OpoSERGASEl programa de Técnico Especialista de Sistemas y TI dedica el tema 29 de la parte específica C1 a «Tecnologías inalámbricas: Bluetooth, wi-fi. RFID. NFC.» (Resolución de 18/06/2021, DOG núm. 126, de 5/07/2021). El programa no nombra WPA2, WPA3 ni los controladores, pero la seguridad y la gestión de una red Wi-Fi son parte natural de «wi-fi» y se preguntan en situaciones prácticas. Las dudas típicas son tres: qué hace cada modo de seguridad, quién interviene en la autenticación 802.1X y por qué la cobertura no garantiza rendimiento. Para las generaciones Wi-Fi y las bandas, con su tabla comparativa, ya tienes Wi-Fi, Bluetooth, RFID y NFC para el examen TI; aquí nos centramos en el acceso al medio, la seguridad y la gestión.
Cómo cae este tema en el examen
En el banco de OpoSERGAS tenemos más de 60 preguntas de este tema, y 4 preguntas de exámenes oficiales clasificadas en él: 2 de OPE 2025 · Específica (resp. provisionales), 1 de OPE 2025 · Específica (Reserva) (resp. provisionales) y 1 de otros exámenes oficiales de TI incluidos en el banco (TI Xestión (A2) · Xuñ 2026). Las plantillas de la OPE 2025 son las provisionales del SERGAS.
De las más de 600 respuestas registradas en OpoSERGAS en este tema hasta el 5 de noviembre de 2026, el 30,6 % fueron fallos. Un dato útil para estudiar: las tres preguntas de la OPE 2025 clasificadas aquí tratan de Bluetooth (salto de frecuencia), NFC (modo pasivo) y RFID (etiquetas pasivas). Es decir, el examen recorre todo el título del tema y no solo el Wi-Fi. Si estudias solo WPA3 y canales, te quedas con la mitad del tema.
¿Por qué Wi-Fi usa CSMA/CA y no CSMA/CD?
Porque un equipo de radio no puede detectar colisiones mientras transmite, así que Wi-Fi las evita en vez de detectarlas. Antes de transmitir, el dispositivo escucha el canal; si está ocupado espera, y añade un tiempo aleatorio (backoff). Cada trama unicast recibida bien se confirma con un ACK: si no llega, se asume pérdida y se retransmite. El mecanismo opcional RTS/CTS reserva el canal y ayuda con el problema del nodo oculto (dos clientes que oyen al punto de acceso pero no se oyen entre sí). Ethernet cableada usaba CSMA/CD, que detecta la colisión.
¿Qué diferencia hay entre WPA2-Personal y WPA2-Enterprise?
La forma de autenticar. En Personal hay una clave compartida (PSK) que conocen todos los usuarios; en Enterprise cada usuario o equipo se autentica por separado mediante 802.1X contra un servidor RADIUS. Ambos cifran con AES-CCMP. La ventaja de Enterprise es operativa: se puede dar de baja a una persona sin cambiar la clave de todos y se sabe quién se conectó. Con una PSK compartida, quien capture el intercambio de claves puede intentar adivinar la contraseña fuera de línea.
¿Qué aporta WPA3 frente a WPA2?
En modo Personal sustituye la PSK por SAE (autenticación simultánea de iguales), que impide el ataque de diccionario fuera de línea sobre el intercambio capturado y da secreto hacia adelante. Además exige protección de las tramas de gestión (PMF, 802.11w), que en WPA2 es opcional. En Enterprise añade un modo opcional de seguridad de 192 bits.
| Protocolo | Cifrado | Estado |
|---|---|---|
| WEP | RC4 con vector de 24 bits | Roto desde principios de los 2000; nunca es la respuesta recomendada |
| WPA | TKIP (sobre RC4) | Solución transitoria de 2003; obsoleto |
| WPA2 | AES-CCMP | Mínimo aceptable; PSK o 802.1X |
| WPA3 | AES; SAE en Personal | Recomendado |
¿Quién hace qué en 802.1X: suplicante, autenticador y servidor RADIUS?
El suplicante es el cliente que pide acceso, el autenticador es el punto de acceso (o el controlador) que bloquea el puerto hasta que haya veredicto, y el servidor de autenticación, normalmente RADIUS, decide. El autenticador no valida credenciales: solo transporta los mensajes EAP entre cliente y servidor. EAP (RFC 3748) es el marco; los métodos más citados son EAP-TLS, con certificado en cliente y servidor, y PEAP, donde el servidor presenta certificado y el usuario se autentica dentro de un túnel con usuario y contraseña. RADIUS escucha la autenticación en UDP 1812 (RFC 2865).
| Rol 802.1X | Equipo típico | Función |
|---|---|---|
| Suplicante | Portátil, tablet | Pide acceso y presenta credenciales |
| Autenticador | Punto de acceso o controlador | Retransmite EAP y abre o cierra el acceso |
| Servidor de autenticación | RADIUS | Valida y devuelve aceptar o rechazar |
¿Qué hace un controlador WiFi (WLC) y qué es un AP ligero?
