Alta Disponibilidad

Gracias a la Alta Disponibilidad, podemos asegurar la disponibilidad de los sistemas en caso de producirse un fallo grave, que normalmente interrumpiría el servicio.

HA asegura la capacidad de un sistema para ser tolerante a fallos.

¿Qué es la Alta Disponibilidad?

Se suele emplear el término de Alta Disponibilidad o HA (por sus siglas en inglés: High Availability) a las soluciones tecnológicas implementadas para asegurar la continuidad de un determinado servicio o recurso.

Así, si hablamos de implementar un servicio de alta disponibilidad para un servidor, por ejemplo, podemos tener 2 equipos servidores que trabajan de forma conjunta y sincronizada y responden como una única unidad. En caso de que uno de ellos falle, podemos seguir trabajando con el otro, sin tener que realizar ninguna tarea adicional.

El sistema de HA ya se encarga de mantener los equipos sincronizados y en servicio y presentar al usuario los recursos que requiere, con independencia de la máquina que esté funcionando por detrás.

La importancia de la Alta Disponibilidad en sistemas críticos

Cuanto más crítico se vuelve un sistema dentro de la red, más importante es asegurarnos de que seguirá funcionando suceda lo que suceda.

El firewall es un ejemplo típico de dispositivos que suelen implementarse en Alta Disponibilidad.

Si todas las comunicaciones de la empresa utilizan el firewall de red para controlar y administrar las comunicaciones, se convierte en un elemento crítico. Si este dispositivo (o software si es virtual) falla, se verán afectadas todas las comunicaciones de la empresa.

Por tanto, es preciso que nos aseguremos de que el dispositivo siga funcionando en caso de avería o cualquier otro error.

Para conseguirlo, utilizamos dos dispositivos iguales que trabajan de forma conjunta y coordinada.

Aparte de las conexiones que les enlazan con las redes WAN (como internet) y las distintas redes internas, cuentan con una comunicación directa entre ellos. A través de este enlace, se intercambian los datos de configuración y además, el estado en el que se ecuentran. Esto les permite realizar una conmutación por error en caso de presentarse un problema.

Si uno de ellos presenta un error, el otro asumirá sus funciones para que el servicio no se vea interrumpido.

Si bien hay sistemas que implementan su propio servicio de HA, en otras ocasiones, se utilizan las herramientas de terceros para dotar de estas prestaciones a equipos que inicialmente no cuentan con ellos. Un claro ejemplo de esta situación son por ejemplo las máquinas virtuales.

Pongamos un ejemplo de sistemas altamente disponibles que inicialmente no lo eran:

Un equipo de la oficina tiene un programa de contabilidad para uso personal. La compañía crece y ahora ya son varios trabajadores los que acceden a ese recurso. Si el equipo falla, varios departamentos se quedarán a la espera de que vuelva a funcionar. El Departamento de IT decide entonces, virtualizar esa máquina, que ahora está asumiendo el rol de un servidor, pero que inicialmente no fue pensada para esta tarea. Los sistemas de virtualización como puede ser VMware, permiten crear servidores de alta disponibilidad. Así, éste ordenador virtual puede correr en dos servidores físicos independientes de forma simultánea. Si uno de ellos falla el sistema de virtualización ejecutará automáticamente la otra VM y el sistema seguirá funcionando sin cortes.

Por lo general, caa recurso cuenta con su sistema de alta disponibilidad para garantizar un funcionamiento correcto: servidores, routers, bases de datos, sistemas de almacenamiento… aplicaciones empresariales, sistemas de autenticación, servidor web … y en general cualquier recurso informático dentro de la empresa.

Alta Disponibilidad como sistema complementario

La Alta Disponibilidad en los sistemas ofrece una tolerancia a errores o fallos que permite construir sistemas robustos y capaces de hacer frente a situaciones no planeadas.

Sin embargo no se trata de un sistema excluyente de otros mecanismos de protección como pueden ser las copias de seguridad, que nos permiten protegernos frente a perdida de datos y configuraciones.

Si configuramos un firewall en HA, tendremos varios dispositivos trabajando con la misma configuración de forma simultánea. Hay que entender que si se realiza, por ejemplo, una mala configuración que deje sin conexión a los usuarios, esos mismos ajustes, se transmitirán también al otro dispositivo.

Así, para recuperar las máquinas a un estado anterior al problema, será encesario recuperar una copia de seguridad que contenga una configuración correcta. El Ha elimina un punto de fallo, pero no todos.

Este es un punto a tener muy en cuenta puesto que la Alta Disponibilidad nos ofrece tolerancia a fallos de los equipos pero no impide que puedan dejar de estar disponibles por otros motivos, como son fallos en las configuraciones.

La Alta Disponibilidad debe combinarse adecuadamente con el resto de medidas de seguridad a implementar en la empresa.

Firewall de red en Alta Disponibilidad

A la hora de implementar un firewall de red es necesario evaluar si necesitamos que esté en HA o no.

Por supuesto, siempre es más recomendable adoptar esta medida de protección, pero dependerá de si está justificado su uso.

Si por ejemplo contamos con una pequeña delegación donde los usuarios utilizan el firewall perimetral para acceder a Internet, es posible que no sea interesante económicamente implementar esta medida.

En caso de caída del firewall por el motivo que sea, los usuarios pueden acceder a Internet a través de otros métodos provisionales y seguir trabajando hasta que la situación se normalice.

Si por el contrario pensamos en una empresa que utiliza recursos en local y en un centro de datos, en un sistema de Nube Híbrida, es muy probable que sí se necesite implementar HA. Una interrupción del servicio, en este caso, hace que los trabajadores deban detener su actividad y esperar hasta la resolución del problema, que en función de la gravedad del mismo, puede demorarse durante demasiado tiempo.

