Como funciona implantação de clusters de virtualização para empresas

Resumo

• Os servidores do cluster trocam sinais o tempo todo, e é a votação de quórum que decide quem assume quando um deles some.
• A obra segue seis etapas, e a migração dos sistemas só começa depois que o cluster passou nos testes sem carga real.
• A empresa entra com a lista de sistemas, o contato de cada fornecedor, espaço no rack e horários livres para as janelas.
• No fim, a empresa recebe o relatório do teste de falha com o tempo de volta de cada sistema, além do desenho e das senhas.

O que acontece dentro de um cluster de virtualização

Por dentro, os servidores do cluster conversam o tempo todo por uma rede própria e votam para saber quem continua no grupo. Quando um servidor para de responder, os outros isolam esse servidor e religam as máquinas virtuais dele.

Cada servidor físico do grupo, chamado de nó, roda um programa de virtualização, o hypervisor, que divide a máquina em vários computadores virtuais. O ERP, a pasta de arquivos e o banco de dados viram máquinas virtuais, e os discos delas ficam num lugar que todos os nós enxergam.

Em intervalos curtos, os nós mandam uns aos outros um sinal de vida, como um aviso de presença. Esse tráfego passa por uma rede separada da rede dos usuários, porque um atraso causado por um download pesado pode ser confundido com um servidor morto.

A Táquion Tech monta essa rede interna com dois caminhos físicos na implantação de clusters de virtualização, para que um cabo solto ou uma porta de switch queimada não seja lido pelo cluster como quebra de servidor.

Por que o cluster faz uma votação antes de agir?

Porque dois servidores que perderam contato entre si podem achar, cada um, que o outro morreu. Se os dois ligarem o mesmo ERP ao mesmo tempo, os dois gravam no mesmo disco e o banco de dados se corrompe.

O quórum resolve isso com maioria simples. Num grupo de três nós, o lado que fica com dois votos continua trabalhando, e o nó que ficou sozinho para as próprias máquinas; num grupo de dois, um terceiro voto externo faz o desempate.

O passo seguinte se chama fencing, ou isolamento: antes de religar as máquinas em outro lugar, o cluster garante que o nó perdido está mesmo desligado, cortando a energia dele ou travando o acesso aos discos.

Migração ao vivo e reinício automático são coisas diferentes

Muita gente espera que o sistema nem pisque quando um servidor quebra, e não é assim que funciona. A troca sem interrupção só acontece quando a mudança é planejada; numa quebra, a máquina virtual reinicia em outro nó.

O que o cluster faz em cada situação e o que o usuário percebe

Situação	O que o cluster faz	O que o usuário percebe
Manutenção planejada de um nó	Move as máquinas com a migração ao vivo, copiando a memória enquanto elas rodam	Nada, ou uma pausa de poucos segundos [CONFIRMAR na documentação]
Servidor desligou de repente	Isola o nó e religa as máquinas dele nos que sobraram	O sistema cai e volta em alguns minutos, como depois de uma queda de energia
Rede do cluster caiu num nó só	O nó isolado perde o voto e para as próprias máquinas	Igual a uma quebra de servidor, se a rede interna não tiver dois caminhos
Disco de um nó falhou	Com discos distribuídos, lê a cópia que está em outro nó	Nada, desde que a cópia esteja em dia

Como funciona implantação de clusters de virtualização, etapa por etapa

A implantação passa por seis etapas, e cada uma só começa quando a anterior deixa um resultado conferido. Os sistemas reais só entram no cluster na quinta etapa.

1. 1 · Inventário

   Sistemas e consumo medidos

   Cada sistema listado com memória, disco, horário de uso, dono na empresa e fornecedor responsável.

2. 2 · Desenho

   Nós, discos e redes no papel

   Quantidade de nós, onde ficam os discos, as três redes separadas e a plataforma escolhida.

3. 3 · Montagem

   Servidores no rack

   Instalação física, cabos com dois caminhos, energia ligada em circuitos diferentes e firmware igualado.

