS (Domain Name System): resol noms a adreces → tema 25.

4. Commutació de nivell 2

Una LAN commutada es munta amb tants commutadors com calgui als armaris de planta i un sol encaminador de sortida a l'exterior: posar-hi concentradors la deixa d'estar commutada, i un encaminador per armari és sobredimensionar el nivell 3. Si els llocs de treball porten telèfons IP o punts d'accés, el commutador ha de ser PoE (Power over Ethernet), que els alimenta pel mateix cable de xarxa; comptar elements decideix les preguntes d'aquest tipus, perquè un commutador PoE de 24 ports és un aparell i un de normal amb 24 injectors en són 25.

4.1 Com aprèn un commutador

Un commutador aprèn sol, i això explica què fa un equip acabat de treure de la caixa:

1. Apunta la MAC d'origen de cada trama a la taula MAC (o taula CAM, Content Addressable Memory) amb el port per on ha arribat; l'entrada caduca si no es torna a veure.
2. Per reenviar mira la MAC de destinació: si la té a la taula, l'envia només per aquell port.
3. Si no la té —o si és difusió o multidifusió—, inunda la trama per tots els ports menys el d'entrada. És el unknown unicast flooding: un commutador nou, que encara no ha après res, ho reenvia tot a tot arreu.

D'aquí surten els dos dominis: el de col·lisió és cada port del commutador —un concentrador (hub) en té un de sol, i per això hi funciona el sniffer sense més—, i el de difusió és tot el commutador, o cada VLAN si n'hi ha. Només un encaminador, o un dispositiu de capa 3, trenca el de difusió.

A cada salt d'un router es reescriu la trama, no el paquet: com que un router no fa bridging entre les seves interfícies, les MAC d'origen i destinació canvien a cada interfície de sortida per les del nou salt, mentre que les IP d'origen i destinació es mantenen de cap a cap (llevat que hi hagi NAT). Un sniffer connectat entre dos routers només veu, per tant, les MAC d'aquell tram concret, encara que l'IP no hagi canviat.

4.2 VLAN

VLAN (Virtual Local Area Network, 802.1Q): segmentació lògica en dominis de difusió independents, amb trunk etiquetat entre commutadors. Comunicar dues VLAN demana encaminament.

4.3 STP i les seves variants

STP (Spanning Tree Protocol, 802.1D) evita els bucles a les topologies redundants bloquejant lògicament els enllaços sobrers i reactivant-los si cau el camí principal. En una arquitectura en anell de nivell 2 —típica en connectar els elements d'accés d'una seu— l'STP és el que impedeix la tempesta de difusió i el bucle infinit, a costa de tenir enllaços inactius. El va dissenyar Radia Perlman, autora de Interconnections: Bridges and Routers.

La tria surt de les dues últimes columnes: RSTP si el que importa és recuperar-se de pressa, PVST+ si el que importa és repartir el trànsit entre VLAN, i RPVST+ quan es volen les dues coses —la variant recomanada als commutadors d'accés d'una seu amb diverses VLAN—.

Si malgrat tot es produeix un bucle de nivell 2, la possibilitat és desconnectar manualment un dels cables LAN (Local Area Network) de coure (RJ45, Registered Jack) redundants que es connecten a l'encaminador —mai el de WAN (Wide Area Network), que no forma part d'aquest domini de difusió— i deixar l'altre per no perdre la connectivitat.

4.4 Agregació d'enllaços

Agregació d'enllaços: diversos enllaços físics es presenten com un de sol, sumant ample de banda i aportant redundància.

• LACP (Link Aggregation Control Protocol, 802.3ad) és l'estàndard, i per tant l'única opció entre fabricants diferents. PAgP (Port Aggregation Protocol) és propietari de Cisco i no interopera; EtherChannel és el nom comercial de Cisco, no un protocol.
• Els enllaços han de coincidir en velocitat, dúplex i VLAN; si no, l'agregació no es forma.