Un controlador centraliza la configuración, los canales, la potencia y el roaming de muchos puntos de acceso. Los APs «ligeros» no funcionan solos: se enlazan con el controlador mediante CAPWAP (RFC 5415), que habla de WTP (el punto de acceso) y AC (el controlador de acceso). Frente a los APs autónomos, que se configuran uno a uno, la gestión centralizada reduce errores de configuración y permite políticas uniformes. Una variante son los controladores en la nube; el principio es el mismo.
¿Cuántos canales sin solape hay y por qué importa el ancho de canal?
En 2,4 GHz el plan de canales habitual usa tres sin solape (1, 6 y 11), así que dos APs vecinos en el mismo canal se interfieren. En 5 GHz hay más canales y menos interferencia, pero algunos exigen DFS: si el AP detecta radar debe abandonar el canal. La banda de 6 GHz es exclusiva de equipos Wi-Fi 6E o 7. Canales más anchos (40, 80 o 160 MHz) suben la velocidad nominal pero dejan menos canales distintos, por lo que en entornos densos ensanchar el canal puede empeorar el rendimiento.
¿Sirve ocultar el SSID o filtrar por MAC?
No como medida de seguridad. El SSID oculto sigue apareciendo en las tramas de los clientes que se conectan y una MAC se puede copiar. La protección real es el cifrado y la autenticación (WPA2 o WPA3, y 802.1X en entornos corporativos). Es una trampa típica: una respuesta que parece «más cerrada» pero no protege.
¿Qué son 802.11r, 802.11k y 802.11v?
Son enmiendas que mejoran el roaming. 802.11r acelera el traspaso de un AP a otro (Fast BSS Transition), 802.11k da al cliente información de los APs vecinos y 802.11v permite sugerirle a qué AP conviene moverse. Importan en carros o tablets que se mueven con sesiones abiertas. No cambian el cifrado.
Truco para recordarlo
Regla propia (no es una sigla oficial) para 802.1X: «el cliente suplica, el AP hace de portero y el RADIUS decide». Y para el roaming, R rápido, K conoce los vecinos, V sugiere.
Tres preguntas tipo test para practicar
1. Una organización quiere que cada empleado entre a la Wi-Fi con sus propias credenciales y poder revocarlas individualmente. ¿Qué configuración es adecuada?
- WPA2-Personal con una clave larga.
- WEP con filtrado por MAC.
- WPA2-Enterprise o WPA3-Enterprise con 802.1X y RADIUS.
- Red abierta con SSID oculto.
Correcta: C. Solo 802.1X identifica a cada usuario. La A comparte una clave; la B usa un cifrado roto; la D no cifra.
2. ¿Qué mecanismo de WPA3-Personal reduce el riesgo de ataques de diccionario fuera de línea sobre el intercambio de claves capturado?
- TKIP.
- SAE.
- RTS/CTS.
- DFS.
Correcta: B. TKIP es de WPA; RTS/CTS reserva el canal; DFS gestiona radares en 5 GHz.
3. ¿Por qué las redes 802.11 usan CSMA/CA?
- Porque el medio radio es full-duplex.
- Porque los APs no necesitan confirmar las tramas.
- Porque cifra los datos con AES.
- Porque un equipo no puede detectar colisiones mientras transmite y por eso las evita.
Correcta: D. La A es falsa (transmisión alternada); la B contradice los ACK; la C mezcla acceso al medio con cifrado.
Preguntas frecuentes
¿Qué cifrado usa WPA2?
AES en modo CCMP. WPA usaba TKIP y WEP, RC4 con un vector de 24 bits.
¿Qué es SAE en WPA3?
Es el método de autenticación simultánea de iguales de WPA3-Personal, que sustituye a la PSK y resiste el ataque de diccionario fuera de línea.
¿Qué función tiene el servidor RADIUS en una Wi-Fi corporativa?
Valida las credenciales del cliente en 802.1X y comunica al autenticador si se acepta o se rechaza el acceso.
¿Cuántos canales no solapados tiene 2,4 GHz?
El plan habitual usa tres: 1, 6 y 11.
Referencias
- Resolución de 18 de junio de 2021 de la Dirección General de Recursos Humanos del SERGAS, anexo de temario de la parte específica, tema 29 (C1): DOG núm. 126, de 5/07/2021.
- RFC 3748, Extensible Authentication Protocol (EAP), junio de 2004: rfc-editor.org.
- RFC 2865, Remote Authentication Dial In User Service (RADIUS), junio de 2000: rfc-editor.org.
- RFC 5415, CAPWAP Protocol Specification, marzo de 2009: rfc-editor.org.
- IEEE 802.11 y 802.1X, y las especificaciones WPA2 y WPA3 de la Wi-Fi Alliance: no enlazadas aquí.
Sigue practicando
- Landing de la oposición: Técnico de Sistemas TI del SERGAS.
- Generaciones, bandas, Bluetooth, RFID y NFC: tecnologías inalámbricas para TI.
- La capa de conmutación sobre la que se apoyan los APs: VLANs y STP en redes hospitalarias.
- Practica las preguntas del tema: crea tu cuenta para TI.