TEMA 12 DISEÑO SEGURO DE REDES: ALTA DISPONIBILIDAD Y REDUNDANCIA

Transcripción

1 TEMA 12 DISEÑO SEGURO DE REDES: ALTA DISPONIBILIDAD Y REDUNDANCIA INTRODUCCIÓN Cuando se habla de alta disponibilidad se habla de los tres nueves (99,999% del tiempo del año funcionando correctamente), quiere decir un tiempo de caída de 5 minutos al año. Existe una medida estándar del nivel de disponibilidad de un dispositivo cualquiera: Disponibilidad = TMEF/(TMEF+TMR) TMEF Tiempo Medio Entre Fallos TMR Tiempo Medio de Reparación Tal nivel de disponibilidad tiene como objetivo tratar de evitar una serie de posibles problemas lógicos, físicos y organizativos. PROBLEMAS LÓGICOS Sistemas no suficientemente probados Los puntos únicos de fallo en las redes Paradas necesarias para actualizaciones Periodos largos de rearranque o conmutación activo/pasivo PROBLEMAS ORGANIZATIVOS Tiempos excesivos de reparación de hardware y software Problemas operaciones y de procedimientos PROBLEMAS FÍSICOS Condiciones medioambientales poco apropiadas Desastres naturales: terremotos, ciclones, etc. Accidentes, como incendios, derrumbamientos, etc. DISEÑO DE SOLUCIONES DE ALTA DISPONIBILIDAD Si las redes de una organización no funcionan, se pone en una situación crítica a la propia organización. Las redes, y la tecnología en general, se han convertido en factores críticos de éxito para la organización. La red es una diferencia competitiva, que se puede utilizar para obtener una gran ventaja sobre la competencia, consiguiendo reducir todos los ciclos del negocio, incrementar la eficacia e incluso, atraer y retener a muchos posibles empleados y clientes. Las organizaciones de sistemas y redes de muchas organizaciones se ven

2 envueltas en un ciclo de trabajo permanente, en el que la alta disponibilidad no es un lujo, sino una necesidad. En este ciclo se pueden diferenciar cuatro fases: 1. Se identifica una tecnología nueva y necesaria y se implementa. 2. Aparece la necesidad de que llegue a todos los rincones de la organización. Puede que se necesiten otros conmutadores, ancho de banda, otros dispositivos, etc. 3. Hay que aplicar servicios a esa nueva tecnología. Podría hacer falta servicios de administración, de seguridad, de aplicaciones nuevas. Podría hacer falta tener en cuenta cuestiones de políticas de rendimiento, de calidad de servicio, de contabilidad, etc. 4. Completadas las tres fases anteriores, hay que poner la gente que administrará la nueva situación. Para intentar que esta fase no sea muy costosa, hay que tratar de construir una infraestructura de administración robusta e intuitiva, valiéndose de marcos de trabajo y buenas prácticas (libros ITIL) y estándares (ISO/IEC 20000). Una vez se ha completado el ciclo, se identifica otra tecnología nueva y se vuelve a empezar. Si se quiere seguir siendo competitivo, el ciclo no puede parar y la red debe estar disponible permanentemente. Cuando se piensa en que una transacción de una organización se complete, hay muchas tecnologías subyacentes que deben estar completamente operativas. Para el personal no técnico, la ejecución con éxito de tal transacción es la parte que le preocupa, es la parte del proceso de negocio. Para el personal técnico, las áreas importantes son el buen funcionamiento de los servidores, de las aplicaciones y de la conectividad de la red. Desde el punto de vista de la alta disponibilidad, para enlazar tales criterios aparentemente dispares, se suele introducir el concepto de Administración de Niveles de Servicio. Estos niveles, parte de los servicios de alta disponibilidad, sirven para enlazar, con un cierto punto de vista nuevo, la tecnología con el proceso de negocio. Para crear una red de alta disponibilidad, se suelen usar herramientas de prácticamente todos los niveles del modelo OSI, desde la redundancia del nivel físico a las aplicaciones de gestión de red. El objetivo de las comunicaciones y redes de alta disponibilidad se puede

