Proxies: Seguridad y Alta Disponibilidad

UD 8. Seguridad y Alta Disponibilidad

• Concepto y técnicas de alta disponibilidad (HA).
• Replicación de servidores.
• Balanceo de carga.
• Virtualización.

Introducción

• Alta disponibilidad (HA) se refiere al diseño y configuración de un sistema informático para garantizar la máxima operatividad posible.
• El objetivo es la alta tolerancia a fallos, con mayor control y disminución del downtime.
• Los problemas asociados a la HA incluyen errores en el hardware o la red, disponibilidad de servicios, corrupción de datos, actualizaciones de software o firmware, respaldo de datos, ataques externos o internos, y eventualidades como incendios o inundaciones.

Técnicas Principales para la HA

• Balanceo de carga para distribuir el trabajo equitativamente entre los componentes del sistema.
• Redundancia pasiva, como link aggregation o dual WAN.
• Redundancia activa, como RAID con unidades hot spare.
• Virtualización para sistemas adaptativos y resistentes a fallos.

Clústeres de HA

• Un clúster informático es una arquitectura de red donde varias computadoras actúan como una sola, sumando su potencia de procesamiento.
• Los clústeres de HA implican una inversión en duplicidad de hardware y, a veces, licencias de software.
• Tipos de clústeres:
  • Clúster de alta disponibilidad: Provee servicios de forma ininterrumpida.
  • Clúster de alta adaptabilidad: Se adecúa automáticamente a distintas cargas de trabajo.
  • Clúster de balanceo de carga: Reparte la carga de trabajo entre servidores redundantes.
• Ejemplo: clústeres de hipervisores (Hyper-V) en la nube.

Conceptos Clave en Clústeres de HA

• Failover: Un nodo asume las tareas de otro nodo caído.
• Single Point Of Failure (SPOF): Solo queda un nodo disponible en el clúster.
• Switchover: El failover requiere intervención humana.
• Takeover: Un nodo adopta los recursos del nodo caído.
• Failback: Revertir el clúster a su situación inicial tras resolver problemas.
• Giveback: Un nodo recupera el control de sus recursos tras haber estado caído.
• Downtime: Período en que un sistema no está disponible debido a fallos o mantenimiento.

Métricas de Disponibilidad

• Las soluciones de HA buscan minimizar el downtime.
• Las métricas clave se basan en períodos de tiempo.
  • TTR (Time To Repair): Tiempo de recuperación.
  • TTF (Time To Failure): Tiempo hasta que se produce un fallo.
  • TBF (Time Between Failures): Tiempo entre fallos.
  • MTTR (Mean Time To Repair): Tiempo medio de reparación.
  • MTTF (Mean Time To Failure): Tiempo medio hasta el fallo.
  • MTBF (Mean Time Between Failures): Tiempo medio entre fallos.
• Disponibilidad: Fracción del tiempo que el sistema está disponible, del total de tiempo evaluado.
• Las fórmulas para calcular MTTR, MTTF, MTBF y Disponibilidad se basan en los tiempos de actividad y inactividad.

Replicación de Servidores

• Dentro de un clúster, la redundancia se logra replicando los nodos del servidor.
• Cada nodo actúa como una copia espejo, proporcionando la misma información o servicio.
• La virtualización ha simplificado la replicación, con clonaciones basadas en instantáneas (snapshots).
• Fuera de los clústeres de hipervisores, la sincronización se realiza sobre los datos a replicar utilizando herramientas como rsync.

Impacto de la Replicación en la Disponibilidad

• La duplicación de servidores garantiza la continuidad del servicio ante fallos.
• La disponibilidad global de un sistema redundante depende de la disponibilidad de cada componente y del número de elementos redundantes.
• Fórmula para calcular la disponibilidad global: Disponibilidad = 1 − (1 − x)^n, donde x es la disponibilidad de cada servidor y n es el número de servidores.

Sincronización de Directorios

• Varias aplicaciones para sincronizar archivos y directorios.
  • Resilio Connect (P2P, propietario).
  • Syncthing (P2P, código abierto).
  • rsync (CS, código abierto).
• Características de rsync:
  • Sincronización remota y local de ficheros.
  • Transmite bloques modificados, no ficheros completos.
  • Puede retirar ficheros eliminados en el origen.
  • Incorpora compresión y cifrado.
  • Respeta la propiedad, permisos y atributos de ficheros y directorios.
• rsync se basa en un modelo cliente-servidor, similar a Samba.
• El cliente inicia la sincronización con el servidor de dos formas: conexión de red directa y sesión SSH.
• El flujo puede ser bidireccional. Tras establecer contacto, se intercambia la lista de ficheros y directorios.
• Se crean procesos para la sincronización: generador, emisor y receptor.
• El resultado es una copia idéntica del fichero en ambos extremos.

