🧠 Clustering - Agrupamiento y Redundancia Inteligente

1. Alegoría 

Imagina un grupo de chefs trabajando en una cocina de un restaurante 24/7. Cada uno tiene su estación y está capacitado para replicar el plato estrella. Si uno se corta o se siente mal, otro inmediatamente toma su lugar sin que el cliente note el cambio. Para el comensal, la experiencia no cambia. La cocina sigue funcionando como si nada hubiera pasado.

Esto es exactamente lo que hace la agrupación en clústeres y los sistemas de alta disponibilidad: garantizar que aunque falle uno de los servidores (chefs), otro tome el relevo de forma transparente y automática, garantizando que el "plato" (servicio) llegue al cliente sin errores ni demoras.

2. Definición técnica clara y concisa

La agrupación en clústeres (Clustering) permite que varios nodos redundantes compartan datos y acepten conexiones como si fueran un solo servidor. Si uno falla, otro asume el control (failover), garantizando la alta disponibilidad (High Availability - HA).

Este enfoque suele complementarse con balanceadores de carga (Load Balancers) y protocolos como:

• Dirección IP flotante – Virtual IP (VIP)

• Protocolo de Redundancia de Direcciones Comunes – Common Address Redundancy Protocol (CARP)

3. Objetivo estratégico que cumple esta técnica

Garantizar la alta disponibilidad, reducción del tiempo de inactividad y continuidad de negocio (Continuity of Operations Plan – COOP) ante fallos de hardware, actualizaciones o ataques.

4. Términos clave

• Alta disponibilidad – High Availability (HA)

• Redundancia – Redundancy

• Agrupación en clústeres – Clustering

• IP flotante / compartida – Virtual IP (VIP)

• Conmutación por error – Failover

• Protocolo de redundancia de direcciones comunes – CARP

• Sitio activo/cálido/frío – Hot/Warm/Cold Site

• Balanceo de carga – Load Balancing

• Tolerancia a fallos – Fault Tolerance

5. Ejemplos prácticos reales

• Un clúster de bases de datos con dos nodos: si el primario falla, el secundario toma el control sin pérdida de datos.

• Dos balanceadores de carga con una VIP, gestionados por CARP: si el activo cae, el otro toma su lugar.

• Clúster activo/activo de servidores web: ambos reciben tráfico. Si uno cae, el otro lo absorbe.

6. Buenas prácticas y cómo aplicarlas

🔹 Utiliza configuraciones activo/pasivo (A/P) o activo/activo (A/A) según tus necesidades:

• A/P = estabilidad y seguridad.

• A/A = rendimiento, pero requiere más control.

🔹 Configuraciones N+1 o N+M reducen costes:

• N+1: un solo nodo pasivo para varios activos.

• N+M: algunos nodos pasivos para un conjunto activo más grande.

🔹 Replicación de estado de sesión en clústeres de aplicaciones:
Evita pérdida de sesión para usuarios activos.

🔹 Monitorea el latido (heartbeat) entre nodos:
El latido permite al sistema saber si un nodo está activo o si debe activarse otro.

7. Riesgos y malas implementaciones frecuentes

⚠️ No configurar correctamente el protocolo de conmutación por error (failover) → puede resultar en caídas totales de servicios.
⚠️ Ignorar el latido (heartbeat) entre nodos → no hay conmutación por error efectiva.
⚠️ No sincronizar las sesiones de usuario → pérdida de estado en servicios web.
⚠️ No aplicar las mismas políticas de seguridad a nodos redundantes → vulnerabilidades duplicadas.

8. Herramientas, tecnologías y protocolos relacionados

• CARP – Protocolo de redundancia

• Keepalived – Gestión de VIPs y HA en Linux

• HAProxy – Balanceador de carga de alta disponibilidad

• Pacemaker + Corosync – Clustering en Linux

• Microsoft Failover Clustering – Solución integrada en Windows Server

• AWS ELB (Elastic Load Balancing) – Cloud HA

• VMware vSphere HA – Alta disponibilidad para VMs

9. Aplicaciones reales y escenarios de uso

• Servicios financieros: los sistemas de trading no pueden permitirse ni 1 segundo de caída.