3 enunciar como: asumiendo cualquiera de los posibles escenarios de problemas, la capacidad de un usuario de acceder a los servicios que necesita para realizar su trabajo debe ser permanente. LOS PROBLEMAS DE INFRAESTRUCTURA Y SOLUCIONES El diseño de una infraestructura sólida del nivel físico es el primer bloque de eta construcción sin el cual, no se puede pensar en la alta disponibilidad de los niveles superiores. Consideraciones básicas: El mantenimiento de una tensión constante para los dispositivos físicos que componen la red. Una forma habitual es usar fuentes de alimentación duales, que comparten la carga. Si una fuente de alimentación falla, la otra seguirá proporcionando corriente al dispositivo. Otra forma de dar mayor seguridad es usar, dos tomas de alimentación distintas, provenientes de empresas eléctricas o líneas distintas. El uso de sistemas de alimentación ininterrumpida (SAI), que permitirá que se mantenga la necesaria integridad del servicio, protegiendo a su vez los equipos conectados al SAI contra fluctuaciones de corriente. Otra característica que hay que tener en cuenta es la inteligencia distribuida, es decir, que ningún componente dentro de una caja, que realiza una función concreta, debe depender de otros componentes dentro de la misma caja. Cada elemento de dentro de un sistema, es independiente de los otros elementos del sistema, así la falta de disponibilidad de uno o más elementos dentro del sistema no afecta al resto. En un escenario de alta disponibilidad en una organización media o grande, se establece un diseño diferente para lo que se denomina el núcleo de la red y los extremos de la red: En el diseño del núcleo, el centro de datos y los dispositivos de red se implementan mediante el uso de sistemas redundantes. Además de la redundancia interna de los dispositivos se puede añadir aún mas redundancia

4 mediante métodos como el dual-homming (sistemas con dos tarjetas de red) y los caminos alternativos. Desde el punto de vista de redundancia del hardware se pueden añadir también los siguientes: Redundancia de dispositivos físicos: ejemplo; dos o más encaminadores proporcionando servicios a los mismos usuarios, usando protocolos como VRRP (Virtual Router Redundancy Protocol) Agregación de enlaces: mediante los protocolos como IEEE 802.3ad. Que aunque sirve para aumentar la disponibilidad del ancho de banda entre dispositivos, también da redundancia en el sentido de que si falla un enlace, el resto continua pasando datos, aunque sea a una velocidad menor. Otro aspecto de la redundancia es la trayectoria redundante de los datos. La capacidad de proporcionar varios caminos de datos redundantes está distribuida por todos los niveles del modelo OSI. LOS PROBLEMAS EN EL NIVEL 2 DE OSI Y SOLUCIONES Aquí el punto clave es cómo obtener ventaja de las características de la infraestructura y aumentar la disponibilidad del sistema, sin necesidad de propagar mensajes de broadcast. Dentro de un dominio de nivel 2 el problema no es la velocidad de los broadcast, sino que haya un único camino de datos que puedan recorrer tales mensajes. Para resolver este problema el protocolo más implementado, que utiliza caminos con bucle, es el STP (Spanning Tree Protocol), que permite la existencia e bucles físicos en un área de nivel 2, situación que provocaría normalmente resultados muy desagradables, a base de crear una topología lógica sin bucles. Se dice en esta situación que la topología ha convergido, pero, desde el punto de vista de la alta disponibilidad, hay varios factores relacionados con el STP que hay que tener en cuenta: El tiempo de recuperación tras un fallo de un dispositivo y el tiempo que tarda STP en re-converger después de un fallo de enlace o dispositivo.

