Redes en la nube

01

Tu propia red en la nube: redes virtuales y rangos de direcciones IP

En un centro de datos de la nube funcionan, uno al lado del otro, los servidores de muchísimos clientes. Aun así, tus servidores solo deberían hablar entre ellos y estar separados de los de los demás. Por eso la nube le da a cada cliente una red aislada de forma lógica, llamada red virtual. Los cables y los switches físicos se comparten, pero las direcciones, las rutas y las reglas son solo tuyas.

Lo primero que decides al crear una red virtual es qué rango de direcciones IP va a usar (su rango de direcciones). Normalmente lo eliges dentro de los rangos privados, que están reservados para no usarse nunca en Internet. Cualquier empresa o cualquier casa puede repetir estas direcciones privadas, y justo por eso no pueden salir solas a Internet (en el capítulo 3 verás cómo salen).

CIDR: cómo leer el número que va después de la barra

Una dirección IPv4 tiene 32 bits. 10.0.0.0/16 significa «los primeros 16 bits (10.0) son fijos y esta red puede usar los 16 bits restantes». Eso te da 2^16 = 65,536 direcciones. Cuanto más grande es el número después de la /, más bits quedan fijos y más pequeño es el rango. Esta notación se llama CIDR, y el rango que describe es un bloque de CIDR. Prueba a cambiar el tamaño de la subred en la escena de abajo.

Después divides el rango de la red virtual en subredes. Una subred es una zona donde agrupas servidores con el mismo papel: por ejemplo, una capa web que da la cara a Internet y una capa de base de datos que mantienes oculta. Cada subred puede tener sus propias rutas (capítulo 2) y sus propias reglas de firewall (capítulo 4).

No puedes usar todas las direcciones de una subred

En cada subred, la nube se guarda unas cuantas direcciones para sí misma: la primera dirección (la dirección de red), la puerta de enlace por la que se sale de la subred, el DNS y algunas más. Cuántas reserva depende del proveedor de nube. Así que, incluso en una subred /24, tienes algo menos de 256 direcciones para tus servidores.

Piensa en grande desde el principio, y sin solapamientos

Los rangos de direcciones son difíciles de cambiar una vez creados. Piensa en los servidores y servicios que vendrán, elige un rango generoso y asegúrate de que no se solape con tu red corporativa ni con tus otras redes virtuales. Aquí es donde mucha gente tropieza: si la red de tu oficina usa 192.168.0.0/16 y tu red en la nube usa el mismo rango, cuando más adelante intentes conectarlas no habrá forma de saber de qué lado es 192.168.1.10, así que la conexión simplemente no funcionará (capítulo 7).

Ya dividiste tu rango en subredes. Pero cuando un servidor de una subred envía un paquete, ¿cómo sabe ese paquete adónde ir?

02

Subredes y enrutamiento: qué hace pública o privada a una subred

Cuando un servidor envía un paquete, la tabla de enrutamiento asociada a su subred decide adónde va. Una tabla de enrutamiento es una lista de filas que dicen «los paquetes que van a este rango salen por esa puerta». Toda red virtual empieza con una ruta predeterminada que dice «las direcciones de dentro de la red se entregan dentro de la red», así que las subredes se comunican entre sí sin configurar nada más.

Destino           Siguiente salto (adónde enviarlo)
10.0.0.0/16       Dentro de la red (local)
172.16.0.0/12     Conexión VPN → red corporativa
0.0.0.0/0         Puerta de enlace de Internet

La tabla de enrutamiento busca la fila que coincide con la dirección de destino del paquete y lo envía al siguiente salto de esa fila. Imagina que un servidor web envía un paquete a un servidor de base de datos de la misma red (10.0.2.15). 10.0.2.15 está dentro de 10.0.0.0/16, así que coincide con la primera fila. Pero 0.0.0.0/0 significa «cualquier dirección», así que también coincide con la última.

Cuando coinciden varias filas, gana la más específica: la que tiene el número más grande después de la /. Esto se llama coincidencia del prefijo más largo. Un /16 es más específico que un /0, así que este paquete se entrega dentro de la red. En cambio, un sitio web en Internet (203.0.113.10) no coincide con las dos primeras filas. Solo coincide con 0.0.0.0/0, así que va a la puerta de enlace de Internet. Por eso a 0.0.0.0/0 se le llama ruta predeterminada: es adonde acaba cualquier dirección que no coincide con nada más. Prueba a cambiar el destino y el tipo de subred en la escena de abajo.

Subredes públicas y subredes privadas

Una subred con una ruta hacia Internet (0.0.0.0/0 → Internet) se llama subred pública, y una sin esa ruta, subred privada. Aquí es donde mucha gente se confunde: lo que decide es la ruta, no el nombre que le pusiste a la subred. Y aunque esté en una subred pública, un servidor necesita una IP pública para comunicarse directamente con Internet. A un servidor que solo tiene IP privada no se le puede llegar desde Internet, aunque esté en una subred pública.

Un servicio web típico se organiza así.

Ya escondiste tu base de datos y tus servidores de aplicaciones en subredes privadas. Pero siguen necesitando actualizaciones de seguridad, y tienen que llegar al servicio de almacenamiento de la nube. Sin ruta a Internet, ¿cómo salen?

03

Salir de una subred privada: NAT y puntos de conexión privados

El NAT (traducción de direcciones de red) actúa en nombre de tus servidores privados. Cuando un servidor envía un paquete a Internet, el NAT cambia la dirección de origen del paquete por su propia IP pública y lo envía. Cuando vuelve la respuesta, el NAT recuerda quién hizo la solicitud y se la entrega al servidor correcto.

La clave es la dirección. El NAT solo se ocupa de las conexiones que empiezan desde dentro. Una conexión que empieza desde fuera se descarta, porque el NAT no tiene ni idea de a qué servidor va. Así que, cuando una pregunta dice «los servidores tienen que recibir actualizaciones, pero no deben ser accesibles desde Internet», la respuesta es NAT. Si de verdad necesitas aceptar solicitudes desde Internet, te hace falta un equilibrador de carga (capítulo 5) o una IP pública en el servidor.

Lo habitual es usar el NAT como un servicio que la nube administra por ti. También puedes convertir uno de tus servidores en una instancia NAT, pero si se cae, toda la subred privada se queda sin salida, así que la alta disponibilidad y el mantenimiento corren por tu cuenta. Dónde vive un NAT administrado (en una sola zona o en toda la región) depende del proveedor.

Llegar a los servicios de la nube sin pasar por Internet: puntos de conexión privados

Los servicios administrados de la nube, como el almacenamiento, las colas o la gestión de claves, suelen tener direcciones públicas, de cara a Internet. Si un servidor privado los llama tal cual, el tráfico sale por el NAT a Internet y vuelve a entrar. Con un punto de conexión privado, ese trayecto se queda dentro de tu red. Hay dos tipos.

Ahora los paquetes saben adónde ir. Pero que haya un camino no significa que dejes pasar a cualquiera. Necesitas un guardián que decida qué paquetes entran y cuáles se bloquean.