• Servicios de salud: historiales clínicos y sistemas de urgencias deben ser accesibles 24/7.

• Plataformas web con miles de usuarios concurrentes: clúster activo/activo con VIP para garantizar experiencia fluida.

10. Relación con otras capas y principios del modelo CIA

🔐 Disponibilidad (Availability):
Es el pilar central aquí: asegurar que el sistema está siempre operativo ante fallos.

🧱 Integridad (Integrity):
Si hay replicación en clústeres de base de datos, es crucial garantizar consistencia entre nodos.

🔒 Confidencialidad (Confidentiality):
Los nodos redundantes deben mantener las mismas configuraciones de seguridad y cifrado.

Parte 2

Imagina una feria medieval. Hay varios cocineros (servidores) que preparan banquetes para los visitantes. Un organizador (balanceador de carga) reparte los pedidos entre los cocineros para que todos trabajen sin sobrecarga. Pero si uno se desmaya (falla), otro cocinero toma sus pedidos automáticamente, sin que los invitados se den cuenta.

Esto solo es posible si todos los cocineros comparten la misma receta y saben en qué punto estaba el plato anterior: eso es agruparse en clúster con tolerancia a fallos y sesiones compartidas. Si además hay dos organizadores por si uno se desmaya también… tienes una verdadera infraestructura de alta disponibilidad.

2. DEFINICIÓN TÉCNICA

🔹 Agrupación en clústeres – Clustering

Es una técnica de alta disponibilidad (HA) en la que múltiples nodos funcionan como una sola unidad lógica. Si uno falla, otro asume sus funciones de forma automática (conmutación por error - failover).

🔹 Balanceador de carga – Load Balancer

Dispositivo o software que reparte el tráfico entrante entre nodos disponibles para mejorar el rendimiento y evitar sobrecargas.

🔹 IP virtual (VIP) – Virtual IP

Una IP compartida por múltiples nodos dentro de un clúster. A través de protocolos como CARP (Common Address Redundancy Protocol), los nodos pueden conmutarse el control en caso de fallo.

🔹 Configuraciones comunes:

• Activa/pasiva (A/P): Solo un nodo está activo. El otro espera para tomar el relevo. Más seguro, pero más costoso.

• Activa/activa (A/A): Todos los nodos procesan tráfico. Mejor uso de recursos, pero más riesgo de degradación si uno falla.

🔹 N+1 y N+M:

• N+1: Un nodo de respaldo para varios nodos activos.

• N+M: Varios nodos de respaldo para varios nodos activos. Escalable y rentable.

3. TÉRMINOS CLAVE

• Agrupación en clústeres – Clustering

• Conmutación por error – Failover

• Alta disponibilidad – High Availability (HA)

• Balanceador de carga – Load Balancer

• IP virtual – Virtual IP (VIP)

• Redundancia – Redundancy

• Protocolo de redundancia de direcciones comunes – Common Address Redundancy Protocol (CARP)

4. EJEMPLOS PRÁCTICOS

• Clúster de base de datos MySQL con VIP y conmutación automática.

• Balanceo de carga con HAProxy para servidores web.

• Clúster activo/activo de servidores de aplicaciones Tomcat compartiendo sesión.

5. RIESGOS SI NO SE IMPLEMENTA

• Punto único de fallo en servidor o aplicación.

• Caídas de servicio durante actualizaciones o mantenimiento.

• Pérdida de sesiones de usuario.

• Tiempo de recuperación inaceptable en entornos críticos.

6. BUENAS PRÁCTICAS EXPLICADAS

1. Usar VIPs con protocolos de redundancia como CARP
   → Permite que una IP flotante sea asumida automáticamente por otro nodo.

