La seguridad de la red y su funcionamiento eficiente en todos los niveles han sido cuestiones clave para científicos y diseñadores de sistemas de comunicación prácticamente desde el principio. Basta recordar que la idea de una red extensa, que sirvió de base al actual Internet y fue desarrollada por RAND Corporation, se centraba en construir una red informática capaz de seguir funcionando incluso en caso de destrucción parcial. Este concepto se trasladó posteriormente desde la escala global a soluciones a nivel micro, que funcionan hoy en millones de redes WAN, MAN y LAN en todo el mundo. Como ocurre a menudo, tecnologías desarrolladas originalmente para uso militar han ido pasando con el tiempo al ámbito civil. Algunas de forma directa, como las soluciones de autenticación TACACS+ y RADIUS, y otras basadas en conceptos similares, como la descentralización de servicios o la redundancia de equipos.
Dado el amplio alcance del concepto de seguridad de red, acotaremos el tema de este artículo y trataremos tres aspectos principales:
1. autenticación segura de usuarios,
2. protección en anillo en la capa de agregación de la red,
3. redundancia a nivel del core de la red.
1. AUTENTICACIÓN SEGURA DE USUARIOS
La atención eficiente a los abonados en cuanto a los servicios prestados es, por supuesto, la base del éxito de una red, pero no menos importantes son los aspectos de autenticación segura de usuarios. Además de las funciones que protegen frente a ataques, por ejemplo, contra paquetes ARP o servicios DHCP, es esencial que la autenticación del usuario se realice de forma segura. Una de las mejores funciones para este propósito es la autenticación mediante servidor RADIUS, conforme a la norma IEEE802.1X. Una de las principales ventajas de esta solución es la eliminación del riesgo de acceso no autorizado a la red ya en la capa de acceso, así como las distintas opciones de cifrado. Además, la autenticación RADIUS puede emplearse tanto en redes cableadas como inalámbricas, así como en entornos mixtos.
2. PROTECCIÓN EN ANILLO EN LA CAPA DE AGREGACIÓN DE LA RED
La seguridad en los niveles de agregación y distribución de servicios, así como en el borde de la red, está mucho más ligada a la topología y a la arquitectura.
En el caso de una topología clásica en estrella o en árbol, hay que recurrir a herramientas que proporcionan protección lineal, como LACP (para la protección del enlace físico), G.8031 o Port Backup para una protección completa. Sin embargo, una topología claramente más resistente es el anillo, basada en el protocolo G.8032, que combinada con agregación LACP ofrece un alto grado de tolerancia a fallos tanto de enlaces físicos como de equipos de la red, con tiempos de conmutación inferiores a 50 ms. Lo más importante es que estos protocolos permiten utilizar velocidades de conexión heterogéneas; por tanto, en proyectos con un presupuesto muy ajustado, el enlace de respaldo puede apoyarse en equipos más económicos que el backbone principal. Lo ideal es que los protocolos de anillo estén disponibles ya desde los modelos más básicos de equipos, lo que permite crear con flexibilidad sistemas de conexión tanto en redes nuevas como en redes ya en producción.
Lo más recomendable es utilizar switches que puedan trabajar simultáneamente en varios anillos y aprovechar puertos agregados para las conexiones de anillo.
El mecanismo de funcionamiento de los protocolos de anillo permite sustituir en la red el árbol de expansión, manteniendo al mismo tiempo mejores parámetros de tiempo de reencaminamiento (por debajo de 50 ms). Encontramos aquí nodos principales y nodos de tránsito. En primer lugar se define el nodo principal de la cadena y, en él, los puertos “primary” y “secondary”. Este es un punto crítico del anillo, ya que en este lugar se determina qué camino del anillo será el enlace inactivo (de reserva). A continuación se definen los nodos de tránsito del anillo, respetando el orden adecuado de los puertos. El orden de los puertos es importante debido a sus funciones: el puerto “primary” sirve para enviar paquetes “Hello”, mientras que el puerto “secondary” se utiliza para recibirlos. El último elemento que debe definirse son los temporizadores: hello timer y fail timer. Con los equipos configurados de este modo, cuando se detecta una avería (ausencia de paquetes “Hello” durante el tiempo definido en el fail timer, normalmente superior al triple del hello timer) el nodo afectado envía al nodo principal un paquete “link down”, lo que provoca el desbloqueo del puerto “secondary” en el nodo principal y, como resultado, el cambio de la ruta de los paquetes en la red.
3. REDUNDANCIA A NIVEL DEL CORE DE LA RED
Con las capas de acceso y agregación configuradas de este modo, queda finalmente configurar los equipos que funcionan en el borde de nuestra red segura. El sistema distribuido propuesto se ha interconectado mediante enlaces 10GE. Conviene subrayar que estos pueden ser enlaces 10GE de cualquier tipo, tanto SR, LR, ER o ZR, como Twinax convencional. Nuestra propuesta de módulos SFP para realizar estos enlaces son módulos ópticos de calidad comprobada con la mejor relación calidad-precio, tales como:
- Módulo óptico SFP+ SR 10Gbs 850nm LC DDM MMF 300m (VSCEL+PIN) modelo LO-SP-10G-SR
- Módulo óptico SFP+ LR 10Gbs 1310nm LC DDM SMF 10km (DFB+PIN) modelo: LO-SP-10G-LR
- Módulo óptico SFP+ ER 10Gbs 1550nm LC DDM SMF 40km (EML+PIN) modelo LO-SP-10G-ER
- Módulo óptico SFP+ ZR 10Gbs 1550nm LC DDM SMF 80km, modelo LO-SP-10G-ZR
La flexibilidad de esta solución radica en la posibilidad de utilizar los switches tanto como unidades independientes como integrarlos en un único switch lógico gracias a la función VSF, es decir, enlazarlos en stack independientemente de la distancia física que separe las distintas ubicaciones.
Una configuración de este tipo en los equipos que trabajan en el core de nuestra red facilita considerablemente la gestión de toda la estructura, manteniendo al mismo tiempo la descentralización del equipo principal. También ofrece múltiples opciones para protegerse frente a fallos parciales del sistema.
La red de ejemplo que proponemos es solo una de las muchas posibilidades a la hora de construir un sistema de telecomunicaciones fiable. La amplia funcionalidad de los equipos de operador modernos brinda numerosas opciones a los arquitectos de sistemas de telecomunicaciones.
Para no perderte los próximos artículos, suscríbete al boletín o síguenos en:
