Projetos de Redundância e Failover

Alta disponibilidade (HA) significa projetar uma rede para que os serviços permaneçam ativos mesmo quando algo falhar. A ideia central é remover os pontos únicos de falha: qualquer componente cuja falha derrube todo o sistema. A HA combina redundância (componentes sobressalentes) com comutação automática (mudança automática para o sobressalente), mantendo os serviços essenciais em funcionamento durante interrupções.

Um ponto único de falha (SPOF) é qualquer elemento sem backup — um roteador, uma fonte de alimentação ou um link de internet — cuja perda interrompa tudo. Identificar os SPOFs é o primeiro passo no projeto de HA. Para cada componente essencial, você pergunta: "se ele parar, o que acontece?" Sempre que a resposta for "interrupção total", você adiciona redundância.

Redundância é ter componentes duplicados prontos para assumir o controle. Ela pode ser aplicada em todos os níveis: fontes de alimentação redundantes, links de rede redundantes, switches e roteadores redundantes e conexões de internet redundantes. A redundância custa dinheiro e aumenta a complexidade, por isso é direcionada aos componentes cuja falha causaria mais impacto. O objetivo é evitar que uma única falha cause uma interrupção.

Comutação automática é a mudança automática de um componente que falhou para seu backup. A redundância, sozinha, não basta; o backup precisa assumir rapidamente e, idealmente, sem intervenção humana. Uma boa comutação automática é rápida e transparente, de modo que os usuários quase não percebam. A combinação de um componente em espera com a comutação automática é o que proporciona alta disponibilidade de verdade.

Existem dois modelos de redundância. No modelo ativo-passivo, o backup fica ocioso até que o componente principal falhe e, então, assume o controle. No modelo ativo-ativo, as duas unidades trabalham ao mesmo tempo e compartilham a carga; se uma falhar, a outra absorve sua parte. O modelo ativo-ativo também aumenta a capacidade, enquanto o ativo-passivo é mais simples. Cada um atende a necessidades e orçamentos diferentes.

O gateway padrão é um SPOF comum, por isso os Protocolos de Redundância do Primeiro Salto (FHRP) fornecem um gateway de backup. O VRRP (Virtual Router Redundancy Protocol) e o HSRP (Hot Standby Router Protocol) da Cisco permitem que dois roteadores compartilhem um IP de gateway virtual; se o roteador ativo falhar, o roteador em espera assume o endereço. Os hosts continuam usando o mesmo gateway, sem perceber a mudança.

A redundância também se aplica aos links. A agregação de links (LAG, usando LACP) agrupa vários links físicos em um único link lógico, proporcionando largura de banda adicional e continuidade caso um link falhe. Nos servidores, a formação de equipe de NICs combina várias placas de rede para que o tráfego continue se uma placa ou seu cabo falhar. Ambas eliminam um único link como ponto de falha.

Muitos problemas são físicos. Fontes de alimentação redundantes permitem que um dispositivo sobreviva à falha de uma fonte. Uma UPS (Uninterruptible Power Supply) mantém os equipamentos funcionando durante interrupções curtas, e um gerador cuida das mais longas. Componentes substituíveis a quente podem ser trocados sem desligar o equipamento. Eles protegem contra causas muito comuns de indisponibilidade: falhas de energia e de hardware.

A HA é medida pelos "noves" de disponibilidade. 99,9% permite cerca de 8,8 horas de indisponibilidade por ano; 99,99%, cerca de 53 minutos; 99,999% ("cinco noves"), cerca de 5 minutos. Outros dois termos são importantes: RTO (Recovery Time Objective), a rapidez com que você precisa se recuperar, e RPO (Recovery Point Objective), a quantidade de perda de dados aceitável. Essas metas orientam as escolhas de projeto.

A redundância não é gratuita nem infinita. Ela aumenta o custo e a complexidade e pode criar novos modos de falha se for mal configurada. Mais cópias podem significar mais elementos para gerenciar e mais chances de configuração incorreta. A habilidade está em equilibrar o custo da redundância com o custo da indisponibilidade de cada serviço, protegendo o que é crítico sem projetar complexidade excessiva no restante.

O projeto de HA é sistemático: mapeie os serviços essenciais, encontre cada SPOF, adicione redundância direcionada com comutação automática e teste se essa comutação realmente funciona. Um backup que não foi testado é uma esperança, não um plano. Simular falhas regularmente comprova o projeto e revela lacunas. Quando bem implementadas, a redundância e a comutação automática mantêm a rede funcionando quando partes individuais inevitavelmente falham.

Teste seus conhecimentos sobre HA.

Você aprendeu sobre redundância e comutação automática. Pontos principais:

• A HA elimina pontos únicos de falha.
• A redundância adiciona sobressalentes; a comutação automática muda para eles automaticamente.
• O modelo ativo-ativo compartilha a carga; o ativo-passivo mantém um componente em espera.
• VRRP/HSRP fornecem um gateway redundante; LAG e a formação de equipe de NICs adicionam redundância aos links.
• Meça usando os noves de disponibilidade, RTO e RPO; teste a comutação automática.