Alternatives modernes a l'STP en CPD (Centre de Processament de Dades): stacking, MLAG (Multi-Chassis Link Aggregation Group, o vPC) i teixits de capa 3 amb EVPN (Ethernet VPN) /VXLAN (Virtual eXtensible LAN). Seguretat de port, 802.1X i NAC (Network Access Control) → temes 61 i 64.

5. Encaminament

5.1 Estàtic, dinàmic i distància administrativa

Encaminament estàtic: rutes escrites a mà. La ruta per defecte (0.0.0.0/0, la default gateway) és el cas més habitual i funciona entre fabricants diferents sense negociar res.

L'encaminador tria per prefix més llarg (10.1.1.0/24 guanya 10.0.0.0/8); a igualtat de prefix decideix la distància administrativa, i com més baixa, més fiable.

L'ordre importa i és el parany habitual: l'especificitat es mira abans que el tipus de ruta i que la distància administrativa. Si un equip està dins de 10.1.0.0/16 i un altre dins de 10.1.30.0/24, un ping a 10.1.30.34 va sempre pel /24, encara que el /16 s'hagi après per un camí que semblaria millor. Els codis de la taula d'OSPF només ordenen entre rutes del mateix prefix: O intra-àrea, O IA inter-àrea, i O E1 i O E2 per a les rutes redistribuïdes des de fora del domini OSPF.

Redistribució: injectar les rutes d'un protocol dins d'un altre, cosa habitual quan es fusionen dues xarxes amb protocols diferents. Els dos riscos que es pregunten són els bucles d'encaminament —una ruta surt i torna a entrar pel mateix punt— i les rutes subòptimes, perquè les mètriques no es tradueixen entre protocols i cal assignar-ne una de nova. Es filtren amb llistes de prefixos i etiquetes (route tags).

5.2 Els protocols

OSPF — el camí que forma per defecte: construeix la topologia completa de l'àrea i calcula amb Dijkstra el camí de cost mínim acumulat, on el cost de cada enllaç és inversament proporcional al seu ample de banda. És a dir, el camí més ràpid en ample de banda, no el de menys salts: aquesta és la diferència essencial amb RIP.

5.3 BGP: atributs i selecció de la millor ruta

BGP (Border Gateway Protocol) és el protocol entre sistemes autònoms. Un AS (Autonomous System) és un conjunt de xarxes amb política d'encaminament única, identificat per un número; eBGP és entre AS diferents i iBGP, dins del mateix. BGP no tria per velocitat: tria per política, i els atributs decideixen en aquest ordre:

Les dues conclusions que cauen: per triar per quin proveïdor SURT el nostre trànsit s'apuja el LOCAL_PREF de les rutes apreses d'aquell proveïdor —és un atribut intern, es propaga per iBGP i no surt de l'AS—, i per influir per on Entra només es pot suggerir, amb MED o allargant l'AS_PATH (prepending), perquè la decisió final és de l'altre.

BGP també és la defensa contra un DDoS volumètric (Distributed Denial of Service): un atac d'aquesta modalitat satura l'enllaç amb l'operador, de manera que qualsevol tallafoc, IPS (Intrusion Prevention System) o gestor d'ample de banda instal·lat a casa arriba tard, perquè el tub ja és ple abans. L'única solució que no consumeix l'ample de banda de sortida és que l'operador atregui el trànsit amb un anunci BGP específic i el netegi aigües amunt abans de lliurar-lo.

A la sortida de show ip bgp, * marca les rutes vàlides i > la millor, l'única que s'instal·la a la taula i s'anuncia als veïns. Una ruta amb el NEXT_HOP inaccessible no és vàlida i no es tria, encara que els atributs siguin millors: és l'error clàssic amb iBGP sense next-hop-self.

