0 - en to es-ES translation catalogue (235 entries)

en: Network
es-ES: Red

en: Gateway
es-ES: Puerta de enlace

en: Network Infrastructure
es-ES: Infraestructura de red

en: Linux sports the whole Unix heritage for networking, and Debian provides a full set of tools to create and manage them. This chapter reviews these tools.
es-ES: Linux goza de toda la herencia de Unix sobre redes, y Debian provee un conjunto completo de herramientas para crear y administrarlas. Este capítulo examina estas herramientas.

en: <primary>gateway</primary>
es-ES: <primary>puerta de enlace</primary>

en: <primary>network</primary><secondary>gateway</secondary>
es-ES: <primary>red</primary><secondary>puerta de enlace</secondary>

en: <primary>router</primary>
es-ES: <primary>enrutador</primary>

en: A gateway is a system linking several networks. This term often refers to a local network's “exit point” on the mandatory path to all external IP addresses. The gateway is connected to each of the networks it links together, and acts as a router to convey IP packets between its various interfaces.
es-ES: Una puerta de enlace es un sistema que enlaza varias redes. Este término usualmente se refiere al «punto de salida» de una red local en el camino obligatorio hacia las direcciones IP externas. La puerta de enlace está conectada a cada una de las redes que enlaza y actúa como router para transmitir paquetes IP entre sus varias interfaces.

en: <emphasis>BACK TO BASICS</emphasis> IP packet
es-ES: <emphasis>VOLVER A LOS CIMIENTOS</emphasis> Paquete IP

en: <primary>packet</primary><secondary>IP</secondary>
es-ES: <primary>paquete</primary><secondary>IP</secondary>

en: Most networks nowadays use the IP protocol (<emphasis>Internet Protocol</emphasis>). This protocol segments the transmitted data into limited-size packets. Each packet contains, in addition to its payload data, a number of details required for its proper routing.
es-ES: La mayoría de las redes hoy en día utilizan el protocolo IP (protocolo de Internet: «<emphasis>Internet Protocol</emphasis>). Este protocolo segmenta los datos transmitidos en paquetes de tamaño limitado. Cada paquete contiene, además de sus datos como carga útil, algunos detalles necesarios para enrutarlos apropiadamente.

en: <emphasis>BACK TO BASICS</emphasis> TCP/UDP
es-ES: <emphasis>VOLVER A LOS CIMIENTOS</emphasis> TCP/UDP

en: <primary>port</primary><secondary>TCP</secondary>
es-ES: <primary>puerto</primary><secondary>TCP</secondary>

en: <primary>port</primary><secondary>UDP</secondary>
es-ES: <primary>puerto</primary><secondary>udp</secondary>

en: Many programs do not handle the individual packets themselves, even though the data they transmit does travel over IP; they often use TCP (<emphasis>Transmission Control Protocol</emphasis>). TCP is a layer over IP allowing the establishment of connections dedicated to data streams between two points. The programs then only see an entry point into which data can be fed with the guarantee that the same data exits without loss (and in the same sequence) at the exit point at the other end of the connection. Although many kinds of errors can happen in the lower layers, they are compensated by TCP: lost packets are retransmitted, and packets arriving out of order (for example, if they used different paths) are re-ordered appropriately.
es-ES: Muchos programas no gestionan los paquetes individuales por sí mismos aunque los datos que transmiten viajan por IP; generalmente utilizan TCP (protocolo de control de transmisión: «<emphasis>Transmission Control Protocol</emphasis>»). TCP es una capa sobre IP que permite establecer conexiones dedicadas a flujos de datos entre dos puntos. Los programas sólo ven, entonces, un punto de entrada en el que pueden verter datos con la garantía que los mismos datos existirán sin pérdida (y en el mismo orden) en el punto de salida en el otro extremo de la conexión. Si bien pueden ocurrir muchos tipos de errores en las capas inferiores, TCP los compensa: retransmite paquetes perdidos y reordena apropiadamente los paquetes que lleguen fuera de orden (por ejemplo si utilizaron caminos diferentes).

en: Another protocol relying on IP is UDP (<emphasis>User Datagram Protocol</emphasis>). In contrast to TCP, it is packet-oriented. Its goals are different: the purpose of UDP is only to transmit one packet from an application to another. The protocol does not try to compensate for possible packet loss on the way, nor does it ensure that packets are received in the same order as were sent. The main advantage to this protocol is that the latency is greatly improved, since the loss of a single packet does not delay the receiving of all following packets until the lost one is retransmitted.
es-ES: Otro protocolo sobre IP es UDP (protocolo de datagramas de usuario: «<emphasis>User Datagram Protocol</emphasis>). A diferencia de TCP, está orientado a paquetes. Sus objetivos son diferentes: el propósito de UDP sólo es transmitir un paquete de una aplicación a otra. El protocolo no intenta compensar la posible pérdida de paquetes en el camino, así como tampoco asegura que los paquetes sean recibidos en el mismo orden en el que se los envió. La principal ventaja de este protocolo es que mejora enormemente la latencia ya que la pérdida de un paquete no demora la recepción de todos los paquetes siguientes hasta que se retransmita aquél perdido.

en: TCP and UDP both involve ports, which are “extension numbers” for establishing communication with a given application on a machine. This concept allows keeping several different communications in parallel with the same correspondent, since these communications can be distinguished by the port number.
es-ES: Tanto TCP como UDP involucran puertos, que son «números de extensión» para establecer comunicaciones con una aplicación particular en una máquina. Este concepto permite mantener varias comunicaciones diferentes en paralelo con el mismo correspondiente debido a que se pueden diferenciar estas comunicaciones por el número de puerto.

en: When a local network uses a private address range (not routable on the Internet), the gateway needs to implement <emphasis>address masquerading</emphasis> so that the machines on the network can communicate with the outside world. The masquerading operation is a kind of proxy operating on the network level: each outgoing connection from an internal machine is replaced with a connection from the gateway itself (since the gateway does have an external, routable address), the data going through the masqueraded connection is sent to the new one, and the data coming back in reply is sent through to the masqueraded connection to the internal machine. The gateway uses a range of dedicated TCP ports for this purpose, usually with very high numbers (over 60000). Each connection coming from an internal machine then appears to the outside world as a connection coming from one of these reserved ports.
es-ES: Cuando una red local utiliza un rango de direcciones privadas (no enrutables en Internet), la puerta de enlace necesita implementar <emphasis>enmascarado de dirección</emphasis> («address masquerading») para que los equipos en la red puedan comunicarse con el mundo exterior. La operación de enmascarado es un tipo de proxy que funciona a nivel de red: se reemplaza cada conexión saliente de una máquina interna con una conexión desde la puerta de enlace misma (ya que la puerta de enlace tiene una dirección externa y enrutable), los datos que pasan a través de la conexión enmascarada son enviados a la nueva conexión y los datos recibidos en respuesta son enviados a través de la conexión enmascarada a la máquina interna. La puerta de enlace utiliza un rango de puertos TCP dedicados para este propósito, generalmente con números muy altos (mayores a 60000). Cada conexión que proviene de una máquina interna parece, para el mundo exterior, una conexión que proviene de uno de esos puertos reservados.

en: <primary>masquerading</primary>
es-ES: <primary>enmascaramiento</primary>

en: <emphasis>CULTURE</emphasis> Private address range
es-ES: <emphasis>CULTURA</emphasis> Rango de direcciones privadas

en: <primary>private IP address</primary>
es-ES: <primary>privada, dirección IP</primary>

en: RFC 1918 defines three ranges of IPv4 addresses not meant to be routed on the Internet but only used in local networks. The first one, <literal>10.0.0.0/8</literal> (see sidebar <xref linkend="sidebar.networking-basics" />), is a class-A range (with 2<superscript>24</superscript> IP addresses). The second one, <literal>172.16.0.0/12</literal>, gathers 16 class-B ranges (<literal>172.16.0.0/16</literal> to <literal>172.31.0.0/16</literal>), each containing 2<superscript>16</superscript> IP addresses. Finally, <literal>192.168.0.0/16</literal> is a class-B range (grouping 256 class-C ranges, <literal>192.168.0.0/24</literal> to <literal>192.168.255.0/24</literal>, with 256 IP addresses each). <ulink type="block" url="http://www.faqs.org/rfcs/rfc1918.html" />
es-ES: El RFC 1918 define tres rangos de direcciones IPv4 que no deben ser viables en Internet sino sólo utilizadas en redes locales. El primero, <literal>10.0.0.0/8</literal> (revise el recuadro <xref linkend="sidebar.networking-basics" />) es un rango clase A (con 2<superscript>24</superscript> direcciones IP). El segundo, <literal>172.16.0.0/12</literal>, reúne 16 rangos clase B (<literal>172.16.0.0/16</literal> a <literal>172.31.0.0/16</literal>), cada uno de los cuales contiene 2<superscript>16</superscript> direcciones IP. Finalmente, <literal>192.168.0.0/16</literal> es un rango clase B (agrupando 256 rangos clase C, <literal>192.168.0.0/24</literal> a <literal>192.168.255.0/24</literal>, con 256 direcciones IP cada uno). <ulink type="block" url="http://www.faqs.org/rfcs/rfc1918.html" />

en: The gateway can also perform two kinds of <emphasis>network address translation</emphasis> (or NAT for short). The first kind, <emphasis>Destination NAT</emphasis> (DNAT) is a technique to alter the destination IP address (and/or the TCP or UDP port) for a (generally) incoming connection. The connection tracking mechanism also alters the following packets in the same connection to ensure continuity in the communication. The second kind of NAT is <emphasis>Source NAT</emphasis> (SNAT), of which <emphasis>masquerading</emphasis> is a particular case; SNAT alters the source IP address (and/or the TCP or UDP port) of a (generally) outgoing connection. As for DNAT, all the packets in the connection are appropriately handled by the connection tracking mechanism. Note that NAT is only relevant for IPv4 and its limited address space; in IPv6, the wide availability of addresses greatly reduces the usefulness of NAT by allowing all “internal” addresses to be directly routable on the Internet (this does not imply that internal machines are accessible, since intermediary firewalls can filter traffic).
es-ES: La puerta de enlace también puede realizar dos tipos de <emphasis>traducción de direcciones de red</emphasis> («Network Address Translation» o NAT). El primer tipo, <emphasis>NAT de destino</emphasis> (DNAT) es una técnica para alterar la dirección IP de destino (y/o el puerto TCP o UDP) para una conexión (generalmente) entrante. El mecanismo de seguimiento de conexiones también altera los paquetes siguientes en la misma conexión para asegurar continuidad en la comunicación. El segundo tipo de NAT es <emphasis>NAT de origen</emphasis> (SNAT), del que el <emphasis>enmascarado</emphasis> es un caso particular; SNAT modifica la dirección IP de origen (y/o el puerto TCP o UDP) de una conexión (generalmente) saliente. En lo que respecta a DNAT, todos los paquetes en la conexión son gestionados de forma apropiada por el mecanismo de seguimiento de conexiones. Sepa que NAT sólo es relevante para IPv4 y su espacio de direcciones limitado; en IPv6, la amplia disponibilidad de direcciones reduce enormemente la utilidad de NAT permitiendo que todas las direcciones «internas» sean enrutables directamente en Internet (esto no implica que se pueda acceder a las máquinas internas ya que los firewalls intermedios puede filtrar el tráfico).

en: <emphasis>BACK TO BASICS</emphasis> Port forwarding
es-ES: <emphasis>VOLVER A LOS CIMIENTOS</emphasis> Redirección de puertos

en: <primary>port forwarding</primary>
es-ES: <primary>redirección de puertos</primary>

en: A concrete application of DNAT is <emphasis>port forwarding</emphasis>. Incoming connections to a given port of a machine are forwarded to a port on another machine. Other solutions may exist for achieving a similar effect, though, especially at the application level with <command>ssh</command> (see <xref linkend="sect.ssh-port-forwarding" />) or <command>redir</command>.
es-ES: Una aplicación concreta de DNAT es <emphasis>redirección de puertos</emphasis> («port forwarding»). Las conexiones entrantes a un puerto dado de una máquina son redireccionados a un puerto en otra máquina. Sin embargo, pueden existir otras soluciones para conseguir un efecto similar, especialmente a nivel de aplicación con <command>ssh</command> (revise la <xref linkend="sect.ssh-port-forwarding" />) o <command>redir</command>.

en: Enough theory, let's get practical. Turning a Debian system into a gateway is a simple matter of enabling the appropriate option in the Linux kernel, by way of the <filename>/proc/</filename> virtual filesystem:
es-ES: Suficiente teoría, pongámonos prácticos. Convertir un sistema Debian en una puerta de enlace sólo es cuestión de activar la opción apropiada en el núcleo Linux a través del sistema de archivos virtual <filename>/proc/</filename>:

en: The <filename>/etc/sysctl.conf</filename> file
es-ES: El archivo <filename>/etc/sysctl.conf</filename>

en: The same effect can be obtained for IPv6 by simply replacing <literal>ipv4</literal> with <literal>ipv6</literal> in the manual command and using the <literal>net.ipv6.conf.all.forwarding</literal> line in <filename>/etc/sysctl.conf</filename>.
es-ES: Puede conseguir el mismo efecto para IPv6 simplemente reemplazando <literal>ipv4</literal> con <literal>ipv6</literal> en la orden manual y utilizando la línea <literal>net.ipv6.conf.all.forwarding</literal> en <filename>/etc/sysctl.conf</filename>.

en: Enabling IPv4 masquerading is a slightly more complex operation that involves configuring the <emphasis>netfilter</emphasis> firewall.
es-ES: Activar enmascarado de IPv4 es una operación un poco más compleja que involucra configurar el firewall <emphasis>netfilter</emphasis>.

en: Similarly, using NAT (for IPv4) requires configuring <emphasis>netfilter</emphasis>. Since the primary purpose of this component is packet filtering, the details are listed in <xref linkend="security" xrefstyle="select: label quotedtitle nopage" /> (see <xref linkend="sect.firewall-packet-filtering" />).
es-ES: De forma similar, utilizar NAT (para IPv4) necesita configurar <emphasis>netfilter</emphasis>. Debido a que el propósito principal de este componente es filtrar paquetes, se enumeran los detalles en el <xref linkend="security" xrefstyle="select: label quotedtitle nopage" /> (revise la <xref linkend="sect.firewall-packet-filtering" />).

