21 Preguntas de Práctica de Puertos, protocolos y servicios con Respuestas

1. 1. Una solicitud de cambio en el firewall pide permitir consultas al servicio de directorio entre un servidor de aplicaciones y un controlador de dominio en una sesión envuelta en TLS desde que se abre, no elevada en banda con StartTLS. ¿Qué puerto de destino debe permitir la regla?

   • A.TCP 443
   • B.TCP 636✓ Respuesta
   • C.TCP 989
   • D.TCP 389

   LDAP envuelto en TLS desde el primer byte (LDAPS) está registrado en el puerto TCP 636, mientras que el TCP 389 es el puerto de LDAP normal; el 389 solo va cifrado si el cliente negocia StartTLS en banda, algo que esta solicitud descarta, así que una regla que abra solo el 389 deja al cliente LDAPS sin poder conectarse. El TCP 443 transporta HTTPS y el TCP 989 es el canal de datos de FTPS.

   Ref. QB-45F5V5Fuente: IANA Service Name and Transport Protocol Port Number Registry (ldap 389, ldaps 636)Reportar un problema con esta pregunta

2. 2. Un administrador debe copiar archivos de configuración a un servidor por un canal cifrado y quiere que la transferencia reutilice el mismo servicio y puerto ya abierto para la administración por línea de comandos. ¿Qué protocolo y puerto cumplen ese requisito?

   • A.FTP sobre TCP 21
   • B.FTPS sobre TCP 990
   • C.TFTP sobre UDP 69
   • D.SFTP sobre TCP 22✓ Respuesta

   SFTP es un subsistema de transferencia de archivos que viaja dentro de una sesión SSH, por lo que usa el puerto SSH TCP 22 que ya está abierto para la administración remota. FTPS es FTP envuelto en TLS y usa su propio puerto de control, TFTP es un protocolo UDP sin autenticación en el puerto 69, y FTP en TCP 21 envía las credenciales en texto claro.

   Ref. QB-NMYMM7Fuente: RFC 4253 (SSH Transport Layer Protocol) and IANA Service Name and Transport Protocol Port Number Registry (ssh 22)Reportar un problema con esta pregunta

3. 3. Los dispositivos de red están configurados para enviar mensajes de eventos a un recolector central de registros, pero no llega ninguno. ¿Qué puerto de escucha necesita el recolector para el reenvío estándar de syslog?

   • A.UDP 162
   • B.UDP 514✓ Respuesta
   • C.TCP 22
   • D.TCP 514

   Syslog está registrado como servicio UDP en el puerto 514, razón por la cual la entrega de registros es de mejor esfuerzo y sin confirmación. El puerto TCP 514 está registrado para el antiguo servicio de shell remoto, el UDP 162 recibe las trampas SNMP y el TCP 22 corresponde a SSH.

   Ref. QB-55TF27Fuente: RFC 5426 (Transmission of Syslog Messages over UDP) and IANA Service Name and Transport Protocol Port Number Registry (syslog 514/udp)Reportar un problema con esta pregunta

4. 4. Un cliente de correo debe autenticarse ante el servidor de correo de la organización y entregar los mensajes salientes, elevando la sesión a TLS mediante STARTTLS. ¿Qué puerto está designado para el envío autenticado de mensajes?

   • A.TCP 25
   • B.TCP 587✓ Respuesta
   • C.TCP 110
   • D.TCP 143

   El puerto 587 es el puerto de envío (submission), donde el cliente se autentica y el servidor aplica la política de envío; el TCP 25 se reserva para el retransmisión de correo entre servidores y suele bloquearse en sentido saliente para los clientes. El TCP 110 es POP3 y el TCP 143 es IMAP, que sirven para recibir correo y no para enviarlo.

   Ref. QB-JMWM44Fuente: RFC 6409 (Message Submission for Mail) and RFC 5321 (Simple Mail Transfer Protocol)Reportar un problema con esta pregunta

5. 5. Una captura de paquetes en la VLAN de administración muestra nombres de usuario y contraseñas de administrador en texto legible dentro de sesiones dirigidas al puerto TCP 23. ¿Qué cambio soluciona realmente esa exposición?

   • A.Mantener Telnet pero moverlo a TCP 2323
   • B.Encapsular Telnet en HTTP sobre TCP 80
   • C.Sustituir Telnet por SSH en TCP 22✓ Respuesta
   • D.Sustituir Telnet por TFTP en UDP 69

   Telnet en el puerto TCP 23 transporta toda la sesión, credenciales incluidas, sin cifrado, por lo que la única solución real es un protocolo que cifre y autentique el canal: SSH en el puerto TCP 22. Cambiar el número de puerto solo oculta el servicio ante escaneos superficiales mientras el tráfico sigue siendo legible, y ni TFTP ni HTTP sin cifrar aportan confidencialidad.

