CARP (Common Address Redundancy Protocol): redundancia de alta disponibilidad en servidores de tiempo Elproma NTS-3000/4000/5000

Introducción

En infraestructuras críticas —centros de datos, redes de telecomunicaciones, entornos financieros, subestaciones eléctricas o sistemas SCADA— la sincronización horaria no es un servicio accesorio: es una dependencia estructural. Protocolos como NTP, PTP/IEEE 1588 o SNMP para monitorización dependen de una referencia de tiempo estable y, sobre todo, disponible en todo momento. Un fallo en el servidor de tiempo maestro puede desincronizar logs, transacciones, disparos de protecciones eléctricas o marcas temporales de eventos de seguridad, con consecuencias que van desde la pérdida de trazabilidad hasta el incumplimiento normativo.

Para eliminar ese punto único de fallo, los servidores de tiempo Elproma NTS-3000, NTS-4000 y NTS-5000 incorporan soporte nativo para CARP (Common Address Redundancy Protocol), un protocolo de redundancia de capa de red que permite desplegar dos (o más) equipos en configuración activo-pasivo compartiendo una única IP de servicio. En este artículo explicamos qué es CARP, cómo funciona a nivel técnico y cómo se implementa concretamente en la familia NTS-x000 de Elproma.

¿Qué es CARP?

CARP es un protocolo de red que permite que varios hosts en la misma red local compartan un conjunto de direcciones IP, con el objetivo principal de proporcionar redundancia ante fallos (failover), especialmente en firewalls, routers y, en este caso, servidores de tiempo. En determinadas configuraciones, CARP también puede ofrecer funcionalidades de balanceo de carga, aunque en el caso de los servidores NTS-x000 su uso está orientado casi exclusivamente a alta disponibilidad.

Funcionalmente, CARP es equivalente a otros protocolos de redundancia de puerta de enlace bien conocidos en el mundo de networking:

• VRRP (Virtual Router Redundancy Protocol), estándar IETF ampliamente usado en equipos multivendor.
• HSRP (Hot Standby Router Protocol), protocolo propietario de Cisco Systems.

CARP nació en el ecosistema BSD (OpenBSD) como alternativa libre de patentes a VRRP, y desde entonces se ha portado a otros sistemas, incluyendo implementaciones para Linux (ucarp). Su diseño ligero y su independencia de licencias lo convierten en una opción atractiva para fabricantes de appliances de red como Elproma.

Cómo funciona CARP a nivel técnico

El principio de funcionamiento de CARP es el mismo que el de cualquier protocolo de redundancia de primer salto (First Hop Redundancy Protocol, FHRP):

1. IP virtual compartida. Se define una dirección IP «virtual» que no pertenece físicamente a ningún equipo, sino al grupo de redundancia. Los clientes de la red (en este caso, los dispositivos que consultan la hora vía NTP/PTP) apuntan siempre a esa IP compartida, nunca a la IP física de cada servidor.
2. Grupo de redundancia (VHID). Cada grupo CARP se identifica mediante un VHID (Virtual Host ID), un número único de 1 a 255 que debe coincidir en todos los nodos que participan en ese grupo. Esto permite tener varios grupos CARP independientes en la misma red sin que se interfieran entre sí.
3. Elección de maestro mediante anuncios periódicos. Los nodos del grupo se comunican mediante anuncios CARP periódicos, autenticados con una contraseña compartida (idéntica en todos los miembros del grupo). La frecuencia de estos anuncios se controla con el parámetro advbase (segundos entre anuncios, por defecto 1 segundo, configurable de 1 a 255).
4. Prioridad mediante advskew. El parámetro advskew determina qué nodo se prefiere como maestro: cuanto más alto es su valor, menos prioritario es el host para asumir el rol maestro. Esto permite establecer de forma determinista qué servidor NTS actúa como principal y cuál como respaldo, en lugar de dejarlo al azar.
5. Conmutación automática (failover). Mientras el nodo maestro sigue enviando sus anuncios CARP con normalidad, el nodo de respaldo permanece en modo pasivo, sin responder tráfico en la IP virtual. Si el maestro deja de anunciarse (por caída de hardware, corte eléctrico, fallo de firmware o desconexión de red), el nodo de respaldo detecta la ausencia de anuncios y asume automáticamente la IP compartida, sin intervención manual y sin que los clientes NTP/PTP necesiten reconfiguración alguna: siguen consultando la misma IP de siempre.