en: X.509 certificates
es-ES: Certificados X.509

en: <primary>certificate</primary><secondary>X.509</secondary>
es-ES: <primary>certificado</primary><secondary>X.509</secondary>

en: <primary>X.509</primary><secondary>certificates</secondary>
es-ES: <primary>X.509</primary><secondary>certificados</secondary>

en: <primary>Certificate Authority</primary>
es-ES: <primary>Autoridad Certificadora</primary>

en: Certificates are an important building block of many network services built on cryptographic protocols, when they need some sort of central authentication.
es-ES: Los certificados son los elementos principales de muchos servicios de red construidos sobre protocolos criptográficos, cuando necesitan algún tipo de autentificación central.

en: Among those protocols, SSL (<emphasis>Secure Socket Layer</emphasis>) was invented by Netscape to secure connections to web servers. It was later standardized by IETF under the acronym TLS (<emphasis>Transport Layer Security</emphasis>). Since then TLS continued to evolve, and nowadays SSL is deprecated due to multiple design flaws that have been discovered.
es-ES: Entre aquellos protocolos, SSL fue inventado por Netscape (<emphasis>capa de zócalos seguros</emphasis>: «Secure Socket Layer») para asegurar conexiones con servidores web. Luego fue estandarizado por el IETF bajo el acrónimo TLS (<emphasis>seguridad de capa de transporte</emphasis>: «Transport Layer Security»). Desde entonces, TLS ha seguido evolucionando y en nuestros días SSL ha quedado obsoleto debido a múltiples fallos de diseño que se han ido descubriendo.

en: The TLS protocol aims primarily to provide privacy and data integrity between two or more communicating computer applications. The most common case on the Internet is the communication between a client (e.g. a web browser) and a server.
es-ES: El protocolo TLS principalmente trata de proporcionar privacidad e integridad de datos entre dos o más aplicaciones informáticas que se comunican. El caso más común en Internet es la comunicación entre un cliente (p. ej., un navegador web) y un servidor.

en: You can implement a CA (as described in <xref linkend="sect.easy-rsa" />), but if you intend to use the certificate for a website, you need to rely on a trusted CA. The prices vary significantly, but it is possible to implement great security spending little to no money.
es-ES: Puede implementar una AC (como se describe en <xref linkend="sect.easy-rsa" />), pero si tiene la intención de usar el certificado para una página web, tiene que contar con una AC de confianza. Los precios varían de forma significativa, pero es posible implementar una gran seguridad sin gastar apenas dinero.

en: Creating gratis trusted certificates
es-ES: Crear certificados de confianza gratuitos

en: The Falcot administrators just want to create a certificate for their website, which runs on Apache. There is a convenient Apache plugin for <emphasis role="pkg">certbot</emphasis> that automatically edits the Apache configuration to serve the obtained certificate, so they make use of it:
es-ES: Los administradores de Falcot simplemente quieren crear un certificado para su página web, que se ejecuta sobre Apache. Hay un conveniente complemento de Apache para <emphasis role="pkg">certbot</emphasis> que automáticamente edita la configuración de Apache para servir el certificado obtenido, así que hacen uso de este:

en: <primary>Apache</primary><secondary>trusted certificates</secondary>
es-ES: <primary>Apache</primary><secondary>certificados de confianza</secondary>

en: <emphasis>CULTURE</emphasis> The Let's Encrypt Initiative
es-ES: <emphasis>CULTURA</emphasis> La iniciativa Let's Encrypt

en: The <ulink url="https://letsencrypt.org/">Let's Encrypt</ulink> initiative is a joint effort to create a free, automated, and open certificate authority (CA), run for the public's benefit. It is supported by the <acronym>EFF</acronym> and the Linux Foundation. The initiative provides an automated tool for acquiring and renewing certificates. This reduces the amount of manual effort involved, especially if multiple sites and domains must be managed. The certificates can also be used for SIP, XMPP, WebSockets and TURN servers. Usage of the service requires control over the DNS information of the domain in question (domain validation). <ulink type="block" url="https://letsencrypt.org/how-it-works/" />
es-ES: La iniciativa <ulink url="https://letsencrypt.org/es/">Let's Encrypt</ulink> es un esfuerzo conjunto para crear una autoridad certificadora (AC) libre, automatizada y abierta, gestionada para el beneficio público. Está apoyada por la <acronym>EFF</acronym> y la Linux Foundation. La iniciativa proporciona una herramienta automatizada para adquirir y renovar certificados. Esto reduce la cantidad de esfuerzo manual necesario, especialmente si deben gestionarse varios sitios y dominios. Los certificados también se pueden usar para servidores SIP, XMPP, WebSockets y TURN. El uso del servicio requiere control sobre la información DNS del dominio en cuestión (validación de dominio). <ulink type="block" url="https://letsencrypt.org/es/how-it-works/" />

en: If you would rather keep the server running during the certificate creation, you can use the webroot plugin to get the certificate with the arguments <command>certonly</command> and <command>--webroot</command>. You would have to specify a <command>--webroot-path</command> (abbreviated <command>-w</command>), which should contain the files served. The command looks as follows:
es-ES: Si prefiere mantener el servidor en funcionamiento durante la creación del certificado, puede ejecutar el complemento webroot para obtener el certificado con los argumentos <command>certonly</command> y <command>--webroot</command>. Tendría que especificar un <command>--webroot-path</command> (abreviado <command>-w</command>), que debería contener los archivos servidos. La orden tiene este aspecto:

en: <computeroutput># </computeroutput><userinput>certbot certonly --webroot -w <replaceable>/var/www/html</replaceable> -d www.<replaceable>DOMAIN</replaceable>.com -d <replaceable>DOMAIN</replaceable>.com</userinput>
es-ES: <computeroutput># </computeroutput><userinput>certbot certonly --webroot -w <replaceable>/var/www/html</replaceable> -d www.<replaceable>DOMINIO</replaceable>.com -d <replaceable>DOMINIO</replaceable>.com</userinput>

en: You need to restart all services using the certificates that you have created.
es-ES: Necesita reiniciar todos los servicios usando los certificados que ha creado.

en: The certificates created are so called short-life certificates, which are valid for 90 days and must therefor be renewed every once in three months using the <command>certbot renew</command> command. However, we shouldn't renew every certificate manually, but automatically. A basic cron job is included by <emphasis role="pkg">certbot</emphasis> in <filename>/etc/cron.d/certbot</filename>. To ensure that certificates can be automatically renewed, you can execute <command>certbot renew --dry-run</command>.
es-ES: Los certificados creados son los llamados certificados de corta duración, que son válidos durante 90 días y deben ser por ello renovados una vez cada tres meses usando la orden <command>certbot renew</command>. Sin embargo, no deberíamos renovar cada certificado manualmente, sino automáticamente. <emphasis role="pkg">certbot</emphasis> incluye una tarea cron básica en <filename>/etc/cron.d/certbot</filename>. Para cerciorarse de que los certificados pueden ser renovados automáticamente, puede ejecutar <command>certbot renew --dry-run</command>.

en: Public Key Infrastructure: <emphasis>easy-rsa</emphasis>
es-ES: Infraestructura de llave pública: <emphasis>easy-rsa</emphasis>

en: <primary>Public Key Infrastructure</primary>
es-ES: <primary>infraestructura de llave pública</primary>

en: <primary>RSA (algorithm)</primary>
es-ES: <primary>RSA (algoritmo)</primary>

en: <primary>key pair</primary>
es-ES: <primary>par de claves</primary>

en: It is also possible to create our own CA, for that we will use the RSA algorithm, widely used in public-key cryptography. It involves a “key pair”, comprised of a private and a public key. The two keys are closely linked to each other, and their mathematical properties are such that a message encrypted with the public key can only be decrypted by someone knowing the private key, which ensures confidentiality. In the opposite direction, a message encrypted with the private key can be decrypted by anyone knowing the public key, which allows authenticating the origin of a message since only someone with access to the private key could generate it. When associated with a digital hash function (MD5, SHA1, or a more recent variant), this leads to a signature mechanism that can be applied to any message.
es-ES: También puede crear su propia AC, para lo que usaremos el algoritmo RSA, ampliamente utilizado en criptografía de llave pública. Involucra un «par de llaves», compuestas de una llave privada y una llave pública. Las dos llaves están fuertemente relacionadas entre ellas y sus propiedades matemáticas son tales que un mensaje cifrado con la llave pública sólo puede ser descifrado por alguien que conozca la llave privada, lo que asegura confidencialidad. En la dirección opuesta, un mensaje cifrado con la clave privada puede ser descifrado por cualquiera que conozca la llave pública, lo que permite autenticar el origen del mensaje ya que sólo pudo haber sido generado por alguien con acceso a la llave privada. Cuando se asocie una función de hash digital (MD5, SHA1 o una variante más reciente), esto lleva a un mecanismo de firma que puede aplicarse a cualquier mensaje.

en: Since public CAs only emit certificates in exchange for a (hefty) fee, it is also possible to create a private certification authority within the company. The <emphasis role="pkg">easy-rsa</emphasis> package provides tools to serve as an X.509 certification infrastructure, implemented as a set of scripts using the <command>openssl</command> command.
es-ES: Dado que los CA públicos sólo expiden certificados a cambio de un pago (importante), también es posible crear una autoridad de certificación privada dentro de la empresa. El paquete <emphasis role="pkg">easy-rsa</emphasis> proporciona herramientas que dan soporte a la infraestructura de certificados X.509, implementados como un conjunto de scripts haciendo uso del comando <command>openssl</command>.

en: <emphasis>ALTERNATIVE</emphasis> GnuTLS
es-ES: <emphasis>ALTERNATIVA</emphasis> SSL y TLS

en: GnuTLS can also be used to generate a CA, and deal with other technologies around the TLS, DTLS and SSL protocols.
es-ES: También se puede usar GnuTLS para generar una AC, y encargarse de otras tecnologías que rodean a los protocolos TLS, DTLS y SSL.

en: The package <emphasis role="pkg">gnutls-bin</emphasis> contains the command-line utilities. It is also useful to install the <emphasis role="pkg">gnutls-doc</emphasis> package, which includes extensive documentation.
es-ES: El paquete <emphasis role="pkg">gnutls-bin</emphasis> contiene las utilidades de línea de órdenes. También es útil instalar el paquete <emphasis role="pkg">gnutls-doc</emphasis>, que incluye una extensa documentación.

en: The Falcot Corp administrators use this tool to create the required certificates, both for the server and the clients. This allows the configuration of all clients to be similar since they will only have to be set up so as to trust certificates coming from Falcot's local CA. This CA is the first certificate to create; to this end, the administrators set up a directory with the files required for the CA in an appropriate location, preferably on a machine not connected to the network in order to mitigate the risk of the CA's private key being stolen.
es-ES: Los administradores de Falcot Corp utilizan esta herramienta para crear los certificados necesarios, tanto para los servidores como para los clientes. Esto permite que la configuración de todos los clientes sea similar ya que sólo deberán configurarlos para confiar en certificados que provengan de la CA local de Falcot. Esta CA es el primer certificado a crear; para ello los administradores preparan un directorio con los ficheros necesarios para la CA en una ubicación apropiada, preferentemente a una máquina que no está conectada a la red para evitar el riesgo de robo de la llave privada de la CA.

en: They then store the required parameters into the <filename>vars</filename> file, which can be uncommented and edited:
es-ES: Luego almacenan los parámetros necesarios en el archivo <filename>vars</filename>, que pueden ser descomentados y editados:

en: Now we prepare the public key infrastructure directory with the following command:
es-ES: Ahora preparamos el directorio de la infraestructura de clave pública con la siguiente orden:

en: The next step is the creation of the CA's key pair itself (the two parts of the key pair will be stored under <filename>pki/ca.crt</filename> and <filename>pki/private/ca.key</filename> during this step). We can add the option <literal>nopass</literal> to avoid entering a password each time the private key is used:
es-ES: El siguiente paso es crear el par de llaves en sí de la CA (durante este paso se almacenarán las dos partes del par de llaves en <filename>pki/ca.crt</filename> y <filename>pki/private/ca.key</filename>). Podemos añadir la opción <literal>nopass</literal> para no tener que introducir una contraseña cada vez que se use la clave privada:

en: The certificate can now be created, as well as the Diffie-Hellman parameters required for the server side of an SSL/TLS connection. They want to use it for a VPN server (see section <xref linkend="sect.virtual-private-network" />) that is identified by the DNS name <literal>vpn.falcot.com</literal>; this name is re-used for the generated key files (<filename>keys/vpn.falcot.com.crt</filename> for the public certificate, <filename>keys/vpn.falcot.com.key</filename> for the private key):
es-ES: Ahora puede crear el certificado, así como también los parámetros Diffie-Hellman necesarios en el servidor para la conexión SSL/TLS. Quieren usarlo para un servidor VPN (consulte la sección <xref linkend="sect.virtual-private-network" />) identificado cor el nombre DNS <literal>vpn.falcot.com</literal>; se reutiliza este nombre para los archivos de llaves generados (<filename>keys/vpn.falcot.com.crt</filename> para el certificado público, <filename>keys/vpn.falcot.com.key</filename> para la llave privada):

en: The following step creates certificates for the VPN clients; one certificate is required for each computer or person allowed to use the VPN:
es-ES: El siguiente paso crea los certificados para los clientes VPN; necesita un certificado para cada equipo o persona autorizada para utilizar la VPN:

en: Virtual Private Network
es-ES: Red virtual privada

en: <primary>network</primary><secondary>virtual private</secondary>
es-ES: <primary>red</primary><secondary>privada virtual (VPN)</secondary>

en: A <emphasis>Virtual Private Network</emphasis> (VPN for short) is a way to link two different local networks through the Internet by way of a tunnel; the tunnel is usually encrypted for confidentiality. VPNs are often used to integrate a remote machine within a company's local network.
es-ES: Una <emphasis>red virtual privada</emphasis> (VPN: «Virtual Private Network») es una forma de enlazar dos redes locales diferentes a través de Internet utilizando un túnel; el túnel generalmente está cifrado para confidencialidad. Usualmente se utilizan VPNs para integrar una máquina remota a la red local de una empresa.

