Cómo configurar las reglas del NLB para redes privadas y balanceadores

Introducción al Network Load Balancer en entornos de redes privadas

La gestión eficiente del tráfico en redes corporativas y centros de datos virtuales es un desafío constante que requiere soluciones robustas y adaptables. En este contexto, el Network Load Balancer (NLB) se posiciona como una tecnología clave para distribuir cargas y garantizar la alta disponibilidad de servicios críticos. Este artículo aborda en detalle la configuración avanzada de reglas en el NLB, enfocándonos en redes privadas y la gestión de balanceadores para optimizar el acceso a servidores backend.

Entender y aplicar correctamente estas configuraciones es fundamental para asegurar tanto la conectividad como la seguridad en infraestructuras virtualizadas o en la nube. A continuación, profundizaremos en los conceptos, pasos y mejores prácticas para aprovechar al máximo un NLB mediante el uso de reglas personalizadas basadas en puertos y protocolos.

¿Qué es un Network Load Balancer (NLB)? Conceptos esenciales

El Network Load Balancer es un tipo de balanceador de cargas que opera en la capa 4 del modelo OSI, es decir, trabaja directamente con protocolos de transporte como TCP y UDP. Su función principal es distribuir de manera eficiente el tráfico entrante entre múltiples servidores, mejorando la escalabilidad, disponibilidad y redundancia de los servicios.

A diferencia de balanceadores clásicos que operan en la capa 7 y manejan tráfico HTTP/HTTPS, el NLB permite gestionar conexiones a nivel de red, lo que incluye protocolos como SSH, FTP y otros servicios basados en TCP. Esto lo hace especialmente útil para entornos donde se requieren conexiones persistentes o específicas que no dependen exclusivamente de protocolos web.

Características principales del NLB en entornos privados

• Balanceo a nivel de transporte: distribución basada en puertos TCP/UDP.
• Alta disponibilidad: elimina puntos únicos de fallo al distribuir las solicitudes.
• Escalabilidad horizontal: permite agregar o quitar servidores sin afectar al servicio.
• Mapeo de puertos personalizado: redirección de puertos públicos a puertos privados internos.
• Integración con redes privadas: permite conectar servidores con IPs privadas detrás de una IP pública única.

Ventajas del NLB frente a balanceadores clásicos

Si bien los balanceadores clásicos son ampliamente usados para tráfico HTTP/HTTPS, el NLB presenta beneficios que lo hacen indispensable para ciertas aplicaciones:

• Soporta protocolos distintos a HTTP, ampliando el rango de servicios balanceados.
• Permite configuraciones avanzadas de reglas por puerto que mejoran el control del tráfico.
• Menor latencia en la distribución del tráfico al operar a nivel de capa 4.
• Se adapta fácilmente a entornos con direcciones IP privadas, facilitando la gestión del acceso remoto.

Fundamentos para configurar reglas en el NLB

La clave para sacar el máximo provecho al NLB en redes privadas radica en la correcta definición de reglas de redireccionamiento o forwarding rules. Estas reglas permiten que el balanceador reciba peticiones en puertos específicos y las redirija a puertos equivalentes o diferentes en los servidores backend.

Esto implica dos conceptos fundamentales:

• Puerto de entrada: puerto público o de acceso en la IP del NLB donde se reciben las conexiones.
• Puerto de destino: puerto privado donde el servidor backend está a la escucha y que realmente procesa la solicitud.

Este mapeo permite, por ejemplo, ofrecer conexiones SSH a múltiples servidores que tienen IPs privadas, a través de la misma IP pública del NLB, diferenciando la conexión por el puerto que se usa en la IP pública.

Ejemplo conceptual de mapeo de puertos en NLB

Preparación previa: entorno y requisitos

Antes de iniciar la configuración de reglas en un NLB, es importante asegurarse de contar con lo siguiente:

• Un centro de datos virtual o física con al menos dos servidores backend con IPs privadas configuradas.
• Un Network Load Balancer configurado con una IP pública única accesible desde la red externa.
• Acceso administrativo para crear y modificar reglas y destinos en el NLB.
• Servicios habilitados y escuchando en los puertos correspondientes en cada servidor (por ejemplo, SSH en puerto 22).
• Herramientas de terminal para pruebas (SSH, ping, traceroute, etc.) desde una máquina cliente.

Pasos detallados para agregar reglas de puerto en Network Load Balancer

Para ejemplificar el proceso, vamos a basarnos en la necesidad de ofrecer conectividad SSH a dos servidores web detrás de un NLB con IP pública única.

Healthchecks: para qué sirven y su rol en redes privadas y balanceadores

Paso 1: Seleccionar el Network Load Balancer

Iniciamos sesión en el panel de administración donde gestionamos nuestro NLB. Seleccionamos el balanceador configurado para nuestro entorno y accedemos al apartado de forwarding rules.