Almacenamiento Distribuido DRBD

• La sincronización de directorios no es necesaria si los nodos acceden al mismo almacenamiento de datos.
• Las redes SAN con unidades NAS interconectadas son un ejemplo.
• iSCSI permite establecer una conexión con un segmento del almacenamiento con alta velocidad de transferencia.
• DRBD (Distributed Replicated Block Device) es un software que sincroniza bloques de disco entre equipos Linux.
• Crea el equivalente a un RAID 1 en red, replicando contenido entre los nodos de un clúster.
• El acceso de lectura es rápido al efectuarse de forma local.

Comparación RAID 1 vs DRBD

• En RAID 1, la aplicación accede a dos unidades de forma transparente. Si una falla, la aplicación no lo percibe.
• Con DRBD, cada aplicación en un nodo accede a su propia unidad. Si una falla, la aplicación continúa en el otro nodo.
• Con DRBD, aunque falle una aplicación en un nodo, continúa en el otro y los datos siguen replicándose.
• Modos del driver DRBD: síncrono (notificación tras escritura en todos los nodos) y asíncrono (notificación tras escritura local).
• La unidad local es accesible desde /dev/drbdX y debe ser formateada con un sistema de ficheros.

Replicación de Bases de Datos

• Los SGBD replican una misma base de datos entre servidores.
• El SGBD original es el sistema maestro; los destinos de la réplica son los sistemas esclavos.
• La replicación se realiza mediante propagación (envío de consultas al maestro y reproducción en esclavos).
• En clústeres SGBD, si las bases de datos son de solo lectura, la implementación es sencilla.
• Si son modificables (RW), se deben tomar medidas adicionales y mantener la integridad de las transacciones.
• Alternativas a la replicación clásica incluyen clústeres SGBD como MySQL Cluster CGE y SGBD diseñados para trabajar distribuidos como ArangoDB o Apache Cassandra.

Balanceo de Carga

• La carga depende del contexto y sistema:
  • En una red, la carga es el tráfico de paquetes.
  • En un clúster de servidores, la carga es la demanda de servicios a los nodos.
• El balanceo de carga busca equilibrar el uso de recursos y asegurar la disponibilidad con la duplicación de servidores.

Balanceo con DNS

• Técnica útil si los servidores están geográficamente separados.
• Opciones:
  • Servidor DNS round-robin: Devuelve IPs alternativamente.
  • Delegación DNS: El servidor autoritativo delega la resolución en los nodos balanceados.
• Generalmente, el balanceo DNS no es un método recomendable en un clúster donde los nodos tienen direcciones privadas.

Balanceo con iptables

• Ejemplo: clúster de servidores web (HTTP).
• Se utiliza el módulo statistic de iptables.
• El balanceo se realiza mediante DNAT, asignando la dirección del servidor destino antes del enrutamiento.
• El modo de conteo de paquetes (--mode nth) incrementa el contador por cada paquete y distribuye las conexiones.

Software Específico de Balanceo: Linux Virtual Server (LVS)

• LVS es una solución de código abierto para sistemas Linux.
• Elementos de LVS:
  • Servidor virtual o LVS Director: Encargado del balanceo, puede ser IPVS o KTCPVS.
  • Servidores reales: Equipos del clúster.
• Modos de funcionamiento:
  • VS/NAT: El LVS Director encamina las conexiones mediante DNAT.
  • VS/TUN: Se crea un túnel IP entre el servidor virtual y cada servidor real.

Software Específico de Balanceo: HAProxy

• HAProxy es una aplicación open source para mejorar el rendimiento, escalabilidad y fiabilidad.
• Dispone de múltiples algoritmos de balanceo, como round-robin, leastconn, source y URI.
• Permite asignar pesos diferentes a cada servidor, ajustándose dinámicamente.
• Elementos de HAProxy:
  • frontend: Equipo balanceador con sistema operativo Linux, Solaris o FreeBSD.
  • backend: Nodos del clúster con sistemas operativos Windows o basados en UNIX/Linux.

