Arquiteturas de referência

Como desenhamos conectividade e continuidade

Oito arquiteturas que usamos como ponto de partida em conversas com gestores de TI: quando cada uma faz sentido, o que entrega e onde estão os limites. O desenho final sempre parte do seu ambiente.

Ilustração de desenhos de arquitetura de rede sobre uma mesa com switch e ponto de acesso — Imagem ilustrativa

Conectividade e BGP

Do link único ao multihoming com ASN próprio: cada degrau resolve um problema e traz limites que você deve conhecer antes de decidir.

Um link de internet: quando basta

A arquitetura mais simples: uma operadora, um firewall e a rede interna. Faz sentido quando uma queda de algumas horas é tolerável.

caminho principal reserva ou replicação Diagrama esquemático, não representa um projeto real.

Quando usar

Operação que continua funcionando sem internet por um período, ou que aceita pausar.
Sistemas principais já hospedados na nuvem e acessíveis por qualquer conexão.
Orçamento enxuto, equipe pequena e nenhum serviço publicado na internet.

O que entrega

Firewall configurado, rede segmentada e Wi-Fi organizado.
Monitoramento do link e do equipamento de borda.
Documentação da topologia e plano de evolução para quando o negócio exigir mais.

Requisitos e limites

Se a operadora ou o link cai, tudo o que depende da internet para.
Não há caminho alternativo: o retorno depende do prazo da operadora.
Se a queda já custa caro, avalie o caso seguinte.

Conversar sobre esta arquitetura

Dois links com failover, sem ASN próprio

Dois provedores diferentes ligados a um firewall com roteamento por política (SD-WAN ou balanceamento de carga): se um link cai, o tráfego de saída segue pelo outro.

caminho principal reserva ou replicação Diagrama esquemático, não representa um projeto real.

Quando usar

A empresa precisa continuar acessando a internet se uma operadora cair.
O uso é principalmente de saída: navegação, nuvem, e-mail e VPNs iniciadas pela própria empresa.
Não é possível, ou não é necessário, manter os mesmos IPs públicos entre provedores.

O que entrega

Dois links de operadoras distintas e regras de troca automática (failover) testadas.
Política de roteamento: o que usa o link principal e o que pode usar a reserva.
Monitoramento de cada link e alerta antes do usuário perceber.

Requisitos e limites

Cada link tem o próprio IP público: ao trocar de link, o endereço de saída muda.
Conexões em andamento (sessões, chamadas, VPNs) podem cair e precisar reconectar.
Serviços publicados na internet dependem de DNS apontando para o link ativo e de TTL curto: a troca não é instantânea.
Quem precisa manter o mesmo IP para clientes externos deve avaliar o caso com ASN próprio.

Conversar sobre esta arquitetura

Multihoming com ASN e prefixos próprios (BGP)

A empresa tem o próprio número de sistema autônomo (ASN) e os próprios blocos IPv4/IPv6, e os anuncia por BGP a dois provedores de trânsito. Os endereços são seus e continuam os mesmos se um provedor cai ou é trocado.

caminho principal reserva ou replicação Diagrama esquemático, não representa um projeto real.

Quando usar

Serviços publicados que não podem mudar de IP (APIs, e-mail, sistemas acessados por clientes e parceiros).
VPNs com clientes que dependem de endereços fixos e estáveis.
Necessidade de disponibilidade também para o tráfego que chega à empresa, não só para o que sai.
Provedores de internet, hospedagem e datacenters, ou empresas com vários provedores que querem controlar por onde o tráfego entra e sai.

O que entrega

Desenho do roteamento: o que anunciar, a quem e com que preferência (engenharia de tráfego de entrada e saída).
Configuração do roteador de borda, com sessões BGP nos dois provedores e filtros de prefixo.
Apoio ao pedido de ASN e de blocos IPv6 (e IPv4, quando houver) ao Registro.br, com a documentação que o formulário exige.
Monitoramento das sessões BGP e testes de queda planejados.

Requisitos e limites

O pedido de ASN e de blocos IP é analisado pelo Registro.br: avaliamos o seu caso e orientamos o pedido, sem prometer aprovação.
O formulário pede CNPJ, dados de contato, quais são os provedores de trânsito e a justificativa de uso; o ASN só é entregue junto com a aprovação do pedido de bloco IP.
IPv4 está esgotado na região desde 2020: novos blocos só saem de endereços devolvidos ou recuperados, por fila de espera sem previsão de prazo. IPv6 é o caminho mais viável hoje.
Taxas e prazos são definidos pelo Registro.br e pelo LACNIC; consulte as páginas oficiais antes de decidir.
Exige dois provedores que aceitem sessão BGP e equipamento de borda dimensionado para a tabela de rotas contratada.

Quando uma empresa realmente precisa de ASN? Quando não pode perder o endereço IP ao trocar de provedor, quando precisa de redundância também na entrada do tráfego, ou quando opera como provedor, hospedagem ou datacenter. Para só “ter internet de reserva”, o caso anterior costuma bastar.

Fontes oficiais: Registro.br — Numeração: perguntas frequentes · LACNIC — Fases do esgotamento do IPv4

Conversar sobre esta arquitetura

Peering no IX.br (PTT)

Além do trânsito, a empresa se conecta a um ponto de troca de tráfego do IX.br e troca tráfego diretamente com outras redes presentes nele.

caminho principal reserva ou replicação Diagrama esquemático, não representa um projeto real.

