C5 redes

C5 — Reto Tecnico: Ingenieria de Redes#

Cargo: Ingenieria de Redes Tipo de reto: Practico y presencial Equipamiento: Router TP-Link ER7206, APs EAP245/EAP225, switch manageable TL-SG3428, Starlink, modem LTE, cableado UTP Cat6, Wireshark, nmap Contexto operativo: Brigadas moviles que montan y desmontan infraestructura de red en cada ubicacion. Zonas urbanas y rurales, publico variable (30-200 personas), condiciones impredecibles. Metodologia de evaluacion: Ver 00-metodologia-evaluacion.md

1. Contexto del Reto#

El reto para Redes es practico y presencial, con equipamiento real del proyecto de brigadas.

1.1 Realidad operativa de las brigadas#

Las brigadas de INDOTEL se desplazan a comunidades en todo el territorio dominicano. Cada ubicacion es diferente:

• Montaje rapido: llegan al sitio, montan todo, y deben estar operativos en < 30 minutos
• Condiciones variables: espacios abiertos, canchas techadas, iglesias, escuelas, centros comunales
• Conectividad incierta: Starlink necesita cielo abierto (no funciona bajo techo metalico), LTE puede no tener cobertura en zonas rurales
• Publico real: personas con dispositivos variados — Android 8+, iPhones viejos, laptops, tablets. El captive portal debe funcionar en todos
• Incidentes en vivo: cables que se desconectan, equipos que se reinician, interferencia de otras redes locales, sobrecarga por muchas conexiones simultaneas
• Desmontaje ordenado: al terminar, desmontar todo sin perder configuracion, dejar equipos listos para la siguiente brigada

El candidato debe demostrar que entiende este contexto, no solo que sabe configurar un router en un escritorio.

1.2 Preparacion del espacio de evaluacion#

• Mesa de trabajo con equipamiento etiquetado
• Laptop con Wireshark, nmap, iperf3, speedtest-cli, y utilidades de red instaladas
• Generador de carga: script que simula 30+ dispositivos conectados (via herramientas o VMs)
• Acceso a documentacion del fabricante (manuales TP-Link, etc.)
• Evaluador presente observando y cronometrando
• Segundo evaluador (o script automatizado) inyectando incidentes durante retos avanzados

1.3 Reglas#

• Puede consultar documentacion (manuales, man pages). No puede pedir ayuda a terceros
• Debe explicar lo que hace al evaluador (comunicacion es criterio evaluado)
• Puede pedir clarificacion al evaluador sobre el enunciado, no sobre la solucion
• Debe tratar cada equipo como si fuera produccion: no dejar passwords por defecto, no dejar puertos abiertos innecesarios

2. Retos por Nivel — Resumen#

Total posible: 165 pts (nadie los hace todos — depende del nivel).

3. Detalle de cada Reto#

R1 — Configurar router dual-WAN + hardening basico (N1-N2)#

Material entregado:

• Router TP-Link ER7206 (reseteado a fabrica)
• Starlink conectada por ethernet
• Modem LTE con SIM activa
• Cables UTP Cat6 etiquetados

Tareas esperadas:

1. Conectar Starlink a WAN1, LTE a WAN2
2. Acceder al panel del router (192.168.0.1)
3. Cambiar credenciales por defecto (admin/admin → password fuerte)
4. Configurar WAN balancing: prioridad Starlink, failover a LTE
5. Configurar health check de WAN: ping a 8.8.8.8 y 1.1.1.1 cada 10s, 3 fallos = failover
6. Probar: desconectar cable Starlink y verificar que LTE toma en < 30 segundos
7. Reconectar Starlink y verificar failback
8. Hardening basico:
   • Deshabilitar UPnP
   • Deshabilitar gestion remota (WAN side)
   • Cambiar puerto de admin (no 80/443 default)
   • Deshabilitar PING desde WAN
   • Configurar NTP (hora correcta para logs)

Criterios de evaluacion R1:

Red flags (descalifican):

• Dejar credenciales por defecto en el router
• Dejar gestion remota habilitada por WAN
• No probar el failover (declarar listo sin verificar)

R2 — VLANs con aislamiento, ACLs y captive portal (N2-N3)#

Material entregado:

