Tu web responde desde fuera: ¿cómo sabes que nada por dentro está atascado?
En resumen
Una web pública no dice nada del servidor, del almacenamiento ni de la máquina que de verdad hace funcionar el negocio: ninguno es alcanzable desde fuera. Vigilarlos significa preguntar desde dentro de la red, y el límite honesto es que un aparato que responde no es lo mismo que un aparato que está haciendo su trabajo.
Pregúntale a casi cualquiera si sus sistemas están en pie y te hablará de la web. Es la parte que tiene dirección pública, la parte que se puede comprobar desde cualquier sitio, y es una fracción pequeña de aquello con lo que funciona de verdad el negocio.
El servidor de ficheros no tiene dirección pública. Tampoco la tienen el almacenamiento, el anfitrión de virtualización, la impresora que saca los albaranes, la pasarela del cuarto técnico ni la máquina del taller que lleva haciendo el mismo trabajo desde 2019. Nada en internet puede ver ninguno de ellos. Es una decisión de seguridad deliberada y correcta, y tiene una consecuencia: no puedes comprobarlos desde fuera, así que la mayoría de la gente no los comprueba en absoluto.
¿Qué significa “dentro de la red” en la práctica?
Algo pequeño que vive en la misma red y hace las preguntas por ti: un aparato ligero en una máquina que te sobra, una máquina virtual o simplemente un agente en un equipo Linux que ya tienes.
Lo que lo hace aceptable es la dirección del tráfico. Abre una conexión HTTPS saliente, igual que hace un navegador, y no se abre nada hacia dentro: ni redirección de puertos, ni VPN, ni dirección pública fija. Las redes en las que “¿podéis abrir un puerto?” cierra la conversación son exactamente las redes en las que esto tiene que funcionar.
Una vez está ahí, puede preguntar por la alcanzabilidad de cualquier cosa que tenga dirección y —donde le des credenciales— por números reales: procesador, memoria, disco y carga en máquinas Linux y Windows, valores SNMP de almacenamiento, conmutadores, impresoras y SAI, el estado de los anfitriones de virtualización y de las controladoras de gestión de los servidores. Si quieres, puede mirar en los rangos de red que declares y proponerte lo que encuentre, para que no tengas que teclear direcciones sacadas de una hoja de cálculo.
¿De qué fallo estamos hablando en realidad?
Del aparato que responde perfectamente mientras no hace nada: la alcanzabilidad es la mitad fácil, y esta es la mitad cara.
Una pasarela delante de un sistema de automatización del edificio contestará tan contenta en su dirección de red con el bus que tiene detrás muerto. Un punto de dato dejado en estado forzado o fuera de servicio informa de un valor verosímil para siempre. Una importación que se paró hace tres semanas deja un servicio que sigue respondiendo al instante a cada petición, porque no tiene nada que hacer. En los tres casos el punto está verde y el trabajo no se está haciendo.
Hay una forma honesta de cazar esto y una deshonesta. La deshonesta es afirmar que un sistema de monitorización puede saber, desde fuera, que un aparato está haciendo su trabajo. No puede. La honesta es hacer que el propio trabajo produzca un número: qué antigüedad tiene el último fichero procesado, cuántos elementos están esperando, cuántos minutos hace que un valor cambió por última vez. Ya tienes un comando capaz de imprimir eso, o puedes escribir uno en cinco líneas. Un monitor de métricas puede ejecutar hasta ocho comandos tuyos y convertir cada número impreso en un valor vigilado con un umbral de advertencia y un umbral de alarma.
En eso consiste todo el truco, y merece la pena decirlo sin rodeos: nosotros no detectamos que tu sistema haya dejado de funcionar. Vigilamos un número que produce tu sistema, y ese número deja de moverse.
Qué hacer esta semana
- Escribe la lista de aquello sin lo cual el negocio se pararía, y marca cuáles de esas cosas tienen dirección pública. Las que queden sin marcar son el hueco.