en: Several tools provide this functionality. OpenVPN is an efficient solution, easy to deploy and maintain, based on SSL/TLS. Another possibility is using IPsec to encrypt IP traffic between two machines; this encryption is transparent, which means that applications running on these hosts need not be modified to take the VPN into account. SSH can also be used to provide a VPN, in addition to its more conventional features. Finally, a VPN can be established using Microsoft's PPTP protocol. Other solutions exist, but are beyond the focus of this book.
es-ES: Muchas herramientas proporcionan esta funcionalidad. OpenVPN es una solución eficiente, fácil de desplegar y mantener, basada en SSL/TLS. Otra posibilidad es utilizar IPsec para cifrar el tráfico IP entre dos máquinas; este cifrado es transparente, lo que significa que no necesita modificar las aplicaciones ejecutando en estos equipos para tener en cuenta la VPN. También puede utilizar SSH, además de para sus funcionalidades más convencionales, para proveer una VPN. Finalmente, puede establecer una VPN utilizando el protocolo PPTP de Microsoft. Existen otras soluciones, pero están más allá del alcance de este libro.

en: OpenVPN is a piece of software dedicated to creating virtual private networks. Its setup involves creating virtual network interfaces on the VPN server and on the client(s); both <literal>tun</literal> (for IP-level tunnels) and <literal>tap</literal> (for Ethernet-level tunnels) interfaces are supported. In practice, <literal>tun</literal> interfaces will most often be used except when the VPN clients are meant to be integrated into the server's local network by way of an Ethernet bridge.
es-ES: OpenVPN es un pedazo de software dedicado a crear redes privadas virtuales. Su configuración involucra crear interfaces de red virtuales en el servidor VPN y en los clientes; es compatible con interfaces <literal>tun</literal> (para túneles a nivel de IP) y <literal>tap</literal> (para túneles a nivel Ethernet). En la práctica, usualmente utilizará interfaces <literal>tun</literal> excepto cuando los clientes VPN deban intengrarse a la red local del servidor a través de un puente Ethernet.

en: OpenVPN relies on OpenSSL for all the SSL/TLS cryptography and associated features (confidentiality, authentication, integrity, non-repudiation). It can be configured either with a shared private key or using X.509 certificates based on a public key infrastructure. The latter configuration is strongly preferred since it allows greater flexibility when faced with a growing number of roaming users accessing the VPN.
es-ES: OpenVPN se basa en OpenSSL para toda la criptografía SSL/TLS y funcionalidades asociadas (confidencialidad, autenticación, integridad, falta de repudio). Puede configurarlo con una llave privada compartida o con un certificado X.509 basado en la infraestructura de llave pública. Se prefiere fuertemente esta última configuración ya que permite más flexibilidad cuando se enfrenta a un número creciente de usuarios itinerantes que acceden a la VPN.

en: Configuring the OpenVPN Server
es-ES: Configuración del servidor OpenVPN

en: After all certificates have been created (follow the instructions from <xref linkend="sect.easy-rsa" />), they need to be copied where appropriate: the root certificate's public key (<filename>pki/ca.crt</filename>) will be stored on all machines (both server and clients) as <filename>/etc/ssl/certs/Falcot_CA.crt</filename>. The server's certificate is installed only on the server (<filename>pki/issued/vpn.falcot.com.crt</filename> goes to <filename>/etc/ssl/certs/vpn.falcot.com.crt</filename>, and <filename>pki/private/vpn.falcot.com.key</filename> goes to <filename>/etc/ssl/private/vpn.falcot.com.key</filename> with restricted permissions so that only the administrator can read it), with the corresponding Diffie-Hellman parameters (<filename>pki/dh.pem</filename>) installed to <filename>/etc/openvpn/dh.pem</filename>. Client certificates are installed on the corresponding VPN client in a similar fashion.
es-ES: Después de que se hayan creado todos los certificados (siga las intrucciones de <xref linkend="sect.easy-rsa" />), necesita copiarlos donde correspondan: la llave pública del certificado raíz (<filename>pki/ca.crt</filename>) será almacenada en todas las máquinas (tanto el servidor como los clientes) como <filename>/etc/ssl/certs/Falcot_CA.crt</filename>. Solo instalará el certificado del servidor en el servidor (<filename>pki/issued/vpn.falcot.com.crt</filename> en <filename>/etc/ssl/certs/vpn.falcot.com.crt</filename> y <filename>pki/private/vpn.falcot.com.key</filename> en <filename>/etc/ssl/private/vpn.falcot.com.key</filename> con permisos restringidos para que sólo el administrador pueda leerlo), con los parámetros Diffie-Hellman correspondientes (<filename>pki/dh.pem</filename>) instalados en <filename>/etc/openvpn/dh.pem</filename>. Instale los certificados de clientes en el cliente de VPN correspondiente de forma similar.

en: By default, the OpenVPN initialization script tries starting all virtual private networks defined in <filename>/etc/openvpn/*.conf</filename>. Setting up a VPN server is therefore a matter of storing a corresponding configuration file in this directory. A good starting point is <filename>/usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz</filename>, which leads to a rather standard server. Of course, some parameters need to be adapted: <literal>ca</literal>, <literal>cert</literal>, <literal>key</literal> and <literal>dh</literal> need to describe the selected locations (respectively, <literal>/etc/ssl/certs/Falcot_CA.crt</literal>, <literal>/etc/ssl/vpn.falcot.com.crt</literal>, <literal>/etc/ssl/private/vpn.falcot.com.key</literal> and <literal>/etc/openvpn/dh.pem</literal>). The <literal>server 10.8.0.0 255.255.255.0</literal> directive defines the subnet to be used by the VPN; the server uses the first IP address in that range (<literal>10.8.0.1</literal>) and the rest of the addresses are allocated to clients.
es-ES: El script de inicialización de OpenVPN intenta, de forma predeterminada, iniciar todas las redes privadas virtuales definidas en <filename>/etc/openvpn/*.conf</filename>. Configurar un servidor VPN entonces es cuestión de almacenar el archivo de configuración correspondiente en este directorio. Un buen punto de partida es <filename>/usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz</filename> que lleva a un servidor bastante estándar. Por supuesto necesitará adaptar algunos parámetros: <literal>ca</literal>, <literal>cert</literal>, <literal>key</literal> y <literal>dh</literal> describirán las ubicaciones seleccionadas para cada uno (respectivamente: <literal>/etc/ssl/certs/Falcot_CA.crt</literal>, <literal>/etc/ssl/vpn.falcot.com.crt</literal>, <literal>/etc/ssl/private/vpn.falcot.com.key</literal> y <literal>/etc/openvpn/dh.pem</literal>). La directiva <literal>server 10.8.0.0 255.255.255.0</literal> define la subred utilizada por la VPN; el servidor utilizará la primera dirección IP en el rango (<literal>10.8.0.1</literal>) y se asignarán a los clientes el resto de las direcciones.

en: With this configuration, starting OpenVPN creates the virtual network interface, usually under the <literal>tun0</literal> name. However, firewalls are often configured at the same time as the real network interfaces, which happens before OpenVPN starts. Good practice therefore recommends creating a persistent virtual network interface, and configuring OpenVPN to use this pre-existing interface. This further allows choosing the name for this interface. To this end, <command>openvpn --mktun --dev vpn --dev-type tun</command> creates a virtual network interface named <literal>vpn</literal> with type <literal>tun</literal>; this command can easily be integrated in the firewall configuration script, or in an <literal>up</literal> directive of the <filename>/etc/network/interfaces</filename> file, or a <emphasis role="package">udev</emphasis> rule can be added to that end. The OpenVPN configuration file must also be updated accordingly, with the <literal>dev vpn</literal> and <literal>dev-type tun</literal> directives.
es-ES: Con esta configuración OpenVPN creará una interfaz de red virtual al iniciar, generalmente con el nombre <literal>tun0</literal>. Sin embargo, normalmente se configuran los firewalls al mismo tiempo que las interfaces de red reales, lo que ocurre antes que inicie OpenVPN. La creación de una interfaz de red virtual persistente, y configurar OpenVPN para que la utilice, es una buena práctica recomendada. Esto además permite elegir el nombre de esta interfaz. A tal efecto, <command>openvpn -mktun -dev vpn -dev-type tun</command> crea una interfaz de red virtual llamada <literal>vpn</literal> de tipo <literal>tun</literal>; puede integrar fácilmente esta orden en el script de configuración del firewall o en la directiva <literal>up</literal> del archivo <filename>/etc/network/interfaces</filename>, o se puede añadir para ese propósito una regla de <emphasis role="package">udev</emphasis>. Debe actualizar también el archivo de configuración de OpenVPN de forma acorde, con las directivas <literal>dev vpn</literal> y <literal>dev-type tun</literal>.

en: Barring further action, VPN clients can only access the VPN server itself by way of the <literal>10.8.0.1</literal> address. Granting the clients access to the local network (192.168.0.0/24), requires adding a <literal>push route 192.168.0.0 255.255.255.0</literal> directive to the OpenVPN configuration so that VPN clients automatically get a network route telling them that this network is reachable by way of the VPN. Furthermore, machines on the local network also need to be informed that the route to the VPN goes through the VPN server (this automatically works when the VPN server is installed on the gateway). Alternatively, the VPN server can be configured to perform IP masquerading so that connections coming from VPN clients appear as if they are coming from the VPN server instead (see <xref linkend="sect.gateway" />).
es-ES: Sin más cambios, los clientes VPN sólo pueden acceder el servidor VPN en sí a través de la dirección <literal>10.8.0.1</literal>. Para permitir a los clientes que accedan la red local (192.168.0.0/24) necesitará agregar una directiva <literal>push route 192.168.0.0 255.255.255.0</literal> a la configuración de OpenVPN para que los clientes VPN automáticamente obtengan una ruta de red que les indique que esta red está disponible a través de la VPN. Lo que es más, los equipos en la red local también necesitarán ser informados que la ruta a la VPN es a través del servidor de VPN (esto funciona automáticamente cuando instala el servidor VPN en la puerta de enlace). Otra alternativa es configurar el servidor VPN para realizar enmascaramiento de IPs de forma que las conexiones que provengan de los clientes VPN parezcan provenir del servidor VPN en su lugar (revise la <xref linkend="sect.gateway" />).

en: Configuring the OpenVPN Client
es-ES: Configuración del cliente OpenVPN

en: Setting up an OpenVPN client also requires creating a configuration file in <filename>/etc/openvpn/</filename>. A standard configuration can be obtained by using <filename>/usr/share/doc/openvpn/examples/sample-config-files/client.conf</filename> as a starting point. The <literal>remote vpn.falcot.com 1194</literal> directive describes the address and port of the OpenVPN server; the <literal>ca</literal>, <literal>cert</literal> and <literal>key</literal> also need to be adapted to describe the locations of the key files.
es-ES: Para configurar un cliente OpenVPN también necesita crear un archivo de configuración en <filename>/etc/openvpn/</filename>. Puede conseguir una configuración estándar utilizando <filename>/usr/share/doc/openvpn/examples/sample-config-files/client.conf</filename> como punto de partida. La directiva <literal>remote vpn.falcot.com 1194</literal> describe la dirección y puerto del servidor OpenVPN; también necesita adaptar <literal>ca</literal>, <literal>cert</literal> y <literal>key</literal> para describir la ubicación de los archivos de llave.

en: If the VPN should not be started automatically on boot, set the <literal>AUTOSTART</literal> directive to <literal>none</literal> in the <filename>/etc/default/openvpn</filename> file. Starting or stopping a given VPN connection is always possible with the commands <command>systemctl start openvpn@<replaceable>name</replaceable></command> and <command>systemctl stop openvpn@<replaceable>name</replaceable></command> (where the connection <replaceable>name</replaceable> matches the one defined in <filename>/etc/openvpn/<replaceable>name</replaceable>.conf</filename>).
es-ES: Si no se debe iniciar la VPN automáticamente durante el inicio, configure la directiva <literal>AUTOSTART</literal> como <literal>none</literal> en el archivo <filename>/etc/default/openvpn</filename>. Siempre es posible iniciar o detener una conexión VPN dada con los comandos<command>systemctl start openvpn@<replaceable>nombre</replaceable></command> y <command>systemctl stop openvpn@<replaceable>nombre</replaceable></command> (donde la conexión <replaceable>nombre</replaceable> coincide con aquella definida en <filename>/etc/openvpn/<replaceable>nombre</replaceable>.conf</filename>).

en: Virtual Private Network with SSH
es-ES: Red privada virtual con SSH

en: There are actually two ways of creating a virtual private network with SSH. The historic one involves establishing a PPP layer over the SSH link. This method is described in a HOWTO document: <ulink type="block" url="https://www.tldp.org/HOWTO/ppp-ssh/" />
es-ES: En realidad existen dos formas de crear una red privada virtual con SSH. La histórica involucra establecer una capa PPP sobre el enlace SSH. Se describe este método en el siguiente «howto»: <ulink type="block" url="https://www.tldp.org/HOWTO/ppp-ssh/" />

en: The second method is more recent, and was introduced with OpenSSH 4.3; it is now possible for OpenSSH to create virtual network interfaces (<literal>tun*</literal>) on both sides of an SSH connection, and these virtual interfaces can be configured exactly as if they were physical interfaces. The tunneling system must first be enabled by setting <literal>PermitTunnel</literal> to “yes” in the SSH server configuration file (<filename>/etc/ssh/sshd_config</filename>). When establishing the SSH connection, the creation of a tunnel must be explicitly requested with the <literal>-w any:any</literal> option (<literal>any</literal> can be replaced with the desired <literal>tun</literal> device number). This requires the user to have administrator privilege on both sides, so as to be able to create the network device (in other words, the connection must be established as root).
es-ES: El segundo método es más reciente y fue introducido con OpenSSH 4.3; ahora OpenSSH puede crear interfaces de red virtuales (<literal>tun*</literal>) en ambos extremos de una conexión SSH y puede configurar estas interfaces virtuales exactamente como si fueran interfaces físicas. Primero debe activar el sistema de túneles configurando <literal>PermitTunnel</literal> como «yes» en el archivo de configuración del servidor SSH (<filename>/etc/ssh/sshd_config</filename>). Cuando se establece la conexión SSH debe solicitar explícitamente la creación del túnel con la opción <literal>-w any:any</literal> (puede reemplaza <literal>any</literal> con el número de dispositivo <literal>tun</literal> deseado). Esto necesita que el usuario tenga permisos de administrador en ambos extremos para poder crear el dispositivo de red (en otras palabras, debe establecer la conexión como root).