5 El hecho de añadir o eliminar un equipo de la red. La puesta en marcha o la eliminación de un nuevo enlace o varios, en la red. Una red STP converge basándose en una serie de temporizadores que son ajustables pero que, en todo caso, pueden resultar demasiado grandes en muchos casos. Para solucionar esto se puede usar el estándar IEEE 802.1w, denominado el protocolo de re-convergencia rápida, cuyo objetivo es que las redes puedan reconverger, tras un cambio de topología, en aproximadamente un segundo. Permite cambiar entre estados de puerto blocking y forwarding, lo que se traduce en tiempos de recuperación mejores. Otra forma de reducir el problema es implantando el protocolo IEEE 802.1s, conocido como el de STP múltiples. Con este protocolo, el administrador de red puede crear varios árboles ST, reduciendo, de forma considerable, la exposición de la red a los problemas de convergencia en el caso de fallos o durante el mantenimiento de sistemas. LOS PROBLEMAS EN EL NIVEL 3 DE OSI Y SOLUCIONES Aquí nos referimos a los protocolos de encaminamiento adaptativo de IP. Para poder determinar el camino óptimo entre estaciones en una red, hay toda unas serie de encaminadores que participan en este algoritmo distribuido. Dos tipos de encaminamiento adaptativo: los basados en algoritmos vector-distancia (RIPv1 o IGRP) los basados en algoritmos de estado de enlace (OSPF o IS-IS) Que sucede cuando falla un encaminador? Depende de su ubicación en la red y de qué otros dispositivos lo estén usando. Si se ha diseñado la red como de alta disponibilidad, no debería de pasar nada especial. Habrá otro encaminador que empiece a encaminar los mensajes y se recalculará la nueva ruta para el resto de los encaminadores. Pero si el encaminador que ha dejado de funcionar es el de backbone, el resultado puede ser catastrófico. En todas aquellas redes que disponen únicamente de un encaminador por defecto, redes extremo, el hecho de perder el encaminador significa que quedan completamente aisladas. Para tratar de solucionar esta situación, es decir, eliminar en estas topologías el punto único de fallo, se ha desarrollado el VRRP (Virtual Router Redundancy Protocol),

6 que utiliza dos encaminadores físicos, uno en funciones de master y el otro de backup, configurados como un único encaminador virtual con una única dirección IP virtual para los dos. Protocolo HSRP (Hot Standby Router Protocol) de Cisco, establece un encaminador por defecto de alta disponibilidad. Está muy ligado al uso de los protocolos de encaminamiento OSPF o EIGRP. HSRP envía mensajes multicast de tipo hello a una dirección concreta ( ver.1 o ver.2), usando el puerto 1985, a todos los otros encaminadores HSRP, para definir la prioridad de los encaminadores. El encaminador con la prioridad configurada más alta actuará como encaminador virtual, teniendo una dirección IP predefinida de encaminador por defecto y responderá a la petición ARP de las máquinas conectadas a la LAN, mediante la dirección MAC c07.acXX, siendo XX el identificador de grupo en hexadecimal. Si este encaminador falla, el siguiente de prioridad más alta tomaría el lugar del primero, consiguiendo así un failover transparente del encaminador por defecto. CONSIDERACIONES PARA EL RESTO DE LOS NIVELES OSI Puede darse que los tres niveles más bajos de OSI estén perfectamente operativos y que a pesar de ello, las necesidades del día a día del negocio, o de los servicios de red necesarios, no estén funcionando correctamente. Los datos que, están atravesando la red pueden sufrir efectos adversos a causa de la latencia, creando una situación en la que las aplicaciones no son capaces de dar el servicio que deben. Para que estas situaciones no tengan lugar se suelen introducir políticas de gestión de niveles, entendiendo la palabra política como la capacidad de la red de servir distintos niveles de servicios a varios elementos que componen la red. Las políticas clasifican el tráfico de la red, paquete a paquete y, dependiendo de la clasificación de los datos, obligarán a que se realice alguna acción o aplicarán determinado nivel de

