NIVEL 2

Pequeña empresa

Una ingeniería, una distribuidora, un despacho de abogados con 40 personas, una empresa de software o una planta industrial pequeña. Una oficina de una planta (o dos), entre 15 y 60 personas. Aparece el cuarto técnico, el rack de suelo, los servidores virtualizados y el directorio de usuarios.

15–60 personas 80–250 dispositivos 2 fibras de operadores distintos Inversión 25–90 k€ IT: 1 técnico y/o MSP

Perfil

Lo nuevo respecto al nivel 1:

Aplicaciones locales

ERP con base de datos SQL, software CAD con licencias flotantes, servidor de ficheros con permisos por departamento. Necesitan servidores.

Departamentos

Administración, comercial, producción, dirección… cada uno con permisos distintos. Hace falta un directorio de usuarios y grupos.

Coste del parón

Una hora sin sistemas con 40 personas paradas a 30 €/h = 1.200 € + ventas perdidas. Ya compensa duplicar lo crítico.

Plano físico

Dos acometidas de operadoras distintas, por caminos distintos APs (círculos) en techo

Aparece el cuarto técnico: una sala pequeña (4–8 m²) cerrada con llave, con aire acondicionado y circuito eléctrico propio.

El cuarto técnico: requisitos

Aspecto	Requisito	Por qué
Ubicación	Centro del edificio, lejos de baños/cocina y de fachadas de cristal	Minimiza distancias de cable (máx. 90 m a cualquier puesto). Humedad y sol son enemigos.
Climatización	Split dedicado (no el del edificio, que se apaga los fines de semana). 18–27 °C (ASHRAE)	2 servidores + switches + SAI generan 1–3 kW de calor. Sin frío, en 1–2 h se superan los 40 °C.
Electricidad	Circuito propio con su magnetotérmico y diferencial superinmunizado; toma de tierra revisada	Que nadie lo apague por error; que el SAI no dispare el diferencial.
Seguridad física	Puerta con llave o control de acceso; registro de quién entra	Requisito de cualquier norma (ISO 27001, ENS).
Monitorización	Sensor de temperatura y humedad con alerta (SNMP o en el SAI)	Que el aire se rompa un viernes por la tarde y lo sepas el viernes.
Incendios	Detector de humo; extintor de CO₂ (nunca de polvo ni agua)	El polvo destruye la electrónica tanto como el fuego.

Diagrama lógico

Internet Fibra / DAC 10 Gb Cobre Sincronización con la nube

Arquitectura de dos capas (core + acceso). Los servidores físicos ejecutan máquinas virtuales; cada servicio crítico (controlador de dominio) está duplicado en hosts distintos.

¿Por qué virtualizar?

En vez de un servidor físico por aplicación (5 servidores casi parados), se compran 2 servidores potentes y se ejecutan 8–15 máquinas virtuales (VMs). Ventajas: menos hardware, consumo y espacio; si un host falla, sus VMs arrancan en el otro; copias de seguridad de la VM completa; crear un servidor nuevo en minutos.

Hipervisor	Licencia	Cuándo elegirlo
Proxmox VE	Libre (soporte opcional ~115–1.000 €/año/CPU)	Coste bajo, gran comunidad, clúster y Ceph incluidos. Muy usado tras los cambios de licencia de VMware.
Microsoft Hyper-V	Incluido en Windows Server	Entornos 100 % Microsoft. Windows Server Datacenter da VMs Windows ilimitadas por host.
VMware vSphere	Suscripción por núcleo (cara desde la compra por Broadcom)	Si ya existe y se domina; ecosistema muy maduro.
Nutanix / Azure Local / XCP-ng	Variable	Hiperconvergencia (cómputo + almacenamiento en los mismos nodos), más propio del nivel 3.

Rack del cuarto técnico

Rack de 42U, 800 mm ancho × 1.000 mm fondo. Dos PDUs verticales: los servidores tienen dos fuentes de alimentación, una a cada PDU.

Detalles que marcan la diferencia

Rack de 800 mm de ancho (no 600): deja canales laterales para el cableado vertical.
Patch panel – switch – patch panel alternados: latiguillos de 30 cm, sin "spaghetti".
Colores de latiguillo con significado: azul usuarios, amarillo voz, rojo enlaces críticos, verde APs, negro gestión…
Fuentes redundantes en servidores y core: una a la PDU A y otra a la PDU B.
Flujo de aire: frontal frío → trasero caliente. Paneles ciegos en los huecos para que el aire caliente no vuelva por delante.
Gestión fuera de banda: los servidores tienen una tarjeta de gestión (iDRAC, iLO, XCC, IPMI) en la VLAN de gestión. Permite encenderlos, ver la pantalla e instalar el SO en remoto.