2. Mantener nodos sincronizados en datos y sesiones
   → Para que los clientes no pierdan sus sesiones al cambiar de nodo.

3. Probar conmutaciones periódicamente (failover drills)
   → Verifica que la tolerancia a fallos realmente funciona.

4. Monitorizar latidos (heartbeats) entre nodos
   → Así se detectan fallos en tiempo real.

5. Optimizar el uso de recursos (N+1 o N+M)
   → Reduce costes sin sacrificar redundancia.

7. CHECKLIST DE CONFIGURACIÓN DE UN CLÚSTER DE ALTA DISPONIBILIDAD

✅ Selección del tipo de agrupación (A/P o A/A)
✅ Configuración del balanceador de carga con VIP
✅ Implementación de protocolo de redundancia (ej. CARP)
✅ Sincronización de datos o sesiones entre nodos
✅ Pruebas de failover regulares
✅ Monitorización activa y alertas
✅ Documentación y entrenamiento del equipo

9. APLICACIÓN EN LA VIDA REAL

• Clústeres en hospitales para sistemas de atención urgente.

• Infraestructuras bancarias que no pueden permitir ningún segundo de caída.

• Plataformas de e-commerce durante eventos como Black Friday.

10. CONCLUSIÓN

El agrupamiento (clustering) no solo da continuidad. Es una filosofía de diseño resiliente, donde nada depende de una sola instancia. Si construyes como piensa un CISO: todo debe fallar elegantemente y recuperarse sin drama. Esto es seguridad real en arquitectura.

🧪 Ejercicios Purple Team — Clustering & Alta Disponibilidad

🧩 Nivel Avanzado: Fallo de nodo activo en clúster A/P

🔴 Red Team – Ataque
Simula una sobrecarga DoS sobre el nodo activo de un clúster activo/pasivo, sabiendo que el heartbeat está mal configurado y puede retrasar la conmutación por error.
Objetivo: Causar indisponibilidad del servicio simulando que el nodo pasivo no toma el relevo.

🔵 Blue Team – Defensa
Implementa vigilancia del heartbeat y failover automático con Pacemaker y Corosync. Añade alertas en el SIEM si no hay respuesta del nodo primario en 2 latidos consecutivos. Usa Wazuh para monitorizar CPU y red, detectando anomalías de carga.

🟣 Purple Team – Coordinación
Después del test, el equipo Purple valida los tiempos reales de conmutación y optimiza el umbral de latidos para una respuesta más rápida. Además, establece un playbook de incidentes con pruebas semanales de failover y supervisión proactiva del canal de latido.

🧩 Nivel Experto: Inyección de inconsistencia en clúster A/A

🔴 Red Team – Ataque
Infiltra un servidor del clúster activo/activo mediante RCE y altera directamente las configuraciones compartidas de una aplicación o los datos de una base SQL. El objetivo es crear inconsistencias entre nodos que no se detecten hasta provocar corrupción total o fuga de información.

🔵 Blue Team – Defensa
Se implementan sistemas de verificación cruzada entre nodos con Tripwire o Osquery. Se activa la respuesta automática para aislar el nodo comprometido y se recuperan datos desde un snapshot válido replicado.

🟣 Purple Team – Coordinación
El Purple Team documenta la brecha, evalúa la replicación inconsistente y establece controles de integridad entre los nodos. Integra auditoría de eventos compartidos y despliega mecanismos de alerta temprana en ELK o Splunk para detectar drift entre nodos del clúster.

🧩 Nivel Maestro: Split-brain y manipulación de IP virtual

🔴 Red Team – Ataque
Usa ARP spoofing y manipulación de protocolos como VRRP o CARP para interrumpir la red privada entre los nodos del clúster. Esto genera una condición de split-brain, donde ambos nodos creen tener control sobre la IP virtual y empiezan a aceptar tráfico en paralelo → caos y corrupción.

