Virtualice los controladores de dominio

Uno pensaría que la idea de virtualizar los controladores de dominio de Active Directory no sería un tema que requiriera discusión y, sin embargo, observo que la pregunta surge con regularidad sobre si los DC de AD deberían o no virtualizarse. En teoría, no hay necesidad de plantear esta pregunta porque disponemos de orientación mucho más general en la industria que nos indica que todas las cargas de trabajo posibles deberían virtualizarse, y AD ciertamente no presenta ningún caso especial con el cual crear una excepción a esta regla general y de larga data.

Curiosamente, la gente parece salir con regularidad en busca de aclaraciones sobre esta carga de trabajo en particular, sin embargo, y si uno busca malos consejos, seguro que alguien se los proporcionará. Montones de personas publican consejos que recomiendan servidores físicos para Active Directory, pero rara vez, o casi nunca, con alguna explicación de por qué recomendarían violar las mejores prácticas en absoluto, y mucho menos con una carga de trabajo tan rutinaria y bien conocida.

En cuanto a por qué quienes implementan DC de AD deciden que esto justifica una investigación específica en torno a la virtualización cuando ninguna otra carga de trabajo lo hace, no puedo responder. Pero tras muchos años de investigación sobre este fenómeno, sí tengo cierta perspectiva sobre el origen de los consejos imprudentes en torno a las implementaciones físicas.

El primer error proviene de un malentendido general acerca de qué es siquiera la virtualización. Esto es, lamentablemente, increíblemente común, y la gente muy a menudo piensa que virtualización significa consolidación, lo cual por supuesto no es así. Así que toman ese error y luego aplican la lógica falsa de que consolidación significa consolidar dos DC de AD en el mismo host físico. También requiere el salto de pensar que siempre habrá dos o más DC de AD, pero esta también es una creencia común. De modo que tres grandes errores de lógica se combinan para producir un consejo muy malo que, si se profundiza en las recomendaciones, normalmente se puede rastrear hasta su origen. Esta parece ser la raíz de la mayoría de los malos consejos.

Otras causas son a veces malentender las verdaderas mejores prácticas, como la frase “Si tienes dos DC de AD, cada uno debe estar en un host físico separado.” Esta afirmación nos dice que en este escenario deben usarse dos máquinas físicamente distintas, lo cual es absolutamente correcto. Pero no implica que ninguna de ellas deba carecer de un hipervisor, solo que se necesitan dos hosts diferentes. La redacción empleada para este tipo de consejos suele ser difícil de entender si no se posee el conocimiento previo de que bajo ninguna circunstancia es aceptable una carga de trabajo no virtual. Si se lee la recomendación con ese entendimiento, su significado resulta claro y, con suerte, obvio. Lamentablemente, esa recomendación a menudo se repite fuera de contexto, de modo que el significado subyacente puede perderse fácilmente.

Hace mucho tiempo, alrededor de una década atrás, algunas plataformas de virtualización tenían ciertos problemas en torno a la temporización y los relojes del sistema que podían causar estragos en los sistemas de bases de datos en clúster como Active Directory. Este fue un problema legítimo hace mucho tiempo, pero se resolvió hace mucho, como tenía que ser para muchas cargas de trabajo distintas. Sin embargo, se creó la percepción de que AD podría necesitar un tratamiento especial, y parece persistir aunque haya pasado una generación o dos en términos de TI desde que esto fue un problema y debería haberse olvidado hace mucho.

Otro mito que conduce a malos consejos tiene su raíz en el hecho de que los DC de AD, al igual que otras bases de datos en clúster, cuando se utilizan en modo de clúster no deberían someterse a instantáneas, ya que esto fácilmente creará corrupción en la base de datos si solo se restaura de esa manera un nodo del clúster. Esto es, no obstante, un aspecto general del almacenamiento y de las bases de datos, y no está relacionado en absoluto con la virtualización. La misma información es necesaria para los DC de AD físicos por igual. Que las instantáneas se asocien con la virtualización es otro mito; la virtualización no implica tal artefacto de almacenamiento.

Aún otros mitos surgen de la creencia de que la virtualización debe depender del propio Active Directory para funcionar y que, por lo tanto, AD tiene que ejecutarse sin virtualización. Esto es completamente un mito y un sinsentido. No existe tal requisito circular.

Lamentablemente, algunas áreas de la tecnología han dado lugar a mitos a gran escala, a menudo muchos de ellos, que las rodean y pueden dificultar discernir la verdad. La virtualización es lo suficientemente compleja como para que muchas personas intenten aprender no solo cómo usarla, sino qué es conceptualmente, de memoria, dando lugar a concepciones erróneas a veces disparatadas que están tan alejadas de la realidad que puede resultar difícil darse cuenta de que eso es realmente lo que estamos viendo. Y en un caso como este, las concepciones erróneas en torno a la virtualización, la historia, las bases de datos en clúster, las técnicas de alta disponibilidad, el almacenamiento y más se suman, capa sobre capa, dificultando comprender cómo tantas cosas pueden converger en torno a una sola cuestión de implementación.

Al final del día, pocas cargas de trabajo están tan idealmente adecuadas para la virtualización como los controladores de dominio de Active Directory. No existe caso alguno en el que deba considerarse la idea de usar una implementación de sistema operativo físico bare metal para un DC; virtualice siempre.