Unidad 2.1: Componentes arquitectónicos básicos

Introducción

Piense en construir un centro de datos desde cero. Usted necesitaría provisionar servidores, configurar redes, configurar almacenamiento, proteger todo con firewalls y gestionarlo todo desde un solo plano de control. Ahora imagine hacer todo eso enteramente en software, donde usted puede crear, modificar y eliminar infraestructura en minutos en lugar de meses. Eso es exactamente lo que un Centro de Datos Virtual (VDC) le ofrece en IONOS Cloud.

En esta unidad, usted aprenderá sobre los componentes arquitectónicos fundamentales que componen IONOS Cloud. Usted descubrirá cómo los VDCs sirven como contenedores lógicos para todos sus recursos en la nube, cómo las regiones y zonas de disponibilidad proporcionan flexibilidad geográfica y alta disponibilidad, y cómo los fundamentos de la red permiten una comunicación segura dentro y entre sus entornos. Comprender estos componentes básicos es esencial antes de sumergirse en servicios específicos como computación, almacenamiento y bases de datos en unidades posteriores.

1. Centros de datos virtuales (VDCs)

En el corazón de la arquitectura de IONOS Cloud se encuentra el Centro de datos virtual. Un VDC es un contenedor lógico que agrupa todos los recursos en la nube que necesita para crear una infraestructura de TI de nivel empresarial. Piense en ello como su propio centro de datos privado, pero completamente virtualizado y gestionado a través de software.

1.1 ¿Qué es un Centro de datos virtual?

Según la documentación de IONOS, un Centro de datos virtual se define como "una colección de recursos en la nube utilizados para crear una infraestructura de TI de nivel empresarial. Los recursos de VDC incluyen los procesadores, la memoria, el espacio en disco y las redes a partir de las cuales se crean las máquinas virtuales".

Un VDC combina:

• Recursos de cómputo (procesadores, memoria)
• Recursos de almacenamiento (espacio en disco)
• Recursos de red (redes virtuales, direcciones IP)
• Controles de seguridad (cortafuegos, políticas de acceso)

Todos estos recursos se gestionan como una sola unidad a través de la Data Center Designer (DCD), la interfaz de gestión gráfica de IONOS Cloud. Cuando crea un VDC, en esencia está aprovisionando un centro de datos virtual completo que puede alojar sus aplicaciones, bases de datos y servicios.

1.2 Cómo los VDCs organizan los recursos

Cada VDC se crea en una región geográfica específica (como Berlín o Fráncfort), y todos los recursos dentro de ese VDC pertenecen a esa ubicación. Esta vinculación regional es importante para la soberanía de los datos, las consideraciones de latencia y los requisitos de cumplimiento.

Dentro de un VDC, los recursos se organizan jerárquicamente:

1. Nivel de contrato: El contenedor superior propiedad de su organización
2. Nivel de VDC: Centros de datos lógicos dentro de su contrato
3. Nivel de recurso: Servidores individuales, volúmenes de almacenamiento, redes y otros componentes de infraestructura

Esta jerarquía permite una estructura organizativa clara y un seguimiento de costos. Cada VDC aparece como un elemento de línea distinto en su factura mensual, lo que facilita la atribución de costos a proyectos, equipos o entornos específicos.

1.3 Gestión de VDC y control de acceso

El acceso a los VDCs se controla a través de IONOS Identity and Access Management (IAM). Los propietarios de contratos y administradores pueden crear VDCs, y pueden conceder permisos específicos a usuarios y grupos a nivel de VDC. Los permisos incluyen:

• Lectura: Ver recursos y configuraciones de VDC
• Edición: Modificar recursos de VDC
• Compartir: Conceder acceso a otros usuarios

Estos permisos se heredan de todos los recursos dentro del VDC, lo que proporciona un control de acceso centralizado. También puede establecer permisos más granulares a nivel de recurso individual cuando sea necesario, lo que admite el principio de privilegio mínimo.

2. Regiones y zonas de disponibilidad

IONOS Cloud opera centros de datos en múltiples ubicaciones geográficas. Es crucial entender cómo funcionan las regiones y las zonas de disponibilidad para diseñar arquitecturas de nube resistentes y conformes.

