Artículo BIT
VoIP, una realidad. Convergencia: algo más que Voz sobre IP
VoIP, una realidad. Convergencia: algo más que Voz sobre IP La necesidad de las organizaciones de disminuir el coste total de operación de sus infraestructuras está impulsando la utilización de la red de datos para proporcionar servicios que anteriormente eran suministrados por otras infraestructuras. El más renombrado es quizás la Voz sobre IP, pero existen múltiples servicios que pueden ser implementados de esta forma. Para que dichos servicios puedan entregarse con la fiabilidad y la calidad necesarias, es imprescindible que la infraestructura de red que los soporta posea determinadas características. En este artículo se pasará revista a las mismas, analizándose asimismo su influencia en el negocio. Seguridad: La seguridad es actualmente el mayor problema a que se enfrentan las infraestructuras de red, siendo este hecho mucho más grave cuando pretendemos enviar tráfico multimedia a través de la misma: en efecto, los servicios multimedia no sufren ataques cuando se entregan vía tradicional. Sin embargo, la convergencia de tráficos implica que: – Los servicios tradicionales se entregan ahora bajo un interfaz IP Francisco García Director técnico Sur EMEA Enterasys Networks – La infraestructura de los mismos ya no es independiente, sino que se utiliza la infraestructura de datos. Estos aspectos implican que el tráfico multimedia es ahora susceptible de ser atacado, lo cual es muy grave puesto que los usuarios requieren una disponibilidad inmediata (mucho más allá de los cinco “9s”) de estos servicios. Por lo tanto, podemos decir que las redes convergentes precisan de unos requisitos mucho mayores en términos de seguridad. Ahora bien, ¿cómo podemos dotar de seguridad a estas redes?. Usualmente, la respuesta ha sido el establecimiento de zonas, interconectadas por un firewall, que prevenían el acceso a dichas zonas en función de determinadas políticas. Mientras esta aproximación es necesaria, no es ni mucho menos suficiente: ataques desde usuarios internos (por ejemplo porque hayan recibido un virus), la facilidad con que pueden establecerse conexiones a Internet sin atravesar el firewall y, en general, la imposibilidad de que un firewall pueda gestionar todo el tráfico de una de estas zonas hace necesario que la red participe activamente en la aplicación de políticas y criterios de seguridad. Para ello, la red debe ser capaz de: – Establecer una política de utilización aceptable de la misma. Es decir, el administrador de red debe ser capaz de decidir qué protocolos, aplicaciones, con qué ancho de banda, etc. Así, la política de utilización aceptable protegerá la red ante ataques de Denegación de Servicio, eliminará escaneos de la red, impedirá la utilización de protocolos no autorizados, establecerá limitaciones de tráfico para aplicaciones no críticas, etc. – Priorizar aplicaciones y servicios. En una situación en que existen múltiples aplicaciones en la red, es necesario establecer qué aplicaciones tienen prioridad sobre otras. Esta definición debe estar basada en quién accede a la red (ya que diferentes usuarios pueden necesitar acceder a las aplicaciones con diferentes requisitos), para cumplir con los SLA de la empresa. – Acceso diferenciado. La red debe ser capaz de identificar a los usuarios: en una organización, existen múltiples niveles de jerarquías, roles, perfiles. Es decir, cada usuario interactúa con los servicios de red de forma específica. Por lo tanto, la red debe ser capaz de identificar al usuario y aplicarle el perfil que le corresponda. De esta forma, el usuario no tendrá acceso a los recursos a que no esté autorizado. Respuesta dinámica frente a ataques. Uno de los más frecuentes problemas cuando se lanza un ataque es que normalmente no hay tiempo de reacción: los sistemas y las aplicaciones no funcionan y el administrador de red se ve abocado a tratar de discernir qué tipo de ataque está sufriendo (que muy bien puede ser un virus desconocido) bajo presión y sin elementos de juicio suficientes. Como resultado, normalmente cuando se corta el ataque el daño ya está hecho, además que el corte de dicho ataque implica parar gran número de servicios presentes en la red. Como hemos comentado anteriormente, los servicios de mismo. Una forma de reacción podría ser por ejemplo (dependiendo de la severidad del ataque), aislar al elemento atacante en una red de cuarentena, o cortar el puerto sobre el que se efectúe el ataque, o deshabilitar al usuario, o disminuir su ancho de banda, o…estas respuestas se definirán de acuerdo con las políticas de la empresa, pero la red debería ser capaz de aplicarlas de forma automática una vez que se detecta un ataque. Por otra parte, las redes actuales son cada vez más complejas, y el establecimiento de servicios de convergencia a través de las mismas tiende a complicarlas cada vez más. (Simplemente el hecho de introducir otros dispositivos, tales como teléfonos IP, videocámaras, etc duplican el número de nodos de la red). Además, podemos decir que los entornos son multifabricante. Es decir, convergencia precisan de una disponibilidad total, por lo que esta situación no es aceptable. De esta forma, la infraestructura de red no es previsible que un único fabricante sea capaz de entregar infraestructuras de red, soluciones de VoIP, soluciones de vídeo sobre IP, debe ser capaz de detectar que está ocurriendo un ataque y de reaccionar apropiadamente frente al aplicaciones corporativas, etc. Por lo tanto, existen una serie de criterios clave para la implementación de redes