Cómo combinar ALB y NLB en redes privadas y balanceadores

Introducción

En el diseño de infraestructuras cloud modernas, la correcta distribución y gestión del tráfico es clave para garantizar la disponibilidad, escalabilidad y seguridad de las aplicaciones. Los balanceadores de carga, como el Application Load Balancer (ALB) y el Network Load Balancer (NLB), son piezas fundamentales en este ecosistema. Aunque en muchos casos se elige uno u otro, existen arquitecturas avanzadas que combinan ambos para aprovechar lo mejor de cada tecnología, especialmente en entornos con redes privadas segmentadas.

Este artículo explora en profundidad cómo se puede combinar un ALB y un NLB dentro de redes privadas, mostrando una arquitectura real y detallando paso a paso su configuración, ventajas, buenas prácticas y casos de uso. La intención es brindar una guía técnica comprensible y aplicable tanto para diseñadores de infraestructuras de centros de datos virtuales como para profesionales que buscan optimizar sus despliegues cloud.

Componentes fundamentales de la arquitectura

Antes de analizar la implementación, es necesario entender los componentes que forman esta arquitectura combinada:

Servidores Web

• Dos servidores web ubicados en una red privada interna.
• Cada uno entrega una versión ligeramente distinta de una web para demostrar la distribución del tráfico.
• En producción, ambos servirían la misma aplicación para garantizar coherencia.

Network Load Balancer (NLB)

• Actúa en nivel de red (capa 4), distribuyendo la carga entre los servidores web mediante un algoritmo round-robin.
• Está configurado con una IP privada dentro de una red específica, diferente a la del ALB.
• Su cometido es manejar el balanceo en redes privadas, optimizando el direccionamiento y conectividad hacia los servidores backend.

Application Load Balancer (ALB)

• Se conecta públicamente a Internet, ofreciendo una IP pública para recibir peticiones externas HTTP.
• Redirige tráfico hacia el NLB según reglas definidas, funcionando a nivel aplicacional (capa 7).
• Permite gestionar múltiples aplicaciones y configuraciones avanzadas de enrutamiento y seguridad.

Máquina Bastión

Ejecuta funciones de prueba y verificación dentro de la red privada compartida entre el NLB y el ALB. No forma parte activa de la gestión del tráfico, pero es clave para validar conectividades y comportamientos.

Redes y segmentación en la arquitectura

La segmentación de redes es esencial para la seguridad y el orden dentro de la infraestructura. En esta implementación se utilizan múltiples LANs distribuidas de la siguiente manera:

• LAN 1 (Red Pública): Aquí se encuentra el acceso a Internet y el Application Load Balancer con IP pública.
• LAN 2 (Red Privada ALB-NLB): Compartida entre el ALB y el NLB; contiene IPs privadas para comunicación interna.
• LAN 3 (Red Privada NLB): Seccionada para el NLB solo, aislando su entorno.
• LAN 5 (Red Privada Servidores Web): Donde residen los servidores backend del NLB.
• LAN 6 (Red Privada ALB): Segmento para el ALB individualmente.

Esta separación permite un mejor control del tráfico, limitando accesos y ampliando la seguridad, además de facilitar la escalabilidad y administración eficiente del entorno.

Funcionamiento integral de la arquitectura combinada

El flujo del tráfico ocurre en varias etapas:

Configuraciones avanzadas de ALB y NLB para redes privadas y balanceo

1. El cliente realiza una petición HTTP a la IP pública del ALB.
2. El ALB evalúa la petición y, según las reglas configuradas, reenvía el tráfico al NLB mediante una IP privada dentro de la red compartida (LAN 2).
3. El NLB, usando un algoritmo de balanceo round-robin, distribuye las solicitudes entre los dos servidores web en LAN 5.
4. Los servidores web responden con la aplicación solicitada.

Esta cascada permite separar los roles: el ALB gestiona el tráfico de entrada a nivel de aplicación y la segmentación pública/privada, mientras que el NLB maneja la distribución eficiente a nivel de red y en entornos más restringidos.

Ventajas clave de esta cascada

• Mejor segmentación y seguridad, evitando exponer servidores web directamente a Internet.
• Posibilidad de manejar múltiples aplicaciones y reglas complejas en el ALB.
• Optimización del rendimiento del backend a través del NLB, que maneja mejor las conexiones TCP/UDP a nivel de red.
• Flexibilidad para escalar y administrar independientemente cada capa del balanceo.

Configuración detallada del Network Load Balancer (NLB)

El NLB se configura considerando los aspectos siguientes:

Direcciones IP

De forma predeterminada, el NLB obtiene una IP primaria dentro de su red privada (LAN 3). Sin embargo, esta IP no es accesible directamente desde el ALB, ya que el ALB opera en una red diferente (LAN 2).