Paso 2: Crear la primera regla para SSH al servidor 1

• Asignar un nombre identificativo, por ejemplo, ssh1.
• Configurar la IP pública del NLB como dirección de escucha.
• Elegir el puerto de entrada: en este caso, usamos 1222 en lugar del estándar 22 para evitar conflictos.
• Definir el protocolo TCP para el tráfico SSH.

Paso 3: Establecer el destino (target) para la regla ssh1

• Agregar el servidor backend Web Server 1 con su IP privada.
• Configurar el puerto destino en el servidor: 22, que es el puerto donde el servicio SSH está activo.

Paso 4: Crear la segunda regla para SSH al servidor 2

• Agregar una nueva regla con nombre ssh2.
• Usar la misma IP pública del NLB.
• Asignar un puerto de entrada diferente, por ejemplo, 1223.
• Definir el destino como Web Server 2 con IP privada y puerto 22.

Paso 5: Aprovisionar los cambios

Después de agregar las reglas y sus respectivos destinos, debemos guardar y aprovisionar los cambios para que la configuración se aplique en tiempo real. Esta acción es clave para que las reglas entren en funcionamiento y el tráfico empiece a redirigirse correctamente.

Paso 6: Verificar la conectividad y funcionamiento

Desde una estación de trabajo con acceso a la IP pública del NLB, realizamos pruebas de conexión SSH especificando los puertos configurados. Por ejemplo:

• Para Web Server 1: ssh root@IP_NLB -p 1222
• Para Web Server 2: ssh root@IP_NLB -p 1223

Una vez conectados, es posible verificar que estamos en el servidor correcto a través de archivos o configuraciones específicas, confirmando así que el mapeo funciona como se espera.

Buenas prácticas para la configuración de reglas en NLB

• Usar puertos no estándar para acceso administrativo: evita conflictos y posibles bloqueos por seguridad.
• Documentar cada regla y destino: mantener un registro claro para facilitar mantenimiento y auditorías.
• Probar individualmente cada regla: garantiza que la configuración es correcta antes de ponerla en producción.
• Monitorear el tráfico y estado de servidores: detectar problemas o saturaciones tempranamente.
• Actualizar reglas conforme evoluciona la infraestructura: evita inconsistencias y accesos no deseados.

Configuración avanzada: combinando reglas y servicios

El NLB no solo permite el mapeo básico de un puerto público a un puerto privado, sino que también es posible establecer múltiples reglas para distintos servicios en la misma IP pública, lo que ofrece gran flexibilidad para administrar conexiones SSH, HTTP, HTTPS, FTP y otros.

Por ejemplo, se podría configurar:

• Puerto 80 y 443 para redirigir tráfico HTTP/HTTPS a servidores web.
• Puerto 1222 y 1223 para accesos SSH diferenciados.
• Puerto 3306 mapeado a servidores de base de datos para accesos remotos controlados.

Esta capacidad multipuerto es fundamental para maximizar el uso eficiente de la IP pública y mejorar la seguridad segmentando el acceso por servicio y servidor.

Consideraciones de seguridad al usar NLB con reglas por puerto

Si bien el NLB facilita la administración del tráfico, también es fundamental implementar políticas de seguridad que complementen el balanceo:

• Limitar el acceso a puertos SSH por IP origen: para minimizar riesgos de accesos no autorizados.
• Utilizar autenticación basada en claves públicas: evita el uso de contraseñas débiles.
• Habilitar firewalls en servidores backend: solo permitir tráfico proveniente de IP del NLB.
• Monitorizar logs de acceso: para detectar patrones sospechosos o intentos de intrusión.

Impacto de estas reglas en entornos productivos

La correcta implementación del NLB con reglas específicas aporta:

• Reducción de tiempos de mantenimiento: al facilitar accesos administrativos diferenciados.
• Alta disponibilidad de servicios críticos: mediante distribución eficiente y sin interrupciones.
• Escalabilidad: adaptarse fácilmente a aumentos en demanda sin perder control sobre el tráfico.

Para complementar esta guía detallada, te invitamos a ver un recurso adicional donde se muestra paso a paso cómo configurar estas reglas en un centro de datos virtual utilizando el NLB de Arsys.

Cómo crear healthchecks efectivos en redes privadas y balanceadores

Glosario y palabras clave relacionadas con NLB

NLB (Network Load Balancer)

Es el balanceador que distribuye tráfico a nivel de red, ideal para protocolos que requieren asignación directa en puertos y conexiones confiables. Es fundamental para entornos que necesitan alta disponibilidad y escalabilidad.

Forwarding Rules

Las reglas de redireccionamiento o forwarding rules son configuraciones que permiten que el NLB envíe el tráfico que llega a un puerto público a un puerto privado específico en un servidor backend. Son la base de la personalización del tráfico.

Mapeo de puertos

Proceso de traducir un puerto público de acceso a un puerto privado donde el servidor escucha realmente. Es crucial para ofrecer múltiples servicios bajo una sola IP pública.