Balanceo con Servidor Web: Apache

• Multiplataforma; implementación dependiente del módulo mod_proxy_balancer.
• Puede balancear la carga para protocolos de capa de aplicación.
• Algoritmos de balanceo:
  • mod_lbmethod_byrequests: Balanceo basado en pesos asignados a cada servidor.
  • mod_lbmethod_bytraffic: Balanceo determinado a través del tráfico deseado.
  • mod_lbmethod_bybusiness: Balanceo basado en el número de conexiones activas.
  • mod_lbmethod_heartbeat: Balanceo basado en la carga de trabajo estimada de cada servidor.

Balanceo con Servidor Web: Nginx

• Multiplataforma; alta escalabilidad y eficiencia en alta concurrencia.
• Algoritmos de balanceo soportados:
  • round-robin: Turnos circulares con pesos diferentes.
  • least connections: Similar a mod_lbmethod_bybussiness en Apache.
  • least time: Premia al servidor con mejor tiempo de respuesta (Nginx Plus).
  • generic hash: Calcula un valor hash basado en parámetros del sistema.
  • random: Elige un servidor aleatoriamente, con pesos en cuenta.
  • ip hash: Utiliza la IP del cliente como valor hash.

Balanceo con Servidor Web: IIS

• IIS (Internet Information Server) es el servidor web de Microsoft.
• La extensión ARR (Application Request Routing) lo convierte en un balanceador de carga.
• Utiliza algoritmos de reparto similares a Apache y Nginx.
• La configuración se realiza desde una GUI llamada ISS Manager.

Balanceo con Servidor Web: Sticky Sessions

• El balanceador de carga debe redirigir siempre al mismo backend para evitar errores.
• Métodos de sticky sessions:
  • Ligar dirección IP de origen con un backend (IP hash).
  • Asignación de cookie a la primera conexión (sticky cookie).
• Alternativa: Almacenamiento de sesiones centralizado en el clúster.

Resumen de Técnicas de Balanceo de Carga

• Por DNS: Servidor DNS round-robin y delegación DNS.
• Con iptables: Módulo statistics y DNAT por número de petición.
• Por software: LVS (VS/NAT y VS/TUN) y HAProxy.
• Con servidor web: Apache, Nginx e IIS.
• Sticky sessions: IP hash y sticky cookie.

Virtualización

• La virtualización permite ejecutar varios entornos virtuales en un mismo equipo físico.
• El entorno se llama máquina virtual (VM) y el equipo de soporte se llama hipervisor.
• Permite abaratar costes de hardware y consolidar tareas en un único servidor.
• Para la virtualización, la máquina anfitriona debe emular el hardware mediante software.
• En arquitecturas x86 (Intel), se necesita soporte para VT-X; en AMD, AMD-V.

Ventajas de la Virtualización

• Reutilización de hardware.
• Reducción de costes, espacio y consumo eléctrico.
• Despliegue rápido de nuevas máquinas.
• Copias de seguridad fáciles y seguras.
• Creación de entornos de pruebas.
• Administración centralizada y simple de VM.
• Reducción de tiempos de inactividad.
• Compatibilidad y migración en caliente entre nodos de un clúster.

Tipos de Hipervisores

• Aplicación hipervisor: Se ejecuta como una aplicación más (ej: Oracle VirtualBox, Microsoft Hyper-V).
• Sistema operativo hipervisor: El S. O. está diseñado para crear y ejecutar VM (ej: VMware vSphere, Citrix Hypervisor, Proxmox).
• Cloud Virtualization: La infraestructura se ubica en servidores remotos (ej: Microsoft Azure, Amazon EC2).

VM, Contenedores y Redes

• La creación de VM requiere definir el hardware virtual: CPU, RAM, disco duro e interfaces de red.
• La mayoría de los hipervisores permite la optimización de la RAM y la asignación dinámica de disco duro.
• Virtualización mediante contenedores (LXC): Comparten el núcleo del S. O. con el hipervisor.
• Ventajas de los contenedores: Menor tiempo de arranque y actualizaciones directas.
• Inconvenientes: Limitación de S. O. compatibles y posibles vulnerabilidades de acceso.

Virtualización de Redes

• Implica la implantación de versiones virtuales de recursos físicos de una red local.
• Se utiliza software que emula enlaces y dispositivos intermedios.
• Hipervisores especializados: Cisco Nexus 1000V.
• Redes definidas por software (SDN): Separación entre el plano de control y el plano de datos.
• Los administradores pueden programar y controlar el flujo de paquetes centralizadamente.
• La integración de redes virtualizadas con SDN garantiza redundancia y escalabilidad.