5.4 Redundància de la passarel·la

Si la passarel·la per defecte cau, la xarxa queda incomunicada encara que hi hagi un segon encaminador. La solució és que dos encaminadors comparteixin una IP virtual i els equips apuntin a aquesta:

• VRRP (Virtual Router Redundancy Protocol): estàndard, i per tant el que serveix entre fabricants diferents. Un mestre i un o més de reserva.
• HSRP (Hot Standby Router Protocol) i GLBP (Gateway Load Balancing Protocol) són propietaris de Cisco.

5.5 Multicast

Multidifusió (multicast): un origen envia una sola còpia i la xarxa la duplica només on cal, construint un arbre de distribució cap als receptors. És el que fa falta per a televisió IP, videovigilància —una càmera que envia imatges als ordinadors d'una guàrdia urbana que en vigila els carrers— i difusió de vídeo: amb unidifusió l'origen enviaria una còpia per espectador i saturaria l'enllaç; amb difusió arribaria a qui no l'ha demanada. El grup és una adreça de classe D (224.0.0.0/4).

PIM (Protocol Independent Multicast) és com els encaminadors construeixen l'arbre. IGMP (Internet Group Management Protocol) n'és l'altra meitat: PIM construeix l'arbre entre encaminadors, però qui demana rebre un grup és el receptor, i ho fa amb IGMP contra l'encaminador de la seva xarxa. Sense aquesta senyalització l'arbre no sap fins on ha d'arribar. PIM-SM (Sparse Mode) parteix d'un arbre compartit amb arrel al RP (Rendezvous Point) i pot passar a l'arbre de camí més curt.

5.6 Convergència

Convergència: quan es produeix un tall entre encaminadors, els protocols triguen un temps a convergir —detectar la pèrdua, propagar el canvi, recalcular i instal·lar les rutes noves—, i en aquest interval hi ha pèrdua de trànsit o bucles temporals. Es redueix amb temporitzadors agressius i BFD (Bidirectional Forwarding Detection, fallides en mil·lisegons).

6. MPLS

MPLS (Multiprotocol Label Switching): els paquets es commuten segons una etiqueta de longitud fixa afegida a l'entrada de la xarxa, en lloc de consultar l'adreça IP de destinació a cada salt.

6.1 Conceptes

• Etiqueta (label): identificador de longitud fixa inserit entre la capçalera d'enllaç i la de xarxa —per això MPLS es diu «capa 2,5»— que determina el camí del paquet dins de la xarxa MPLS. No conté l'adreça de destinació: només diu al següent encaminador com tractar el paquet. Es pot apilar més d'una etiqueta (label stack), i això és el que permet les VPN.
• LER (Label Edge Router) o PE (Provider Edge): a la vora; imposa l'etiqueta a l'entrada i la retira a la sortida.
• LSR (Label Switch Router) o P (Provider): al nucli; commuta etiquetes.
• LSP (Label Switched Path): el camí unidireccional que segueix el paquet etiquetat.
• FEC (Forwarding Equivalence Class): conjunt de paquets que reben el mateix tractament.
• LDP (Label Distribution Protocol) i RSVP (Resource ReSerVation Protocol)-TE (Traffic Engineering): protocols de distribució d'etiquetes; RSVP-TE afegeix enginyeria de trànsit amb reserva de recursos.

6.2 Avantatges

Enginyeria de trànsit —dirigir el trànsit per camins concrets, cosa que l'encaminament IP pur no permet—, QoS, VPN de nivell 3 i 2, convergència ràpida i independència del protocol transportat, d'aquí «multiprotocol».