2.1 Regiones de IONOS Cloud

Una región es una ubicación geográfica donde IONOS opera uno o más centros de datos. Cada región es una implementación independiente con su propia infraestructura, red y servicios. Las regiones de IONOS Cloud incluyen:

Al crear un centro de datos virtual (VDC), usted selecciona una región, y todos los recursos en ese VDC deben residir en la ubicación elegida. Esta arquitectura regional admite varios casos de uso importantes:

• Soberanía digital: Mantener los datos dentro de fronteras geográficas específicas para cumplir con los requisitos legales y normativos
• Optimización de latencia: Implementar recursos cerca de sus usuarios para un mejor rendimiento
• Recuperación ante desastres: Distribuir cargas de trabajo en varias regiones para la continuidad del negocio

Es importante tener en cuenta que IONOS no replica automáticamente los datos entre regiones. Si necesita resistencia en varias regiones, debe implementar sus propias estrategias de replicación y copia de seguridad.

2.2 Zonas de disponibilidad dentro de las regiones

Dentro de cada región, la infraestructura de IONOS Cloud se divide en zonas físicas aisladas llamadas Zonas de Disponibilidad (AZ). Cada AZ se encuentra en una ubicación física separada (diferentes salas o zonas de incendio) dentro del centro de datos, con estantes, fuentes de alimentación y sistemas de enfriamiento independientes. Las AZ están interconectadas dentro de cada centro de datos a través de una red dedicada. Este aislamiento garantiza que una falla de hardware o un evento de mantenimiento en una AZ no afecte los recursos en otra AZ.

Normalmente, cada región admite al menos dos zonas de disponibilidad (AZ 1 y AZ 2). Al aprovisionar recursos como servidores o volúmenes de almacenamiento dentro de un VDC, puede asignarlos a zonas de disponibilidad específicas.

Distribuir sus recursos en varias AZ proporciona tolerancia a fallos a nivel de infraestructura. Por ejemplo, si ejecuta una aplicación web con servidores en ambas AZ 1 y AZ 2, su aplicación sigue disponible incluso si una zona de disponibilidad completa experimenta una interrupción. Esto es la base de la arquitectura de alta disponibilidad en IONOS Cloud.

2.3 Selección de regiones y zonas de disponibilidad

Al diseñar su arquitectura de nube, considere estos factores:

Para la selección de región:

• ¿Dónde se encuentran sus usuarios? (Elija regiones cerca de su base de usuarios)
• ¿Cuáles son sus requisitos de cumplimiento? (Algunas regulaciones exigen residencia de datos)
• ¿Necesita recuperación ante desastres entre regiones? (Planifique la implementación en varias regiones)

Para la distribución de zonas de disponibilidad:

• Distribuya las cargas de trabajo críticas en al menos dos AZ
• Coloque réplicas de bases de datos en diferentes AZ para alta disponibilidad
• Configure los equilibradores de carga para distribuir el tráfico entre AZ

Mientras que las zonas de disponibilidad protegen contra fallas a nivel de centro de datos, la implementación entre regiones protege contra desastres regionales. La mayoría de las cargas de trabajo de producción se benefician de la implementación en varias AZ dentro de una sola región, con la implementación entre regiones reservada para aplicaciones críticas que requieren el nivel más alto de resistencia.

3. Fundamentos de redes

La red es la base que conecta todos los recursos de su VDC. IONOS Cloud proporciona redes definidas por software que se comportan como redes físicas pero con las ventajas de flexibilidad y aislamiento de la virtualización.

3.1 Redes virtuales y LANs

Dentro de un VDC, usted crea Redes de Área Local (LANs) para interconectar sus máquinas virtuales y otros recursos. Estas LANs están completamente definidas por software y proporcionan un aislamiento de tráfico completo.

Como documenta IONOS, "Las redes virtuales funcionan exactamente como las redes físicas normales. Los datos transmitidos están completamente aislados de otras subredes y no pueden ser interceptados por otros usuarios." Cada LAN actúa como un segmento de Ethernet privado donde sus recursos pueden comunicarse de manera segura.

Usted puede crear dos tipos de LANs:

• LANs privadas: Redes internas que no son accesibles desde Internet. Los recursos en LANs privadas solo pueden comunicarse con otros recursos dentro de su VDC o VDCs conectados.
• LANs públicas: Redes que proporcionan conectividad a Internet. Los recursos en LANs públicas pueden llegar a servicios externos y pueden ser alcanzados desde Internet si se configuran con reglas de Firewall adecuadas.