• Switch manageable (TP-Link TL-SG3428 o similar)
• 3 laptops etiquetadas: "Brigada" (VLAN 10), "Gestion" (VLAN 20), "IoT" (VLAN 30)
• Router configurado con internet (de R1 o preconfigurado)
• Servidor captive portal pre-instalado en un Mini-PC

Esquema esperado:

Tareas esperadas:

1. Crear VLANs en el switch con tagging correcto
2. Asignar puertos a cada VLAN
3. Verificar aislamiento: laptop "Brigada" no puede hacer ping a laptop "Gestion"
4. Verificar que "Gestion" si puede alcanzar a las demas
5. Configurar ACLs en el switch: no solo depender del VLAN tagging
6. Configurar DHCP server por VLAN (o relay al router)
7. Verificar captive portal: laptop "Brigada" al abrir browser ve pagina de registro antes de navegar
8. Cambiar credenciales del switch (no dejar default)
9. Documentar: tabla de VLANs + diagrama + puertos asignados

Criterios de evaluacion R2:

Red flags:

• Aislamiento que no funciona en la practica (solo en teoria)
• Captive portal bypasseable con DNS manual
• Credenciales default en switch

R3 — Diagnostico con Wireshark (incluye amenazas de seguridad) (N3)#

Escenarios preparados (el candidato no sabe cual le toca):

El evaluador configura uno de estos escenarios de rendimiento y uno de seguridad:

Escenarios de rendimiento (1 de 3):

• A: DNS lento — DNS primario apunta a servidor que no responde (timeout 5s antes de fallback)
• B: MTU incorrecto — MTU en 576 bytes causando fragmentacion excesiva, paginas grandes no cargan
• C: Broadcast storm — Loop entre dos puertos del switch, red saturada

Escenarios de seguridad (1 de 3):

• D: Rogue DHCP — Un segundo servidor DHCP responde antes que el oficial, asigna gateway incorrecto
• E: ARP spoofing — Un dispositivo esta haciendo ARP poisoning, interceptando trafico del gateway
• F: DNS hijacking — Un dispositivo responde a queries DNS con IPs falsas (redirecciona a sitio malicioso)

El candidato debe encontrar AMBOS problemas.

Criterios de evaluacion R3:

Bonificaciones:

R4 — Diseno de red mesh para espacio movil (N3-N4)#

Material entregado:

• Plano impreso del espacio (500m2 con paredes, pilares, areas abiertas)
• Fichas de APs disponibles (EAP245 v3, EAP225) con specs de cobertura y throughput
• Informacion adicional: "la brigada se monta en 2 horas y se desmonta en 1 hora. Los APs se montan con tripodes portatiles, no se atornillan a la pared."
• Lapiz, regla, marcadores de colores

Diferencia con un diseno estatico: El candidato debe pensar en portabilidad y montaje rapido, no solo en cobertura perfecta.

Entregable esperado:

1. Plano con ubicacion de cada AP + justificacion de por que ahi
2. Asignacion de canales (1, 6, 11 en 2.4GHz; canales en 5GHz) sin solapamiento
3. Cobertura estimada con areas coloreadas
4. Plan de montaje: orden de instalacion, cuanto tarda, que se valida primero
5. Consideraciones de movilidad:
   • APs en tripodes: como evitar que se caigan o los muevan accidentalmente
   • Cableado temporal: canaletas portatiles o proteccion de cables en piso
   • Que pasa si el espacio real es diferente al plano (columnas extra, muebles)
6. Configuracion de roaming 802.11r para handoff sin corte
7. SSID unico para todo el mesh (no un SSID por AP)

Criterios de evaluacion R4:

Bonificaciones:

R5 — Stress test y estabilidad bajo carga (N3-N4)#

Este reto no existia antes. Las brigadas atienden a decenas de personas simultaneamente — hay que probar que la red aguanta.