en: Both methods for creating a virtual private network over SSH are quite straightforward. However, the VPN they provide is not the most efficient available; in particular, it does not handle high levels of traffic very well.
es-ES: Ambos métodos para crear redes privadas virtuales sobre SSH son bastante directos. Sin embargo, la VPN que proveen no es la más eficiente disponible; en particular, no maneja muy bien altos niveles de tráfico.

en: The explanation is that when a TCP/IP stack is encapsulated within a TCP/IP connection (for SSH), the TCP protocol is used twice, once for the SSH connection and once within the tunnel. This leads to problems, especially due to the way TCP adapts to network conditions by altering timeout delays. The following site describes the problem in more detail: <ulink type="block" url="http://sites.inka.de/sites/bigred/devel/tcp-tcp.html" />
es-ES: La explicación es que cuando se encapsula TCP/IP en una conexión TCP/IP (para SSH) se utiliza el protocolo TCP dos veces, una vez para la conexión SSH y una vez dentro del túnel. Esto genera problemas, especialmente debido a la forma en la que TCP se adapta a condiciones de red modificando los tiempo de espera. El siguiente sitio describe el problema en más detalle: <ulink type="block" url="http://sites.inka.de/sites/bigred/devel/tcp-tcp.html" />

en: VPNs over SSH should therefore be restricted to one-off tunnels with no performance constraints.
es-ES: Los VPNs a través de SSH deberían, por tanto, restringirse a un túnel único sin ninguna restricción de rendimiento.

en: First, we install the <emphasis role="pkg">libreswan</emphasis> package. In concrete terms, each host's <filename>/etc/ipsec.conf</filename> contains the parameters for <emphasis>IPsec tunnels</emphasis> (or <emphasis>Security Associations</emphasis>, in the IPsec terminology) that the host is concerned with. There are many configuration examples in <filename>/usr/share/doc/libreswan/</filename>, but Libreswan's online documentation has more examples with explanations: <ulink type="block" url="https://libreswan.org/wiki/" />
es-ES: Primero instalamos el paquete <emphasis role="pkg">libreswan</emphasis>. En términos concretos, cada <filename>/etc/ipsec.conf</filename> del anfitrión contiene los parámetros para <emphasis>túneles IPsec</emphasis> (o <emphasis>Security Associations</emphasis>, asociaciones de seguridad, en la terminología de IPsec) de los que se ocupa el anfitrión. Hay muchos ejemplos de configuración en <filename>/usr/share/doc/libreswan/</filename>, pero la documentación en línea de Libreswan tiene más ejemplos con explicaciones: <ulink type="block" url="https://libreswan.org/wiki/" />

en: The IPsec service can be controlled with <command>systemctl</command>; for example, <command>systemctl start ipsec</command> will start the IPsec service.
es-ES: Se puede controlar el servicio IPsec con <command>systemctl</command>; por ejemplo, <command>systemctl start ipsec</command> iniciará el servicio IPsec.

en: In spite of its status as the reference, the complexity of setting up IPsec restricts its usage in practice. OpenVPN-based solutions will generally be preferred when the required tunnels are neither too many nor too dynamic.
es-ES: A pesar de su estado como referencia, la complejidad de configuración de IPsec restringe su uso en la práctica. Generalmente se preferirán soluciones basadas en OpenVPN cuando los túneles necesarios no sean muchos ni demasiado dinámicos.

en: <emphasis>CAUTION</emphasis> IPsec and NAT
es-ES: <emphasis>PRECAUCIÓN</emphasis> IPsec y NAT

en: NATing firewalls and IPsec do not work well together: since IPsec signs the packets, any change on these packets that the firewall might perform will void the signature, and the packets will be rejected at their destination. Various IPsec implementations now include the <emphasis>NAT-T</emphasis> technique (for <emphasis>NAT Traversal</emphasis>), which basically encapsulates the IPsec packet within a standard UDP packet.
es-ES: Los firewall con NAT y IPsec no funcionan bien juntos: IPsec firma los paquetes y cualquier cambio en estos paquetes que realice el firewall invalidará la firma y el destino rechazará los paquetes. Muchas implementaciones IPsec incluyen la técnica <emphasis>NAT-T</emphasis> (<emphasis>NAT Traversal</emphasis>), que básicamente encapsula un paquete IP en un paquete UDP estándar.

en: <emphasis>SECURITY</emphasis> IPsec and firewalls
es-ES: <emphasis>SEGURIDAD</emphasis> IPsec y firewalls

en: <primary>ESP, protocol</primary>
es-ES: <primary>ESP, protocolo</primary>

en: <primary>AH, protocol</primary>
es-ES: <primary>AH, protocolo</primary>

en: <primary>protocol</primary><secondary>AH</secondary>
es-ES: <primary>protocolo</primary><secondary>AH</secondary>

en: <primary>protocol</primary><secondary>ESP</secondary>
es-ES: <primary>protocolo</primary><secondary>ESP</secondary>

en: The standard mode of operation of IPsec involves data exchanges on UDP port 500 for key exchanges (also on UDP port 4500 in the case that NAT-T is in use). Moreover, IPsec packets use two dedicated IP protocols that the firewall must let through; reception of these packets is based on their protocol numbers, 50 (ESP) and 51 (AH).
es-ES: El modo de operación estándar de IPsec involucra intercambio de datos en el puerto UDP 500 para intercambio de llaves (también en el puerto UDP 4500 si utiliza NAT-T). Lo que es más, los paquetes IPsec utilizan dos protocolos IP dedicados que el firewall debe dejar pasar; la recepción de estos paquetes está basada en sus números de protocolo: 50 (ESP) y 51 (AH).

en: <primary>GRE, protocol</primary>
es-ES: <primary>GRE, protocolo</primary>

en: <primary>protocol</primary><secondary>GRE</secondary>
es-ES: <primary>protocolo</primary><secondary>GRE</secondary>

en: PPTP (for <emphasis>Point-to-Point Tunneling Protocol</emphasis>) uses two communication channels, one for control data and one for payload data; the latter uses the GRE protocol (<emphasis>Generic Routing Encapsulation</emphasis>). A standard PPP link is then set up over the data exchange channel.
es-ES: PPTP (<emphasis>protocolo de túneles punto a punto</emphasis>: «Point-to-Point Tunneling Protocol») utiliza dos canales de comunicación, uno para datos de control y otro para los datos; este último utiliza el protocolo GRE (<emphasis>encapsulación genérica de enrutamiento</emphasis>: «Generic Routing Encapsulation»). Luego se establece un enlace PPP estándar sobre el canal de intercambio de datos.

en: Configuring the Client
es-ES: Configuración del cliente

en: The <emphasis role="pkg">pptp-linux</emphasis> package contains an easily-configured PPTP client for Linux. The following instructions take their inspiration from the official documentation: <ulink type="block" url="http://pptpclient.sourceforge.net/howto-debian.phtml" />
es-ES: El paquete <emphasis role="pkg">pptp-linux</emphasis> contiene un cliente PPTP para Linux fácil de configurar. Las instrucciones a continuación están inspiradas en la documentación oficial: <ulink type="block" url="http://pptpclient.sourceforge.net/howto-debian.phtml" />

en: The Falcot administrators created several files: <filename>/etc/ppp/options.pptp</filename>, <filename>/etc/ppp/peers/falcot</filename>, <filename>/etc/ppp/ip-up.d/falcot</filename>, and <filename>/etc/ppp/ip-down.d/falcot</filename>.
es-ES: Los administradores de Falcot crearon varios archivos: <filename>/etc/ppp/options.pptp</filename>, <filename>/etc/ppp/peers/falcot</filename>, <filename>/etc/ppp/ip-up.d/falcot</filename> y <filename>/etc/ppp/ip-down.d/falcot</filename>.

en: The <filename>/etc/ppp/options.pptp</filename> file
es-ES: El archivo <filename>/etc/ppp/options.pptp</filename>

en: 
    # PPP options used for a PPTP connection
    lock
    noauth
    nobsdcomp
    nodeflate
es-ES: 
    # opciones PPP utilizadas en una conexión PPTP
    lock
    noauth
    nobsdcomp
    nodeflate

en: The <filename>/etc/ppp/peers/falcot</filename> file
es-ES: El archivo <filename>/etc/ppp/peers/falcot</filename>

en: 
    # vpn.falcot.com is the PPTP server
    pty "pptp vpn.falcot.com --nolaunchpppd"
    # the connection will identify as the "vpn" user
    user vpn
    remotename pptp
    # encryption is needed
    require-mppe-128
    file /etc/ppp/options.pptp
    ipparam falcot
es-ES: 
    # vpn.falcot.com es el servidor PPTP
    pty "pptp vpn.falcot.com --nolaunchpppd"
    # el usuario «vpn» identificará a la conexión
    user vpn
    remotename pptp
    # necesita cifrado
    require-mppe-128
    file /etc/ppp/options.pptp
    ipparam falcot

en: The <filename>/etc/ppp/ip-up.d/falcot</filename> file
es-ES: El archivo <filename>/etc/ppp/ip-up.d/falcot</filename>

en: 
    # Create the route to the Falcot network
    if [ "$6" = "falcot" ]; then
      # 192.168.0.0/24 is the (remote) Falcot network
      ip route add 192.168.0.0/24 dev $1
    fi
es-ES: 
    # Crear la ruta a la red Falcot
    if [ "$6" = "falcot" ]; then
      # 192.168.0.0/24 es la red Falcot (remota)
      ip route add 192.168.0.0/24 dev $1
    fi

en: The <filename>/etc/ppp/ip-down.d/falcot</filename> file
es-ES: El archivo <filename>/etc/ppp/ip-down.d/falcot</filename>

en: 
    # Delete the route to the Falcot network
    if [ "$6" = "falcot" ]; then
      # 192.168.0.0/24 is the (remote) Falcot network
      ip route del 192.168.0.0/24 dev $1
    fi
es-ES: 
    # Eliminar la ruta a la red Falcot
    if [ "$6" = "falcot" ]; then
      # 192.168.0.0/24 es la red Falcot (remota)
      ip route del 192.168.0.0/24 dev $1
    fi

en: <emphasis>SECURITY</emphasis> MPPE
es-ES: <emphasis>SEGURIDAD</emphasis> MPPE

en: Securing PPTP involves using the MPPE feature (<emphasis>Microsoft Point-to-Point Encryption</emphasis>), which is available in official Debian kernels as a module.
es-ES: Asegurar PPTP involucra utilizar la funcionalidad MPPE (<emphasis>cifrado punto a punto de Microsoft</emphasis>: «Microsoft Point-to-Point Encryption»), disponible como un módulo en los núcleos Debian oficiales.

en: Configuring the Server
es-ES: Configuración del servidor

en: <emphasis>CAUTION</emphasis> PPTP and firewalls
es-ES: <emphasis>PRECAUCIÓN</emphasis> PPTP y firewalls

en: Intermediate firewalls need to be configured to let through IP packets using protocol 47 (GRE). Moreover, the PPTP server's port 1723 needs to be open so that the communication channel can happen.
es-ES: Necesita configurar los firewalls intermedios para que permitan pasar paquetes IP que utilizan el protocolo 47 (GRE). Lo que es más, necesita abrir el puerto 1723 del servidor PPTP para que pueda utilizar el canal de comunicación.

en: <command>pptpd</command> is the PPTP server for Linux. Its main configuration file, <filename>/etc/pptpd.conf</filename>, requires very few changes: <emphasis>localip</emphasis> (local IP address) and <emphasis>remoteip</emphasis> (remote IP address). In the example below, the PPTP server always uses the <literal>192.168.0.199</literal> address, and PPTP clients receive IP addresses from <literal>192.168.0.200</literal> to <literal>192.168.0.250</literal>.
es-ES: <command>pptpd</command> es el servidor PPTP para Linux. Necesitará cambiar pocas cosas de su archivo de configuración principal, <filename>/etc/pptpd.conf</filename>: <emphasis>localip</emphasis> (dirección IP local) y <emphasis>remoteip</emphasis> (dirección IP remota). En el ejemplo a continuación el servidor PPTP siempre utiliza la dirección <literal>192.168.0.199</literal> y los clientes PPTP reciben una dirección IP desde <literal>192.168.0.200</literal> a <literal>192.168.0.250</literal>.

en: The <filename>/etc/pptpd.conf</filename> file
es-ES: El archivo <filename>/etc/pptpd.conf</filename>

en: The PPP configuration used by the PPTP server also requires a few changes in <filename>/etc/ppp/pptpd-options</filename>. The important parameters are the server name (<literal>pptp</literal>), the domain name (<literal>falcot.com</literal>), and the IP addresses for DNS and WINS servers.
es-ES: La configuración PPP utilizada por el servidor PPTP también necesita algunos cambios en el archivo <filename>/etc/ppp/pptpd-options</filename>. Los parámetros importantes son el nombre del servidor (<literal>pptp</literal>), el nombre del dominio (<literal>falcot.com</literal> y la dirección IP para los servidores DNS y WINS.

