Alta disponibilidad y seguridad

Protección y seguridad de los hosts ESXi

Los hosts ESXi son una clase aparte, ya que tienen dos componentes de seguridad: física y de software. Como se trata de servidores físicos, hay una serie de elementos que tienen más que ver con la redundancia que con la seguridad, que merece la pena examinar aquí.

Soluciones de alta disponibilidad

Ya hemos tratado el concepto de alta disponibilidad (HA) en el capítulo Entender las máquinas virtuales, destacando el carácter crítico de los hosts de virtualización, ya que albergan varias máquinas virtuales. Determinados mecanismos deben garantizar que el fallo de un host no afecte a todas las máquinas virtuales de un entorno de virtualización.

A diferencia de las infraestructuras físicas, las plataformas de virtualización ofrecen opciones más baratas y flexibles para proteger todo un centro de datos contra interrupciones debidas a desastres o fallos del host.

Dado que el almacenamiento del host es compartido, la función de alta disponibilidad de vSphere tiene acceso a los archivos de las máquinas virtuales y puede reiniciar todas las máquinas virtuales en otros hosts del clúster. Los algoritmos que miden el rendimiento, determinan qué hosts recibirán...

Protección y seguridad de las máquinas virtuales

Las funciones vSphere HA y Proactive HA son soluciones de alta disponibilidad que se configuran a nivel de clúster, para compensar el fallo de un host. Aunque estas opciones mejoran la disponibilidad de las máquinas virtuales, lo cierto es que, en caso de fallo grave, hay que reiniciarlas en otro host, lo que provoca una interrupción del servicio.

1. Tolerancia a fallos y replicación

Para garantizar la disponibilidad continua de las máquinas virtuales, vSphere habilita la funcionalidad de tolerancia a fallos Fault Tolerance (FT), que replica una máquina virtual en tiempo real de un host a otro. Si el host principal falla, el host secundario toma el relevo sin problemas, de modo que las máquinas virtuales configuradas con FT siguen funcionando sin interrupción.

Cuando se activa FT, se instala una segunda máquina virtual en un host diferente al host primario. Las máquinas virtuales primaria y secundaria se sincronizan en tiempo real mediante una tecnología denominada vLockstep. De este modo, cada acción realizada en la máquina virtual primaria se refleja en la máquina virtual secundaria.

Utilizando el mismo principio que los hosts HA, ambas máquinas virtuales monitorizan las señales de pulsación (heartbeat) de la otra y, si el host primario falla, el secundario asume inmediatamente el papel de primario. A continuación, se designa un nuevo host secundario y la máquina virtual vuelve a estar protegida.

La implementación de la funcionalidad FT requiere que los recursos del host se planifiquen en consecuencia, ya que una máquina virtual tolerante a fallos consume el doble de recursos. También se necesitan recursos de red adicionales para transmitir los cambios de la máquina virtual en modo síncrono. Debido al consumo adicional de recursos, FT se configura a nivel de máquina virtual y se utiliza mejor para cargas de trabajo críticas.

a. Configuración de vSphere Fault Tolerance (FT)

 Para activar Fault Tolerance, seleccione una máquina virtual en la vista Hosts y Clústeres del inventario y haga clic con el botón derecho para acceder a sus propiedades. Haga clic en Fault Tolerance y, a continuación, en Activar Fault Tolerance.

Nuestra configuración actual no permite activar...

Protección del servidor vCenter

Existen varias opciones de seguridad para proteger un appliance vCenter. Entre ellas se incluyen la configuración de reglas de cortafuegos y la realización de copias de seguridad de la configuración del appliance. Otra opción de alta disponibilidad permite desplegar otro nodo vCenter, listo para tomar el relevo en caso de fallo del servidor principal.

Dado que el vCenter es el componente más crítico del entorno de virtualización, es importante prestar especial atención a su seguridad.

1. Configuración del cortafuegos

 Conéctese a la interfaz web de Administración de vCenter Server (la misma dirección que vSphere, pero especificando el puerto 5480).

 En el menú de la izquierda, pulse Firewall.

 Para crear una nueva regla, haga clic en AGREGAR.

A continuación, puede elegir a qué interfaz de red desea aplicar la regla y prohibir o permitir una dirección IP específica.

• Aceptar: esta opción autoriza los paquetes con la dirección que corresponde a la especificada en Dirección IP.

• Omitir: esta opción rechaza el paquete con la dirección que corresponde a la indicada en Dirección IP.

• Rechazar: esta opción rechaza el paquete con la dirección que corresponde a la indicada en Dirección IP y devuelve una respuesta "destino no accesible "....

Protección y seguridad en vSphere

Existen varias soluciones para proteger y asegurar un entorno vSphere, que se deben planificar e implantar cuando se despliega la solución.

Un buen punto de partida para la seguridad informática es el modelo AAA (AAA model):

Este modelo describe cómo se debe autenticar a los usuarios (identificarlos correctamente como la persona que dicen ser), autorizarlos (otorgarles los permisos adecuados para realizar determinadas tareas) y registrarlos (todas sus acciones deben quedar registradas en logs para futuras consultas).

El uso del modelo AAA garantiza la implementación de los aspectos de seguridad más importantes de un entorno de virtualización. En esta sección del capítulo, proponemos inspirarnos en este modelo para presentar las principales características de seguridad ofrecidas para todo un entorno vSphere.

Para llevar a cabo configuraciones que afectan a la seguridad, se debe conectarse a vSphere Client con la cuenta SSO (administrator@vsphere.local) que tenga los permisos adecuados para realizar estas operaciones.