7 servicio. En el contexto de la alta disponibilidad, la clasificación de los paquetes se podría basar en un puerto físico, en una dirección de nivel 2 o 3 o de una aplicación indicada por la información del nivel 4. Basándose en esta clasificación, al paquete se le puede aplicar algún tipo de política (gestión de VLAN, calidad de servicio, gestión de ancho de banda, etc.) antes de enviarlo a la red. CONSIDERACIONES PARA EL ALMACENAMIENTO EN RED: SAN SAN (Storage Area Network). Una infraestructura de almacenamiento de alta disponibilidad es el punto clave para conseguir la completa disponibilidad de los datos, para conseguirlo se tiene en cuenta una serie de componentes: Tecnología de discos RAID (Redundant Array Inexpensive Disks). Múltiples copias de discos en un sistema cluster o granja de servidores. El uso de clusters a distancia. Las redes de área de almacenamiento SAN. Las copias de seguridad fiables en cinta. Aspectos claves identificables como críticos para diseñar una solución de alta disponibilidad para el subsistema de almacenamiento: 1. Protección de datos Memoria secundarias (caches) redundantes: cuando un servidor ejecuta una operación de escritura, los datos no van al disco sino que quedan en esta cache, una operación de mucha menos latencia. La operación se completa, más tarde, bajando los datos de la cache al disco. Es típico usar dos memorias cache en espejo. Discos RAID: RAID 1: copia de los mismos datos en 2 o más discos) RAID 5: los datos se distribuyen por un conjunto de 3 o más discos junto con información de paridad para recuperación de datos). Ambos niveles de RAID proporcionan disponibilidad en el caso de un fallo de

8 disco. Replicación de los datos: se utiliza para protegerse contra un fallo del subsistema de almacenamiento completo. Puede hacerse: Síncrona: dentro de un centro de datos local, con muy poco impacto sobre el rendimiento de las aplicaciones Asíncrona: a largas distancias. La replicación se suele hacer por el propio subsistema o mediante una aplicación basada en un sistema externo al subsistema de almacenamiento. En cualquiera de los dos casos el resultado final es idéntico: se tienen dos subsistemas de almacenamiento independientes, cada uno de ellos con una copia, en tiempo real, de los datos. 2. Conectividad del subsistema de almacenamiento Es casi tan importante como su propia integridad. Característica clave: Interfaces redundantes: cada unidad lógica de disco debe estar accesible a través de varias interfaces. 3. Redundancia hardware del subsistema Redundancia de la alimentación. Redundancia de controladoras. Tener discos preparados para el caso de que un disco físico falle, de manera automática, en caliente. Hay sistema RAID que los usan de manera automática en caso de fallo en uno de los discos del RAID (sistemas RAID + spare). La red que proporciona la conectividad entre sistemas y el almacenamiento es un componente importante dentro de la solución completa de alta disponibilidad. Se le deben de aplicar todas las consideraciones de las secciones anteriores. CONSIDERACIONES SOBRE DISPOSITIVOS DE SEGURIDAD Si la política de seguridad de la organización obliga a que todo el tráfico que proviene del exterior pase por un cortafuegos y éste es un dispositivo único, en el

9 momento en que el cortafuegos deje de funcionar, la red quedará aislada del resto del mundo. Es normal emplear topologías en las que se dispone de dos cortafuegos. Habitualmente ambos cortafuegos deben ser del mismo modelo, tener la misma memoria e instalada idéntica versión del sistema operativo. Estas situaciones son especiales de los cortafuegos denominados stateful inspection, pues para los demás casos, casi todos de tipo filtro de paquetes, las técnicas que se aplican corresponden, más bien, al caso de redundancia de encaminadores. Se habla de cortafuegos primario y de cortafuegos secundario: el primario es el cortafuegos activo, que realiza las operaciones normales. el secundario es el cortafuegos de reserva y está preparado para tomar el control en el caso de que falle el primario. Al fallar el primario el secundario pasa a convertirse en el activo y el primario se queda como reserva. Desde el punto de vista de la ubicación física de los dispositivos, se suele hablar de dos tipos de procesos de redundancia: El proceso estándar de redundancia: ambos cortafuegos están conectados entre sí mediante un cable especial, propietario, llamado cable de recuperación, que suele ser de longitud corta. El proceso basado en LAN: usa una interfaz LAN de cada cortafuegos y un conmutador entre ambos, evitando así la limitación de distancia anterior. Se habla de dos tipos de proceso de recuperación con respecto a la capacidad de recuperación: Proceso de recuperación normal: las conexiones TCP que hubiera se pierden, debiendo las aplicaciones volver a conectarse. Esta solución proporciona redundancia, pero no proporciona una perdida cero de conectividad. Proceso de recuperación completa: al permitir este método el mantenimiento de toda la información de estado de las tablas de conexión de los cortafuegos, en este caso no se pierde ninguna conexión. Proporciona redundancia y conectividad completa.