en: The <filename>/etc/ppp/pptpd-options</filename> file
es-ES: El archivo <filename>/etc/ppp/pptpd-options</filename>

en: The last step involves registering the <literal>vpn</literal> user (and the associated password) in the <filename>/etc/ppp/chap-secrets</filename> file. Contrary to other instances where an asterisk (<literal>*</literal>) would work, the server name must be filled explicitly here. Furthermore, Windows PPTP clients identify themselves under the <literal><replaceable>DOMAIN</replaceable>\\<replaceable>USER</replaceable></literal> form, instead of only providing a user name. This explains why the file also mentions the <literal>FALCOT\\vpn</literal> user. It is also possible to specify individual IP addresses for users; an asterisk in this field specifies that dynamic addressing should be used.
es-ES: El último paso consiste en registrar el usuario <literal>vpn</literal> (y su contraseña asociada) en el archivo <filename>/etc/ppp/chap-secrets</filename>. A diferencia de otras instancias en las que un asterisco («<literal>*</literal>») funcionaría, aquí debe proveer explícitamente el nombre del servidor. Lo que es más, los clientes PPTP Windows se identifican a sí mismo en la forma <literal><replaceable>DOMINIO</replaceable>\\<replaceable>USUARIO</replaceable></literal> en lugar de sólo proveer un nombre de usuario. Esto explica porqué el archivo también menciona el usuario <literal>FALCOT\\vpn</literal>. También es posible especificar una dirección IP individual para los usuarios; un asterisco en este campo especifica que debe utilizar direcciones dinámicas.

en: The <filename>/etc/ppp/chap-secrets</filename> file
es-ES: El archivo <filename>/etc/ppp/chap-secrets</filename>

en: 
    # Secrets for authentication using CHAP
    # client        server  secret      IP addresses
    vpn             pptp    f@Lc3au     *
    FALCOT\\vpn     pptp    f@Lc3au     *
es-ES: 
    # Secretos para autenticación utilizando CHAP
    # cliente       servidor secreto     dirección IP
    vpn             pptp     f@Lc3au     *
    FALCOT\\vpn     pptp     f@Lc3au     *

en: <emphasis>SECURITY</emphasis> PPTP vulnerabilities
es-ES: <emphasis>SEGURIDAD</emphasis> Vulnerabilidades PPTP

en: Microsoft's first PPTP implementation drew severe criticism because it had many security vulnerabilities; most have since then been fixed in more recent versions. The configuration documented in this section uses the latest version of the protocol. Be aware though that removing some options (such as <literal>require-mppe-128</literal> and <literal>require-mschap-v2</literal>) would make the service vulnerable again.
es-ES: La primera implementación PPTP de Microsoft tuvo muchas críticas debido a su cantidad de vulnerabilidades de seguridad; la mayoría han sido solucionadas desde entonces en versiones más recientes. La configuración documentada en esta sección utiliza la última versión del protocolo. Sin embargo, debe saber que eliminar algunas opciones (como <literal>require-mppe-128</literal> y <literal>require-mschap-v2</literal>) podría hacer al servicio nuevamente vulnerable.

en: Quality of Service
es-ES: Calidad del servicio

en: Principle and Mechanism
es-ES: Principio y mecanismo

en: <emphasis>Quality of Service</emphasis> (or <emphasis>QoS</emphasis> for short) refers to a set of techniques that guarantee or improve the quality of the service provided to applications. The most popular such technique involves classifying the network traffic into categories, and differentiating the handling of traffic according to which category it belongs to. The main application of this differentiated services concept is <emphasis>traffic shaping</emphasis>, which limits the data transmission rates for connections related to some services and/or hosts so as not to saturate the available bandwidth and starve important other services. Traffic shaping is a particularly good fit for TCP traffic, since this protocol automatically adapts to available bandwidth.
es-ES: <emphasis>Calidad del servicio</emphasis> (<emphasis>QoS</emphasis>: «Quality of Service») se refiere a un conjunto de técnicas que garantizan o mejoran la calidad del servicio provisto a las aplicaciones. De éstas, la técnica más popular consiste en clasificar el tráfico de red en categorías y diferenciar la gestión del tráfico según la categoría a la que pertenezca. El uso principal de este concepto de servicios diferenciados es la <emphasis>manipulación de tráfico</emphasis> («traffic shaping»), que limita las tasas de transmisión de datos para conexiones relacionadas con algunos servicios y/o equipos para no saturar el ancho de banda disponible y privar a otros servicios importantes. Esta técnica es particularmente buena para tráfico TCP ya que el protocolo se adapta automáticamente al ancho de banda disponible.

en: <emphasis>CULTURE</emphasis> Net neutrality and QoS
es-ES: <emphasis>CULTURA</emphasis> La neutralidad de la red y la calidad de servicio

en: Network neutrality is achieved when Internet service providers treat all Internet communications equally, that is, without any access limitation based on content, user, website, destination address, etc.
es-ES: La neutralidad de la red se alcanza cuando los proveedores de servicios de Internet tratan todas las comunicaciones de Internet por igual, esto es, sin ninguna limitación de acceso basada en contenido, usuario, página web, dirección de destino, etc.

en: Quality of service can be implemented in a net neutral Internet, but only if Internet service providers can't charge a special fee for a higher-quality service.
es-ES: La calidad de servicio se puede implementar en un Internet con neutralidad de la red, pero solo si los proveedores de servicios de Internet no cargan una tasa especial por un servicio de mayor calidad.

en: It is also possible to alter the priorities on traffic, which allows prioritizing packets related to interactive services (such as <command>ssh</command> and <command>telnet</command>) or to services that only deal with small blocks of data.
es-ES: También es posible alterar las prioridades del tráfico, lo que permite priorizar paquetes relacionados con servicios interactivos (como <command>ssh</command> y <command>telnet</command>) o a servicios que sólo trabajan con bloques de datos pequeños.

en: The Debian kernels include the features required for QoS along with their associated modules. These modules are many, and each of them provides a different service, most notably by way of special schedulers for the queues of IP packets; the wide range of available scheduler behaviors spans the whole range of possible requirements.
es-ES: Los núcleos Debian incluyen la funcionalidad necesaria para QoS así como también los módulos asociados. Estos módulos son muchos y cada uno de ellos provee un servicio diferente, los más notables como planificadores especiales para las colas de paquetes IP; el amplio rango de comportamientos de planificadores abarca todo el rango de requerimientos posibles.

en: <emphasis>CULTURE</emphasis> LARTC — <emphasis>Linux Advanced Routing &amp; Traffic Control</emphasis>
es-ES: <emphasis>CULTURA</emphasis> LARTC — <emphasis>Enrutamiento avanzado y control de tráfico de Linux</emphasis> («Linux Advanced Routing &amp; Traffic Control»)

en: <primary>routing</primary><secondary>advanced</secondary>
es-ES: <primary>enrutamiento</primary><secondary>avanzado</secondary>

en: <primary>traffic</primary><secondary>control</secondary>
es-ES: <primary>tráfico</primary><secondary>control de</secondary>

en: <primary>control of traffic</primary>
es-ES: <primary>control de tráfico</primary>

en: The <emphasis>Linux Advanced Routing &amp; Traffic Control</emphasis> HOWTO is the reference document covering everything there is to know about network quality of service. <ulink type="block" url="https://www.lartc.org/howto/" />
es-ES: El «howto» de <emphasis>Linux Advanced Routing &amp; Traffic Control</emphasis> es el documento de referencia que cubre todo lo que hace falta saber sobre calidad de servicio en una red. <ulink type="block" url="https://www.lartc.org/howto/" />

en: Configuring and Implementing
es-ES: Configuración e implementación

en: QoS parameters are set through the <command>tc</command> command (provided by the <emphasis role="pkg">iproute</emphasis> package). Since its interface is quite complex, using higher-level tools is recommended.
es-ES: Se configuran los parámetros de QoS mediante el programa <command>tc</command> (provisto por el paquete <emphasis role="pkg">iproute</emphasis>). Se recomienda utilizar herramientas de más alto nivel ya que su interfaz es bastante compleja.

en: Reducing Latencies: <command>wondershaper</command>
es-ES: Reducción de latencias: <command>wondershaper</command>

en: <primary>limitation of traffic</primary>
es-ES: <primary>limitación de tráfico</primary>

en: <primary>traffic</primary><secondary>limitation</secondary>
es-ES: <primary>tráfico</primary><secondary>limitación</secondary>

en: The main purpose of <command>wondershaper</command> (in the similarly-named package) is to minimize latencies independent of network load. This is achieved by limiting total traffic to a value that falls just short of the link saturation value.
es-ES: El propósito principal de <command>wondershaper</command> (en el paquete con nombre similar) es minimizar las latencias independientemente de la carga en la red. Consigue esto limitando el tráfico total a un valor que está justo por debajo del valor de saturación del enlace.

en: Changes in the <filename>/etc/network/interfaces</filename> file
es-ES: Cambios en el archivo <filename>/etc/network/interfaces</filename>

en: <emphasis>GOING FURTHER</emphasis> Optimal configuration
es-ES: <emphasis>YENDO MÁS ALLÁ</emphasis> Configuración óptima

en: The <filename>/usr/share/doc/wondershaper/README.Debian.gz</filename> file describes, in some detail, the configuration method recommended by the package maintainer. In particular, it advises measuring the download and upload speeds so as to best evaluate real limits.
es-ES: El archivo <filename>/usr/share/doc/wondershaper/README.Debian.gz</filename> describe, con suficiente detalles, los métodos de configuración recomendados por el encargado del paquete. En particular, aconseja medir las velocidades de subida y bajada para evaluar de la mejor forma los límites reales.

en: Standard Configuration
es-ES: Configuración estándar

en: The DSCP field can be set by applications that generate IP packets, or modified on the fly by <emphasis>netfilter</emphasis>. The following rules are sufficient to increase responsiveness for a server's SSH service, note that the DSCP field must be set in hexadecimal:
es-ES: Las aplicaciones que generan paquetes IP pueden definir el campo DSCP, también puede ser modificado al vuelo por <emphasis>netfilter</emphasis>. Las siguientes reglas son suficiente para aumentar la respuesta del servicio de un servidor SSH, tenga en cuenta que el campo DSCP se debe asignar en hexadecimal:

en: Dynamic Routing
es-ES: Enrutamiento dinámico

en: <emphasis>BACK TO BASICS</emphasis> Dynamic routing
es-ES: <emphasis>VOLVER A LOS CIMIENTOS</emphasis> Enrutamiento dinámico

en: Dynamic routing allows routers to adjust, in real time, the paths used for transmitting IP packets. Each protocol involves its own method of defining routes (shortest path, use routes advertised by peers, and so on).
es-ES: El enrutamiento dinámico le permite a los routers ajustar, en tiempo real, los caminos utilizados para transmitir paquetes IP. Cada protocolo posee sus propios métodos para definir rutas (camino más corto, utilizar rutas publicadas por pares, etc.).

en: In the Linux kernel, a route links a network device to a set of machines that can be reached through this device. The <command>ip</command> command, when <literal>route</literal> is used as the first argument, defines new routes and displays existing ones. The <command>route</command> command was used for that purpose, but it is deprecated in favor of <command>ip</command>.
es-ES: En el núcleo Linux una ruta enlaza un dispositivo de red a un conjunto de máquinas que pueden ser alcanzadas a través de este dispositivo. El programa <command>ip</command>, cuando se usa <literal>route</literal> como primer argumento, define nuevas rutas y muestra las existentes. La orden <command>route</command> se usaba para este propósito, pero con <command>ip</command> ha quedado obsoleta.

en: <emphasis>IN PRACTICE</emphasis> OSPF, BGP or RIP?
es-ES: <emphasis>EN LA PRÁCTICA</emphasis> ¿OSPF, BGP o RIP?

en: <acronym>OSPF</acronym> (Open Shortest Path First) is generally the best protocol to use for dynamic routing on private networks, but <acronym>BGP</acronym> (Border Gateway Protocol) is more common for Internet-wide routing. <acronym>RIP</acronym> (Routing Information Protocol) is rather ancient, and hardly used anymore.
es-ES: <acronym>OSPF</acronym> (Open Shortest Path First) es generalmente el mejor protocolo a utilizar para el enrutamiento dinámico en redes privadas pero <acronym>BGP</acronym> (Border Gateway Protocol) es maś común para enrutamiento en Internet. <acronym>RIP</acronym> (Routing Information Protocol) es bastante arcaico y rara vez utilizado en la actualidad.

en: Debian kernels include IPv6 handling in the core kernel (with the exception of some architectures that have it compiled as a module named <literal>ipv6</literal>). Basic tools such as <command>ping</command> and <command>traceroute</command> have their IPv6 equivalents in <command>ping6</command> and <command>traceroute6</command>, available respectively in the <emphasis role="pkg">iputils-ping</emphasis> and <emphasis role="pkg">iputils-tracepath</emphasis> packages.
es-ES: Los núcleos Debian incluyen la gestión de IPv6 en el corazón del núcleo (con la excepción de algunas arquitecturas que la poseen como un módulo llamado <literal>ipv6</literal>). Las herramientas básicas como <command>ping</command> y <command>traceroute</command> tienen sus equivalentes IPv6, <command>ping6</command> y <command>traceroute6</command>, disponibles en los paquetes <emphasis role="pkg">iputils-ping</emphasis> y <emphasis role="pkg">iputils-tracepath</emphasis> respectivamente.

en: The IPv6 network is configured similarly to IPv4, in <filename>/etc/network/interfaces</filename>. But if you want that network to be globally available, you must ensure that you have an IPv6-capable router relaying traffic to the global IPv6 network.
es-ES: Una red IPv6 se configura de forma similar a una IPv4, en el archivo <filename>/etc/network/interfaces</filename>. Pero si desea que se pueda acceder globalmente a la red debe asegurarse de tener un router compatible con IPv6 que retransmita datos a la red IPv6 global.