Esta arquitectura es la razón por la que CARP resulta especialmente adecuado para servidores de tiempo: la conmutación es transparente para toda la infraestructura cliente, que en entornos grandes puede incluir cientos o miles de dispositivos (switches, firewalls, cámaras IP, PLCs, servidores de aplicaciones) todos ellos apuntando a la misma referencia horaria.

Implementación en los servidores Elproma NTS-3000/4000/5000

La familia NTS-x000 de Elproma —que abarca los modelos NTS-3000, NTS-4000 y NTS-5000, con opciones de osciladores desde cuarzo estándar hasta OCXO y Rubidio para mayor estabilidad en holdover— incluye soporte nativo de HA CARP networking redundancy como característica de fábrica, sin necesidad de actualización de hardware adicional.

Parámetros de configuración

Según el manual de configuración CARP de Elproma para la serie NTS-3/4/5000, los parámetros que deben definirse en cada equipo son:

Parámetro	Descripción
IP address	Dirección IP de la interfaz CARP, compartida entre ambas máquinas. Debe coincidir en ambos nodos junto con la máscara de red.
Netmask	Máscara de subred de la IP compartida.
Password	Contraseña de autenticación usada en la comunicación entre los hosts CARP del mismo grupo de redundancia. Debe ser idéntica en todos los miembros.
VHID	Identificador único del grupo de redundancia (1–255), igual en ambas máquinas.
Advbase	Frecuencia de anuncio del estado de pertenencia al grupo, en segundos (por defecto 1s, rango 1–255).
Advskew	Ajuste de prioridad para la elección del maestro (por defecto 0, rango 1–254); un valor más alto reduce la preferencia del host como maestro.

Topología típica

En un despliegue estándar de dos servidores NTS-x000 en alta disponibilidad:

• Máquina 1 (por ejemplo, IP física 192.168.1.102) y Máquina 2 (IP física 192.168.1.103) se configuran con el mismo VHID, la misma contraseña y la misma IP virtual compartida (por ejemplo, 192.168.1.101).
• Todos los clientes NTP/PTP de la red apuntan exclusivamente a la IP compartida (192.168.1.101), nunca a las IPs físicas individuales.
• En condiciones normales, uno de los dos NTS-x000 asume el rol de maestro y responde en la IP virtual; el otro permanece en modo pasivo, sincronizado con su propia referencia GNSS/holdover pero sin atender tráfico en esa IP.
• Ante un fallo del maestro, el nodo pasivo detecta la pérdida de anuncios CARP y toma el control de la IP compartida de forma automática, sin caída de servicio perceptible para los clientes.

Por qué importa en despliegues reales

Esta arquitectura resuelve un problema muy concreto en instalaciones donde el servidor de tiempo es un componente crítico:

• Redes de telecomunicaciones y datacenters, donde la desincronización horaria afecta a la correlación de logs, la facturación y la seguridad perimetral.
• Subestaciones eléctricas y entornos IEC 61850, donde el sellado temporal preciso de eventos es imprescindible para el análisis de fallos y la coordinación de protecciones.
• Entornos financieros y de trazabilidad regulatoria, donde el timestamping preciso y auditable es un requisito normativo.
• Infraestructuras GNSS-denegadas o con riesgo de jamming, donde Elproma recomienda combinar CARP con filtros anti-interferencias GNSS de nivel 2 y simuladores GNSS de nivel 3, de forma que la redundancia de red se complemente con redundancia de fuente de referencia temporal.

En definitiva, CARP en los servidores NTS-3000/4000/5000 no sustituye a la redundancia de fuente de tiempo (GNSS, holdover con OCXO/Rubidio, o receptores duales) sino que la complementa a nivel de red: garantiza que, aunque un equipo físico falle por completo, el servicio de sincronización que reciben switches, firewalls y aplicaciones cliente no se interrumpe, porque la IP a la que confían nunca cambia de mano de forma manual, sino automática y transparente.

Conclusión

CARP aporta a los servidores de tiempo Elproma NTS-x000 una capa de alta disponibilidad probada, ligera y sin coste de licencia, equivalente en funcionalidad a VRRP o HSRP pero de origen abierto. Para integradores de sistemas que despliegan sincronización horaria en infraestructuras críticas, activar CARP entre dos unidades NTS-3000, NTS-4000 o NTS-5000 es una forma sencilla de eliminar el punto único de fallo en el servicio NTP/PTP, con una configuración basada en apenas seis parámetros (IP, máscara, contraseña, VHID, advbase y advskew) y una conmutación completamente transparente para toda la red cliente.

Amplia información sobre los servidores de tiempo Elproma o descargar el manual de cómo configurar CARP en los servidores de tiempo Elproma en el siguiente enlace.