Enlace de respaldo y failover: que el corte dure segundos, no la mañana
Tener dos enlaces no es tener redundancia. Aparece cuando algo detecta la caída en segundos, mueve el tráfico solo, no lo devuelve antes de tiempo y alguien lo probó antes. Vijor Networks configura y prueba ese segundo camino desde 2009.
Compraste el segundo enlace y el día del corte igual se paró todo
Es el reclamo más frecuente sobre continuidad: la empresa pagó dos servicios dos años, llegó el corte y nadie trabajó hasta que un técnico movió el cable a mano. Las causas son cuatro. El equipo miraba si el puerto tenía luz, y la tenía mientras el proveedor estaba muerto más adentro. El segundo enlace era del mismo proveedor. Nadie probó la conmutación. O el respaldo llevaba meses caído.
Detectar la caída: por qué la luz del puerto no basta
El estado del puerto solo dice que el cable está conectado, no que el proveedor pueda alcanzar el internet. Esa es la falla más común: su equipo sigue encendido, tu puerto sigue en verde y el tráfico muere tres saltos más allá.
Lo que sí funciona son sondas activas contra destinos fuera de tu red y del proveedor:
- Dos o tres destinos públicos independientes por enlace. Si sondeas uno, el día que se cae declaras muerto un enlace sano.
- Mezcla de protocolos. Eco de red para lo rápido y una consulta cifrada ocasional al puerto 443, porque hay redes que filtran el eco y casi ninguna bloquea el 443.
- Un umbral de confirmación. Una sonda perdida no es una caída; tres consecutivas sí.
Cuando el enrutamiento se comparte con el proveedor existe además un protocolo de detección en el plano de reenvío que declara muerto a un vecino en uno o dos segundos, en vez de los tres minutos del temporizador por omisión.
Tres formas de tener dos enlaces, y cuál te corresponde
Dos salidas con traducción y métrica de ruta. El equipo elige la de menor métrica; cuando la sonda declara muerta la principal, la ruta se retira. Es la opción barata, con un límite duro: cada enlace tiene su dirección pública, y al conmutar todo lo establecido se corta.
Enrutamiento en red definida por software. El equipo mide cada camino y decide por aplicación: la voz por el de menor variación, el respaldo por el de más caudal. Un túnel cifrado sobre los dos enlaces mantiene una identidad estable hacia el otro extremo, y la sesión remota sobrevive al cambio. Es lo que convierte al cortafuegos Fortinet del borde en el mecanismo.
Anuncio del propio bloque a dos proveedores. La dirección pública es tuya y no cambia al conmutar, así que un servicio publicado sobrevive. Exige bloque propio y número de sistema autónomo.
Qué sobrevive al corte y qué no
Navegación y correo en la nube
Sobreviven casi siempre: el cliente abre una conexión nueva y se percibe una pausa. Por eso mucha gente cree que la conmutación quedó perfecta.
Llamadas en curso
Se caen si cambia la dirección pública. Las nuevas entran por el otro camino; con túnel sobre ambos enlaces la llamada sobrevive con un salto de audio.
Escritorio remoto y sistemas de la sede central
Es lo que más duele. Sin túnel estable la sesión muere y el usuario pierde lo no guardado; con túnel se restablece sola en segundos.
Servicios que publicas hacia afuera
Solo si la dirección pública no cambia. Si cambia, dependes del tiempo de vida del registro de nombre.
Cámaras, respaldos y actualizaciones
Ese es el riesgo: si no los limitas se comen el respaldo, que casi siempre es más pequeño.
El regreso al enlace principal
Cómodo hasta que el principal empieza a rebotar: cada rebote es otro corte. Se configura un tiempo de estabilidad antes de devolver el tráfico.
Cómo probamos la conmutación antes de que haga falta
Se define qué es una caída aceptable
Se escribe cuántos segundos tolera cada servicio. Sin ese número nadie sabe si la prueba salió bien.
Se desconecta el enlace principal a propósito
En horario acordado, con una llamada activa, una sesión remota y una descarga, y se cronometra cada una.
Se prueba la falla parcial, que es la difícil
El corte total es el caso fácil. El real es el enlace arriba con veinte por ciento de pérdida.
Se prueba el regreso
Se restaura el principal y se mide qué pasa al volver.
Se deja el respaldo bajo vigilancia permanente
Con sondas propias y alerta si deja de responder.
Se repite después de cada cambio
Un cambio de plan o una regla nueva rompen la conmutación en silencio. La prueba se repite y queda registrada.
El respaldo tiene que ser independiente de verdad
Contratar dos planes al mismo proveedor es la forma más cara de no tener respaldo: comparten divisor, cabecera y ruta.
Independencia significa no compartir nada que pueda romperse a la vez: otro proveedor, otra entrada física y otra tecnología. Un hilo terrestre más un enlace satelital de órbita baja cumplen esa condición por construcción.
El respaldo tampoco iguala al principal: basta con que sostenga lo esencial unas horas, y para saber cuánto es eso hay que haber medido qué consume la operación en su hora pico, sentido por sentido. Si el principal aún no está contratado, la decisión arranca en la comparación de arquitecturas ópticas, y el encendido de los dos caminos se coordina como se explica en instalación y puesta en marcha.
Para la vigilancia usamos un agente que revisa los enlaces las 24 horas y avisa cuando algo cambia; las personas atienden en días hábiles, dentro del horario de oficina. Esa parte está en agentes de IA.
Preguntas sobre respaldo y conmutación
¿Cuánto tarda en conmutar un enlace bien configurado?
Con sondas activas y umbrales razonables, un corte limpio se detecta en pocos segundos. Apretar los tiempos produce caídas falsas: hay un microcorte normal y el equipo conmuta sin motivo. Preferimos una detección estable de segundos a una de milisegundos que conmuta sola tres veces al día.
¿Se corta la llamada cuando conmuta?
Depende de si cambia tu dirección pública. En el esquema de dos salidas con traducción sí cambia, y la llamada en curso se cae aunque la siguiente entre bien. Con un túnel cifrado sobre los dos enlaces, la llamada sobrevive con un salto breve.
¿El enlace de respaldo puede ser más pequeño?
Sí, y casi siempre lo es. Lo que no puede es ser arbitrario: se calcula sobre lo que debe seguir funcionando durante la contingencia. Sobre el respaldo, el equipo limita copias a la nube, actualizaciones y video. Sin esa regla se satura en cinco minutos.
¿Cómo sé si mi respaldo está vivo?
Solo si alguien lo mide. Un enlace que no transporta nada no da señal cuando muere, así que la falla se descubre el peor día posible. Ponle sondas propias y una prueba programada que confirme que sigue tomando el tráfico.
¿Qué pasa con mi dirección pública al conmutar?
Cambia, salvo que anuncies un bloque propio a los dos proveedores. Importa si publicas algo hacia afuera o si terceros permiten tu dirección. El paliativo es bajar el tiempo de vida de los registros del nombre antes de un mantenimiento programado.
¿Y si el problema no es el enlace sino la red interna?
Pasa más de lo que parece, y la conmutación no lo arregla. Un bucle, una fuente que se apaga con el calor o un punto de acceso saturado dan el mismo síntoma. Si solo miras la salida, conmutarás enlaces sanos mientras la falla sigue adentro.
Dónde encaja esto
«Enlace de respaldo y failover» es una de las seis piezas sobre internet empresarial; el resto, Soluciones.
Probemos tu conmutación antes de que la pruebe un corte
Desconectamos el enlace principal en horario acordado y cronometramos qué se cae y cuánto tarda en volver. Sales con un número, no con una suposición.