Quanto custa alta disponibilidade de DNS: a conta para provedores

Resumo

• O valor cresce com cada POP que recebe servidor, anúncio e teste, e não com o número de assinantes.
• Rede sem OSPF ou BGP interno precisa de preparo antes do anycast, e esse preparo costuma ser a maior surpresa.
• Dois servidores no mesmo rack saem mais em conta, mas não sobrevivem à falta de energia no POP.
• O custo de ficar com um DNS só aparece em chamados, janelas de madrugada e cancelamentos, e dá para estimá-lo.

Quanto custa alta disponibilidade de DNS e o que entra na conta

A conta tem quatro partes: o serviço de desenho e configuração, os servidores de cada POP, o preparo do roteamento e o acompanhamento depois da entrega. Só a primeira é o que a empresa contratada cobra; as outras três dependem da rede que você já tem.

A alta disponibilidade de DNS tira o DNS recursivo de um ponto único. Em vez de um servidor que, ao travar, deixa a base inteira sem abrir sites, o provedor passa a ter servidores em lugares diferentes, respondendo pelo mesmo endereço, com um teste automático que tira de cena o que parou de responder.

No serviço de alta disponibilidade de DNS da Táquion Tech, o valor cobre levantamento, desenho, configuração do anúncio, virada dos pools e teste de queda. A faixa para o caso mais comum, com dois POPs e DNS já funcionando, é [PREENCHER faixa de preço da Táquion Tech].

Por que este guia não traz faixa de mercado em reais

Não há tabela oficial de preço para projeto de DNS redundante. Órgãos como Anatel e NIC.br não publicam valor para esse tipo de serviço, e cada empresa monta o orçamento a partir da rede que encontra.

Número tirado de anúncio ou de conversa de grupo costuma misturar coisas diferentes: um orçamento traz só a instalação de um segundo servidor, outro traz anycast com teste de queda. Por isso o caminho mais seguro é comparar o que cada proposta entrega, item por item, usando as tabelas abaixo.

As quatro partes que a proposta precisa separar

Quando as partes vêm juntas num valor só, fica impossível saber se uma proposta é menor porque é eficiente ou porque deixou algo de fora. Peça cada uma numa linha.

• Serviço: levantamento, desenho, anúncio, filtros, checagem de saúde, virada e teste. É o trabalho de quem projeta.
• Servidores: uma máquina por POP, física ou virtual, com processador e memória para o volume de consultas medido.
• Preparo do roteamento: ligar OSPF ou BGP interno onde hoje há rota estática, quando a rede ainda não tem roteamento dinâmico.
• Operação: quem recebe o alerta de servidor fora, quem atualiza o software e quem refaz o teste depois de mudanças.

O que mexe no preço da redundância de DNS

Sete fatores explicam a diferença entre duas propostas para o mesmo provedor. Use a tabela para entender por que um orçamento veio maior e para saber o que perguntar.

Fatores que mudam o preço da alta disponibilidade de DNS num provedor

Fator	Situação que pesa menos	Situação que pesa mais	Por que pesa
Quantidade de POPs	Dois POPs na mesma cidade	Quatro ou mais POPs em cidades diferentes	Cada ponto tem servidor, anúncio, filtro e teste próprios
Roteamento interno	OSPF ou BGP interno já rodando	Rotas estáticas entre os POPs	O anycast depende de rota dinâmica para mudar de servidor sozinho
Onde fica o segundo servidor	POP próprio com energia de reserva	POP sem nobreak ou espaço no rack	Pode exigir obra de energia ou um local novo antes do DNS
Software de DNS	Mesmo programa em todos os pontos	Programas diferentes herdados de outras épocas	Cada um tem configuração e checagem próprias
Como o cliente recebe o DNS	Um concentrador PPPoE entrega o endereço	Vários concentradores, DHCP e IPv6 por caminhos diferentes	A virada precisa ser feita em cada origem, pool por pool
Checagem de saúde	Consulta de teste a um nome conhecido	Consultas a vários nomes, com limite de tempo de resposta	Mais regras para calibrar e mais casos para testar
Marcas de roteador	Uma marca em toda a rede	MikroTik nos POPs e outra marca no núcleo	Os filtros do anúncio são escritos de um jeito em cada fabricante

Repare que o número de assinantes não aparece na tabela. Ele entra só no tamanho dos servidores, e um DNS com cache bem configurado atende uma base grande com pouca máquina; o que encarece é a geografia e o roteamento.

Anycast, VRRP ou dois endereços: qual escolha mexe mais no valor?

O anycast custa mais na entrada porque exige roteamento dinâmico e filtros, mas é o único dos três que protege contra a queda de um POP inteiro. O guia de OSPF no provedor mostra a base que ele usa.

O VRRP é um endereço virtual dividido por duas máquinas no mesmo local, e sai mais em conta por não mexer no roteamento. O guia de configuração de VRRP explica onde ele para: protege da máquina que desliga, não do POP sem energia.

• Dois endereços no cliente: quase nenhum custo de projeto, mas cada consulta espera o primeiro servidor falhar antes de tentar o segundo.
• VRRP no mesmo POP: custo baixo de configuração, proteção limitada a defeito de máquina.
• Anycast entre POPs: custo maior de desenho e teste, proteção contra servidor, processo e POP.

