Grande empresa multisede
Una cadena de tiendas, una aseguradora con oficinas en 30 ciudades, un grupo industrial con 5 fábricas, un hospital con centros de salud asociados. Entre 300 y 5.000 personas repartidas en muchas sedes. El reto ya no es el edificio, sino conectar sedes entre sí y mantener el servicio aunque se pierda un CPD entero.
Perfil
Lo nuevo respecto al nivel 3:
La WAN
La red que une las sedes. Antes eran líneas MPLS caras de una operadora; hoy casi siempre es SD-WAN sobre varias conexiones a Internet.
Dos CPD
Un CPD principal y otro secundario a una distancia segura (o colocation + nube). Si el principal arde, el negocio sigue.
Estandarización
Con 40 sedes no puedes configurar cada una a mano. "Sede tipo" con plantillas y despliegue sin técnico in situ (zero-touch).
Especialización
Arquitectura, redes, sistemas, nube, seguridad, bases de datos, puesto de trabajo, desarrollo, NOC, SOC, gestión de proveedores.
Mapa de la red
MPLS vs SD-WAN vs VPN tradicional
| MPLS (operadora) | VPN IPsec manual | SD-WAN | |
|---|---|---|---|
| Qué es | Red privada de la operadora con calidad garantizada | Túneles cifrados sobre Internet configurados a mano | Túneles sobre varias líneas, gestionados centralmente, eligiendo la mejor línea por aplicación en tiempo real |
| Coste | Alto (3–10× por Mbps) | Bajo | Medio (equipos + licencias), líneas baratas |
| Calidad | SLA de latencia y pérdida | "Lo que dé Internet" | Mide latencia/pérdida/jitter de cada línea y mueve las apps críticas a la mejor |
| Despliegue | Semanas–meses por sede | Manual, propenso a errores | Zero-touch: llega el equipo, se enchufa, descarga su configuración |
| Hoy | Solo para casos con requisitos estrictos (o como una de las líneas del SD-WAN) | Pocas sedes o enlace con un partner | Estándar |
Fabricantes habituales: Fortinet, Cisco (Catalyst SD-WAN / Meraki), Palo Alto Prisma SD-WAN, HPE Aruba EdgeConnect, VMware VeloCloud (Arista), Versa, Cato Networks (SASE nativo).
La sede tipo (plantilla)
Cada delegación se construye igual, con el mismo hardware, el mismo esquema de VLANs y direccionamiento derivado del número de sede. Así cualquier técnico entiende cualquier sede.
10.27.0.0/16 por sede.Dimensionar el ancho de banda de una sede
Regla práctica a partir de perfiles de uso concurrente:
| Actividad | Consumo por usuario activo |
|---|---|
| Ofimática y web SaaS | 0,5–1 Mbps |
| Videollamada HD (Teams/Zoom/Meet) | 1,5–4 Mbps (subida y bajada) |
| Escritorio remoto / VDI | 0,3–2 Mbps |
| Voz IP | ≈ 0,1 Mbps |
| Cámara de seguridad enviando al CPD (1080p H.265) | 1–4 Mbps por cámara |
Ejemplo: 40 personas, 30 % en videollamada (3 Mbps) y el resto en ofimática (1 Mbps) → (12 × 3 + 28 × 1) × 1,3 ≈ 83 Mbps. Con fibra de 300 Mb sobra; el 5G de respaldo de 100 Mb también aguanta. Calculadora de ancho de banda.