Ambas LANs privadas y públicas admiten operación de pila doble, lo que significa que pueden manejar tanto tráfico IPv4 como IPv6 simultáneamente.

3.2 Direcciones IP y DHCP

Las direcciones IP se asignan a las tarjetas de red (NICs) en sus máquinas virtuales. Por defecto, IONOS Cloud asigna estas automáticamente utilizando DHCP, por lo que usualmente no necesita preocuparse por ello.

Direcciones IPv4:

• Sus redes privadas obtienen un bloque de direcciones para usar internamente.
• Las direcciones IPv4 dinámicas públicas se asignan automáticamente cuando una máquina se conecta a Internet.
• Si necesita una dirección pública permanente para algo, puede reservar una estática.

Direcciones IPv6:

• Cada entorno de nube obtiene un bloque grande de direcciones IPv6 públicas.
• De este bloque, puede crear redes más pequeñas para sus máquinas.
• Cada NIC obtiene su propia porción de direcciones, incluyendo una dirección principal.
• Las direcciones IPv6 son permanentes y no cambiarán incluso si reinicia su VM.

También puede elegir configurar direcciones manualmente en lugar de utilizar la asignación automática. Esto es útil para servicios importantes como DNS, equilibradores de carga o VPNs que necesitan una dirección fija.

3.3 Tarjetas de interfaz de red (NICs) y conectividad

Las máquinas virtuales se conectan a LANs a través de tarjetas de interfaz de red (NICs). Cada NIC puede estar conectada a una LAN y proporciona:

• Hasta 6 Gbps de rendimiento interno (tráfico dentro del VDC)
• Hasta 6 Gbps de rendimiento externo (tráfico hacia/desde Internet)

Una sola máquina virtual puede tener varias NICs, cada una conectada a diferentes LANs. Esta capacidad de multi-homing permite topologías de red avanzadas, como separar el tráfico de administración del tráfico de aplicaciones o crear zonas desmilitarizadas (DMZs) para servicios que se enfrentan al público.

3.4 Configuración de Firewall

Cada NIC puede tener un Firewall configurado directamente en la interfaz. Cuando activa un Firewall, elige la dirección del tráfico:

• Ingreso: Controla el tráfico entrante a la NIC
• Egreso: Controla el tráfico saliente de la NIC
• Bidireccional: Controla ambas direcciones

Por defecto, activar un Firewall bloquea todo el tráfico entrante. Luego, crea reglas de Firewall para permitir protocolos, puertos, direcciones de origen y direcciones de destino específicos. Los protocolos admitidos incluyen TCP, UDP, ICMP (ping IPv4), ICMPv6 (ping IPv6) y varios otros.

Sin embargo, IONOS recomienda utilizar Network Security Groups (NSGs) en lugar de cortafuegos basados en NIC para la mayoría de los casos de uso. Los NSGs proporcionan una gestión de Firewall centralizada y con estado que se puede aplicar consistentemente en múltiples VMs y NICs. Cubriremos los NSGs en detalle en la Unidad 2.6 sobre Servicios de Seguridad.

3.5 Cross Connect para la comunicación entre VDCs

Cuando necesita conectar varios VDCs, puede utilizar Cross Connect. Esta función crea enlaces privados basados en LAN entre VDCs en la misma región y contrato.

Cross Connect proporciona:

• Comunicación de alta banda y baja latencia sin atravesar Internet
• Aislamiento de tráfico completo de otros inquilinos
• Soporte para la replicación de recuperación ante desastres y el equilibrio de Workload entre VDCs

Cada LAN privado solo puede pertenecer a un Cross Connect, lo que garantiza un aislamiento de red limpio. Todos los VDCs que participan en un Cross Connect deben utilizar el mismo rango de direcciones IP para evitar conflictos de enrutamiento.

4. Mejores prácticas para la organización de recursos

Organizar adecuadamente los recursos dentro y entre los VDC es esencial para la eficiencia operativa, la gestión de costes y la seguridad.