convergentes, que nombramos a continuación. Gestión automatizada de la red: La complejidad de los servicios y aplicaciones que se ejecutan en una red se incrementa constantemente, y ya hemos comentado que la incorporación de aplicaciones de convergencia en una red eleva en gran manera el número de nodos presentes en la misma. Por lo tanto, evaluar el impacto de una nueva aplicación de red es muy complicado. Además, si esta aplicación requiere un tratamiento específico o si es susceptible de modificar el patrón de tráfico de la red (aspectos ambos muy habituales en aplicaciones de convergencia) la situación es casi insostenible. Por otra parte, es frecuente que las aplicaciones se encuentren en la red compitiendo por el ancho de banda disponible. De esta forma, siempre saldrán perjudicadas algunas, y, por los requisitos antes comentados que tienen las aplicaciones convergentes, lo normal es que sean ellas mismas las perjudicadas. Sin embargo, es de destacar que, durante gran parte del tiempo, las redes presentan unos niveles de ocupación bajos, dándose el caso antes citado solamente en momentos puntuales, lo que no ha impedido que la solución “tradicional” a este hecho haya consistido en incrementar el ancho de banda de la red. No obstante, esta aproximación es cada vez más inapropiada, puesto que cada nueva incorporación requiere un incremento considerable de ancho de banda, el cual no siempre va a estar disponible en los momentos en que haya un pico de utilización de la red. Claramente, la solución a estos problemas no puede residir en una parametrización manual y constante de los recursos de la red. Antes bien, ya hemos comentado antes que la red debe ser capaz de proporcionar priorizaciones, anchos de banda VoIP, una realidad garantizados, etc. para aplicaciones críticas. De igual forma, es obvio que una red no responde igual si se halla en estado de congestión como si no. Por lo tanto, es preciso que la red sea gestionada desde un punto central, así como que puedan establecerse respuestas automáticas para proporcionar el mejor servicio. Integración con otros fabricantes (estándares): Constantemente están apareciendo nuevos sistemas y aplicaciones que permiten integrar en una red servicios que antes eran atendidos por otras infraestructuras o aplicaciones, y ya hemos comentado anteriormente que es utópico pensar que un único fabricante va a ser capaz de proporcionar todos los servicios que requerimos a nuestras TI. Por lo tanto, es preciso que la red sea capaz de adaptarse no solamente a los requisitos actuales sino a los futuros, permitiendo una fácil integración con otros fabricantes. El requisito básico para ello es la adopción de estándares: una red constituida por elementos estándares permitirá más fácilmente la integración con otras soluciones. Este hecho redunda en un menor coste de operación para el usuario, puesto que no se ve constreñido a utilizar soluciones propietarias que acaban encareciendo la solución final. Servicios de continuidad de negocio: La convergencia de redes implica tener muy en cuenta los servicios de continuidad del negocio, puesto que las aplicaciones de convergencia suelen ser críticas: el teléfono, la transmisión de señales de vídeo, el backup,…son actividades que afectan directamente a la productividad de la compañía, por lo que la red debe proporcionar soluciones para su correcto funcionamiento aún en caso de desastre. Es necesario establecer un plan en el cual se planteen claramente los servicios de continuidad del negocio en función de los requisitos del mismo. Estos servicios pueden incluir soluciones de almacenamiento alternativo en localizaciones remotas, soluciones alternativas de tráfico de voz, establecimiento de múltiples niveles de redundancia en redes y sistemas: equipos sin punto único de fallo, Internet, soluciones de VPNs, agregaciones de enlace, etc. Gestión de la convergencia. Los presupuestos en tecnología en las empresas son decrecientes en los últimos años. Sin embargo, como hemos visto anteriormente, la complejidad de las infraestructuras y el número de aplicaciones que se ejecutan en las redes es creciente. Una gestión adecuada de la convergencia requiere en primer lugar que la infraestructura sea capaz de detectar automáticamente los dispositivos de convergencia, es decir, cuando se conecte a la red un dispositivo de estas características (por ejemplo un teléfono IP, un terminal iSCSI,…), la red debe reconocerlo y autenticarlo. A continuación, la red debe ser capaz de tratar el tráfico proveniente de este dispositivo de forma adecuada. Lo que esto significa es que la red, una vez autenticado el dispositivo correspondiente, ha de ser capaz de utilizar un perfil de tráfico y, de forma automática, asignarlo a dicho dispositivo. De esta forma se consigue que la red pueda tratar de forma adecuada el tráfico proveniente de dispositivos multimedia. Es decir, priorizando tráfico, reservando ancho de banda, denegando accesos, etc. Conclusiones En este artículo se ha pasado revista a las necesidades que debe satisfacer una red para el soporte adecuado de redes convergentes. Como se ha mencionado, el tratamiento de estas aplicaciones a base de aumentar el ancho de banda simplemente no es válido, y conduce a graves problemas de ocupación de la red. La gestión de estas redes es vital, debido a su complejidad, por lo que es necesario que la red tenga la capacidad de establecer respuestas automáticas, lo que permitirá la implementación de redes seguras (otro requisito imprescindible como hemos visto) y adaptadas al negocio.
30 oct 2015