Multe companii care declară că au conexiune redundantă la internet au, de fapt, două abonamente. Frecvent de la același furnizor, deseori pe același cablu care intră în clădire, aproape întotdeauna terminate pe același echipament din camera tehnică. Redundanța nu se măsoară însă în număr de facturi, ci în număr de elemente care, dacă se defectează, opresc traficul. Dacă există fie și un singur astfel de element comun, aveți o singură conexiune plătită de două ori.
Ce nu este redundanță
Două linii de la același operator împart, în ordinea în care se defectează în practică, patru lucruri.
Ultima milă. Fibra care ajunge de la punctul de prezență al furnizorului până la clădirea dumneavoastră este, în majoritatea cazurilor, un singur traseu fizic. Al doilea abonament se termină pe același cablu, eventual pe altă lungime de undă sau pe alt VLAN. Un excavator care rupe canalizația la două străzi distanță le oprește pe amândouă în aceeași secundă.
Canalizația și punctul de intrare. Chiar și atunci când există două fibre distincte, ele urmează adesea aceeași canalizație subterană și intră în clădire prin același tub. Diversitatea logică fără diversitate fizică nu supraviețuiește unei lucrări de infrastructură urbană, iar în orașele din România acest tip de lucrare este frecvent.
Tranzitul. Furnizorul dumneavoastră cumpără la rândul lui capacitate de la unul sau doi operatori mai mari. Dacă acel tranzit se întrerupe, sau dacă o eroare de configurare din rețeaua lui propagă rute greșite, ambele abonamente sunt afectate identic, oricât de separate ar fi până la punctul lui de prezență.
Domeniul operațional de defecțiune. Cele mai lungi întreruperi nu sunt provocate de cabluri tăiate, ci de modificări de configurare, greșeli în anunțurile BGP și probleme în platformele de management. Acestea afectează, prin definiție, tot ce aparține unui singur operator.
Diversitatea traseului și cum se verifică o afirmație
Orice furnizor va spune că traseul este diferit. Afirmația devine verificabilă doar prin întrebări concrete, puse în scris:
- Prin ce punct intră fibra în clădire și există un al doilea punct de intrare, separat fizic?
- Ce canalizație urmează fiecare traseu până la primul nod de agregare și unde se întâlnesc cele două trasee?
- În ce locație și pe ce echipament se termină fiecare linie, iar acel echipament este partajat între ele?
- De la ce operatori cumpără tranzit fiecare dintre cei doi furnizori pe care îi folosiți?
Ultima întrebare este cea ignorată cel mai des. Doi furnizori locali diferiți pot cumpăra capacitate de la același operator național, iar în acest caz aveți diversitate până la un punct și un domeniu comun de defecțiune dincolo de el. Prezența ambilor în punctele de interconectare locale, cum sunt cele din București, ajută la latență și la traficul intern, dar nu înlocuiește diversitatea tranzitului internațional.
Ce merită obținut înainte de semnare: o schemă a traseului, nu o formulare comercială, plus o clauză care obligă furnizorul să anunțe modificările de traseu. Trasee separate la instalare se pot suprapune după o relocare de rețea despre care nimeni nu vă informează.
Comutare automată sau multi-homing propriu
Cele două se confundă frecvent, deși rezolvă probleme diferite.
Un router dual-WAN cu NAT este cea mai simplă formă. Detectează căderea liniei principale și trimite traficul pe cea secundară. Sesiunile existente se rup, pentru că adresa publică de ieșire se schimbă, iar serviciile pe care le publicați devin inaccesibile la vechea adresă. Este suficient pentru o companie a cărei activitate este preponderent de ieșire: navigare, poștă electronică găzduită, aplicații SaaS.
SD-WAN păstrează sesiunile prin tunele către un concentrator propriu sau către un gateway în cloud. Adresa văzută de exterior este a concentratorului, deci comutarea devine invizibilă pentru partenerii dumneavoastră. În schimb, dependența se mută pe acel punct central, care trebuie el însuși să fie redundant.