4.1 Separación de recursos por función y entorno

Una práctica común es crear VDC separados para diferentes dominios lógicos:

• VDC central: Aloja servicios compartidos como firewalls, pasarelas VPN, monitorización y registro centralizado
• VDC de producción: Aloja aplicaciones en vivo y servicios que enfrentan a los clientes
• VDC de desarrollo: Aloja cargas de trabajo de desarrollo y pruebas
• VDC específicos del proyecto: Cada proyecto importante tiene su propio VDC para una atribución clara de costes

Esta separación proporciona varios beneficios:

• Informes financieros claros (cada VDC se factura por separado)
• Control de acceso simplificado (conceder a los desarrolladores acceso al VDC de desarrollo pero no a la producción)
• Reducción del radio de acción (un error en el desarrollo no puede afectar a la producción)

4.2 Centralización de la infraestructura compartida

En lugar de duplicar servicios comunes en cada VDC, implementarlos una vez en un VDC central y conectar otros VDC a través de Cross Connect. Esta centralización:

• Reduce los costes de licencia y operativos
• Garantiza políticas de seguridad coherentes en todos los entornos
• Simplifica la gestión y la monitorización

Por ejemplo, podrías implementar un dispositivo centralizado Firewall, VPN Gateway y un servicio de agregación de registros en su VDC central. Todos los demás VDC se conectan al VDC central a través de Cross Connect, enrutando su tráfico a través de la infraestructura de seguridad compartida.

4.3 Aplicación de controles de acceso con grupos

IONOS IAM admite grupos de usuarios, que son colecciones de usuarios con necesidades de acceso similares. Las mejores prácticas para utilizar grupos incluyen:

• Crear grupos que reflejen los roles organizacionales (por ejemplo, Network-Engineers, Database-Admins, Security-Team)
• Conceder permisos a grupos en lugar de a usuarios individuales
• Aplicar el principio de privilegio mínimo (conceder solo los permisos mínimos necesarios)
• Utilizar el privilegio "Acceso y gestión de recursos de Identity and Access Management" con cuidado, ya que permite a los usuarios gestionar objetos IAM

Cuando un usuario se une o abandona un equipo, simplemente se agrega o elimina del grupo correspondiente. Sus permisos se heredan automáticamente de la pertenencia al grupo, lo que hace que la gestión de acceso sea escalable y auditable.

4.4 Distribución de cargas de trabajo en zonas de disponibilidad

Para la resiliencia, siempre distribuya las cargas de trabajo de producción en al menos dos zonas de disponibilidad dentro de un VDC. Esto protege contra fallos a nivel de centro de datos. Ejemplos incluyen:

• Ejecutar servidores web en AZ 1 y AZ 2 con un Load Balancer que distribuye el tráfico
• Implementar réplicas de base de datos en diferentes AZ para alta disponibilidad
• Colocar el almacenamiento de copias de seguridad en una AZ separada de las cargas de trabajo principales

La colocación de la zona de disponibilidad se configura al crear recursos como servidores y volúmenes de almacenamiento. IONOS no equilibra automáticamente los recursos en las AZ, por lo que esto debe planificarse como parte del diseño de la arquitectura.

Casos de uso comunes

Escenarios del mundo real donde se utilizan los componentes arquitectónicos básicos de IONOS Cloud:

1. Aplicación web de varios niveles con alta disponibilidad: Una empresa de SaaS despliega su aplicación en tres VDC (desarrollo, ensayo, producción) en la región de Frankfurt. El VDC de producción distribuye los servidores web en la zona de disponibilidad 1 y la zona de disponibilidad 2, como se describe en la Sección 2.2, con una aplicación Load Balancer que enruta el tráfico entre zonas. El VDC central aloja servicios compartidos como VPN, registro centralizado y monitorización de seguridad, conectados a todos los entornos a través de Cross Connect, como se explica en la Sección 3.5. Esta arquitectura proporciona resistencia contra fallos de zona de disponibilidad, manteniendo al mismo tiempo una separación clara entre entornos.
2. Entrega de contenido global con residencia de datos regional: Una plataforma de comercio electrónico sirve a clientes en Europa y Norteamérica. La empresa crea VDC separados en las regiones de Frankfurt (de/fra) y Lenexa (us/mci), como se muestra en la Sección 2.1. Los datos de los clientes europeos permanecen dentro de los centros de datos de la UE para el cumplimiento de GDPR, mientras que el tráfico de Norteamérica se sirve desde la región de EE. UU. para una latencia más baja. Cada VDC regional abarca varias zonas de disponibilidad, siguiendo la estrategia de distribución de la Sección 2.2, lo que proporciona una alta disponibilidad localizada.
3. Arquitectura de seguridad centralizada para múltiples proyectos: Una empresa de servicios de TI gestiona la infraestructura para cinco proyectos de clientes diferentes. Crean un VDC central que contiene dispositivos Firewall compartidos y pasarelas VPN, además de cinco VDC específicos de proyecto (uno por cliente). Siguiendo el patrón de organización de recursos de las Secciones 4.1 y 4.2, todos los VDC de proyecto enrutan el tráfico a través de la infraestructura de seguridad del VDC central a través de Cross Connect. La empresa utiliza grupos IAM, como se describe en la Sección 4.3, para conceder a cada equipo de cliente acceso solo a su VDC de proyecto, garantizando así una completa isolación mientras se centraliza la gestión de la seguridad.