en: Example of IPv6 configuration
es-ES: Ejemplo de configuración IPv6

en: IPv6 subnets usually have a netmask of 64 bits. This means that 2<superscript>64</superscript> distinct addresses exist within the subnet. This allows Stateless Address Autoconfiguration (<acronym>SLAAC</acronym>) to pick an address based on the network interface's MAC address. By default, if <acronym>SLAAC</acronym> is activated in your network and IPv6 on your computer, the kernel will automatically find IPv6 routers and configure the network interfaces.
es-ES: Las subredes IPv6 generalmente tienen una máscara de red de 64 bits. Esto significa que existen 2<superscript>64</superscript> direcciones diferentes dentro de la subred. Esto permite que «Stateless Address Autoconfiguration» (<acronym>SLAAC</acronym>: autoconfiguración de direcciones sin estado) selecione una dirección basada en la dirección MAC de la interfaz de red. De forma predeterminada, si <acronym>SLAAC</acronym> está activado en su red e IPv6 en su equipo, el núcleo encontrará enrutadores IPv6 automáticamente y configurará las interfaces de red.

en: IPv6 privacy extensions
es-ES: Extensiones de privacidad IPv6

en: <emphasis>TIP</emphasis> Programs built with IPv6
es-ES: <emphasis>SUGERENCIA</emphasis> Programas desarrollados con IPv6

en: Many pieces of software need to be adapted to handle IPv6. Most of the packages in Debian have been adapted already, but not all. If your favorite package does not work with IPv6 yet, you can ask for help on the <emphasis>debian-ipv6</emphasis> mailing-list. They might know about an IPv6-aware replacement and could file a bug to get the issue properly tracked. <ulink type="block" url="https://lists.debian.org/debian-ipv6/" />
es-ES: Mucho software necesita ser adaptado para que pueda utilizar IPv6. La mayoría de los paquetes en Debian ya fueron adaptados, pero no todos. Si su paquete favorito no funciona con IPv6 todavía, puede pedir ayuda en la lista de correo <emphasis>debian-ipv6</emphasis>. Allí podrían recomendarle un reemplazo que funcione con IPv6 y reportarán el error para que se lo siga apropiadamente. <ulink type="block" url="https://lists.debian.org/debian-ipv6/" />

en: IPv6 connections can be restricted, in the same fashion as for IPv4. <command>nft</command> can be used to create firewall rules for IPv4 and IPv6 (see <xref linkend="sect.nftables" />).
es-ES: Se pueden restringir las conexiones IPv6, de la misma manera que para IPv4. Se puede usar <command>nft</command> para crear reglas de cortafuegos para IPv4 e IPv6 (véase <xref linkend="sect.nftables" />).

en: Tunneling
es-ES: Túneles

en: <emphasis>CAUTION</emphasis> IPv6 tunneling and firewalls
es-ES: <emphasis>PRECAUCIÓN</emphasis> Firewalls y túneles IPv6

en: IPv6 tunneling over IPv4 (as opposed to native IPv6) requires the firewall to accept the traffic, which uses IPv4 protocol number 41.
es-ES: Los túneles IPv6 sobre IPv4 (a diferencia de IPv6 nativo) necesitan que el firewall acepte el tráfico, que utiliza el número de protocolo IPv4 41.

en: If a native IPv6 connection is not available, the fallback method is to use a tunnel over IPv4. Hurricane Electric is one (free) provider of such tunnels: <ulink type="block" url="https://tunnelbroker.net" />
es-ES: Si no existe una conexión IPv6 disponible, el método de respaldo es utilizar un túnel sobre IPv4. Hurricane Electric es un proveedor (gratuito) de dichos túneles: <ulink type="block" url="https://tunnelbroker.net" />

en: To use a Hurricane Electric tunnel, you need to register an account, login, select a free tunnel and edit the file <filename>/etc/network/interfaces</filename> with the generated code.
es-ES: Para usar un túnel Hurricane Electric, necesita registrar una cuenta, iniciar sesión, seleccionar un túnel gratuito y editar el archivo <filename>/etc/network/interfaces</filename> con el código generado.

en: You can install and configure the <command>radvd</command> daemon (from the similarly-named package) if you want to use the configured computer as a router for a local network. This IPv6 configuration daemon has a role similar to <command>dhcpd</command> in the IPv4 world.
es-ES: Puede instalar y configurar el demonio <command>radvd</command> (del paquete homónimo) si quiere usar el ordenador configurado como un enrutador para una red local. Este demonio de configuración IPv6 tiene un rol similar al de <command>dhcpd</command> en el mundo IPv4.

en: The <filename>/etc/radvd.conf</filename> configuration file must then be created (see <filename>/usr/share/doc/radvd/examples/simple-radvd.conf</filename> as a starting point). In our case, the only required change is the prefix, which needs to be replaced with the one provided by Hurricane Electric; it can be found in the output of the <command>ip a</command> command, in the block concerning the <literal>he-ipv6</literal> interface.
es-ES: Debe crear el archivo de configuración <filename>/etc/radvd.conf</filename> (revise el archivo <filename>/usr/share/doc/radvd/examples/simple-radvd.conf</filename> como punto de partida). En nuestro caso, el único cambio necesario es el prefijo que debe reemplazar con el provisto por Hurricane Electric; puede encontrarlo en la salida de <command>ip a</command>, en el bloque sobre la interfaz <literal>he-ipv6</literal>.

en: Then run <command>systemctl start radvd</command>. The IPv6 network should now work.
es-ES: Luego ejecute <command>systemctl start radvd</command>. Ahora debería funcionar la red IPv6.

en: Domain Name Servers (DNS)
es-ES: Servidores de nombres de dominio (DNS)

en: <primary>server</primary><secondary>name</secondary>
es-ES: <primary>servidor</primary><secondary>nombre</secondary>

en: DNS records are organized in zones; each zone matches either a domain (or a subdomain) or an IP address range (since IP addresses are generally allocated in consecutive ranges). A primary server is authoritative on the contents of a zone; secondary servers, usually hosted on separate machines, provide regularly refreshed copies of the primary zone.
es-ES: Los registros DNS se organizan en zonas; cada zona coincide con un dominio (o subdominio) o un rango de direcciones IP (ya que generalmente se proveen direcciones IP en rangos consecutivos). Un servidor primario es autoridad sobre los contenidos de una zona; los servidores secundarios, generalmente en otras máquinas, proveen copias de la zona primaria actualizadas regularmente.

en: <primary>zone</primary><secondary>DNS</secondary>
es-ES: <primary>zona</primary><secondary>DNS</secondary>

en: <primary>DNS</primary><secondary>zone</secondary>
es-ES: <primary>DNS</primary><secondary>zona</secondary>

en: Each zone can contain records of various kinds (<emphasis>Resource Records</emphasis>), these are some of the most common:
es-ES: Cada zona puede contener registros de varios tipos (<emphasis>registros de recursos</emphasis>: «Resource Records»), estos son algunos de los más comunes:

en: DNS software
es-ES: Software DNS

en: Furthermore, Bind supports the DNSSEC standard for signing (and therefore authenticating) DNS records, which allows blocking any spoofing of this data during man-in-the-middle attacks.
es-ES: Lo que es más, Bind es compatible con el estándar DNSSEC para firmar (y, por lo tanto, autenticar) registros DNS, lo que permite bloquear datos apócrifos durante ataques con intermediarios («man-in-the-middle»).

en: <emphasis>CULTURE</emphasis> DNSSEC
es-ES: <emphasis>CULTURA</emphasis> DNSSEC

en: The DNSSEC norm is quite complex; this partly explains why it is not in widespread usage yet (even if it perfectly coexists with DNS servers unaware of DNSSEC). To understand all the ins and outs, you should check the following article. <ulink type="block" url="https://en.wikipedia.org/wiki/Domain_Name_System_Security_Extensions" />
es-ES: La normativa DNSSEC es bastante compleja; esto explica parcialmente por qué no es utilizada ampliamente aún (aún si puede coexistir perfectamente con servidores DNS que no conozcan de DNSSEC). Para entender los recovecos debería revisar el siguiente artículo. <ulink type="block" url="https://en.wikipedia.org/wiki/Domain_Name_System_Security_Extensions" />

en: Configuring bind
es-ES: Configurando bind

en: Configuration files for <command>bind</command>, irrespective of version, have the same structure.
es-ES: Archivos de configuración de <command>bind</command>, sin importar su versión, tienen la misma estructura.

en: The Falcot administrators created a primary <literal>falcot.com</literal> zone to store information related to this domain, and a <literal>168.192.in-addr.arpa</literal> zone for reverse mapping of IP addresses in the local networks.
es-ES: Los administradores de Falcot crearon una zona primaria <literal>falcot.com</literal> para almacenar información relacionada con este dominio y una zona <literal>168.192.in-addr.arpa</literal> para la asociación inversa de direcciones IP en las redes locales.

en: <emphasis>CAUTION</emphasis> Names of reverse zones
es-ES: <emphasis>PRECAUCIÓN</emphasis> Nombres de zonas inversas

en: <primary>zone</primary><secondary>reverse</secondary>
es-ES: <primary>zona</primary><secondary>inversa</secondary>

en: <primary>reverse zone</primary>
es-ES: <primary>inversa, zona</primary>

en: <primary>nibble format</primary>
es-ES: <primary>formato nibble</primary>

en: Reverse zones have a particular name. The zone covering the <literal>192.168.0.0/16</literal> network needs to be named <literal>168.192.in-addr.arpa</literal>: the IP address components are reversed, and followed by the <literal>in-addr.arpa</literal> suffix.
es-ES: Las zonas inversas tiene un nombre particular. La zona que cubre la red <literal>192.168.0.0/16</literal> necesita llamarse <literal>168.192.in-addr.arpa</literal>: se invierten los componentes de la dirección IP seguidos del sufijo <literal>in-addr.arpa</literal>.

en: For IPv6 networks, the suffix is <literal>ip6.arpa</literal> and the IP address components which are reversed are each character in the full hexadecimal representation of the IP address. As such, the <literal>2001:0bc8:31a0::/48</literal> network would use a zone named <literal>0.a.1.3.8.c.b.0.1.0.0.2.ip6.arpa</literal>.
es-ES: Para redes IPv6, el sufijo es <literal>ip6.arpa</literal> y los componentes de la dirección IP, invertidos, son cada caracter de la dirección IP en su representación hexadecimal completa. Por ejemplo, la red <literal>2001:0bc8:31a0::/48</literal> podría utilizar una red llamada <literal>0.a.1.3.8.c.b.0.1.0.0.2.ip6.arpa</literal>.

en: <emphasis>TIP</emphasis> Testing the DNS server
es-ES: <emphasis>SUGERENCIA</emphasis> Pruebas del servidor DNS

en: The <command>host</command> command (in the <emphasis role="pkg">bind9-host</emphasis> package) queries a DNS server, and can be used to test the server configuration. For example, <command>host machine.falcot.com localhost</command> checks the local server's reply for the <literal>machine.falcot.com</literal> query. <command>host <replaceable>ipaddress</replaceable> localhost</command> tests the reverse resolution.
es-ES: El programa <command>host</command> (en el paquete <emphasis role="pkg">bind9-host</emphasis>) consulta un servidor DNS y puede utilizarse para probar la configuración del servidor. Por ejemplo, <command>host maquina.falcot.com localhost</command> revisa la respuesta del servidor local a la consulta por <literal>maquina.falcot.com</literal>. <command>host <replaceable>direccion.ip</replaceable> localhost</command> prueba la resolución inversa.

en: The following configuration excerpts, taken from the Falcot files, can serve as starting points to configure a DNS server:
es-ES: Los siguientes extractos de configuración, de los archivos de Falcot, pueden servirle como punto de partida para configurar un servidor DNS:

en: Excerpt of <filename>/etc/bind/named.conf.local</filename>
es-ES: Extracto de <filename>/etc/bind/named.conf.local</filename>

en: Excerpt of <filename>/etc/bind/db.falcot.com</filename>
es-ES: Extracto de <filename>/etc/bind/db.falcot.com</filename>

en: ; falcot.com Zone 
    ; admin.falcot.com. =&gt; zone contact: admin@falcot.com
    $TTL    604800
    @       IN      SOA     falcot.com. admin.falcot.com. (
                            20040121        ; Serial
                             604800         ; Refresh
                              86400         ; Retry
                            2419200         ; Expire
                             604800 )       ; Negative Cache TTL
    ;
    ; The @ refers to the zone name ("falcot.com" here)
    ; or to $ORIGIN if that directive has been used
    ;
    @       IN      NS      ns
    @       IN      NS      ns0.xname.org.
    
    internal IN      NS      192.168.0.2
    
    @       IN      A       212.94.201.10
    @       IN      MX      5 mail
    @       IN      MX      10 mail2
    
    ns      IN      A       212.94.201.10
    mail    IN      A       212.94.201.10
    mail2   IN      A       212.94.201.11
    www     IN      A       212.94.201.11
    
    dns     IN      CNAME   ns
es-ES: ; Zona falcot.com 
    ; admin.falcot.com. =&gt; contacto de la zona: admin@falcot.com
    $TTL    604800
    @       IN      SOA     falcot.com. admin.falcot.com. (
                            20040121        ; Serial
                             604800         ; Refresco
                              86400         ; Reintento
                            2419200         ; Expiración
                             604800 )       ; TTL de caché negativo
    ;
    ; El @ hace referencia al nombre de la zona («falcot.com» aquí)
    ; o a $ORIGIN (origen) si se utilizó esta directiva
    ;
    @       IN      NS      ns
    @       IN      NS      ns0.xname.org.
    
    internal IN      NS      192.168.0.2
    
    @       IN      A       212.94.201.10
    @       IN      MX      5 mail
    @       IN      MX      10 mail2
    
    ns      IN      A       212.94.201.10
    mail    IN      A       212.94.201.10
    mail2   IN      A       212.94.201.11
    www     IN      A       212.94.201.11
    
    dns     IN      CNAME   ns

en: <emphasis>CAUTION</emphasis> Syntax of a name
es-ES: <emphasis>PRECAUCIÓN</emphasis> Sintaxis de un nombre

en: The syntax of machine names follows strict rules. For instance, <literal>machine</literal> implies <literal>machine.<replaceable>domain</replaceable></literal>. If the domain name should not be appended to a name, said name must be written as <literal>machine.</literal> (with a dot as suffix). Indicating a DNS name outside the current domain therefore requires a syntax such as <literal>machine.otherdomain.com.</literal> (with the final dot).
es-ES: La sintaxis de los nombres de máquinas deben adherirse a reglas estrictas. Por ejemplo, <literal>maquina</literal> implica <literal>maquina.<replaceable>dominio</replaceable></literal>. Si no se debe agregar el nombre de dominio a un nombre, debe escribir dicho nombre como <literal>maquina.</literal> (con un punto de sufijo). Por lo tanto, indicar un nombre DNS fuera del dominio actual necesita una sintaxis como <literal>maquina.otrodominio.com.</literal> (con el punto final).

en: Excerpt of <filename>/etc/bind/db.192.168</filename>
es-ES: Extracto de <filename>/etc/bind/db.192.168</filename>

en: ; Reverse zone for 192.168.0.0/16
    ; admin.falcot.com. =&gt; zone contact: admin@falcot.com
    $TTL    604800
    @       IN      SOA     ns.internal.falcot.com. admin.falcot.com. (
                            20040121        ; Serial
                             604800         ; Refresh
                              86400         ; Retry
                            2419200         ; Expire
                             604800 )       ; Negative Cache TTL
    
            IN      NS      ns.internal.falcot.com.
    