Multi-homing real înseamnă un număr de sistem autonom propriu și spațiu de adrese independent de furnizor, anunțate simultan către doi operatori. Adresele dumneavoastră nu se schimbă niciodată, traficul de intrare și cel de ieșire continuă pe linia rămasă, iar comutarea se face în rețea, nu în echipamentul dumneavoastră. Este singura variantă în care o cădere de furnizor nu produce nicio schimbare vizibilă din afară.
Ce presupune BGP, concret
Un număr de sistem autonom se obține de la RIPE NCC, fie ca membru direct, fie prin intermediul unui membru care acceptă rolul de sponsor. Este pasul administrativ simplu.
Spațiul de adrese este partea grea. Pentru IPv4 aveți nevoie de minimum un /24, pentru că majoritatea operatorilor filtrează anunțurile mai mici de /24, iar un /25 pur și simplu nu se propagă global. Alocările noi de la RIPE NCC se fac dintr-o listă de așteptare, în cantitate limitată, deci varianta practică rămâne adesea transferul de la un alt titular. Pentru IPv6 problema nu există în aceeași formă, iar un plan de adresare IPv6 propriu este oricum de dorit.
Mai departe aveți nevoie de echipamente care pot susține sesiuni BGP cu memorie suficientă pentru tabelele primite, sau de o politică de rute parțiale plus rută implicită, dacă nu doriți tabela completă. Anunțurile trebuie însoțite de obiecte în baza de date RIPE și de ROA pentru validarea RPKI, altfel rutele dumneavoastră vor fi respinse de o parte tot mai mare a internetului. Și, cel mai important, aveți nevoie de cineva care înțelege configurația la trei dimineața. Un sistem autonom pe care nu îl puteți opera este un mecanism de defectare nou, nu o asigurare.
Ce se rupe la comutare dacă nu ați planificat
Comutarea funcționează, iar apoi jumătate din lucruri nu mai funcționează. Motivele sunt previzibile.
Sesiunile TCP de durată se rup atunci când adresa sursă se schimbă: replicarea bazelor de date, conexiunile SSH, transferurile mari de fișiere, clienții ERP care țin o conexiune deschisă. Ele se restabilesc, dar nu întotdeauna singure și nu întotdeauna curat.
Tunelele VPN au adresa partenerului scrisă în configurație, la ambele capete. Dacă adresa dumneavoastră se schimbă, capătul celălalt refuză negocierea până când cineva îl modifică. Soluțiile sunt un capăt identificat prin nume DNS actualizat dinamic sau adrese proprii care nu se schimbă.
Listele de adrese permise la parteneri sunt cea mai frecventă surpriză. Bănci, procesatori de plăți, platforme ale autorităților și interfețe de programare ale clienților filtrează pe adresa sursă. Adăugarea adresei de rezervă este o cerere care se procesează în zile, nu în minute, deci trebuie făcută înainte de incident, nu în timpul lui.
DNS-ul nu comută atât de repede cât spune valoarea TTL. Dacă mecanismul dumneavoastră de comutare pentru serviciile publicate este schimbarea unei înregistrări DNS, o parte a serverelor DNS recursive și a browserelor vor continua să folosească adresa veche mai mult decât ați configurat.
Poșta electronică suferă dublu. Adresa de rezervă nu are reputație acumulată, deci mesajele trimise prin ea sunt tratate cu suspiciune, iar dacă înregistrarea SPF nu o include, sunt respinse direct. Este nevoie și de o înregistrare PTR corectă pe adresa secundară, altfel o parte a destinatarilor refuză livrarea.
Problema asimetriei
Traficul de ieșire urmează decizia dumneavoastră de rutare. Traficul de intrare urmează decizia restului internetului, luată pe baza anunțurilor dumneavoastră și a politicilor altora. Cele două nu sunt obligate să coincidă.