Física de la WAN: por qué la distancia importa
La luz en fibra viaja a ≈ 200.000 km/s → 5 µs por km, ≈ 1 ms de ida y vuelta por cada 100 km de fibra (y las fibras no van en línea recta: añade un 30–50 %).
| Trayecto | RTT típico |
|---|---|
| Madrid – Barcelona | 10–15 ms |
| Madrid – Frankfurt | 25–35 ms |
| Madrid – Nueva York | 80–95 ms |
| Madrid – São Paulo | 150–190 ms |
| Madrid – Singapur | 160–230 ms |
El producto ancho de banda × retardo (BDP)
Una conexión TCP solo puede tener "en vuelo" una cantidad de datos limitada (la ventana). Por eso, con mucha latencia, una sola descarga no llena la línea aunque sea enorme:
Ejemplo: ventana de 64 KB y RTT de 100 ms → 65.536 × 8 ÷ 0,1 ≈ 5,2 Mbps, aunque tengas 1 Gbps. Con escalado de ventana (los sistemas modernos lo usan) se llega a varios MB de ventana, pero cualquier pérdida de paquetes la reduce drásticamente. Fórmula de Mathis (TCP Reno, aproximada):
Con MSS 1.460 B, RTT 100 ms y 0,1 % de pérdida: (1.460 × 8 / 0,1) × (1,22 / 0,0316) ≈ 4,5 Mbps. Conclusión práctica: en enlaces lejanos importan más la latencia y la pérdida que los megas. Soluciones: optimizadores WAN, transferencias en paralelo, algoritmos como BBR, acercar los datos (caché, réplica local) o sincronizar fuera de horario.
Los dos CPD y la continuidad
| Modelo | Cómo funciona | RTO | RPO | Coste |
|---|---|---|---|---|
| Backup off-site | Copias en otro sitio; en desastre se compran equipos y se restaura | Días–semanas | 24 h | € |
| Pilot light / DR en nube | Réplica de datos a la nube; VMs apagadas que se encienden en desastre | 1–8 h | Minutos | €€ |
| Activo-pasivo (warm standby) | CPD 2 con todo replicado y listo; conmutación manual o semi | 15 min – 2 h | Segundos–minutos | €€€ |
| Activo-activo | Los dos CPD sirven a la vez; si uno cae el otro absorbe todo | ~0 | ~0 | €€€€ |
- Réplica síncrona (cada escritura se confirma en ambos CPD): RPO = 0, pero exige latencia < 5 ms entre CPD (≈ 100 km máx.).
- Réplica asíncrona: sin límite de distancia, se pierden los últimos segundos/minutos.
- Colocation: en vez de construir el CPD, se alquila espacio (racks o jaulas) en un centro de datos profesional (Equinix, Digital Realty/Interxion, Data4, Nostrum, Global Switch…). Certificación Tier III (Uptime Institute): mantenible sin parar, 99,982 %.
Nube híbrida
En este nivel casi todas las empresas tienen parte en CPD propio/alquilado y parte en nube pública. La clave es hacerlo con orden:
- Landing zone: estructura base de la nube (suscripciones/cuentas por entorno, red hub-spoke, políticas, identidades, logs centralizados) antes de desplegar nada.
- Conectividad privada: Azure ExpressRoute, AWS Direct Connect, Google Interconnect. Latencia estable y tráfico de salida más barato que por Internet.
- FinOps: la nube se paga por uso; sin etiquetas, presupuestos y alertas la factura se dispara. Ojo con el tráfico de salida (egress), los discos huérfanos y las instancias sobredimensionadas.
- Infraestructura como código: Terraform/OpenTofu, Bicep, CloudFormation. Nada creado a mano en producción.