🔵 Blue Team – Defensa
Detecta tráfico ARP anómalo mediante Zeek o Suricata, y fuerza la caída de uno de los nodos usando fencing automático (stonith). Protege el canal de heartbeat con cifrado TLS y segmentación de red con VLANs dedicadas.

🟣 Purple Team – Coordinación
Crea un entorno de prueba para recrear y entender el split-brain. Mejora la resiliencia:

• refuerza la red con switches dedicados,

• ajusta protocolos de quorum para evitar doble activación,

• define planes de rollback y fencing seguro.
  Además, el equipo establece pruebas mensuales automatizadas de esta condición crítica.

🛡️ Ronda de Ejercicios Purple Team: Clustering & High Availability (HA)

🔴 Red Team (Atacante)

Objetivo: Interrumpir la disponibilidad del sistema aprovechando errores en la configuración de la redundancia.

🔹 Nivel Avanzado

Escenario: El atacante detecta que la conmutación por error no está bien configurada.
Técnica: Mediante un DoS (Denial of Service), satura el nodo principal para provocar su caída, confiando en que el nodo pasivo no tome el control correctamente.
Herramienta: hping3, slowloris, LOIC.

🔹 Nivel Experto

Escenario: El atacante encuentra desincronización entre nodos activos de un clúster activo/activo.
Técnica: Modifica datos en uno de los nodos (por ejemplo, archivos de configuración o entradas en una base de datos), provocando corrupción de datos o inconsistencia.
Herramienta: SQLmap, Metasploit con módulo RCE, Burp Suite.

🔹 Nivel Maestro

Escenario: El atacante explota la gestión débil del protocolo de latido (heartbeat) entre nodos.
Técnica: Mediante ARP Spoofing y falsificación de paquetes, interfiere en la red privada que une los nodos para evitar que detecten el fallo correctamente.
Resultado: Se produce una situación de split-brain, donde dos nodos creen ser el primario simultáneamente.
Herramientas: arpspoof, ettercap, scapy.

🔵 Blue Team (Defensa)

Objetivo: Detectar, bloquear y mitigar ataques que intentan romper la HA y provocar interrupciones del servicio.

🔹 Nivel Avanzado

Acción: Implementa monitorización de latido (heartbeat) entre nodos y alertas SIEM cuando el tráfico del clúster se interrumpe.
Herramienta: Zabbix, Nagios, Wazuh.

🔹 Nivel Experto

Acción: Aplica chequeo de integridad cruzada en clústeres activo/activo para detectar manipulación de datos en tiempo real.
Herramientas: Tripwire, Osquery, Auditd.

🔹 Nivel Maestro

Acción: Configura un sistema de detección de ataques a nivel de red en el canal de heartbeat (latido). Si detecta spoofing o manipulación, corta automáticamente la conexión comprometida y fuerza la conmutación segura.
Herramienta: Suricata, Zeek, integración con iptables o firewalld.

🟣 Purple Team (Orquestación)

Objetivo: Validar las medidas defensivas y afinar la arquitectura de HA para que sea resistente incluso bajo ataque.

🔹 Nivel Avanzado

Acción: Realiza pruebas de conmutación por error controladas con monitoreo activo, validando que el nodo pasivo tome el control sin interrupción de servicio.
Herramienta: Keepalived, Pacemaker.

🔹 Nivel Experto

Acción: Simula ataques de corrupción de datos en clúster activo/activo y mide la consistencia tras failover. Corrige configuraciones de replicación.
Herramienta: Chaos Monkey, etcd, Galera Cluster.

🔹 Nivel Maestro

Acción: Diseña un entorno de laboratorio realista con balanceadores, nodos activos/pasivos, VIP y scripts de ataque para validar la arquitectura frente a split-brain, degradación del rendimiento y failover.
Resultado esperado: Documentación exhaustiva, hardening automatizado y lecciones aprendidas integradas en playbooks.
Herramientas: Terraform + Ansible + Grafana + Wireshark.