   Ref. QB-25RFH3Fuente: RFC 854 (Telnet Protocol Specification) and RFC 4251 (SSH Protocol Architecture)Reportar un problema con esta pregunta

6. 6. Los usuarios leen el correo desde un portátil y desde un teléfono y se quejan de que la estructura de carpetas y el estado de leído/no leído no coinciden entre ambos dispositivos. ¿Qué protocolo de recepción debe usar el buzón?

   • A.SMTP en el puerto TCP 25
   • B.POP3 en el puerto TCP 110
   • C.IMAP en el puerto TCP 143✓ Respuesta
   • D.SNMP en el puerto UDP 161

   IMAP mantiene la copia autorizada del buzón en el servidor y sincroniza las carpetas y las marcas de los mensajes con todos los clientes, de modo que todos los dispositivos ven el mismo estado. POP3 está pensado para descargar los mensajes a un solo cliente y de forma predeterminada los elimina del servidor; SMTP solo envía correo y SNMP es un protocolo de gestión.

   Ref. QB-KM9Y95Fuente: RFC 3501 (Internet Message Access Protocol) and RFC 1939 (Post Office Protocol - Version 3)Reportar un problema con esta pregunta

7. 7. ¿Qué secuencia de segmentos describe correctamente el establecimiento de una conexión TCP antes de enviar cualquier dato de aplicación?

   • A.SYN, SYN-ACK, ACK✓ Respuesta
   • B.ACK, SYN, SYN-ACK
   • C.FIN, FIN-ACK, ACK
   • D.SYN, ACK, SYN-ACK

   El saludo de tres vías existe para que ambos extremos intercambien y confirmen sus números de secuencia iniciales: el cliente envía un SYN con su ISN, el servidor responde con SYN-ACK que lleva su propio ISN y confirma el del cliente, y el cliente envía el ACK final. El FIN pertenece al cierre de la conexión, no a su establecimiento.

   Ref. QB-354TP4Fuente: RFC 9293 (Transmission Control Protocol)Reportar un problema con esta pregunta

8. 8. Durante una transferencia de archivos grande, el búfer del host receptor empieza a llenarse más rápido de lo que la aplicación puede leerlo. ¿Qué mecanismo de TCP permite al receptor frenar al emisor sin cerrar la conexión?

   • A.Reducir el tamaño de la ventana de recepción anunciada✓ Respuesta
   • B.Enviar solicitudes de eco ICMP al emisor
   • C.Reducir el valor de TTL en el encabezado IP
   • D.Cambiar la marca DSCP del flujo

   El control de flujo de TCP funciona mediante el campo de ventana del encabezado: el receptor anuncia cuánto espacio de búfer le queda y el emisor no puede tener más datos sin confirmar que esa cantidad. El TTL determina cuántos saltos de router sobrevive un paquete, el eco ICMP es una prueba de alcanzabilidad y el DSCP es una marca de QoS; ninguno regula la velocidad del emisor en una sesión TCP.

   Ref. QB-GM7YRZFuente: RFC 9293 (Transmission Control Protocol) - receive window and flow controlReportar un problema con esta pregunta

9. 9. Un equipo de diseño debe elegir un protocolo de transporte para tráfico de voz en tiempo real, en el que un paquete retransmitido llegaría demasiado tarde para reproducirse. ¿Qué opción es la adecuada y por qué?

   • A.UDP, porque nunca retransmite los paquetes perdidos✓ Respuesta
   • B.TCP, porque garantiza que llegue cada muestra
   • C.TCP, porque su encabezado es menor que el de UDP
   • D.UDP, porque cifra el flujo multimedia por defecto

   UDP no es orientado a conexión, tiene un encabezado de 8 bytes y carece de saludo, confirmaciones y retransmisiones, por lo que añade el mínimo retardo y fluctuación, que es lo que necesita la voz interactiva. El encabezado mínimo de TCP es de 20 bytes y su entrega garantizada detendría el flujo esperando la retransmisión de un audio ya obsoleto; UDP por sí mismo no aporta cifrado.

   Ref. QB-Y42T6ZFuente: RFC 768 (User Datagram Protocol) and RFC 9293 (Transmission Control Protocol)Reportar un problema con esta pregunta

10. 10. Un servidor DNS secundario no puede transferir una zona desde el primario, aunque las consultas de nombres normales a través del mismo firewall sí funcionan. La lista de control de acceso solo permite UDP 53. ¿Qué debe añadirse?