6.3 MPLS L3VPN i MP-BGP

Els operadors combinen MPLS amb MP-BGP per oferir VPN de nivell 3 (L3VPN, Layer 3 VPN) que mantenen separat i aïllat el trànsit i l'adreçament de cada client sobre una infraestructura compartida. El mecanisme:

• Cada client té una VRF (Virtual Routing and Forwarding) al PE: una taula d'encaminament independent, de manera que dos clients poden usar el mateix adreçament privat sense col·lisionar.
• MP-BGP (BGP multiprotocol) transporta entre PE les rutes de cada client, marcades amb un RD (Route Distinguisher) que les fa úniques i amb RT (Route Targets) que controlen quines VRF les importen.
• MPLS aporta el transport etiquetat pel nucli, que no necessita conèixer les rutes dels clients: l'estat de client viu només a la vora, i això fa el model escalable.

L2VPN (Layer 2 VPN) sobre MPLS, per transportar trames de nivell 2 en lloc de paquets IP: VPLS (Virtual Private LAN Service) emula un commutador multipunt i fa que diverses seus semblin al mateix segment LAN.

Alternativa actual: SD-WAN, o SD (Software-Defined) WAN, gestiona per programari diversos accessos (MPLS, internet, 5G) amb polítiques per aplicació, i sovint conviu amb MPLS en lloc de substituir-lo.

SR (Segment Routing): evolució del pla de control de MPLS que substitueix LDP i RSVP-TE per etiquetes distribuïdes pel propi protocol d'encaminament, sense estat per flux als nodes intermedis. Simplifica MPLS i facilita el pas cap a un entorn SDN (Software-Defined Networking), amb un controlador centralitzat que programa els camins.

7. Mitjans de transmissió i accessos WAN

7.1 Els mitjans

La fibra òptica és la resposta quan calen gran ample de banda i distància, i la monomode amb multiplexació arriba als valors més alts.

7.2 Xarxa pròpia o servei contractat

• Fibra fosca pròpia: ample de banda il·limitat i cap quota per Mbit, però el desplegament en àmbit urbà és l'opció de cost inicial més alt, perquè implica obra civil, canalitzacions i permisos carrer per carrer.
• Servei de l'operador (MPLS, Ethernet metropolitana, Internet dedicat): cost inicial baix, quota mensual per capacitat i SLA (Service Level Agreement, acord de nivell de servei).
• Accés de respatller: una seu secundària que perd la línia principal només es restableix ràpidament amb un accés per un altre mitjà físic, i el cas típic és un encaminador 4G/5G, que entra en servei el mateix dia sense obra ni provisió. Una VPN sobre Internet és barata, però no és contingència si el que ha caigut és precisament l'accés, perquè hi circula per sobre; i desplegar fibra pròpia o contractar un servei nou triga setmanes. El que restableix el servei és tenir l'alternativa configurada abans.

7.3 El càlcul que cau

Es barregen bits i bytes a propòsit: les línies es mesuren en bits per segon i els fitxers en bytes. 1 byte = 8 bits, i temps (s) = bits del fitxer / bits per segon.

I es barregen també els múltiples, que van de mil en mil: kbit/s → Mbit/s → Gbit/s → Tbit/s. Per comparar capacitats es passa tot a la mateixa unitat abans de mirar les xifres: 10.000 kbit/s són només 10 Mbit/s, menys que 100 Mbit/s; i 1.000 Tbit/s és un milió de vegades 1 Gbit/s.

Un fitxer de 7 MB (Megabyte) per una línia de 56 kbit/s: 7 · 8 = 56 Mbit, i 56.000.000 / 56.000 = 1.000 s, uns 17 minuts. Dividir «7 entre 56» i respondre 0,125 s és l'error que busca la pregunta. Per a veu sobre IP es multiplica: un canal amb el còdec G.711 gasta prop de 90 kbit/s amb capçaleres, i 10 trucades simultànies demanen prop d'1 Mbit/s garantit.

8. VPN IPsec

IPsec (Internet Protocol Security) xifra i autentica el trànsit IP, i és la resposta quan es demana confidencialitat i autenticació obligatòries entre seus o en una videoconferència entre organitzacions.