Para solucionar esto, se asigna manualmente una IP privada adicional en el rango de la LAN 2 al NLB, que sirve como IP de escucha para las reglas de reenvío. De esta forma, el ALB puede enviar tráfico hacia el NLB a través de esta IP común.

Reglas de reenvío

• La IP de escucha es la IP privada añadida a la LAN 2 y no la IP primaria de la LAN 3.
• El NLB escucha en el puerto 80 para peticiones HTTP, repartiendo la carga entre los dos servidores web como destinos registrados.
• Se añade cada servidor web con su IP privada y puerto correspondiente, formando un grupo de destinos.

Buenas prácticas en configuración del NLB

• Asegurar que la IP pública del ALB pueda enrutar hacia la IP privada añadida al NLB, validando conectividad.
• Seleccionar puertos y protocolos compatibles con las aplicaciones backend.
• Monitorizar el estado de los servidores para evitar direccionar tráfico a nodos caídos.

Configuración meticulosa del Application Load Balancer (ALB)

El ALB es el punto de entrada público que gestiona la exposición de las aplicaciones. A continuación, sus aspectos clave:

Asignación de IP pública

El ALB recibe una IP pública que es accesible desde Internet, permitiendo la recepción directa de solicitudes HTTP.

Reglas de reenvío y target groups

• El ALB escucha en el puerto 80 para tráfico HTTP.
• Se configura una regla de reenvío que direcciona todas las peticiones a un target group, que contiene la IP privada del NLB en la LAN 2.
• De esta manera, el ALB actúa como proxy hacia el NLB.

Implicaciones y ventajas

• El ALB puede administrar múltiples aplicaciones con reglas avanzadas, facilitando implementaciones complejas.
• Permite aplicar políticas de seguridad a nivel de aplicación, como filtros HTTP y autenticación.
• Separa la gestión del tráfico público de la distribución interna hacia backend.

Ejemplos prácticos para validar la arquitectura

Para comprobar el correcto despliegue, se pueden ejecutar las siguientes validaciones:

Encuentro de Partners en la segunda edición del Sports Tour

Acceso directo a servidores web

• Conectarse a cada servidor web dentro de su LAN y lanzar un curl localhost:80 para verificar la versión de la web servida.
• Esto muestra que cada servidor responde correctamente y que las versiones pueden diferir para validación.

Balanceo a través del NLB

• Desde la máquina bastión en LAN 2 se realiza un curl a la IP privada del NLB (la configurada en LAN 2).
• La respuesta mostrará contenido alternado entre los servidores web, evidenciando el balanceo round-robin funcionando.

Balanceo completo a través del ALB

• Desde un equipo externo se realiza un curl a la IP pública del ALB.
• Se observa cómo el ALB redirige la petición al NLB, que a su vez distribuye el tráfico a uno de los servidores web.

Comparativa entre ALB y NLB

Buenas prácticas para combinar ALB y NLB en entornos privados

• Diseñar topologías de red claras y segmentadas: Clarifique qué redes serán públicas y cuáles privadas, distribuyendo recursos y balanceadores en correspondencia.
• Asignar IPs estáticas y coherentes: Las IP privadas deben ser estáticas dentro del rango de la red interna para evitar problemas de conectividad.
• Configurar reglas de seguridad estrictas: Restrinja acceso entre redes utilizando firewalls y políticas de seguridad para evitar accesos no autorizados.
• Monitorizar estado y rendimiento: Use herramientas para monitorear el estado de balanceadores y backend, detectando fallos rápidamente.
• Automatizar configuraciones: Utilice scripts o servicios de infraestructura como código para mantener la configuración reproducible y segura.
• Planificar escalabilidad: Diseñe la arquitectura para añadir más servidores backend o balanceadores según demanda creciente.

Explicación de palabras clave relevantes

Balanceadores de carga

Dispositivos o servicios que distribuyen el tráfico entre múltiples servidores para evitar sobrecarga y mejorar disponibilidad. Son vitales para escalabilidad y tolerancia a fallos.

Red privada

Segmentos de red accesibles solo desde dentro de la infraestructura, protegiendo los recursos de accesos externos no autorizados.

Network Load Balancer (NLB)

Balanceador que opera en capa 4, ideal para tráfico TCP/IP con baja latencia y alta concurrencia. En esta arquitectura se usa para distribuir tráfico en red privada entre servidores backend.

Application Load Balancer (ALB)

Balanceador de capa 7, maneja solicitudes HTTP/HTTPS, permitiendo reglas complejas para direccionar tráfico basado en rutas, host o contenido.

Segmentación de redes

Práctica de dividir la red en subredes distintas para mejorar control, seguridad y gestión del tráfico.

Alta disponibilidad

Capacidad de un sistema para funcionar de manera continua y sin interrupciones, gracias a configuraciones redundantes y balanceo.

Escalabilidad

Facilidad de aumentar la capacidad del sistema añadiendo recursos sin impactar negativamente la operación actual.