4. 4 · Testes vazios

   Cluster provado sem carga real

   Quórum, isolamento, migração ao vivo e perda de disco testados com máquinas de teste.

5. 5 · Migração

   Um sistema por janela

   Cópia, conferência pelos usuários e servidor antigo guardado como caminho de volta.

6. 6 · Prova de falha

   Nó derrubado de propósito

   Energia de um servidor cortada com tudo rodando, tempo de volta medido e entrega documentada.

O servidor antigo só é desligado de vez depois da sexta etapa. Até lá, ele é o plano B de cada sistema que já mudou.

Etapas da implantação do cluster, peso no calendário, o que cada uma entrega e quando termina

Etapa	Peso no calendário	O que sai dela	Termina quando
1. Inventário	Curto	Lista de sistemas com consumo e dono	Nenhum sistema da empresa ficou de fora da lista
2. Desenho	Curto	Diagrama do cluster e especificação dos servidores	A empresa aprovou o desenho e comprou os equipamentos
3. Montagem	Médio, depende da entrega dos servidores	Nós instalados e ligados entre si	Todos os nós estão no grupo com o mesmo firmware
4. Testes vazios	Curto	Relatório dos testes sem carga real	Quórum, isolamento e migração passaram
5. Migração	O mais longo, uma janela por sistema	Sistemas rodando no cluster	Os usuários aprovaram cada sistema
6. Prova de falha e entrega	Curto	Relatório do teste e documentação	Os sistemas voltaram sozinhos com um nó desligado

Os prazos em dias dependem da quantidade de sistemas e dos horários livres da empresa: [PREENCHER prazo típico por etapa]. O que faz cada etapa crescer ou encolher no orçamento está no guia sobre quanto custa implantação de clusters de virtualização, e não se repete aqui.

Por que testar o cluster antes de colocar os sistemas reais

Porque um erro de desenho achado com máquinas de teste custa uma tarde, e o mesmo erro achado com o ERP rodando custa um dia de vendas. Na quarta etapa, os nós são derrubados, os cabos são puxados e os discos são retirados sem risco nenhum.

O que a empresa prepara antes da primeira etapa?

A empresa prepara a lista dos sistemas, o contato de cada fornecedor, espaço físico com energia e uma pessoa que decide as janelas. A parte técnica fica com quem implanta.

• Lista de sistemas: tudo o que roda nos servidores atuais, inclusive aquele programa antigo que só o financeiro usa no fechamento do mês.
• Fornecedor de cada sistema: nome, telefone e se ele precisa acompanhar a mudança, como costuma acontecer com ERP e prontuário.
• Licenças amarradas a hardware: chaves de proteção em USB e licenças presas ao servidor físico, que precisam ser reemitidas para a máquina virtual.
• Espaço e energia: altura livre no rack, portas no switch e dois circuitos elétricos, de preferência ligados ao nobreak.
• Acesso administrativo: senhas dos servidores atuais e do switch, entregues por um canal seguro.
• Quem decide: uma pessoa que aprova o desenho, marca as janelas e chama os usuários para conferir cada sistema migrado.

Quem da empresa precisa estar presente e quando

A equipe da empresa aparece em três momentos: no inventário, para contar o que existe; na migração, para conferir cada sistema; e na prova de falha, para ver o teste acontecer.

Nas etapas de desenho, montagem e testes vazios, basta alguém para abrir a sala e responder dúvidas pontuais. Fora do litoral de SC, a montagem física fica com um técnico local, seguindo um roteiro [CONFIRMAR área de atendimento].

Erros de cada etapa e como perceber antes da quebra

Cada etapa tem um erro típico, e quase todos ficam invisíveis até o dia em que um servidor quebra de verdade. A tabela mostra o sinal que denuncia cada um ainda durante a obra.

