Diseños de redundancia y conmutación por error

La alta disponibilidad (HA) consiste en diseñar una red para que los servicios sigan activos incluso cuando algo falle. La idea central es eliminar los puntos únicos de falla: cualquier componente cuya falla provoque la caída de todo el sistema. La HA combina la redundancia (componentes de respaldo) con la conmutación por error (cambio automático al respaldo), manteniendo en funcionamiento los servicios críticos durante las interrupciones.

Un punto único de falla (SPOF) es cualquier elemento sin respaldo: un router, una fuente de alimentación o un enlace a Internet cuya pérdida detiene todo. Identificar los SPOF es el primer paso del diseño de HA. Para cada componente crítico, debe preguntarse: «si esto deja de funcionar, ¿qué sucede?». Siempre que la respuesta sea «interrupción total», debe añadir redundancia.

La redundancia consiste en disponer de componentes duplicados listos para asumir el control. Puede aplicarse en todos los niveles: fuentes de alimentación, enlaces de red, switches y routers, y conexiones a Internet redundantes. La redundancia cuesta dinero y añade complejidad, por lo que se aplica de forma selectiva a los componentes cuya falla tendría mayor impacto. El objetivo es que ninguna falla individual provoque una interrupción.

La conmutación por error es el cambio automático de un componente averiado a su respaldo. La redundancia por sí sola no basta; el respaldo debe asumir el control rápidamente e, idealmente, sin intervención humana. Una buena conmutación por error es rápida y fluida, de modo que los usuarios apenas la noten. La combinación de un componente en espera y la conmutación automática por error es lo que proporciona una alta disponibilidad real.

Existen dos modelos de redundancia. En activo-pasivo, el respaldo permanece inactivo hasta que falla el dispositivo principal y, entonces, asume el control. En activo-activo, ambas unidades funcionan al mismo tiempo y comparten la carga; si una falla, la otra absorbe su parte. El modelo activo-activo también aumenta la capacidad, mientras que el activo-pasivo es más sencillo. Cada uno se adapta a necesidades y presupuestos diferentes.

La puerta de enlace predeterminada es un SPOF común, por lo que los protocolos de redundancia del primer salto (FHRP) proporcionan una puerta de enlace de respaldo. VRRP (Virtual Router Redundancy Protocol) y el HSRP (Hot Standby Router Protocol) de Cisco permiten que dos routers compartan una IP de puerta de enlace virtual; si el router activo falla, el de respaldo asume esa dirección. Los hosts siguen utilizando la misma puerta de enlace sin notar el cambio.

La redundancia también se aplica a los enlaces. La agregación de enlaces (LAG, mediante LACP) agrupa varios enlaces físicos en un único enlace lógico para obtener más ancho de banda y mantener la conexión si falla uno de ellos. En los servidores, la agrupación de NIC combina varias tarjetas de red para que el tráfico continúe si falla una tarjeta o su cable. Ambas soluciones eliminan el enlace individual como punto de falla.

Muchos problemas son físicos. Las fuentes de alimentación redundantes permiten que un dispositivo sobreviva a la falla de una fuente. Un UPS (Uninterruptible Power Supply) mantiene los equipos funcionando durante interrupciones breves, y un generador se ocupa de las más prolongadas. Los componentes hot-swappable pueden sustituirse sin apagar el equipo. Estas medidas protegen contra causas muy comunes de inactividad: las fallas de alimentación y de hardware.

La HA se mide mediante los «nueves» de disponibilidad. El 99,9 % permite unas 8,8 horas de inactividad al año; el 99,99 %, unos 53 minutos; y el 99,999 % («cinco nueves»), unos 5 minutos. También son importantes otros dos términos: RTO (Recovery Time Objective), la rapidez con la que debe recuperarse el servicio, y RPO (Recovery Point Objective), la cantidad de pérdida de datos aceptable. Estos objetivos orientan las decisiones de diseño.

La redundancia no es gratuita ni ilimitada. Añade costos, complejidad y nuevos modos de falla si se configura mal. Tener más copias puede significar más elementos que administrar y más posibilidades de configuración incorrecta. La habilidad consiste en equilibrar el costo de la redundancia con el costo de la inactividad de cada servicio, protegiendo lo crítico sin sobredimensionar el resto.

El diseño de HA es sistemático: identificar los servicios críticos, localizar cada SPOF, añadir redundancia específica con conmutación automática por error y comprobar que esta realmente funciona. Un respaldo que no se ha probado es una esperanza, no un plan. Simular fallas periódicamente demuestra que el diseño funciona y revela sus deficiencias. Bien implementadas, la redundancia y la conmutación por error mantienen la red operativa cuando inevitablemente fallan algunos componentes.

Ponga a prueba sus conocimientos sobre HA.

Ha aprendido sobre redundancia y conmutación por error. Puntos clave:

• La HA elimina los puntos únicos de falla.
• La redundancia añade respaldos; la conmutación por error cambia a ellos automáticamente.
• El modelo activo-activo comparte la carga; el activo-pasivo mantiene un dispositivo en espera.
• VRRP/HSRP proporcionan una puerta de enlace redundante; LAG y la agrupación de NIC añaden redundancia de enlaces.
• Mida la disponibilidad mediante los nueves, el RTO y el RPO; pruebe la conmutación por error.