Alta disponibilidade6 min
Guia de alta disponibilidade com pfSense
Se o firewall é ponto único de falha, uma queda para a operação. Veja quando a alta disponibilidade se justifica e como validá-la.
Ler guiaHub de conteúdo
Guias de alta disponibilidade: CARP, failover e múltiplos links
Cluster pfSense com CARP, sincronização de estado, Multi-WAN e failover de link. O que cada camada de redundância cobre e o que ela não cobre.
Por Cesar Gargiulo
Publicado em
2 guias neste hub
Alta disponibilidade só faz sentido depois de responder uma pergunta de negócio: quanto tempo a empresa aguenta parada, e quanto custa cada hora dessa parada. A resposta define se o certo é um cluster, um equipamento reserva com configuração restaurável, ou nada além de um bom backup.
Um detalhe que muda a prioridade de muito projeto: o firewall raramente é o que mais cai. A operadora cai mais. Por isso este hub trata das duas camadas juntas, redundância de equipamento com CARP e redundância de link com Multi-WAN, que resolvem falhas diferentes.
O mapa do assunto
Quatro pontos que decidem quase tudo neste tema. Se algum deles soar novo, comece pelo guia correspondente.
- CARP dá o endereço, pfsync dá a continuidade
- O CARP faz o IP virtual migrar para o nó que assumiu. O pfsync sincroniza a tabela de estados, e é ele que evita que todas as conexões abertas caiam no momento do failover. Sem pfsync, o failover funciona e ainda assim o usuário sente.
- Configuração sincroniza, nem tudo sincroniza
- A sincronização por XMLRPC cobre boa parte da configuração, mas não tudo. Descobrir na hora do failover o que não estava sincronizado é a forma cara de aprender essa lista.
- Multi-WAN resolve outra falha
- Cluster não protege contra queda de operadora, e link redundante não protege contra falha do equipamento. Onde investir primeiro depende de qual das duas acontece mais no seu caso, e normalmente é a operadora.
- Cluster que nunca falhou em teste
- É um cluster cuja capacidade de failover é hipótese. O teste controlado, com janela combinada, é o que transforma isso em fato.
Ordem de leitura
A trilha, do fundamento à operação
Dois guias, uma decisão. Leia os dois antes de investir: eles cobrem falhas diferentes e a ordem de prioridade depende do seu ambiente.
Arquitetura avançada
Cenários com mais partes móveis, onde o erro custa caro.
- Arquitetura11 min
Multi-WAN no pfSense
Dois ou mais links de internet trabalhando juntos. Failover automático, balanceamento de carga, monitoramento de gateway e o tráfego que não pode ser balanceado.
Ler guia
Dúvidas comuns
Perguntas sobre guias de alta disponibilidade
Preciso de dois equipamentos idênticos para fazer cluster?
Idênticos não é obrigatório, mas equivalentes sim, e a mesma versão do pfSense é. Diferença de capacidade entre os nós significa que o failover leva o ambiente para um equipamento que pode não sustentar a carga, o que troca uma parada total por uma degradação difícil de diagnosticar.
Vale mais um cluster ou um segundo link de internet?
Na maioria das empresas de médio porte, o segundo link. Queda de operadora é mais frequente do que falha de hardware de firewall, e Multi-WAN custa bem menos do que duplicar o equipamento. O cluster entra quando a parada tem custo alto por hora ou quando existe exigência contratual de disponibilidade.
O failover derruba as conexões abertas?
Com o pfsync sincronizando a tabela de estados, as conexões estabelecidas tendem a sobreviver à troca de nó. Sem ele, o novo nó não conhece nenhum estado e tudo precisa ser reaberto. É a diferença entre um usuário não notar e um usuário abrir chamado.
Próximo passo
Do guia para o ambiente real
Se depois de ler ainda restar a dúvida de como aplicar no seu cenário, descreva o ambiente por e-mail. A resposta vem com uma leitura técnica do caso, sem compromisso.