L'alternativa quan l'enllaç entre seus és de nivell 2 —fibra fosca o Ethernet metropolitana— és xifrar-lo a la mateixa capa 2 amb MACsec (802.1AE), que protegeix la trama sencera salt a salt; IPsec xifra el paquet IP i per això travessa qualsevol xarxa encaminada. Com s'aprofiten com a mesura de seguretat és a arquitectures de seguretat on premise; aquí són el transport.

• Modes: túnel —xifra el paquet sencer i n'afegeix un de nou; el de les VPN entre seus— i transport, que només xifra les dades. Protocols: ESP (Encapsulating Security Payload) xifra i autentica; AH (Authentication Header) només autentica.
• La negociació té dues fases, i això és el que es pregunta. La duu IKE (Internet Key Exchange, avui IKEv2), sobre UDP 500. A la fase 1 (ISAKMP, Internet Security Association and Key Management Protocol) els extrems s'autentiquen —clau precompartida o certificat— i obren un canal segur de gestió, negociant xifrat, resum i grup Diffie-Hellman; a la fase 2, dins d'aquell canal, es negocien les SA (Security Association) que protegiran les dades.

9. QoS

Una xarxa suporta telefonia IP quan compleix dues condicions alhora, no una: ample de banda suficient perquè no es congestioni, i QoS (Quality of Service) perquè, quan es congestioni igualment, la veu passi davant. Ni redundar-la ni acostar les seus hi afegeix res: la redundància dona disponibilitat, no qualitat de la trucada.

• Classificació i marcatge: DSCP (Differentiated Services Code Point, 6 bits del camp DS (Differentiated Services) de la capçalera IP) i CoS (Class of Service, 802.1p a nivell 2, 3 bits dins de l'etiqueta de VLAN).
• Els valors que cauen: EF (Expedited Forwarding, DSCP 46, equivalent a CoS 5) és la marca de la veu i la més prioritària que fa servir un telèfon IP; BE (Best Effort, 0) és la resta del trànsit, sense prioritat.
• Requisits de la veu sobre IP: latència < 150 ms un sentit, fluctuació (jitter) < 30 ms i pèrdua < 1 %.

10. Anàlisi i diagnòstic

Analitzador de protocols o sniffer: l'aparell o programari que captura els paquets que circulen per la xarxa i en permet l'anàlisi, descodificant els protocols capa per capa. És l'instrument adequat quan cal estudiar els paquets que es transmeten.

Què veu segons on es connecta: en un concentrador, tot, perquè hi ha un sol domini de col·lisió; en un port normal d'un commutador, només el seu propi trànsit, la difusió, la multidifusió i la unidifusió desconeguda, perquè la resta s'entrega només al port de destinació.

Altres eines: ping i traceroute (ICMP), nmap (ports), SNMP (Simple Network Management Protocol) → tema 21.

11. Disseny d'una xarxa corporativa

• Topologia: en estrella cada seu penja d'un node central, i en malla completa (full mesh) totes s'uneixen amb totes. La malla dona el camí més curt entre qualsevol parell, però el nombre d'enllaços creix amb el quadrat dels punts: n · (n − 1) / 2, que amb 216 punts són 23.220 enllaços. Per això les xarxes grans es fan jeràrquiques i la malla completa es reserva al nucli.
• Model jeràrquic: nucli (core) → distribució → accés; o spine-leaf als CPD. Redundància a tots els nivells, sense punts únics de fallida, i segmentació per VLAN i per zones amb tallafocs entre elles.
• Adreçament planificat i jeràrquic, que permeti la sumarització i deixi marge de creixement. Quan s'instal·la una seu municipal nova no n'hi ha prou d'assignar una adreça: cal un rang dins del pla corporatiu, amb les seves VLAN, l'encaminament, les polítiques de seguretat i el DNS i el DHCP configurats.
• IPAM (IP Address Management): eina que gestiona de manera centralitzada el pla d'adreçament i sol integrar DNS i DHCP —d'aquí que una de les seves pestanyes sigui el servidor DNS—.
• Documentació i etiquetatge del cablatge → tema 55.