    • A.TCP 853
    • B.UDP 69
    • C.UDP 123
    • D.TCP 53✓ Respuesta

    El DNS usa UDP 53 para las consultas normales, pero cambia a TCP 53 para las transferencias de zona y para cualquier respuesta demasiado grande para un solo datagrama, porque una transferencia de zona es un flujo de registros largo que exige fiabilidad. El UDP 69 es TFTP, el TCP 853 es DNS sobre TLS y el UDP 123 es NTP.

    Ref. QB-NEGZA9Fuente: RFC 1035 (Domain Names - Implementation and Specification) and RFC 5966 (DNS Transport over TCP)Reportar un problema con esta pregunta

11. 11. Un software cliente debe descubrir automáticamente qué host y qué puerto prestan un servicio determinado en un dominio, sin que ninguno de los dos valores se configure a mano. ¿Qué tipo de registro DNS contiene esa información?

    • A.SOA
    • B.PTR
    • C.TXT
    • D.SRV✓ Respuesta

    Un registro SRV identifica el servicio y el protocolo de transporte y devuelve el host de destino junto con el número de puerto, además de la prioridad y el peso para elegir entre varios servidores. El registro SOA indica el servidor de nombres primario de la zona y sus temporizadores de actualización, pero no incluye ningún puerto; el PTR asigna una dirección a un nombre en las búsquedas inversas; y el TXT almacena texto arbitrario, como cadenas de política.

    Ref. QB-6XN6W9Fuente: RFC 2782 (A DNS RR for specifying the location of services)Reportar un problema con esta pregunta

12. 12. Un equipo de seguridad detecta que la resolución de nombres de las estaciones de trabajo la responde un resolutor externo y que, en la red, ese tráfico es indistinguible de la navegación web cifrada normal. ¿Qué mecanismo explica esto?

    • A.Transferencia de zona por UDP 53
    • B.DNS por TCP 53, cifrado
    • C.DNS sobre HTTPS en TCP 443✓ Respuesta
    • D.Cifrado DNSSEC en TCP 853

    DNS sobre HTTPS encapsula las consultas en HTTPS por el puerto TCP 443, de modo que se mezclan con los mismos flujos que el tráfico web y no se pueden separar por puerto, y por eso elude el filtrado basado en el puerto 53 y los resolutores internos. Una transferencia de zona completa (AXFR) es una función entre servidores sin cifrado y restringida a TCP, por lo que nunca responde a las consultas de las estaciones de trabajo, el DNS normal por TCP 53 no va cifrado y DNSSEC firma los registros para demostrar su autenticidad pero nunca los cifra; el TCP 853 pertenece a DNS sobre TLS, que sigue siendo identificable por su propio puerto.

    Ref. QB-PEUBGAFuente: RFC 8484 (DNS Queries over HTTPS) and RFC 4033 (DNS Security Introduction and Requirements)Reportar un problema con esta pregunta

13. 13. Una estación de trabajo sin dirección IPv4 arranca y envía un DHCPDISCOVER. ¿Qué puertos de origen y destino usa esa difusión?

    • A.Origen TCP 68, destino TCP 67
    • B.Origen UDP 67, destino UDP 68
    • C.Origen UDP 546, destino UDP 547
    • D.Origen UDP 68, destino UDP 67✓ Respuesta

    DHCP funciona sobre UDP porque el cliente aún no tiene dirección y no puede completar un saludo TCP; el puerto del cliente es el 68 y el del servidor el 67, así que el DISCOVER sale del cliente desde el 68 y se difunde hacia el 67. El par invertido describe el sentido de la respuesta del servidor, y los puertos UDP 546 y 547 corresponden al cliente y al servidor de DHCPv6.

    Ref. QB-7XZG3BFuente: RFC 2131 (Dynamic Host Configuration Protocol) and IANA Service Name and Transport Protocol Port Number Registry (bootps 67, bootpc 68)Reportar un problema con esta pregunta

14. 14. Los hosts de una VLAN remota se autoasignan direcciones del rango 169.254.0.0/16, mientras que los hosts que están en la misma subred que el servidor DHCP obtienen concesiones con normalidad. ¿Qué configuración resuelve el problema?