ALB qué es para qué sirve y cómo funciona en redes privadas

Reglas de reenvío

Configuraciones que indican cómo el balanceador debe dirigir el tráfico recibido a los destinos backend.

Round-robin

Algoritmo simple de distribución de carga que envía solicitudes secuencialmente a cada servidor disponible.

Conectividad interna

Capacidad de comunicación entre diferentes componentes dentro de los segmentos privados, fundamental para que ALB y NLB cooperen correctamente.

Este video complementa la explicación técnica y brinda una demostración práctica de la arquitectura combinada de ALB y NLB. ¡No te lo pierdas para entender a fondo su implementación y funcionamiento!

Sección de Preguntas Frecuentes (FAQ)

¿Por qué poner NLB delante de ALB?

En realidad, la arquitectura clásica que revisamos coloca un ALB delante de un NLB, no al revés. El NLB se usa para balancear tráfico a nivel de red (TCP/UDP) hacia servidores backend dentro de redes privadas, mientras que el ALB expone servicios a nivel de aplicación y maneja reglas de enrutamiento avanzadas. Combinar ambos permite una alta disponibilidad y escalabilidad, mejor segmentación de redes y seguridad, donde el ALB gestiona la política pública y el NLB se encarga del tráfico interno con baja latencia.

¿Cuándo utilizar ALB en lugar de NLB?

El ALB es más adecuado cuando necesitas balanceo de carga a nivel de capa 7, con capacidades para enrutar tráfico basado en URLs, encabezados HTTP o contenido de la petición. Es ideal para aplicaciones web que requieren reglas avanzadas, cookies adhesivas o autenticación integrada. Por otro lado, el NLB es mejor para cargas de trabajo que requieran alta performance a nivel de conexión TCP/UDP y baja latencia, como bases de datos o aplicaciones no HTTP. Usarlos en conjunto permite aprovechar lo mejor de ambos mundos.

¿Cómo se asegura la comunicación entre ALB y NLB en diferentes redes privadas?

Se asigna al NLB una IP privada adicional en la misma red que el ALB (por ejemplo, LAN 2), permitiendo que el ALB pueda enrutar tráfico desde su red hacia el NLB. Esta configuración requiere una planificación cuidadosa de las subredes y políticas de firewall para garantizar que ambos balanceadores puedan comunicarse internamente sin exponer servicios.

Balanceadores de carga y redes privadas en diseño de Data Center

¿Qué ventajas aporta usar una máquina bastión en esta arquitectura?

La máquina bastión sirve para realizar pruebas, accesos administrativos y diagnósticos en la red privada sin exponer directamente servidores web o recursos sensibles a la Internet pública. Gracias a estar en la misma red privada que el ALB y el NLB, permite validar configuraciones y conectividades de forma segura y controlada.

¿Cuáles son los principales desafíos al implementar esta arquitectura?

Entre los retos destacan la correcta segmentación y configuración de redes, asignación y gestión de IPs privadas estáticas, coordinación precisa de reglas de reenvío, y manejo de firewalls para permitir la comunicación necesaria sin comprometer la seguridad. Además, la complejidad aumenta en arquitecturas a gran escala, por lo que es importante automatizar y monitorizar constantemente.

¿Cómo escalar esta combinación de ALB y NLB?

La escalabilidad se logra añadiendo más servidores backend al NLB, y más ALB para gestionar diferentes aplicaciones o entornos. Cada balanceador puede gestionar más destinos o listeners según demanda. La arquitectura segmentada facilita despliegues adicionales sin interferir con los existentes.

¿Se pueden combinar varios ALB y NLB para diferentes aplicaciones?

Sí, es una ventaja significativa. Se puede tener un ALB como punto de entrada general y distintos NLB en redes privadas vinculados a diferentes aplicaciones o servicios backend, permitiendo un control granular y escalable.

¿Qué herramientas o plataformas permiten implementar esta arquitectura?

Las principales plataformas cloud, como AWS, Azure o Google Cloud, ofrecen servicios nativos de ALB y NLB con soporte para redes virtuales privadas y subredes segmentadas. Herramientas de orquestación como Terraform o Ansible facilitan la implementación y automatización.

Conclusión

Combinar un Application Load Balancer y un Network Load Balancer en redes privadas aporta flexibilidad, seguridad y rendimiento en la gestión del tráfico de aplicaciones modernas. Esta arquitectura segmentada permite separar responsabilidades, controlar accesos y escalar de manera eficiente, factores clave para infraestructuras cloud robustas.

Si querés implementar este tipo de soluciones en tu empresa, en Código6 podemos ayudarte. Somos especialistas en automatización, inteligencia artificial y transformación digital. Contactanos para comenzar tu proyecto hoy.

Cómo crear un ALB paso a paso para redes y balanceadores privados