Hardware

Equipo	Configuración típica	Por qué	Coste
Firewall NGFW	FortiGate 70G/90G, Palo Alto PA-410/440, Sophos XGS 2100, Check Point 1600	Inspección SSL, control de aplicaciones, IPS, SD-WAN con 2 líneas, VPN para 60 usuarios. Mirar el dato de "throughput con protección de amenazas", no el máximo.	1.500–5.000 € + 800–3.000 €/año
Core L3 ×2 en stack	24–32 puertos 10G SFP+, 2× 25/40G de stack	Enrutamiento entre VLANs a velocidad de cable; si uno muere, el otro sigue.	2× 2.000–6.000 €
Switches de acceso	48p 1G (o 2,5G mGig para APs) PoE+, 4 uplinks 10G	Un puerto por roseta; uplink de fibra/DAC a los dos cores.	1.200–4.000 €/u
APs ×6–10	Wi-Fi 6E/7, gestionados en nube o controladora	Densidad: ≈ 1 AP cada 20–30 usuarios.	300–900 €/u
Hosts de virtualización ×2	1–2 CPU 16–32 núcleos, 256–512 GB RAM, SSD NVMe en RAID, 2× 10/25G	Ejecutan todas las VMs. Con 2, cada uno debe poder con toda la carga (regla N+1).	8.000–20.000 €/u
Servidor de backup	Discos grandes (8× 16 TB RAID 6), Veeam / Proxmox Backup Server	Repositorio "hardened" (Linux inmutable) aislado del dominio.	5.000–10.000 €
SAI online 5–6 kVA	Doble conversión, módulo de baterías extra, tarjeta de red	Autonomía 20–30 min y apagado ordenado automático de hosts.	3.000–6.000 €
Climatización	Split inverter 3–5 kW frío, ideal 2 unidades alternas	Ver cálculo de frigorías.	1.500–4.000 €
Rack 42U + PDUs + organizadores	800×1000, PDUs medidas	Orden y capacidad de crecimiento.	1.500–3.000 €

Cálculo de sobresuscripción (oversubscription)

Un switch de acceso de 48 puertos a 1 Gb tiene 48 Gb de "capacidad de usuarios" pero sube al core con, por ejemplo, 2× 10 Gb = 20 Gb:

Ratio = 48 × 1 Gb ÷ 20 Gb = 2,4 : 1

En acceso de oficina se considera correcto hasta 20:1, porque los usuarios nunca transmiten todos a la vez al máximo. En el CPD, entre servidores, se busca 1:1 a 3:1.

Cableado

Horizontal: Cat 6A certificado, 2 rosetas por puesto, 1 punto por AP (2 si es Wi-Fi 7), puntos en salas para pantallas y videoconferencia.
Dentro del rack: DAC 10/25G entre core, servidores y firewall; Cat 6A cortos para el resto.
Si hay una segunda planta o una nave: fibra OS2 de 12 hilos entre racks (aunque hoy uses 2).
Documentación: plano con la ubicación de cada roseta + hoja de puertos + diagrama lógico + inventario. Herramientas: NetBox, draw.io, o al menos una hoja de cálculo mantenida.

Software y servicios

Active Directory local (2 controladores de dominio en hosts distintos) sincronizado con Entra ID mediante Entra Connect / Cloud Sync = identidad híbrida. Un solo usuario y contraseña para Windows, correo, VPN, Wi-Fi corporativo y aplicaciones.

GPOs (directivas de grupo) / Intune: configuración automática de equipos, mapeo de unidades e impresoras, políticas de contraseña, BitLocker.
Grupos por departamento → permisos de carpetas (modelo AGDLP: usuarios en grupos globales, globales en grupos locales de dominio, permisos al grupo local).
LAPS: contraseña de administrador local distinta y rotativa en cada PC.
Wi-Fi 802.1X: autenticación con usuario/certificado contra NPS/RADIUS.

Si la empresa es "solo nube" (sin aplicaciones locales), se puede prescindir de AD y usar solo Entra ID + Intune.

El ERP o CRM local suele usar Microsoft SQL Server (Standard por núcleo o Express si es pequeño), PostgreSQL o MySQL/MariaDB.

VM dedicada, discos separados para datos, logs y tempdb (en SQL Server).
Backup nativo de la base de datos (completo diario + diferencial + log cada 15 min) además del backup de la VM. Así puedes restaurar a un minuto concreto.
Mantenimiento: reindexado y estadísticas semanales (scripts de Ola Hallengren son el estándar de facto).
Nunca exponer el puerto de la base de datos a Internet.