Claus d'examen

• Aquest tema cau sobretot a la prova pràctica, sobre un supòsit amb plànol i taules. Val més saber calcular —un resum, uns hosts, un temps de transmissió— que recitar definicions. De teoria pura només n'ha caigut una, i de cultura: Radia Perlman i el spanning tree (TS-TIC 2021 pràctica, p. 26).
• El parany de bits i bytes surt sempre que hi ha una línia i un fitxer (TS-TIC 2018, p. 14; TM-TIC 2021-OP pràctica, p. 10). Passa-ho tot a bits abans de dividir.
• Quan la pregunta diu «de fabricants diferents», la resposta és l'estàndard: LACP i no PAgP (TS-TIC 2021 pràctica, p. 30), VRRP i no HSRP, i una ruta estàtica per defecte quan no volen que negociïn res (TS-TIC 2021 pràctica, p. 29).
• BGP: LOCAL_PREF per a la SORTIDA, MED per suggerir l'ENTRADA. Ha caigut amb la captura de show ip bgp al davant (TS-TIC 2021 pràctica, p. 6, p. 8 i p. 9): mira el > i si el NEXT_HOP és accessible.
• 172.32.x.x no és privada: el rang de classe B acaba a .31. També 172.15.x.x és pública, 192.168.x.x és privada però de classe C i 10.x.x.x, de classe A.
• El parany del sniffer entre routers: la IP no canvia mai de cap a cap, la MAC es reescriu a cada salt (TS-TIC 2021 pràctica, p. 15; TS-TIC 2023 pràctica, p. 26).

Per recordar

• Privades: 10.0.0.0/8 (A), 172.16.0.0/12 (B: 172.16 a 172.31), 192.168.0.0/16 (C).
• Hosts útils = 2^(32−prefix) − 2: un /30 dona 2; per a 300 màquines cal un /23. Wildcard = inversa de la màscara (0 ha de coincidir, 1 és indiferent): /24 → 0.0.0.255.
• El resum es calcula amb els bits comuns i sempre és igual o més gran que la suma de les xarxes: de 10.1.1.0/24 a 10.1.4.0/24 resumeixen a 10.1.0.0/21.
• PAT permet que moltes IP privades surtin amb una sola pública, distingides pel port.
• TCP obre amb 3 missatges (SYN, SYN+ACK, ACK) i tanca amb 4. UDP no obre res: per això el fa servir la veu.
• Un commutador inunda el que no té a la taula MAC; cada port és un domini de col·lisió i només un encaminador trenca el de difusió.
• RPVST+ quan es vol convergència ràpida i un arbre per VLAN; MSTP quan hi ha massa VLAN per a això.
• OSPF forma el camí de cost mínim acumulat, inversament proporcional a l'ample de banda —no el de menys salts—. Distància administrativa 110; l'estàtica, 1.
• BGP: LOCAL_PREF alt mana la sortida, AS_PATH curt mana el camí i MED baix només suggereix l'entrada.
• Etiqueta MPLS: 20 bits de longitud fixa entre la capa 2 i la 3; no conté l'adreça de destinació. MPLS + MP-BGP = L3VPN, amb VRF per client, RD per fer úniques les rutes i RT per importar-les.
• IPsec negocia en dues fases: la 1 autentica els extrems, la 2 protegeix les dades. 1 byte = 8 bits, i temps = bits del fitxer / bits per segon.
• DSCP EF (46) = CoS 5 per a la veu; latència < 150 ms, jitter < 30 ms, pèrdua < 1 %. La IP no canvia mai de cap a cap; la MAC es reescriu a cada salt —per això, en un port de commutador, el sniffer només veu el seu propi trànsit, la difusió i la unidifusió desconeguda.