O teu site responde de fora: como sabes que nada lá dentro está encravado?
Em resumo
Um site público não diz nada sobre o servidor, o armazenamento ou a máquina que faz andar o negócio, porque nenhum deles é alcançável de fora. Vigiá-los significa perguntar de dentro da rede — e o limite honesto: um equipamento que responde não é o mesmo que um equipamento a fazer o seu trabalho.
Pergunta à maioria das pessoas se os sistemas delas estão de pé e elas vão falar-te do site. É a parte que tem um endereço público, a parte que se pode verificar de qualquer sítio, e é uma fração pequena daquilo de que o negócio vive mesmo.
O servidor de ficheiros não tem endereço público. Também não tem o armazenamento, nem o anfitrião de virtualização, nem a impressora que faz as guias de remessa, nem o gateway na sala técnica, nem a máquina da oficina que faz o mesmo trabalho desde 2019. Nada na internet consegue ver nenhum deles. É uma decisão de segurança deliberada e correta, e tem uma consequência: não os consegues verificar de fora, por isso a maioria das pessoas não os verifica de todo.
O que quer dizer «dentro da rede», na prática?
Uma coisa pequena que vive na mesma rede e faz perguntas em teu nome: um pequeno equipamento numa máquina que sobrou, uma máquina virtual, ou simplesmente um agente numa caixa Linux que já tens.
O que a torna aceitável é o sentido do tráfego. Abre uma ligação HTTPS de saída, tal como um navegador faz, e nada se abre para dentro: nenhum reencaminhamento de portas, nenhuma VPN, nenhum endereço público fixo. As redes onde «dá para abrir uma porta?» encerra a conversa são exatamente as redes onde isto tem de funcionar.
Uma vez lá, pode perguntar se está alcançável tudo o que tenha um endereço e — onde lhe deres credenciais — pedir números a sério: processador, memória, disco e carga em máquinas Linux e Windows, valores SNMP de armazenamento, switches, impressoras e UPS, o estado de anfitriões de virtualização e de controladores de gestão de servidores. Se quiseres, pode dar uma volta pelas gamas de rede que declarares e propor o que encontrar, para não teres de escrever endereços copiados de uma folha de cálculo.
De que avaria estamos a falar, na verdade?
Da avaria em que o equipamento responde na perfeição sem estar a fazer nada: estar alcançável é a metade fácil, esta é a metade cara.
Um gateway à frente de um sistema de domótica responde alegremente no seu endereço de rede com o bus por trás dele morto. Um ponto de dados deixado em estado forçado ou fora de serviço comunica para sempre um valor plausível. Uma importação que parou há três semanas deixa um serviço que continua a responder a todos os pedidos num instante, porque não tem nada para fazer. Nos três casos o ponto está verde e o trabalho não está a acontecer.
Há uma maneira honesta de apanhar estes casos e uma desonesta. A desonesta é afirmar que um sistema de vigilância consegue dizer, de fora, que um equipamento está a fazer o seu trabalho. Não consegue. A honesta é fazer com que o próprio trabalho produza um número: que idade tem o último ficheiro processado, quantos itens estão à espera, quantos minutos passaram desde que um valor mudou pela última vez. Já tens um comando que consegue imprimir isso, ou escreves um em cinco linhas. Um monitor de métricas pode correr até oito comandos teus e transformar cada número impresso num valor vigiado, com um limiar de aviso e um limiar de alarme.
É este o truque todo, e vale a pena dizê-lo sem rodeios: nós não detetamos que o teu sistema deixou de funcionar. Vigiamos um número que o teu sistema produz, e esse número deixa de se mexer.
O que fazer esta semana
- Escreve a lista daquilo sem o qual o negócio pára e assinala quais desses têm um endereço público. Os que ficarem por assinalar são o buraco.
- Põe uma sonda dentro da rede e começa por verificar se tudo o que está nessa lista está alcançável. Leva uma tarde e já muda a conversa.