EDR en todos los equipos (Defender for Business/Endpoint, CrowdStrike, SentinelOne, Sophos Intercept X). Idealmente con servicio MDR: alguien vigila 24/7 las alertas.
Gestión de parches: WSUS/Intune/RMM para Windows y terceros (navegadores, Adobe, Java…).
Filtrado de correo avanzado (Defender for Office, Proofpoint, Mimecast…).
Escaneo de vulnerabilidades mensual (OpenVAS/Greenbone, Nessus, Defender Vulnerability Mgmt).
Registro centralizado de logs (Wazuh, Graylog, o el SIEM del MDR).

Herramienta de monitorización que avise antes de que el usuario llame: Zabbix, PRTG, Checkmk, LibreNMS, o el RMM del proveedor (NinjaOne, Datto, N-able).

Qué vigilar: disponibilidad de servidores y servicios, espacio en disco, estado RAID, temperatura del cuarto, estado del SAI y baterías, consumo de cada enlace a Internet, caducidad de certificados y licencias, éxito de los backups.

Diario         VMs completas (incremental) ──► repositorio local inmutable (14–30 días)
Cada 15 min    Log de SQL ─────────────────► repositorio local
Diario         Copia ──────────────────────► nube S3 con Object Lock (inmutable 30–90 días)
Diario         M365 / Google ──────────────► backup SaaS
Mensual        Archivo largo plazo ────────► nube fría (12 meses+)
Trimestral     PRUEBA DE RESTAURACIÓN documentada

RPO (cuántos datos puedo perder) y RTO (cuánto tardo en volver): deben acordarse con dirección. Típico aquí: RPO 15 min para ERP, 24 h para ficheros; RTO 4–8 h.

Problemas típicos y quién los arregla

Síntoma	Causa probable	Quién	Solución
El ERP va lento a primera hora	Todos entran a la vez; SQL sin índices o falta RAM; disco lento	Interno + proveedor ERP	Medir CPU/RAM/latencia de disco de la VM. Mantenimiento de índices. Ampliar RAM de la VM.
Usuario sin red tras moverlo de mesa	Puerto en VLAN equivocada o desactivado	Interno	Mapa de puertos. O mejor: 802.1X/NAC que asigna la VLAN según el usuario.
Bucle de red: todo se cae de golpe	Alguien conecta un cable entre dos rosetas o un switch doméstico	Interno	Activar STP (RSTP/MSTP), BPDU Guard y storm control en puertos de usuario.
Internet satura a las 9:00 y a las 15:00	Actualizaciones de Windows, OneDrive, Teams en masa	Interno	QoS en el firewall; Delivery Optimization; caché de actualizaciones; escalonar.
El consumo real supera el 70 % de la línea en horas pico de forma continuada	Crecimiento	Dirección / compras	Ampliar capacidad (1 → 2,5/10 Gb) o repartir tráfico entre las 2 líneas con SD-WAN.
Temperatura del cuarto a 35 °C	Aire acondicionado averiado	Mantenedor clima	Contrato de mantenimiento con respuesta en horas. Segunda unidad en alternancia.
Disco del RAID en estado "degradado"	Disco fallido	Interno + fabricante	Sustituir en caliente con la garantía (contrato NBD/4h). No esperar: un segundo fallo = pérdida de datos en RAID 5.
Ransomware en un PC	Phishing / vulnerabilidad	Interno + MDR / forense	Aislar el equipo (el EDR lo hace en un clic), revisar movimiento lateral, restaurar desde backup inmutable, notificar si procede (AEPD/INCIBE-CERT).

Presupuesto orientativo (40 personas)

Inicial

Total	≈ 80.000 €
Cableado 96 puntos + certificación	8.000 €
Cuarto técnico (clima, eléctrico, rack)	7.000 €
Firewall NGFW (×1, o ×2 en HA)	3.500–7.000 €
Core ×2 + acceso ×2	10.000 €
8 APs	4.000 €
2 hosts + servidor backup	30.000 €
SAI online	4.500 €
Licencias (Windows Server, Veeam, hipervisor)	6.000 €
Proyecto / instalación	8.000 €

Mensual

Total	≈ 5–7 k€/mes
2 fibras profesionales + IPs	200–500 €
M365 E3/Business Premium ×40	850–1.300 €
EDR + MDR	300–600 €
Backup nube	100–250 €
Mantenimientos y soporte de fabricante	400 €
Técnico IT (coste empresa)	3.000–4.000 €

Cuándo pasar al nivel 3

Más de 60–80 personas, o el edificio tiene varias plantas o naves.
Más de 96–144 puntos de red: no caben en un solo cuarto técnico respetando los 90 m.
Los dos hosts ya no dan abasto o hay que duplicar también el almacenamiento.
Una sola persona de IT ya no puede cubrir vacaciones, guardias y proyectos.
Dirección pide disponibilidad "siempre" (fabricación 24/7, comercio online, atención al cliente).