Exemplo: dois provedores, o mesmo pedido e orçamentos diferentes

Dois provedores com bases parecidas pedem a mesma coisa, DNS em mais de um POP, e recebem propostas bem diferentes. O que separou as duas foi o roteamento que cada um já tinha.

O provedor A tem três POPs ligados em anel, já roda OSPF entre eles e usa o mesmo programa de DNS desde o começo. O provedor B tem dois POPs ligados por rotas estáticas, um servidor de DNS antigo e outro mais novo, com programas diferentes, e entrega o DNS por dois concentradores.

1. Provedor A: o trabalho fica no DNS em si. Instalar o terceiro nó, anunciar o endereço, escrever os filtros, calibrar a checagem e testar a queda em cada POP.
2. Provedor B: antes do DNS, é preciso trocar as rotas estáticas por roteamento dinâmico, padronizar o software nos dois servidores e fazer a virada nos dois concentradores.
3. O que pesou: o roteamento interno. O provedor B tem menos POPs, mas paga o preparo da rede antes de começar a redundância.
4. O que ficou igual: o teste de queda com tempo medido, que vale o mesmo esforço nas duas redes e não deve sair da proposta em nenhuma.

Uma proposta que ignore o preparo do roteamento no provedor B vai parecer menor no papel. Na hora da virada, esse trabalho aparece como aditivo ou como um anycast que não troca de servidor sozinho.

Quanto custa deixar a alta disponibilidade de DNS para depois?

Ficar com um DNS só custa toda vez que ele trava, e a conta sai dos números da sua própria operação. Quatro multiplicações simples dão uma estimativa honesta.

Quando o DNS para, a conexão do assinante continua de pé, o suporte vê sinal bom e sessão ativa, e mesmo assim nada abre. Essa é a queda mais cara de diagnosticar, porque engana o N1 e o N2; o roteiro de rede do provedor caiu mostra como separar esse caso de uma queda real.

1. Chamados por incidente: conte os chamados que entraram na última vez que o DNS travou e multiplique pelo tempo médio de cada atendimento.
2. Duração da parada: multiplique os minutos sem resolução de nomes pelo número de assinantes que usam o seu DNS.
3. Janelas de madrugada: some as horas extras gastas no último ano para atualizar ou reiniciar o servidor fora do horário comercial.
4. Cancelamentos: veja quantos assinantes saíram nas semanas seguintes a uma queda longa e multiplique pela receita mensal de cada um.

Basta um incidente por ano para essas quatro linhas somarem mais que um desenho com dois POPs, na maioria das redes. Faça a conta com os seus números antes de comparar com a proposta.

E quando a causa da parada é um ataque?

Um volume anormal de consultas pode derrubar um servidor sozinho. Com anycast, esse volume se divide entre os POPs, mas a proteção da borda continua sendo outro serviço, a mitigação de DDoS.

Por isso, na conta de não fazer, separe as paradas por defeito das paradas por ataque. As primeiras a redundância resolve; as segundas ela só reduz.

O que costuma ficar fora da proposta e aparece depois

Cinco itens costumam aparecer só depois da assinatura, como aditivo ou como tarefa da sua equipe. Pergunte por cada um antes de comparar valores.

• Energia no segundo POP: servidor redundante num POP sem nobreak cai junto na primeira falta de luz. A obra de energia é outra conta, ligada a pontos únicos de falha.
• Roteamento dinâmico: se a rede ainda roda rota estática, alguém precisa preparar o OSPF ou o BGP interno, e isso nem sempre está escrito.
• Monitoramento contínuo: o projeto entrega os alertas, mas quem olha o painel todo dia é o monitoramento de rede.
• Novo teste depois de mudanças: trocar roteador, mudar o OSPF ou atualizar o DNS pede repetir o teste de queda.
• Servidores: a máquina de cada POP é comprada pelo provedor e quase nunca entra no valor do serviço.

A Táquion Tech não vende servidor, e por isso a proposta diz o tamanho de máquina que cada POP precisa sem empurrar marca. Se o provedor ainda não tem DNS próprio, a primeira etapa é a implantação de DNS recursivo, orçada à parte.

Erros comuns ao comparar propostas: quando o menor preço sai caro

O menor preço sai caro quando a redundância existe no desenho e falha no dia da queda. Os erros abaixo são os que mais aparecem em propostas que pareciam completas.

• Checagem por ping: o servidor responde ao ping com o DNS travado, e o anúncio nunca sai.
• Os dois servidores no mesmo POP: protege da máquina, não da fibra cortada ou da falta de energia.
• Anúncio sem filtro no roteador: um erro no servidor pode anunciar rota que não é do DNS e desviar tráfego.
• Entrega sem teste: a redundância é dada como pronta sem que ninguém tenha desligado um servidor de verdade.
• Mesma mudança em todos ao mesmo tempo: uma configuração ruim aplicada em todos os POPs derruba todos juntos.

O BGP interno é uma alternativa ao OSPF para anunciar o endereço entre POPs, e o guia de configuração de iBGP mostra quando ele faz mais sentido. Qualquer que seja o protocolo, as perguntas do checklist continuam as mesmas.

Perguntas frequentes

Fontes

1. RFC 4786, Operation of Anycast Services: boas práticas para operar serviços anycast, incluindo a retirada do anúncio quando o serviço falha
2. RFC 3258, Distributing Authoritative Name Servers via Shared Unicast Addresses: uso de endereço compartilhado (anycast) para servidores DNS e cuidados com o roteamento