Erros comuns em cada etapa da implantação de um cluster e o sinal que os denuncia

Etapa	O que dá errado	Como se percebe
Inventário	Um sistema escondido fica fora da lista	Alguém reclama de um programa que sumiu depois da migração
Desenho	As duas redes internas passam pelo mesmo switch	No teste vazio, desligar um switch derruba o cluster inteiro
Montagem	Nós com firmware ou processador diferentes	A migração ao vivo recusa mover a máquina para um dos nós
Testes vazios	Relógio dos nós desencontrado	O registro de eventos mostra horários que não batem e o quórum oscila
Migração	Máquina copiada com driver do servidor antigo	O sistema abre, mas o disco ou a rede ficam lentos na máquina virtual
Prova de falha	O teste é feito com desligamento educado	Tudo passa no teste e falha na primeira queda real de energia

O último erro merece atenção. Desligar um servidor pelo menu avisa o cluster com antecedência, e ele move as máquinas com calma; a quebra real não avisa. Por isso a prova de falha corta a energia ou a rede do nó, sem aviso.

Sinais de que o cluster ficou frágil depois da entrega

Um cluster entregue saudável pode ficar frágil com o tempo, quando a empresa cria máquinas virtuais novas e a folga calculada no desenho some. O guia de análise preditiva de falhas mostra como ler os avisos de disco e temperatura antes de um nó parar.

• Memória acima do previsto: os nós que sobram já não comportam as máquinas de um nó parado.
• Alerta de quórum: um nó perde votos de vez em quando, sinal de rede interna instável.

O que a empresa recebe quando o cluster fica pronto

A empresa recebe o cluster funcionando, o relatório da prova de falha e a documentação para operar sem depender de quem implantou. A lista abaixo serve para conferir a entrega item por item.

Quando vale repetir a prova de falha?

Vale repetir sempre que o cluster muda de tamanho ou de versão: um nó novo, uma atualização grande da plataforma ou um sistema pesado que entrou depois da entrega. Fora disso, uma prova por ano mostra se a folga continua de pé.

A prova pode ser marcada para um sábado, com os usuários avisados. Para acompanhar o cluster no dia a dia, o guia sobre como monitorar a rede da empresa mostra que alertas montar.

Exemplo: como funciona implantação de clusters de virtualização numa clínica

O caso é ilustrativo, montado a partir de situações comuns em clínicas com mais de uma unidade. Ele mostra a sequência real, incluindo o imprevisto que costuma aparecer.

Uma clínica com três unidades no litoral roda tudo num servidor só: o prontuário eletrônico com banco de dados, a pasta de exames em imagem, o controle de usuários da rede e a impressão. O servidor está com a garantia no fim.

1. Inventário: a lista mostra quatro sistemas e revela um quinto, o programa de laudos de um aparelho de imagem, que ninguém tinha lembrado.
2. Desenho: três nós iguais, discos distribuídos entre eles e as redes de usuários, de cluster e de discos separadas.
3. Montagem: os servidores chegam, entram no rack ao lado do servidor antigo e recebem o mesmo firmware.
4. Testes vazios: um switch desligado derruba o quórum, porque os dois caminhos usavam o mesmo equipamento; o cabeamento é refeito.
5. Migração: o controle de usuários muda numa noite, a pasta de exames em outra e o prontuário num sábado, com o fornecedor acompanhando e a chave de licença reemitida antes.
6. Prova de falha: a energia de um nó é cortada com tudo rodando, o prontuário volta em outro nó e o tempo medido vai para o relatório.

A janela do prontuário, presa à agenda do fornecedor, foi a que mais pesou no calendário. Sem o teste vazio, o defeito da rede interna só apareceria no dia em que o switch queimasse.

Perguntas frequentes

Fontes

1. Fencing (Wikipédia em inglês): por que o cluster isola o nó perdido antes de religar as máquinas dele em outro lugar
2. Live migration (Wikipédia em inglês): como a memória de uma máquina virtual é copiada enquanto ela continua rodando
3. High Availability (documentação do Proxmox VE): quórum, isolamento de nós e reinício automático de máquinas virtuais em outro nó