Software y servicios clave
| Área | Qué se usa | Ejemplos |
|---|---|---|
| Enrutamiento | BGP con las operadoras y entre CPD; OSPF dentro de cada campus | — |
| DNS / DHCP / IPAM | Gestión centralizada de direcciones, DNS interno redundante | Infoblox, EfficientIP, BlueCat, Windows + NetBox |
| Balanceo de carga | Reparte peticiones entre servidores, termina TLS, WAF | F5 BIG-IP, Citrix NetScaler, HAProxy, NGINX, balanceadores de la nube |
| SASE / SSE | Seguridad en la nube para usuarios estén donde estén: proxy web (SWG), CASB, ZTNA, DLP | Zscaler, Netskope, Palo Alto Prisma Access, Cloudflare One, Cato, Microsoft Entra Internet Access |
| Identidad | IAM + IGA (altas/bajas automáticas desde RR. HH.) + PAM | Entra ID, Okta, SailPoint, CyberArk, Delinea |
| Puesto | Gestión unificada de endpoints, VDI para externos | Intune, SCCM, Workspace ONE, Citrix, Azure Virtual Desktop |
| Bases de datos | Clústeres HA, réplicas al CPD 2, data warehouse | Oracle RAC/Data Guard, SQL Server AG, PostgreSQL, Snowflake/BigQuery/Fabric |
| Observabilidad | Métricas, logs, trazas, NOC con paneles | Datadog, Dynatrace, Grafana stack, Splunk, Elastic, LogicMonitor |
| Seguridad | SOC 24/7 (propio o externo), SIEM + SOAR, EDR/XDR, gestión de exposición | Sentinel, Splunk ES, CrowdStrike, Defender XDR, Tenable, Qualys |
| ITSM | Incidencias, cambios, CMDB, catálogo | ServiceNow, Jira SM, Ivanti |
Problemas típicos y quién los arregla
| Síntoma | Causa probable | Quién | Solución |
|---|---|---|---|
| Una tienda sin sistema de cobro | Fibra caída y el 5G no tiene cobertura dentro del local | NOC + operadora | Antena 5G exterior; verificar cobertura antes de abrir la sede; tercera vía (satélite LEO, p. ej. Starlink) en sedes críticas. |
| El ERP va lento desde la delegación de Canarias | Latencia (~40 ms) + aplicación "charlatana" (miles de consultas por pantalla) | Arquitectura + desarrollo | Publicar la app vía VDI/RDS en el CPD (solo viaja la pantalla) o rediseñar. Más megas no ayudan. |
| Copias al CPD 2 se retrasan | Enlace entre CPD saturado | Compras + operadora | Ampliar enlace (10 → 100 Gb), deduplicación/compresión en la réplica. |
| Abrir una sede nueva tarda 3 meses | Plazo de alta de la fibra profesional | Operadora | Pedir la línea en cuanto se firma el local; arrancar con 5G mientras. |
| La factura de nube sube un 40 % | Recursos sin apagar, tráfico de salida, falta de reservas | FinOps / nube | Etiquetado obligatorio, apagado automático de entornos de prueba, instancias reservadas / savings plans, revisar arquitectura de datos. |
| Un cambio de firewall deja sin servicio a 30 sedes | Cambio sin pruebas | Redes | CAB (comité de cambios), despliegue escalonado (1 sede piloto → 10 % → 100 %), plan de vuelta atrás, configuración como código con revisión. |
| Ciberataque que cifra un CPD | Compromiso de identidad privilegiada | SOC + DFIR externo + dirección | Plan de respuesta, aislamiento, entorno de recuperación limpio (clean room), backup inmutable y aislado (vault), comunicación a autoridades (NIS2: 24 h aviso temprano). |
Organización
Gobierno
CIO, CISO, arquitectura empresarial, PMO, gestión de proveedores y contratos.
Infraestructura
Redes (LAN/WAN/Wi-Fi), sistemas, almacenamiento, nube, CPD.
Operación
NOC 24/7 (o 8×5 + guardias), service desk multinivel, soporte en sedes (técnicos itinerantes o partner).
Seguridad
SOC, gestión de identidades, cumplimiento (ISO 27001, ENS, NIS2, PCI-DSS si hay tarjetas, DORA si es financiero).
Aplicaciones
ERP, CRM, desarrollo propio, integración (APIs, ESB), datos/BI.
Proveedores
Operadoras con contrato marco, integradores, outsourcing de partes (service desk, SOC, gestión de puesto).
Cuándo pasar al nivel 5
- Presencia en varios países/continentes con requisitos de latencia y de soberanía del dato (los datos de clientes europeos deben quedarse en la UE, etc.).
- Servicios digitales para millones de clientes (banca online, e-commerce, plataformas).
- Necesidad de operar 24/7 sin ventanas de mantenimiento.
- El volumen hace rentable tener red propia, contratos directos con fabricantes y equipos de ingeniería propios.