Así pues, implementar HA siempre es una medida interesante cuya principal limitación es el tema económico más que el técnico.

¿Qué implica un firewall en HA?

A la hora de implementar un firewall perimetral en Ha debemos tener en cuenta más aspectos.

Se trata de 2 dispositivos que van a trabajar de forma conjunta y sincronizada como si se tratase de una sola unidad. Por tanto, todos los enlaces que reciben deben estar duplicados. Las líneas WAN deben tener una conexión a cada firewall y las redes internas también.

Las conexiones deben ser idénticas en ambos dispositivos. A la hora de la configuración y distribución del cableado es importante verlo como una única unidad que debe recibir todo por duplicado.

Por lo general, se hacen necesarios switchs dedicados, que permitan segmentarlos con VLANs o cualquier otro sistema qu permita recibir varias conexiones desde el resto de dispositivos.

Típicamente los enlaces WAN (pensemos en 2 ó más accesos a Internet) se conectan a 2 switchs que están intercomunicados y estos a su vez al firewall. De esta forma aseguramos la disponibilidad de los switchs y los enlaces WAN y posteriormente, de los firewalls. Lo mismo sucede desde el punto de vista de la red interna. 

Como cada configuración de red está adaptada a cada empresa y tiene unos requisitos y prestaciones específicas, es importante evaluar que medidas adicionales es necesario adoptar para que el firewall de red pueda continuar dando servicio en caso de fallo.

Así, hay que analilzar cuales de los otros dispositivos de red deben presentar también una configuración de Alta Disponibilidad para que sigan funcionando, en su conjunto y eliminar puntos únicos de fallo.

Tipos de Ha en los firewall de red

Una vez dimensionado el dispositivo más adecuado para proteger nuestra red, es hora de decidir si debemos ponerlo en HA y en caso de hacerlo, de que forma.

Existen 2 modalidades de HA: Activo – Pasivo y Activo – Activo.

Activo – Pasivo

Es la más habitual.

Se trata en instalar y configurar 2 firewall de red identicos y dotarles de la capacidad de Alta Disponibilidad. Sin embargo solo 1 de ellos estará activo de forma simultánea.

Es decir, los 2 equipos están conectados y se transmiten la información entre ellos para que siempre cuenten con los mismos recursos. Sin embargo, solo 1 de ellos estará asumiendo el papel de «firewall activo de la red». El otro dispositivo solo está presentepor si el principal falla.

Así, el principal es el que realiza todo el trabajo de la red y el secundario, asume las funciones de principal en caso de que se produzca un fallo.

En la configuración Activo – Pasivo se dispone de 2 dispositivos y tan solo 1 licencia de uso.

Dado que realmente, en cada momento, solo 1 de los 2 dispositivos estará activo y por tanto no tiene sentido adquirir 2 licencias de uso. Si se produce un fallo, el que asume el papel de principal es el que pasará a utilizar la licencia correspondiente.

Al solucionar la incidencia el que ha pasado a ser secundario seguirá en este rol a la espera de que el principal pueda fallar.

Activo – Activo

En base a lo que hemos visto antes, en un modelo Activo – Activo, los dos dispositivos están licenciados y operativos en la red.

En la modalidad Activo – Activo se dispone de 2 dispositivos y 2 licencias.

Dado que los 2 dispositivos están debidamente licenciados y desempeñando sus tareas en la red, el potencial ofrecido por este conjunto, será lógicamente el doble que si lo hacen de forma individual.

Sin embargo, muchas empresas prefieren en estos casos, optar por un dipositivo de prestaciones mayores y aplicar una configuración Activo – Pasivo en lugar de 2 dispositivos más pequeños en Activo – Activo. Si una opción es mejor que la otra queda en manos del Departamento de IT de la empresa que es quien mejor puede evaluar el desempeño necesario que debe exigir a sus sistemas para un funcionamiento correcto de las comunicaciones.

Otros usos de los sistemas de firewalls en HA

No siempre es necesario esperar a que se produzca un fallo en el firewall para aprovechar las ventajas de los sistemas en HA.

Uno de los usos más habituales que se le suele dar a estas configuraciones es el de las actualizaciones y mantenimiento de los sistemas.

Una labor bastante cotidiana a la hora de trabajar con los firewalls es la de actualizar el sistema operativo que integran. Ya sea con actualizaciones mayores (cambios importantes de versión) o menores (actualizaciones y mejoras). En ocasiones, es complicado encontrar el momento en el que realizar estas actualizaciones sin interrunmpir el funcionamiento de la empresa. Otras, es realmente complicado pues la empresa puede precisar de los servicios de red 24×7.

En estos caso, disponer de alta disponibilidad high availability es un recurso muy útil.

Basta con actualizar uno de los dispositivos a la versión necesaria, reiniciar el equipo y luego hacer lo propio con el otro equipo.

Mientras estamos actualizando el firewall, éste tendrá las funciones de secundario y será el otro equipo el que esté prestando el servicio a la red. Cuando se haya reiniciado, pasará a ser el equipo principal y ya podemos actualizar el que está desfasado. Todo esto sin interrupción del servicio y sin tener que avisar a los distintos miembros de la emrpresa de que se va a realizar una parada técnica de mantenimiento.

A tener en cuenta…

Recuerda que este artículo solo trata de ejemplificar los conceptos. Puede incluir generalidades, imprecisiones y en la mayoría de casos se puede añadir «sí, pero…». No tienen como misión ser una referencia técnica, para lo que sin duda puedes encontrar toda la información necesaria en los correspondientes sitios de Internet.