IP privada y IP pública

Las IP privadas son aquellas internas de una red, no accesibles directamente desde Internet, en tanto las IP públicas permiten accesos externos. El NLB actúa como intermediario entre ambas.

SSH (Secure Shell)

Protocolo seguro para conexión remota a servidores. El uso del NLB con reglas por puerto permite acceder a varios servidores con la misma IP pública de manera selectiva.

Alta disponibilidad

Conjunto de técnicas que aseguran que un servicio se mantenga disponible y operativo aún ante fallos de uno o varios componentes. El NLB es pilar para lograr esta característica.

Escalado horizontal

Añadir o retirar servidores para manejar variaciones en la demanda sin afectar al servicio. El NLB distribuye el tráfico equitativamente entre los nodos activos.

Centro de Datos Virtual (Virtual Data Center)

Infraestructura virtualizada que simula un centro de datos físico. Permite administrar recursos escalables y configurar NLBs dentro de un entorno controlado.

Software Defined Data Center (SDDC)

Centro de datos definido por software, donde toda la infraestructura se configura y gestiona mediante software, facilitando automatización y flexibilidad, incluyendo balanceadores de carga.

Reglas de seguridad en NLB

Directrices que regulan qué tráfico puede atravesar el NLB para evitar accesos no autorizados, fundamentales para proteger la infraestructura.

Configuraciones avanzadas de ALB y NLB para redes privadas y balanceo

Configuraciones comunes y recomendaciones finales

Preguntas frecuentes (FAQ)

¿Qué es NLB en redes?

El NLB (Network Load Balancer) es una característica presente en sistemas operativos como Microsoft Windows Server, AWS y otros proveedores de servicios en la nube. Su función es distribuir el tráfico de red entre múltiples servidores o máquinas virtuales dentro de un clúster para evitar sobrecargar un único host y aumentar la disponibilidad y escalabilidad de una aplicación o servicio.

¿Qué es un balanceador de cargas de red?

El balanceador de cargas de red es un componente que reparte las conexiones entrantes entre varios nodos o servidores, optimizando el uso de recursos y asegurando la continuidad del servicio. En el caso del NLB, esta distribución se realiza a nivel de transporte, es decir, manejando conexiones TCP o UDP, lo que lo diferencia de otras soluciones orientadas a protocolos específicos como HTTP.

¿Cómo puedo acceder via SSH a varios servidores detrás de un NLB con una sola IP pública?

Se pueden configurar reglas de redireccionamiento en el NLB que asignen puertos distintos para cada servidor. Por ejemplo, el puerto 1222 en la IP pública puede mapearse al puerto 22 del servidor 1, mientras que el puerto 1223 mapearía al puerto 22 del servidor 2. De esta forma, se accede diferenciado por puerto, aunque se utilice la misma IP pública.

¿Qué precauciones de seguridad debo tener al usar NLB para SSH?

Se recomienda usar autenticación con clave pública y restringir accesos mediante reglas de firewall. También es aconsejable no usar el puerto estándar 22 para el acceso externo y monitorear el tráfico para detectar intentos de intrusión.

¿Puede el NLB balancear tráfico UDP además de TCP?

Sí, el NLB puede manejar tráfico basado en ambos protocolos TCP y UDP, lo que le permite soportar una amplia variedad de servicios más allá de conexiones basadas en TCP únicamente.

¿Qué pasa si un servidor backend no responde al NLB?

Normalmente, el NLB incluye mecanismos de comprobación de estado o health checks que detectan si un servidor está fuera de servicio y dejan de enviarle tráfico hasta que vuelva a estar disponible, permitiendo mantener la continuidad del servicio.

¿Es posible usar el NLB para balancear servicios HTTPS?

Sí, aunque el NLB trabaja a nivel de transporte, puede balancear tráfico HTTPS. Sin embargo, para tareas específicas de capa 7, como terminación SSL o inspección HTTP, es recomendable usar balanceadores de capa 7 especializados.

¿Puedo configurar un NLB en un Data Center Virtual?

Absolutamente. Los Data Centers Virtuales permiten implementar y gestionar un NLB como parte de su infraestructura para balancear cargas entre recursos virtualizados, facilitando la expansión y gestión de la red.

Conclusión

Configurar reglas específicas en un Network Load Balancer para entornos de redes privadas es una práctica esencial para la gestión efectiva y segura del acceso a múltiples servidores bajo una única IP pública. El NLB ofrece flexibilidad mediante el mapeo de puertos, permitiendo segmentar servicios y mejorar la administración de la infraestructura.

En Código6 entendemos la complejidad y las necesidades particulares de cada proyecto tecnológico. Contactanos para comenzar tu proyecto hoy y optimizá el rendimiento y la seguridad de tu centro de datos o infraestructura en la nube con soluciones profesionales y a medida.

Cómo exponer bases de datos públicamente usando NLB en Data Center