    ; 192.168.0.1 -&gt; arrakis
    1.0     IN      PTR     arrakis.internal.falcot.com.
    ; 192.168.0.2 -&gt; neptune
    2.0     IN      PTR     neptune.internal.falcot.com.
    
    ; 192.168.3.1 -&gt; pau
    1.3     IN      PTR     pau.internal.falcot.com.
es-ES: ; Zona inversa para 192.168.0.0/16
    ; admin.falcot.com. =&gt; contacto de la zona: admin@falcot.com
    $TTL    604800
    @       IN      SOA     ns.internal.falcot.com. admin.falcot.com. (
                            20040121        ; Serial
                             604800         ; Refresco
                              86400         ; Reintento
                            2419200         ; Expiración
                             604800 )       ; TTL de caché negativo
    
            IN      NS      ns.internal.falcot.com.
    
    ; 192.168.0.1 -&gt; arrakis
    1.0     IN      PTR     arrakis.internal.falcot.com.
    ; 192.168.0.2 -&gt; neptune
    2.0     IN      PTR     neptune.internal.falcot.com.
    
    ; 192.168.3.1 -&gt; pau
    1.3     IN      PTR     pau.internal.falcot.com.

en: <primary>network</primary><secondary>DHCP configuration</secondary>
es-ES: <primary>red</primary><secondary>configuración DHCP</secondary>

en: DHCP (for <emphasis>Dynamic Host Configuration Protocol</emphasis>) is a protocol by which a machine can automatically get its network configuration when it boots. This allows centralizing the management of network configurations, and ensuring that all desktop machines get similar settings.
es-ES: DHCP (<emphasis>procolo de configuración dinámica de equipos</emphasis>: «Dynamic Host Configuration Protocol») es un protocolo mediante el cual una máquina puede obtener su configuración de red automáticamente al iniciar. Esto permite centralizar la administración de las configuraciones de red y asegurar que todos los equipos de escritorio obtengan configuraciones similares.

en: A DHCP server provides many network-related parameters. The most common of these is an IP address and the network where the machine belongs, but it can also provide other information, such as DNS servers, WINS servers, NTP servers, and so on.
es-ES: Un servidor DHCP provee muchos parámetros relacionados con la red. Los más comunes son una dirección IP y la red a la que pertenece el equipo, pero también puede proveer otra información como servidores DNS, servidores WINS, servidores NTP y más.

en: The Internet Software Consortium (also involved in developing <command>bind</command>) is the main author of the DHCP server. The matching Debian package is <emphasis role="pkg">isc-dhcp-server</emphasis>.
es-ES: El Internet Software Consortium (involucrado también en el desarrollo de <command>bind</command>) es el autor principal del servidor DHCP. El paquete Debian correspondiente es <emphasis role="pkg">isc-dhcp-server</emphasis>.

en: Configuring
es-ES: Configuración

en: The first elements that need to be edited in the DHCP server configuration files (<filename>/etc/dhcp/dhcpd.conf</filename>, and <filename>/etc/dhcp/dhcpd6.conf</filename> for IPv6) are the domain name and the DNS servers. If this server is alone on the local network (as defined by the broadcast propagation), the <literal>authoritative</literal> directive must also be enabled (or uncommented). One also needs to create a <literal>subnet</literal> section describing the local network and the configuration information to be provided. The following example fits a <literal>192.168.0.0/24</literal> local network with a router at <literal>192.168.0.1</literal> serving as the gateway. Available IP addresses are in the range <literal>192.168.0.128</literal> to <literal>192.168.0.254</literal>.
es-ES: El primer elemento que necesita editar en los archivos de configuración del servidor DHCP (<filename>/etc/dhcp/dhcpd.conf</filename>, y <filename>/etc/dhcp/dhcpd6.conf</filename> para IPv6) son el nombre de dominio y servidores DNS. Si el servidor es el único en la red local (definido en la propagación de difusión), de activar (o descomentar) la directiva <literal>authoritative</literal>. También necesita crear una sección <literal>subnet</literal> (subred) describiendo la red local y la información de configuración que proveerá. El siguiente ejemplo define una red local <literal>192.168.0.0/24</literal> con un router en <literal>192.168.0.1</literal> como puerta de enlace. Las direcciones IP disponibles están en el rango <literal>192.168.0.128</literal> a <literal>192.168.0.254</literal>.

en: Excerpt of <filename>/etc/dhcp/dhcpd.conf</filename>
es-ES: Extracto de <filename>/etc/dhcp/dhcpd.conf</filename>

en: 
    #
    # Sample configuration file for ISC dhcpd for Debian
    #
    
    # The ddns-updates-style parameter controls whether or not the server will
    # attempt to do a DNS update when a lease is confirmed. We default to the
    # behavior of the version 2 packages ('none', since DHCP v2 didn't
    # have support for DDNS.)
    ddns-update-style interim;
    
    # option definitions common to all supported networks...
    option domain-name "internal.falcot.com";
    option domain-name-servers ns.internal.falcot.com;
    
    default-lease-time 600;
    max-lease-time 7200;
    
    # If this DHCP server is the official DHCP server for the local
    # network, the authoritative directive should be uncommented.
    authoritative;
    
    # Use this to send dhcp log messages to a different log file (you also
    # have to hack syslog.conf to complete the redirection).
    log-facility local7;
    
    # My subnet
    subnet 192.168.0.0 netmask 255.255.255.0 {
        option routers 192.168.0.1;
        option broadcast-address 192.168.0.255;
        range 192.168.0.128 192.168.0.254;
        ddns-domainname "internal.falcot.com";
    }
es-ES: 
    #
    # Archivo de configuración de ejemplo para el dhcpd ISC para Debian
    #
    
    # El parámetro ddns-updates-style controla si el servidor intentará o no
    # una actualización de DNS cuando se confirme la asignación. Utilizamos
    # el comportamiento predeterminado de la versión 2 de paquetes ('none', 
    # ya que DHCP v2 no era compatible con DDNS).
    ddns-update-style interim;
    
    # Definición de opciones comunes a todas las redes...
    option domain-name "internal.falcot.com";
    option domain-name-servers ns.internal.falcot.com;
    
    default-lease-time 600;
    max-lease-time 7200;
    
    # Si este servidor DHCP es el servidor DHCP oficial para la red local,
    # debe descomentar la directiva «authoritative».
    authoritative;
    
    # Utilice esto para enviar mensajes de registro dhcp a un archivo de
    # registro distinto (también deberá modificar syslog.conf para completar
    # la redirección).
    log-facility local7;
    
    # Mi subred
    subnet 192.168.0.0 netmask 255.255.255.0 {
        option routers 192.168.0.1;
        option broadcast-address 192.168.0.255;
        range 192.168.0.128 192.168.0.254;
        ddns-domainname "internal.falcot.com";
    }

en: DHCP and DNS
es-ES: DHCP y DNS

en: <primary>DNS</primary><secondary>automated updates</secondary>
es-ES: <primary>DNS</primary><secondary>actualizaciones automáticas</secondary>

en: A nice feature is the automated registering of DHCP clients in the DNS zone, so that each machine gets a significant name (rather than something impersonal such as <literal>machine-192-168-0-131.internal.falcot.com</literal>). Using this feature requires configuring the DNS server to accept updates to the <literal>internal.falcot.com</literal> DNS zone from the DHCP server, and configuring the latter to submit updates for each registration.
es-ES: Una buena funcionalidad es el registro automatizado de clientes DHCP en la zona DNS para que cada máquina obtenga un nombre significativo (en lugar de algo impersonal como <literal>maquina-192-168-0-131.internal.falcot.com</literal>). Para utilizar esta funcionalidad necesita configurar el servidor DNS para que acepte actualizaciones de la zona DNS <literal>internal.falcot.com</literal> desde el servidor DHCP y configurar este último para que envíe actualizaciones para cada registración.

en: In the <command>bind</command> case (see <xref linkend="sect.dns-software" />), the <literal>allow-update</literal> directive needs to be added to each of the zones that the DHCP server is to edit (the one for the <literal>internal.falcot.com</literal> domain, and the reverse zone). This directive lists the IP addresses allowed to perform these updates; it should therefore contain the possible addresses of the DHCP server (both the local address and the public address, if appropriate).
es-ES: En el caso de <command>bind</command> (véase <xref linkend="sect.dns-software" />), necesita agregar la directiva <literal>allow-update</literal> a cada una de las zonas que puede editar el servidor DHCP (sólo el dominio <literal>internal.falcot.com</literal> y su zona inversa). Esta directiva enumera las direcciones IP que pueden realizar estas actualizaciones; por lo tanto deberá incluir las posibles direcciones del servidor DHCP (tanto la dirección local como la dirección pública en caso que sea apropiado).

en: Beware! A zone that can be modified <emphasis>will</emphasis> be changed by <command>bind</command>, and the latter will overwrite its configuration files at regular intervals. Since this automated procedure produces files that are less human-readable than manually-written ones, the Falcot administrators handle the <literal>internal.falcot.com</literal> domain with a delegated DNS server; this means the <literal>falcot.com</literal> zone file stays firmly under their manual control.
es-ES: ¡Tenga cuidado! Una zona que pueda ser modificada <emphasis>será</emphasis> modificada por <command>bind</command>, y éste último sobreescribirá sus archivos de configuración en intervalos regulares. Debido a que este procedimiento automatizado genera archivos que son menos legibles que aquellos escritos manualmente, los administradores de Falcot administran el dominio <literal>internal.falcot.com</literal> con un servidor DNS delegado; esto significa que el archivo de la zona <literal>falcot.com</literal> se mantiene firmemente bajo su control manual.

en: The DHCP server configuration excerpt above already includes the directives required for DNS zone updates: they are the <literal>ddns-update-style interim;</literal> and <literal>ddns-domain-name "internal.falcot.com";</literal> lines.
es-ES: El extracto de la configuración del servidor DHCP anterior ya incluye las directivas necesarias para las actualizaciones de la zona DNS: son las líneas <literal>ddns-update-style interim;</literal> y <literal>ddns-domain-name "internal.falcot.com";</literal>.

en: Network Diagnosis Tools
es-ES: Herramientas de diagnóstico de red

en: Local Diagnosis: <command>netstat</command>
es-ES: Diagnóstico local: <command>netstat</command>

en: Let's first mention the <command>netstat</command> command (in the <emphasis role="pkg">net-tools</emphasis> package); it displays an instant summary of a machine's network activity. When invoked with no argument, this command lists all open connections; this list can be very verbose since it includes many Unix-domain sockets (widely used by daemons) which do not involve the network at all (for example, <literal>dbus</literal> communication, <literal>X11</literal> traffic, and communications between virtual filesystems and the desktop).
es-ES: Mencionemos primero el programa <command>netstat</command> (en el paquete <emphasis role="pkg">net-tools</emphasis>); muestra un resumen instantáneo de la actividad de red de una máquina. Cuando lo ejecute sin parámetros, mostrará todas las conexiones abiertas; esta lista puede ser demasiado detallada ya que incluye muchos zócalos de dominio Unix (utilizados ampliamente por demonios) que no incluyen la red en absoluto (por ejemplo, la comunicación de <literal>dbus</literal>, tráfico <literal>X11</literal> y comunicaciones entre sistemas de archivos virtuales y el escritorio).

en: Common invocations therefore use options that alter <command>netstat</command>'s behavior. The most frequently used options include:
es-ES: Por lo tanto, invocaciones usuales utilizan opciones que modifican el comportamiento de <command>netstat</command>. Las opciones utilizadas más frecuentemente incluyen:

en: <literal>-t</literal>, which filters the results to only include TCP connections;
es-ES: <literal>-t</literal>, que filtra los resultados para incluir sólamente conexiones TCP;

en: <literal>-u</literal>, which works similarly for UDP connections; these options are not mutually exclusive, and one of them is enough to stop displaying Unix-domain connections;
es-ES: <literal>-u</literal>, que realiza algo similar por las conexiones UDP; estas opciones no son mutuamente excluyentes y una de ellas es suficiente para evitar mostrar información sobre conexiones de dominio Unix;

en: <literal>-a</literal>, to also list listening sockets (waiting for incoming connections);
es-ES: <literal>-a</literal>, para mostrar también los zócalos que están escuchando (que esperan conexiones entrantes);

en: <literal>-n</literal>, to display the results numerically: IP addresses (no DNS resolution), port numbers (no aliases as defined in <filename>/etc/services</filename>) and user ids (no login names);
es-ES: <literal>-n</literal>, para mostrar los resultados numéricamente: direcciones IP (sin resolución DNS), números de puerto (sin alias definidos en <filename>/etc/services</filename>) y IDs de usuario (sin nombres de usuario);

en: <literal>-p</literal>, to list the processes involved; this option is only useful when <command>netstat</command> is run as root, since normal users will only see their own processes;
es-ES: <literal>-p</literal>, enumerar los procesos involucrados; esta opción sólo es útil cuando ejecute <command>netstat</command> como root ya que los usuarios normales sólo verán sus propios procesos;

en: <literal>-c</literal>, to continuously refresh the list of connections.
es-ES: <literal>-c</literal>, para actualizar continuamente la lista de conexiones.

