Red lenta? Cómo hallar bucles en switches con tcpdump

¿Qué ocurre cuando su red entra en bucle?

Cuando se conectan cables incorrectamente entre switches, o un switch se conecta a sí mismo, se crea un bucle de capa 2. En la práctica, esto hace que los marcos de broadcast—paquetes enviados a todos los dispositivos—circulen infinitamente. Como cada switch recibe el paquete y lo replica en todos los demás puertos, la red se inunda rápidamente con una tormenta de broadcast, provocando el bloqueo total de los dispositivos. Es una pesadilla silenciosa que tumba incluso sistemas de red bien estructurados.

Por qué tcpdump es su mejor herramienta de diagnóstico

A diferencia de herramientas de gestión que solo muestran estadísticas, tcpdump actúa como un microscopio para el tráfico de datos. Permite capturar y analizar cada paquete que pasa por una interfaz de red. Si sospecha de un bucle, tcpdump revelará una oleada de paquetes idénticos con la misma dirección MAC de origen y destino, o una repetición incesante de paquetes ARP. Si aún no está familiarizado con la herramienta, le recomiendo nuestra guía sobre cómo capturar paquetes en Linux para preparar su entorno.

Preparando la captura para identificar al culpable

Para diagnosticar la tormenta, debe ejecutar tcpdump en una interfaz conectada al núcleo de la red o en un puerto espejo (mirror port). La idea es observar el volumen de paquetes. Si una interfaz procesa miles de paquetes de broadcast por segundo, ha encontrado el rastro. Para capturar solo el tráfico de broadcast, usamos filtros que ignoran el tráfico común de unicast, enfocándose en lo que realmente inunda la red.

tcpdump -i eth0 -n -e broadcast

Este comando muestra solo paquetes de broadcast en la interfaz eth0. Si la pantalla se desplaza frenéticamente, tiene un problema. Para verificar la frecuencia, puede usar herramientas auxiliares o exportar a un archivo pcap para analizar la latencia y la pérdida de paquetes, ya que un switch bajo el estrés de un bucle dejará de responder al ping.

Identificando el patrón del bucle

Al analizar el flujo, busque paquetes de 'Spanning Tree Protocol' (STP) o solicitudes ARP que se repiten exhaustivamente. Si el switch falló en aplicar el protocolo que debería bloquear puertos redundantes, verá estos paquetes circulando de vuelta. Durante el mantenimiento, es común que alguien cambie un cable o altere la configuración de VLANs, creando una falla lógica que el STP no logra detectar. El diagnóstico se reduce a aislar el puerto que más envía estos paquetes de broadcast.

Cómo resolver la tormenta de broadcast

1. Aísle físicamente el área sospechosa retirando cables entre switches uno por uno.
2. Monitoree la carga de la interfaz con el comando

   tcpdump -i eth0 -c 1000 -e

   para ver si el tráfico cae tras quitar un enlace.
3. Verifique la integridad física de los cables y conectores, tratando la falla como si estuviera probando un componente electrónico en cortocircuito.

Tras localizar el enlace responsable, el bucle cesará de inmediato. Recuerde que, en casos graves, el switch puede requerir un reinicio físico para limpiar las tablas de reenvío corrompidas durante la tormenta. Mantener una buena documentación de la topología física sigue siendo su mejor prevención contra este problema.