Varios nodos, una sola cabeza, y qué pasa cuando uno se cae

¿Qué es un clúster aquí?

Un clúster de Proxmox es un grupo de nodos que comparten la misma configuración (a través de un sistema llamado pmxcfs, montado en /etc/pve/) y se comunican entre sí con Corosync para saber, en todo momento, quién sigue vivo. Un nodo instalado solo ya es técnicamente "un clúster de un nodo" — por eso en el simulador no hace falta un paso de "crear clúster": arrancas directamente pudiendo agregar más nodos (simulados, en este caso) al que ya tienes.

Quorum: la matemática que evita el caos

Si dos mitades de un clúster quedan aisladas entre sí por un corte de red, ¿cuál de las dos tiene "razón" y puede seguir tomando decisiones? Corosync resuelve esto con votos: cada nodo aporta (por defecto) un voto, y el clúster solo puede actuar con seguridad si la parte que sigue conectada tiene más de la mitad de los votos totales.

Con 3 nodos (3 votos), hacen falta 2 en línea para tener quorum — puedes perder uno y seguir funcionando. Con 2 nodos, necesitas los 2: por eso un clúster de exactamente 2 nodos es una mala idea en la práctica (cualquier corte dejaría a los dos lados sin quorum). En el simulador puedes armar hasta 3 nodos y "tumbar" a dos de ellos para ver el quorum perderse en vivo, y reconectar uno para verlo recuperarse.

Alta Disponibilidad (HA): qué hace ha-manager

HA es el servicio que vigila un conjunto de VMs/CTs designados y, si el nodo donde corren se cae, intenta reiniciarlos automáticamente en otro nodo del clúster. Cada recurso HA tiene:

• • Estado solicitado — started (debería estar corriendo), stopped (debería estar apagado pero bajo control de HA) o disabled (HA lo ignora)
• • Max. reinicios — cuántas veces intenta reiniciarlo en el mismo nodo antes de darse por vencido ahí
• • Max. reubicaciones — a cuántos nodos distintos intenta moverlo antes de dejar de intentar

Y aquí se conecta con lo anterior: ha-manager necesita quorum para poder actuar con seguridad. Sin quorum, el clúster literalmente no sabe si el nodo caído está realmente apagado o solo aislado por un corte de red — arrancar la misma VM en otro lado "por las dudas" podría terminar con dos copias vivas del mismo disco al mismo tiempo. Por eso, sin quorum, HA se queda quieto a propósito.