Resumen

En esta unidad, usted exploró los componentes arquitectónicos básicos que forman la base de IONOS Cloud. Aprendió que los Centros de Datos Virtuales (VDC) sirven como contenedores lógicos para todos sus recursos en la nube, proporcionando un equivalente definido por software de los centros de datos físicos. Descubrió cómo las regiones y zonas de disponibilidad de IONOS Cloud permiten la distribución geográfica, la soberanía digital y la tolerancia a fallos. Examinó los fundamentos de la red, incluyendo las LAN virtuales, la dirección IP, las NIC y la configuración de Firewall que permiten la comunicación segura dentro de su infraestructura. Finalmente, revisó las mejores prácticas para organizar recursos en VDC, utilizando grupos IAM para el control de acceso y distribuyendo cargas de trabajo en zonas de disponibilidad.

Estos componentes básicos trabajan juntos para proporcionar la flexibilidad, aislamiento y resiliencia necesarios para las implementaciones de nube empresariales. Comprender los VDC, las regiones, las zonas de disponibilidad y los fundamentos de la red lo prepara para tomar decisiones informadas sobre los servicios de computación, almacenamiento y otros servicios cubiertos en unidades posteriores.

Puntos clave:

• Los Centros de Datos Virtuales (VDC) son contenedores lógicos que agrupan recursos de computación, almacenamiento y red en una sola región geográfica
• Las regiones de IONOS Cloud proporcionan distribución geográfica en Europa y Norteamérica, mientras que las zonas de disponibilidad dentro de cada región permiten una arquitectura tolerante a fallos
• Las LAN virtuales proporcionan red de área local aislada dentro de los VDC, con soporte para direcciones IPv4 y IPv6
• Los recursos pueden estar conectados entre VDC utilizando Cross Connect, lo que permite servicios compartidos centralizados y distribución de Workload
• Las mejores prácticas incluyen separar entornos en VDC distintos, distribuir cargas de trabajo en zonas de disponibilidad y utilizar grupos IAM para el control de acceso
• Los límites regionales son estrictos (no hay replicación automática entre regiones), lo que requiere un diseño explícito para la resiliencia multi-región

Terminología importante:

• Centro de Datos Virtual (VDC): Un contenedor lógico para recursos en la nube, incluyendo computación, almacenamiento y red, vinculado a una región específica
• Región: Una ubicación geográfica donde IONOS opera centros de datos, como Berlín (de/txl) o Frankfurt (de/fra)
• Zona de disponibilidad (AZ): Una zona física aislada dentro de una región con energía, refrigeración y red independientes
• LAN (Red de Área Local): Una red virtual definida por software que conecta recursos dentro de un VDC, que admite conectividad privada y pública
• Tarjeta de Interfaz de Red (NIC): Un adaptador de red virtual que conecta una máquina virtual a una LAN
• Cross Connect: Un enlace privado y dedicado entre LAN en diferentes VDC dentro de la misma región y contrato
• Data Center Designer (DCD): La interfaz gráfica de IONOS Cloud para crear y administrar VDC y sus recursos

Próximos pasos

Continuar aprendiendo: Unidad 2.2: Servicios de computación

Temas relacionados:

• Unidad 3.1: Data Center Designer y administración de cuentas
• Unidad 3.2: Administración de identidad y acceso