    • A.Habilitar el reenvío de difusiones en cada cliente
    • B.Añadir una ruta estática al servidor DHCP
    • C.Acortar el tiempo de concesión del ámbito DHCP
    • D.Configurar un relé DHCP en la pasarela de la VLAN✓ Respuesta

    Un DHCPDISCOVER es una difusión y los routers no reenvían difusiones entre subredes, así que los clientes de la VLAN remota nunca alcanzan el servidor y recurren a una dirección de enlace local 169.254. Un agente de retransmisión, configurado como dirección IP helper en la interfaz de pasarela del router para esa VLAN remota, recibe la difusión y la reenvía en unidifusión al servidor configurado, devolviendo después la respuesta. Una ruta estática no sirve, porque el cliente todavía no tiene una dirección utilizable para enrutar.

    Ref. QB-KESBY6Fuente: RFC 2131 (Dynamic Host Configuration Protocol) - relay agent behavior; RFC 3927 (Dynamic Configuration of IPv4 Link-Local Addresses)Reportar un problema con esta pregunta

15. 15. Una impresora de etiquetas debe recibir siempre la misma dirección IPv4, pero el técnico no quiere configurar el dispositivo a mano y desea que la dirección siga gestionada por DHCP dentro del ámbito existente. ¿Qué se debe crear?

    • A.Un ámbito independiente para esa dirección
    • B.Un rango de exclusión para esa dirección
    • C.Una reserva DHCP para la MAC del equipo✓ Respuesta
    • D.Un tiempo de concesión más corto en el ámbito

    Una reserva asocia una dirección concreta a la dirección de hardware (MAC) del cliente dentro del ámbito, de modo que el dispositivo sigue usando DHCP y recibe opciones como la puerta de enlace y el DNS, obteniendo siempre la misma concesión. Una exclusión hace lo contrario: retira la dirección del conjunto para que solo pueda asignarse de forma estática en el propio dispositivo.

    Ref. QB-4XXGJ7Fuente: RFC 2131 (Dynamic Host Configuration Protocol) - client identifier and static bindingsReportar un problema con esta pregunta

16. 16. En una jerarquía NTP, ¿cuál es la mejor descripción de un servidor de tiempo de estrato 1?

    • A.Un cliente que sincroniza desde otro cliente
    • B.Un servidor conectado a un reloj de referencia✓ Respuesta
    • C.Un servidor que aún no se ha sincronizado
    • D.Un servidor que distribuye la hora por TCP 123

    El estrato mide la distancia respecto al reloj de referencia: el propio reloj de referencia es estrato 0, un servidor conectado directamente a él es estrato 1, y cada servidor que se sincroniza desde otro añade un nivel, siendo el estrato 16 el que indica falta de sincronización. NTP viaja sobre UDP 123, no TCP, y la hora exacta importa porque la correlación de registros y la autenticación sensible al tiempo fallan cuando los relojes se desvían.

    Ref. QB-ME5P58Fuente: RFC 5905 (Network Time Protocol Version 4: Protocol and Algorithms Specification)Reportar un problema con esta pregunta

17. 17. Una plataforma de supervisión debe recibir alertas no solicitadas que los dispositivos gestionados generan en el instante en que falla una interfaz, en lugar de esperar al siguiente sondeo programado. ¿En qué puerto debe estar escuchando el gestor?

    • A.UDP 161
    • B.TCP 161
    • C.UDP 514
    • D.UDP 162✓ Respuesta

    En SNMP el gestor sondea a los agentes enviando peticiones get al puerto UDP 161, pero los mensajes iniciados por el agente (trampas y notificaciones) viajan en sentido contrario hacia el puerto UDP 162 del gestor, que es lo que permite las alertas basadas en eventos. El UDP 514 corresponde a syslog, otro mecanismo de registro.

    Ref. QB-5XAUQ8Fuente: IANA Service Name and Transport Protocol Port Number Registry (snmp 161, snmptrap 162) and RFC 3411 (SNMP Management Frameworks)Reportar un problema con esta pregunta

18. 18. Una red exige que las consultas de gestión estén autenticadas y que los valores devueltos desde la MIB viajen cifrados. ¿Qué característica estructural identifica la versión de SNMP que cumple ese requisito?

    • A.Exige compilar los archivos MIB en el agente
    • B.Aplica un resumen a la cadena de comunidad
    • C.Traslada todo el tráfico de gestión a TCP 161
    • D.Autentica a cada usuario y cifra la carga útil✓ Respuesta

    La versión construida sobre el modelo de seguridad basado en usuarios (SNMPv3) prescinde por completo de las cadenas de comunidad y en su lugar autentica cada mensaje frente a un usuario concreto y añade privacidad (cifrado) de la carga útil, que es justo lo que exige el requisito. Las versiones con cadena de comunidad envían esa cadena en texto claro como única credencial, de modo que cualquiera que capture el tráfico puede leerla junto con los valores devueltos.