- Acrescenta credenciais onde as tiveres, para que as máquinas importantes comuniquem números em vez de um ponto.
- Escolhe o processo cuja falha silenciosa mais doeria e obriga-o a imprimir um número — idade do ficheiro, tamanho da fila, minutos desde a última mudança. Vigia esse número.
- Garante que a própria sonda é vigiada, para que o silêncio vindo de dentro queira dizer alguma coisa.
A vigilância de fora diz-te o que os teus clientes conseguem ver. A vigilância de dentro diz-te se o negócio ainda está a trabalhar. Não são a mesma pergunta, e normalmente só uma delas está a ser feita.
O que não te podemos dizer
- Não conseguimos ver um equipamento que não publica nada: se não houver maneira de lhe perguntar, tudo o que te podemos dizer é se sequer responde na rede.
- Não conseguimos ler um bus de automação ou de domótica — KNX, BACnet e afins: hoje vemos o gateway que está à frente dele, não o bus que está por trás.
- Não te podemos dizer por nossa conta que um valor congelou. Se o teu próprio comando imprimir há quanto tempo alguma coisa não muda, vigiamos esse número e alertamos sobre ele — o cálculo tem de vir do teu lado.
- Não conseguimos descobrir o que não declaraste: a sonda só procura nas gamas de rede que lhe indicares, e só se ligares a descoberta.
As perguntas que se fazem mesmo
Porque é que um serviço de fora pode estar bem enquanto uma coisa lá dentro está morta?
Porque são máquinas diferentes a fazer trabalhos diferentes. O site público é a pequena parte do negócio que dá para a internet. O servidor de ficheiros, o armazenamento, o anfitrião de virtualização, a máquina que imprime as guias de remessa — nenhum deles está exposto, de propósito, por isso nada na internet te consegue dizer seja o que for sobre eles. O silêncio deles não é prova de saúde, apenas de estarem inalcançáveis.
Tenho de abrir portas ou montar uma VPN para isto?
Não, e não devias ter de o fazer. Uma pequena sonda dentro da rede abre uma ligação HTTPS de saída e mais nada: nenhuma porta de entrada, nenhuma VPN, nenhum endereço fixo. É a mesma direção de tráfego de um navegador, e é por isso que funciona em redes onde abrir seja o que for está fora de questão.
O que é que ela consegue mesmo perguntar a um servidor ou a um equipamento?
Se está alcançável, para tudo o que tenha um endereço; e, com credenciais, números a sério: CPU, memória, disco e carga em Linux por SSH, o equivalente em Windows, valores SNMP de armazenamento, impressoras, switches e UPS, e o estado de anfitriões de virtualização e de controladores de gestão de servidores. Cada um deles é um número com um limiar, um gráfico e um histórico, não um ponto vermelho ou verde.
Como apanho a coisa que responde mas deixou de trabalhar?
Vigiando um número que só se mexe quando o trabalho está mesmo a acontecer: a idade do último ficheiro processado, o tamanho de uma fila de espera, há quanto tempo um valor não muda. Num monitor de métricas podes correr até oito comandos teus, e o número que cada um imprimir passa a ser um valor vigiado, com limiar de aviso e limiar de alarme. É assim que uma tarefa que parou em silêncio se torna visível.
De quantos monitores precisa um servidor?
Na prática dois a quatro: um que cubra CPU, memória e disco em conjunto, mais um por cada serviço que ali corra e que interesse. Como ordem de grandeza, cinquenta monitores cobrem qualquer coisa como quinze a vinte e cinco servidores — útil para perceberes que plano te serve antes de instalares seja o que for.
O que acontece se a sonda perder a ligação?
Continua a verificar e guarda os resultados localmente, depois reenvia-os quando a ligação volta, para que o histórico não fique com um buraco e a paragem não seja atribuída aos teus serviços. E uma sonda que deixa de comunicar é, por si só, um alerta — o silêncio tem de querer dizer alguma coisa, senão não quer dizer nada.