Consecința practică este că un flux poate ieși pe linia A și primi răspunsul pe linia B. Un firewall cu stare aruncă pachetul de întoarcere, pentru că nu are sesiunea corespunzătoare. Filtrele antispoofing ale furnizorului aruncă pachetele cu adresă sursă care nu îi aparține, deci traficul care iese pe linia unui furnizor cu adresa sursă a celuilalt dispare fără mesaj de eroare.
În configurațiile fără BGP, tratamentul este rutarea pe baza politicilor: răspunsul iese pe interfața pe care a intrat sesiunea. În BGP, direcția de intrare se influențează indirect, prin prelungirea artificială a căii AS sau prin comunități convenite cu furnizorul, și niciuna dintre metode nu oferă control exact.
Monitorizare care vede degradarea, nu doar căderea
Un test ICMP care verifică dacă linia răspunde detectează exact un tip de problemă, cel mai rar. În practică liniile se degradează: pierderi de pachete de câteva procente, latență dublată, jitter care afectează telefonia, un MTU care blochează silențios anumite fluxuri, serverul DNS al furnizorului care răspunde greșit, o sesiune BGP care se restabilește la fiecare câteva minute.
O monitorizare utilă măsoară, separat pe fiecare linie, pierderea și latența către mai multe destinații externe, verifică funcționarea la nivel de aplicație și nu doar de pachet, urmărește starea sesiunilor BGP și numărul de prefixe primite, și declanșează comutarea pe baza unor praguri de calitate, nu doar la absența răspunsului. La fel de important este să testați comutarea deliberat, într-o fereastră planificată, în loc să o descoperiți în timpul unui incident.
Nivelurile de cost
Rezervă mobilă 4G sau 5G pe un router dual-WAN. Cea mai ieftină variantă, se comută în minute, adresa se schimbă, capacitatea și volumul de date sunt limitate. Suficientă pentru a menține plățile cu cardul, poșta electronică și accesul la aplicațiile din cloud.
A doua linie fixă de la alt furnizor, cu diversitate de traseu verificată, gestionată dual-WAN sau SD-WAN. Costul este al doilea abonament plus echipamentele. Acoperă majoritatea cazurilor reale.
Multi-homing complet cu BGP. Cost recurent la RIPE NCC, achiziția unui /24, două routere care nu împart aceeași sursă de alimentare, două abonamente de tranzit și, componenta cea mai mare, expertiza necesară pentru a le opera. Diferența de cost față de nivelul anterior este semnificativă și se justifică prin ceea ce evită, nu prin eleganța soluției.
Când nu se justifică
Dacă tot ce publicați se află deja într-un cloud sau în spatele unui CDN, iar utilizatorii dumneavoastră au nevoie doar de acces spre exterior, o configurație dual-WAN corect făcută vă aduce aproape tot beneficiul, la o fracțiune din efortul de operare. Multi-homingul devine justificat când găzduiți servicii care trebuie să păstreze aceeași adresă, când partenerii filtrează pe adresa dumneavoastră sursă, când operați propriul server de poștă electronică, când aveți obligații contractuale de disponibilitate față de clienți sau când costul unei ore de întrerupere depășește clar cheltuiala anuală de operare.
Pentru multe companii, răspunsul corect este a doua linie de la alt furnizor, cu traseu verificat și cu comutarea testată. Este mai puțin spectaculos și rezolvă problema care se manifestă efectiv.
Pasul următor
Cel mai rapid diagnostic este să deconectați deliberat linia principală într-o fereastră planificată și să notați ce nu mai funcționează. Lista aceea este planul de lucru.
Proiectăm și implementăm conectivitate redundantă, inclusiv multi-homing BGP, în cadrul serviciului de rețelistică avansată, iar partea de detecție a degradării ține de monitorizare și observabilitate.