Resumo

  • A distância reduziu a exposição a enchentes, mas revelou latência no armazenamento e um caminho de restauração demorado.
  • O plano prevê dois datacenters completos e redes separadas; a meta de 99,99% só ganha valor com recuperação testada serviço por serviço.

Uma cópia de segurança responde a “onde estão os dados?”. A pergunta operacional é outra: quanto tempo até o serviço voltar? Sjoerd Wolthers, CTO da RIPE NCC, descreveu a diferença na RIPE 93. Hoje, os dois ambientes principais de armazenamento ficam em um datacenter; o outro mantém a cópia. Se o site primário cair, a organização teria de recuperar a partir da cópia remota sem o equipamento principal. Wolthers disse que isso levaria um tempo significativo e chamou o risco de inaceitável.

O desenho anterior tratava os dois locais como partes de uma só instalação. Cada datacenter tinha, em linhas gerais, um conjunto de equipamentos por função, ligado por uma rede que atravessava ambos. A comutação era rápida e a arquitetura fazia sentido para centros próximos. A RIPE NCC mudou um datacenter de Amsterdã para Nieuwveen, a cerca de 40 km, para reduzir o risco de inundação. A nova distância trouxe latência que o armazenamento não suportou bem; o desempenho caiu e houve indisponibilidade.

O deslocamento resolveu uma exposição geográfica e revelou o limite técnico do modelo antigo. Dois incidentes anteriores também mostraram que uma ocorrência em um centro podia afetar o outro, embora Wolthers não tenha identificado as causas na apresentação. Por isso, a pergunta para o novo sistema não é quantos endereços ele ocupa, mas por qual caminho cada serviço volta quando o local principal desaparece.

Há ainda um custo de dependência tecnológica. A plataforma de virtualização era pré-instalada e gerida por um fornecedor, em um ambiente baseado em VMware. A expansão ficou muito mais cara, sem uma alternativa dentro da mesma configuração. A renovação quer trocar de plataforma e reduzir o aprisionamento a um fornecedor. O contrato que simplifica a operação hoje também define quanto custa sair amanhã.

O escopo atual é entregar dois datacenters completos, cada um com equipamentos duplicados e uma rede própria. A operação será ativa dentro de cada local e ativo-em-espera entre os dois. Um ponto testemunha separado guardará cópias e ajudará a decidir qual centro lidera durante uma falha; ele não será um terceiro datacenter completo. Serviços com objetivo curto de recuperação terão armazenamento rápido no próprio local. Outros poderão sincronizar entre centros.

Wolthers disse que a nova arquitetura deve suportar disponibilidade de 99,99%. A sessão não apresentou uma medição que comprove esse nível. A meta é migrar os serviços e desativar os centros atuais até o fim de 2028; parte do equipamento chega ao fim da vida útil ou do suporte no final de 2027 e em 2028.

A conversa sobre nuvem foi proporcional ao uso descrito: uma presença limitada, concentrada em medição da Internet e dados públicos. Identidade e gestão de saída são mais sensíveis, por isso um caminho de contingência para elas ficou entre as prioridades. Na discussão sobre jurisdição, Hans Petter Holen lembrou que a RIPE NCC atende 72 Estados e depende de governos, fabricantes e fornecedores de rede que não controla integralmente.

O local e a jurisdição finais, os fornecedores e subcontratados escolhidos e os tempos de recuperação medidos por serviço são os fatos que ainda podem mudar essa avaliação.

Fontes