en: Other options, documented in the <citerefentry><refentrytitle>netstat</refentrytitle> <manvolnum>8</manvolnum></citerefentry> manual page, provide an even finer control over the displayed results. In practice, the first five options are so often used together that systems and network administrators practically acquired <command>netstat -tupan</command> as a reflex. Typical results, on a lightly loaded machine, may look like the following:
es-ES: Otras opciones, documentadas en la página de manual <citerefentry><refentrytitle>netstat</refentrytitle> <manvolnum>8</manvolnum></citerefentry>, proveen un control más granular en los resultados mostrados. En la práctica,las primeras cinco opciones son utilizadas juntas tan seguido que los administradores de sistemas y red tiene el acto reflejo de ejecutar <command>netstat -tupan</command>. Los resultados típicos, en una máquina con poca carga, pueden parecerse a lo siguiente:

en: 
    <computeroutput># </computeroutput><userinput>netstat -tupan</userinput>
    <computeroutput>Active Internet connections (servers and established)
    Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
    tcp        0      0 0.0.0.0:111             0.0.0.0:*               LISTEN      397/rpcbind     
    tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      431/sshd        
    tcp        0      0 0.0.0.0:36568           0.0.0.0:*               LISTEN      407/rpc.statd   
    tcp        0      0 127.0.0.1:25            0.0.0.0:*               LISTEN      762/exim4       
    tcp        0    272 192.168.1.242:22        192.168.1.129:44452     ESTABLISHED 1172/sshd: roland [
    tcp6       0      0 :::111                  :::*                    LISTEN      397/rpcbind     
    tcp6       0      0 :::22                   :::*                    LISTEN      431/sshd        
    tcp6       0      0 ::1:25                  :::*                    LISTEN      762/exim4       
    tcp6       0      0 :::35210                :::*                    LISTEN      407/rpc.statd   
    udp        0      0 0.0.0.0:39376           0.0.0.0:*                           916/dhclient    
    udp        0      0 0.0.0.0:996             0.0.0.0:*                           397/rpcbind     
    udp        0      0 127.0.0.1:1007          0.0.0.0:*                           407/rpc.statd   
    udp        0      0 0.0.0.0:68              0.0.0.0:*                           916/dhclient    
    udp        0      0 0.0.0.0:48720           0.0.0.0:*                           451/avahi-daemon: r
    udp        0      0 0.0.0.0:111             0.0.0.0:*                           397/rpcbind     
    udp        0      0 192.168.1.242:123       0.0.0.0:*                           539/ntpd        
    udp        0      0 127.0.0.1:123           0.0.0.0:*                           539/ntpd        
    udp        0      0 0.0.0.0:123             0.0.0.0:*                           539/ntpd        
    udp        0      0 0.0.0.0:5353            0.0.0.0:*                           451/avahi-daemon: r
    udp        0      0 0.0.0.0:39172           0.0.0.0:*                           407/rpc.statd   
    udp6       0      0 :::996                  :::*                                397/rpcbind     
    udp6       0      0 :::34277                :::*                                407/rpc.statd   
    udp6       0      0 :::54852                :::*                                916/dhclient    
    udp6       0      0 :::111                  :::*                                397/rpcbind     
    udp6       0      0 :::38007                :::*                                451/avahi-daemon: r
    udp6       0      0 fe80::5054:ff:fe99::123 :::*                                539/ntpd        
    udp6       0      0 2001:bc8:3a7e:210:a:123 :::*                                539/ntpd        
    udp6       0      0 2001:bc8:3a7e:210:5:123 :::*                                539/ntpd        
    udp6       0      0 ::1:123                 :::*                                539/ntpd        
    udp6       0      0 :::123                  :::*                                539/ntpd        
    udp6       0      0 :::5353                 :::*                                451/avahi-daemon: r
    </computeroutput>
es-ES: 
    <computeroutput># </computeroutput><userinput>netstat -tupan</userinput>
    <computeroutput>Conexiones activas de Internet (servidores y establecidas)
    Proto Reciv-Q Enviado-Q Dirección Local           Dirección externa         Estado PID/Nombre programa
    tcp        0      0 0.0.0.0:111             0.0.0.0:*               LISTEN      397/rpcbind     
    tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      431/sshd        
    tcp        0      0 0.0.0.0:36568           0.0.0.0:*               LISTEN      407/rpc.statd   
    tcp        0      0 127.0.0.1:25            0.0.0.0:*               LISTEN      762/exim4       
    tcp        0    272 192.168.1.242:22        192.168.1.129:44452     ESTABLISHED 1172/sshd: roland [
    tcp6       0      0 :::111                  :::*                    LISTEN      397/rpcbind     
    tcp6       0      0 :::22                   :::*                    LISTEN      431/sshd        
    tcp6       0      0 ::1:25                  :::*                    LISTEN      762/exim4       
    tcp6       0      0 :::35210                :::*                    LISTEN      407/rpc.statd   
    udp        0      0 0.0.0.0:39376           0.0.0.0:*                           916/dhclient    
    udp        0      0 0.0.0.0:996             0.0.0.0:*                           397/rpcbind     
    udp        0      0 127.0.0.1:1007          0.0.0.0:*                           407/rpc.statd   
    udp        0      0 0.0.0.0:68              0.0.0.0:*                           916/dhclient    
    udp        0      0 0.0.0.0:48720           0.0.0.0:*                           451/avahi-daemon: r
    udp        0      0 0.0.0.0:111             0.0.0.0:*                           397/rpcbind     
    udp        0      0 192.168.1.242:123       0.0.0.0:*                           539/ntpd        
    udp        0      0 127.0.0.1:123           0.0.0.0:*                           539/ntpd        
    udp        0      0 0.0.0.0:123             0.0.0.0:*                           539/ntpd        
    udp        0      0 0.0.0.0:5353            0.0.0.0:*                           451/avahi-daemon: r
    udp        0      0 0.0.0.0:39172           0.0.0.0:*                           407/rpc.statd   
    udp6       0      0 :::996                  :::*                                397/rpcbind     
    udp6       0      0 :::34277                :::*                                407/rpc.statd   
    udp6       0      0 :::54852                :::*                                916/dhclient    
    udp6       0      0 :::111                  :::*                                397/rpcbind     
    udp6       0      0 :::38007                :::*                                451/avahi-daemon: r
    udp6       0      0 fe80::5054:ff:fe99::123 :::*                                539/ntpd        
    udp6       0      0 2001:bc8:3a7e:210:a:123 :::*                                539/ntpd        
    udp6       0      0 2001:bc8:3a7e:210:5:123 :::*                                539/ntpd        
    udp6       0      0 ::1:123                 :::*                                539/ntpd        
    udp6       0      0 :::123                  :::*                                539/ntpd        
    udp6       0      0 :::5353                 :::*                                451/avahi-daemon: r
    </computeroutput>

en: As expected, this lists established connections, two SSH connections in this case, and applications waiting for incoming connections (listed as <literal>LISTEN</literal>), notably the Exim4 email server listening on port 25.
es-ES: Como es esperado, enumera las conexiones establecidas: dos conexiones SSH en este caso y las aplicaciones esperando conexiones entrantes (mostradas como <literal>LISTEN</literal>), notablemente el servidor de correo Exim4 está escuchando en el puerto 25.

en: Remote Diagnosis: <command>nmap</command>
es-ES: Diagnóstico remoto: <command>nmap</command>

en: <command>nmap</command> (in the similarly-named package) is, in a way, the remote equivalent for <command>netstat</command>. It can scan a set of “well-known” ports for one or several remote servers, and list the ports where an application is found to answer to incoming connections. Furthermore, <command>nmap</command> is able to identify some of these applications, sometimes even their version number. The counterpart of this tool is that, since it runs remotely, it cannot provide information on processes or users; however, it can operate on several targets at once.
es-ES: <command>nmap</command> (en el paquete del mismo nombre) es, en cierta forma, el equivalente remoto de <command>netstat</command>. Puede escanear un conjunto de puertos «muy conocidos» de uno o más servidores remotos y enumerar los puertos donde encontró una aplicación que responda conexiones entrantes. Lo que es más, <command>nmap</command> puede identificar alguna de estas aplicaciones, a veces inclusive también su número de versión. La desventaja de esta herramienta es que, debido a que ejecuta de forma remota, no puede proveer información sobre procesos o usuarios; sin embargo, puede trabajar con varios objetivos al mismo tiempo.

en: A typical <command>nmap</command> invocation only uses the <literal>-A</literal> option (so that <command>nmap</command> attempts to identify the versions of the server software it finds) followed by one or more IP addresses or DNS names of machines to scan. Again, many more options exist to finely control the behavior of <command>nmap</command>; please refer to the documentation in the <citerefentry> <refentrytitle>nmap</refentrytitle> <manvolnum>1</manvolnum> </citerefentry> manual page.
es-ES: Una invocación de <command>nmap</command> típica utilizará la opción <literal>-A</literal> (para que <command>nmap</command> intente identificar las versiones del software de servidor que encuentre) seguido de una o más direcciones IP o nombres DNS de los equipos a escanear. Nuevamente, existen muchas más opciones que proveen un control detallado del comportamiento de <command>nmap</command>; revise la documentación en la página de manual <citerefentry> <refentrytitle>nmap</refentrytitle> <manvolnum>1</manvolnum> </citerefentry>.

en: Sniffers: <command>tcpdump</command> and <command>wireshark</command>
es-ES: «Sniffers»: <command>tcpdump</command> y <command>wireshark</command>

en: Sometimes, one needs to look at what actually goes on the wire, packet by packet. These cases call for a “frame analyzer”, more widely known as a <emphasis>sniffer</emphasis>. Such a tool observes all the packets that reach a given network interface, and displays them in a user-friendly way.
es-ES: A veces uno necesita revisar lo que sucede literalmente en el cable, paquete por paquete. Estos casos requieren un «analizador de tramas», más comúnmente conocidos como «<emphasis>sniffers</emphasis>». Estas herramientas observan todos los paquetes en una interfaz de red dada y los muestran en una forma más amigable.

en: The venerable tool in this domain is <command>tcpdump</command>, available as a standard tool on a wide range of platforms. It allows many kinds of network traffic capture, but the representation of this traffic stays rather obscure. We will therefore not describe it in further detail.
es-ES: La herramienta de culto en este ámbito es <command>tcpdump</command>, disponible como una herramienta estándar en un amplio rango de plataformas. Permite muchos tipos de capturas de tráfico de red, pero la representación del mismo es bastante críptica. Por lo tanto no la describiremos en más detalle.

en: A more recent (and more modern) tool, <command>wireshark</command> (in the <emphasis role="pkg">wireshark</emphasis> package), has become the new reference in network traffic analysis due to its many decoding modules that allow for a simplified analysis of the captured packets. The packets are displayed graphically with an organization based on the protocol layers. This allows a user to visualize all protocols involved in a packet. For example, given a packet containing an HTTP request, <command>wireshark</command> displays, separately, the information concerning the physical layer, the Ethernet layer, the IP packet information, the TCP connection parameters, and finally the HTTP request itself.
es-ES: Una herramienta más reciente (y más moderna), <command>wireshark</command> (en el paquete <emphasis role="pkg">wireshark</emphasis>), se ha convertido en la nueva referencia de análisis de tráfico de red debido a sus módulos de decodificación que permiten un análisis simplificado de los paquetes capturados. Muestra los paquetes gráficamente, organizados basándose en las capas de protocolos. Esto permite al usuario visualizar todos los protocolos involucrados en un paquete. Por ejemplo, en un paquete que contenga un pedido HTTP, <command>wireshark</command> mostrará por separado la información sobre la capa física, la capa Ethernet, la información IP del paquete, los parámetros de conexión TCP y finalmente el pedido HTTP mismo.

en: The <command>wireshark</command> network traffic analyzer
es-ES: El analizador de tráfico de red <command>wireshark</command>

en: In our example, the packets traveling over SSH are filtered out (with the <literal>!tcp.port == 22</literal> filter). The packet currently displayed was developed at the transport layer of the SSHv2 protocol.
es-ES: En nuestro ejemplo, filtramos los paquetes que viajan sobre SSH (con el filtro <literal>!tcp.port == 22</literal>). El paquete mostrado actualmente se produjo en la capa de transporte del protocolo SSHv2.

en: <emphasis>TIP</emphasis> <command>wireshark</command> with no graphical interface: <command>tshark</command>
es-ES: <emphasis>SUGERENCIA</emphasis> <command>wireshark</command> sin interfaz gráfica: <command>tshark</command>

en: When one cannot run a graphical interface, or does not wish to do so for whatever reason, a text-only version of <command>wireshark</command> also exists under the name <command>tshark</command> (in a separate <emphasis role="pkg">tshark</emphasis> package). Most of the capture and decoding features are still available, but the lack of a graphical interface necessarily limits the interactions with the program (filtering packets after they've been captured, tracking of a given TCP connection, and so on). It can still be used as a first approach. If further manipulations are intended and require the graphical interface, the packets can be saved to a file and this file can be loaded into a graphical <command>wireshark</command> running on another machine.
es-ES: Cuando no podemos ejecutar una interfaz gráfica, o por cualquier razón no deseamos hacerlo, existe una versión sólo de texto de <command>wireshark</command> bajo el nombre <command>tshark</command> (en el paquete independiente <emphasis role="pkg">tshark</emphasis>). La mayoría de la funcionalidad de captura y decodificación está también disponible, pero la falta de interfaz gráfica limita necesariamente la interacción con el programa (filtrar paquetes luego de capturarlos, rastrear una conexión TCP, etc.). Puede utilizarse, sin embargo, como primer intento. Si desea realizar manipulaciones y necesita la interfaz gráfica, puede guardar los paquetes en un archivo y cargarlo en un <command>wireshark</command> gráfico ejecutando en otra máquina.