    Ref. QB-SEWBZDFuente: RFC 3414 (User-based Security Model for SNMPv3)Reportar un problema con esta pregunta

19. 19. Un túnel IPsec de sitio a sitio debe mantener la confidencialidad de la carga útil al atravesar internet. ¿Qué afirmación distingue correctamente lo que aporta cada uno de los dos protocolos de seguridad de IPsec?

    • A.AH cifra la carga útil; ESP solo autentica
    • B.ESP cifra la carga útil; AH solo autentica✓ Respuesta
    • C.Tanto AH como ESP cifran la carga útil
    • D.IKE cifra la carga útil; ESP negocia claves

    La carga de seguridad encapsuladora (ESP) cifra los datos protegidos y además puede verificar su integridad, por lo que se emplea siempre que se exige confidencialidad. La cabecera de autenticación (AH) solo aporta integridad sin conexión y autenticación del origen de los datos, y como autentica campos inmutables del encabezado IP se rompe cuando un dispositivo reescribe direcciones para NAT. IKE negocia las asociaciones de seguridad y las claves, no protege los datos en sí.

    Ref. QB-AX3HKEFuente: RFC 4303 (IP Encapsulating Security Payload) and RFC 4302 (IP Authentication Header)Reportar un problema con esta pregunta

20. 20. Un ingeniero crea un túnel que debe transportar un protocolo de enrutamiento dinámico y tráfico de multidifusión entre dos sedes, y después protege ese túnel con IPsec. ¿Qué afirmación sobre los identificadores implicados es correcta?

    • A.GRE es el puerto TCP 47 y cifra el tráfico
    • B.GRE y ESP son puertos TCP asignados por IANA
    • C.GRE es el protocolo IP 47; IKE usa UDP 500✓ Respuesta
    • D.GRE es el protocolo IP 50; IKE usa TCP 500

    GRE se identifica mediante el número de protocolo 47 en el campo de protocolo del encabezado IP, no por un puerto TCP o UDP, y solo encapsula: no aporta confidencialidad, y por eso se combina con IPsec cuando el tráfico, como las actualizaciones de enrutamiento y la multidifusión, debe ir en túnel y además protegido. Del mismo modo, ESP y AH son los números de protocolo 50 y 51, mientras que IKE funciona sobre UDP 500 y se usa el UDP 4500 cuando hace falta atravesar NAT.

    Ref. QB-XMGGVKFuente: RFC 2784 (Generic Routing Encapsulation), IANA Protocol Numbers registry (GRE 47, ESP 50, AH 51), RFC 7296 (Internet Key Exchange Protocol)Reportar un problema con esta pregunta

21. 21. El tráfico de voz debe recibir prioridad tanto dentro de un enlace troncal de capa 2 entre conmutadores como en cada salto enrutado. ¿Qué par de marcas usa la red para señalar esa prioridad?

    • A.MAC de origen en capa 2 y puerto de origen en capa 3
    • B.DSCP en la etiqueta 802.1Q y CoS en el encabezado IP
    • C.Valor de TTL en capa 2 y tamaño de MTU en capa 3
    • D.CoS en la etiqueta 802.1Q y DSCP en el encabezado IP✓ Respuesta

    La clase de servicio (CoS) es un campo de prioridad de tres bits dentro de la etiqueta VLAN 802.1Q, por lo que solo existe en enlaces de capa 2 etiquetados y se pierde en cuanto la trama pierde la etiqueta o se enruta. El DSCP es un campo de seis bits en el byte de servicios diferenciados del encabezado IP, así que sobrevive a cada salto enrutado, y por eso la clasificación se marca normalmente en ambas capas. El TTL y la MTU no son mecanismos de prioridad.

    Ref. QB-E5BBAKFuente: IEEE 802.1Q (priority code point) and RFC 2474 (Definition of the Differentiated Services Field)Reportar un problema con esta pregunta

Preguntas de práctica basadas en los dominios del examen CompTIA Network+ y en los estándares publicados sobre los que se construye (IEEE 802.3 y 802.11, IEEE 802.1Q y 802.1X, el registro de puertos de IANA, los RFC del IETF y el cableado TIA-568). CompTIA y Network+ son marcas de CompTIA; este sitio no está afiliado ni respaldado por CompTIA. Los objetivos del examen se revisan periódicamente: consulta los objetivos oficiales vigentes de tu versión antes de examinarte. Sobre el examen Network+ →