- Pon una sonda dentro de la red y empieza por la alcanzabilidad de todo lo de esa lista. Se hace en una tarde y ya cambia la conversación.
- Añade credenciales donde las tengas, para que las máquinas importantes informen con números en lugar de con un punto.
- Elige el único proceso cuyo fallo silencioso haría más daño y haz que imprima un número: antigüedad de un fichero, profundidad de una cola, minutos desde el último cambio. Vigila ese número.
- Asegúrate de que la propia sonda está vigilada, para que el silencio desde dentro signifique algo.
La monitorización desde fuera te dice lo que pueden ver tus clientes. La de dentro te dice si el negocio sigue funcionando. No son la misma pregunta, y normalmente solo se hace una de las dos.
Lo que no podemos decirte
- No podemos ver un aparato que no publica nada: si no hay forma de preguntarle, lo único que podemos decirte es si responde en la red o no.
- No podemos leer un bus de automatización del edificio o de domótica —KNX, BACnet y similares—: hoy vemos la pasarela que tiene delante, no el bus que hay detrás.
- No podemos decirte por nuestra cuenta que un valor se ha congelado. Si un comando tuyo imprime cuánto hace que algo cambió por última vez, vigilamos ese número y avisamos; el cálculo tiene que venir de tu lado.
- No podemos descubrir lo que no has declarado: la sonda mira solo en los rangos de red que le das, y solo si activas el descubrimiento.
Las preguntas que se hacen de verdad
¿Por qué un servicio de fuera puede estar bien y algo de dentro estar muerto?
Porque son máquinas distintas haciendo trabajos distintos. La web pública es la pequeña parte del negocio que da a internet. El servidor de ficheros, el almacenamiento, el anfitrión de virtualización, la máquina que imprime los albaranes: ninguno está expuesto, y es a propósito, así que nada en internet puede decirte nada sobre ellos. Su silencio no es prueba de salud, solo de que no se les puede alcanzar.
¿Tengo que abrir puertos o montar una VPN para esto?
No, y no deberías tener que hacerlo. Una sonda pequeña dentro de la red abre una conexión HTTPS saliente y nada más: ningún puerto entrante, ninguna VPN, ninguna dirección fija. Es la misma dirección de tráfico que la de un navegador, y por eso funciona en redes donde abrir cualquier cosa está descartado.
¿Qué puede preguntarle de verdad a un servidor o a un equipo?
Alcanzabilidad de cualquier cosa que tenga dirección; y, con credenciales, números reales: procesador, memoria, disco y carga en Linux por SSH, el equivalente en Windows, valores SNMP de almacenamiento, impresoras, conmutadores y SAI, y el estado de los anfitriones de virtualización y de las controladoras de gestión de los servidores. Cada uno de ellos es un número con un umbral, un gráfico y un historial, no un punto rojo o verde.
¿Cómo cazo lo que responde pero ha dejado de funcionar?
Vigilando un número que solo se mueve cuando el trabajo está ocurriendo: la antigüedad del último fichero procesado, la profundidad de una cola, cuánto hace que un valor cambió por última vez. En un monitor de métricas puedes ejecutar hasta ocho comandos tuyos, y el número que imprima cada uno se convierte en un valor vigilado con umbral de advertencia y umbral de alarma. Así es como se hace visible una tarea que se paró en silencio.
¿Cuántos monitores necesita un servidor?
En la práctica, de dos a cuatro: uno que cubra procesador, memoria y disco juntos, más uno por cada servicio que importe dentro de él. Como orientación aproximada, cincuenta monitores cubren algo así como de quince a veinticinco servidores, que es lo útil cuando estás calculando qué plan te encaja antes de instalar nada.
¿Qué pasa si la sonda pierde la conexión?
Sigue comprobando y guarda los resultados en local, y luego los reenvía cuando el enlace vuelve, de modo que el historial no tiene agujeros y la caída no se le echa a tus servicios. Y una sonda que deja de informar es en sí misma un aviso: el silencio tiene que significar algo, o no significa nada.