Material entregado:

• Red ya configurada (de retos anteriores o preconfigurada)
• Herramientas: iperf3, stress-ng, hping3, macchanger, script generador de clientes simulados
• 5+ dispositivos fisicos (phones, tablets, laptops) para test real
• Script que simula 30 clientes DHCP simultaneos

Tareas esperadas:

1. Baseline: medir throughput y latencia con la red descargada (iperf3 entre VLAN 10 y gateway)
2. Carga progresiva: activar script de 30 clientes simulados + 5 dispositivos reales
3. Medir degradacion: throughput, latencia, packet loss bajo carga
4. Detectar punto de quiebre: cuantos clientes soporta antes de degradacion inaceptable (> 500ms latencia o > 5% packet loss)
5. Recovery: despues de saturacion, cuanto tarda la red en volver a estado normal al reducir carga
6. Edge cases de estabilidad:
   • Desconectar y reconectar un AP mientras hay clientes conectados → los clientes migran al otro AP?
   • Reiniciar el router durante operacion → cuanto tarda en volver? los clientes se reconectan solos?
   • Conectar un cable en loop (broadcast storm accidental) → el switch tiene proteccion? cuanto tarda en detectarlo?
   • Un dispositivo pidiendo IPs constantemente (DHCP flood) → se queda sin IPs el pool?

Criterios de evaluacion R5:

Ejemplo de tabla de resultados esperada:

Red flags:

• No medir baseline antes de aplicar carga (no tiene punto de comparacion)
• Declarar "funciona" sin metricas cuantitativas
• No probar recovery (la brigada necesita volver a operar rapido despues de un incidente)

R6 — Despliegue movil completo con incidentes en vivo (N4)#

La prueba definitiva: simular una brigada real con todo lo que puede salir mal.

Escenario:

El candidato llega a un espacio preparado (salon grande o area techada) y debe:

1. Montar la red completa desde cero: router, switch, 2+ APs, cableado, VPN
2. Ponerla operativa para atender a 20 personas simuladas (evaluadores con dispositivos)
3. Resolver incidentes inyectados en vivo por el segundo evaluador (sin previo aviso)
4. Desmontar al final, dejando todo embalado y listo para la siguiente brigada

Cronograma:

Incidentes que el evaluador puede inyectar (3-4 de estos):

Criterios de evaluacion R6:

Red flags (descalifican o penalizan severamente):

• Desactivar VLANs o firewall para "resolver rapido" un problema
• Dejar passwords default porque "despues lo cambio"
• Panico visible que afecta la operacion (no comunicar, gritar, abandonar)
• No tener plan de desmontaje (dejar cables tirados, equipos sin rotular)

R7 — Redundancia, failover y plan de recuperacion (N4)#

Material entregado:

• Pizarra blanca o papel grande
• Acceso a todos los equipos de los retos anteriores
• Documentacion de Netbird (VPN mesh)
• Tiempo extendido: 45 minutos

Entregable esperado:

1. Diagrama de arquitectura completo que incluya:

   • WAN primaria (Starlink) y secundaria (LTE)
   • VPN Netbird conectando al servidor central
   • VLANs con seguridad
   • Fallback: si VPN y WAN caen, operacion local con sincronizacion posterior
   • Mecanismo de deteccion de fallo (no solo "poner dos WANs")

2. Tabla de failover con edge cases de brigadas:

3. Implementacion parcial: configurar failover WAN + VPN + modo offline en equipo real

4. Plan de recuperacion post-incidente:

   • Checklist de verificacion despues de una caida total
   • Orden de encendido (router primero, luego switch, luego APs)
   • Verificacion: internet → VPN → VLANs → captive portal → sync de datos
   • Tiempo estimado de recovery total: < 10 minutos

5. Consideraciones de seguridad en failover:

   • Al caer VPN, el fallback (ngrok) es seguro? TLS? Autenticacion?
   • En modo offline, los datos locales estan encriptados?
   • Al hacer sync posterior, como se resuelven conflictos?
   • Bypass de switch (sin VLANs): que riesgos abre y como mitigarlos temporalmente?

Criterios de evaluacion R7:

4. Edge Cases de Brigadas Moviles — Referencia para Evaluadores#

Esta seccion documenta situaciones reales que han ocurrido o pueden ocurrir en brigadas. Los retos R5 y R6 estan disenados para evaluar estas situaciones.

4.1 Conectividad#

4.2 Dispositivos del publico#

4.3 Hardware y fisico#

4.4 Seguridad en campo#

5. Sprint Planning — Que completar segun tu nivel#

6. Timebox#

7. Evaluacion General — Criterios de Peso#

Cambio vs version anterior: Seguridad y estabilidad ahora tienen peso explicito (35% combinado). Antes era solo "resultado tecnico" generico.

8. Entregables#

Reto especifico para C5 — Redes. Para la rubrica general y metodologia, ver 00-metodologia-evaluacion.md