Quando usar

A empresa já tem ASN e boa parte do tráfego vai para (ou vem de) redes que também estão no IX.br.
Conteúdo e serviços com muito tráfego para outras redes brasileiras.
Objetivo de encurtar o caminho até esses destinos e depender menos do trânsito.

O que entrega

Avaliação de quais destinos valem o peering e em qual localidade do IX.br.
Configuração das sessões BGP e das políticas de roteamento no roteador de borda.
Apoio nas etapas de adesão e nos testes de conectividade.

Requisitos e limites

O IX.br é aberto a qualquer sistema autônomo: sem ASN próprio, não há como participar.
Os passos: ter ASN, escolher a localidade (PIX), combinar a interligação física com o PIX, solicitar a adesão em meu.ix.br e assinar o contrato, cumprindo os requisitos técnicos.
Em algumas localidades (como São Paulo, Rio de Janeiro e Fortaleza) há custos de participação; cada PIX tem regras próprias. Consulte o IX.br.
O ganho (menor latência e menor consumo de trânsito) depende de quem está no mesmo ponto; não é automático.

Fontes oficiais: IX.br — Como aderir

Conversar sobre esta arquitetura

Segurança na borda: RPKI, filtros e DDoS

Com ASN próprio, a borda precisa de tanto cuidado quanto o firewall: publicar quem pode anunciar seus prefixos, filtrar o que entra e sai e combinar com o provedor o que fazer num ataque.

caminho principal reserva ou replicação Diagrama esquemático, não representa um projeto real.

Quando usar

A empresa anuncia prefixos próprios e não quer que outra rede os anuncie por engano ou má-fé.
Serviços na internet que já sofreram, ou podem sofrer, ataques de negação de serviço.
Requisito de governança ou de clientes sobre a segurança do roteamento.

O que entrega

ROA (Route Origin Authorization) para cada prefixo: um registro que informa qual ASN está autorizado a originá-lo.
Filtros de prefixo e de caminho de AS nas sessões BGP, e proteção contra endereços de origem falsos.
Documentação pública da política de roteamento e dos contatos de operação, conforme as ações do MANRS (filtragem, antispoofing, coordenação e validação global).
Plano de resposta a ataques de negação de serviço (DDoS), combinado com o provedor de trânsito, com os procedimentos de acionamento.

Requisitos e limites

ROA é um registro de autorização, não um firewall: quem valida rotas é a outra ponta, e nem toda rede valida.
A criação de ROA depende do ASN estar registrado em seu nome; ela é configurada no painel de numeração do Registro.br.
Usamos as ações do MANRS como referência de boas práticas; isso não significa que somos participantes do programa nem confere certificação.
A mitigação de ataques de grande volume é contratada com o provedor de trânsito: depende do fornecedor, do plano e do tamanho do ataque.

Fontes oficiais: Registro.br — RPKI · MANRS — Ações para operadoras de rede

Conversar sobre esta arquitetura

Continuidade do negócio (BCP)

Backup, site secundário e nuvem híbrida: o que mantém a operação de pé, ou a traz de volta, quando algo dá errado.

Backup 3-2-1 com cópia externa

Três cópias dos dados, em duas mídias diferentes, uma delas fora do local: se o servidor, o prédio ou a conta de nuvem de produção forem atingidos, ainda há caminho de volta.

caminho principal reserva ou replicação Diagrama esquemático, não representa um projeto real.

Quando usar

Servidores, bancos de dados e estações com dados que a empresa não pode perder.
Risco de ransomware, falha de hardware, erro humano ou incidente no local.
Necessidade de comprovar que o backup restaura, e não só que “roda”.

O que entrega

Política 3-2-1 desenhada por criticidade, com retenção e janela de backup definidas.
Backup gerenciado dos servidores Windows e Linux com o portfólio Acronis e armazenamento local.
Testes de restauração periódicos, com registro do resultado.

Requisitos e limites

A cópia externa depende da banda de saída e do volume de dados: o primeiro envio pode levar dias.
O custo cresce com a retenção e com o volume protegido.
Backup recupera dados; para o serviço voltar em minutos, veja o caso de site secundário.

Conversar sobre esta arquitetura

Site secundário e recuperação de desastres (DR)

Um segundo ambiente (outro site ou nuvem) recebe réplicas dos sistemas críticos. Se o principal parar, os usuários passam a usar o secundário.

caminho principal reserva ou replicação Diagrama esquemático, não representa um projeto real.

Quando usar

Sistemas cuja parada por horas ou dias é inaceitável para o negócio.
Necessidade de definir, por serviço, quanto dado se aceita perder e em quanto tempo o serviço precisa voltar.
Auditorias ou clientes que exigem plano de continuidade documentado.

O que entrega

Levantamento dos serviços por criticidade e definição de RPO e RTO para cada um.
Replicação para o site secundário ou para a nuvem e plano de failover e retorno.
Plano de continuidade e de desastre documentado (BCP e DRP), com testes programados.

Requisitos e limites

RPO é quanto de dado a empresa aceita perder, medido em tempo (por exemplo, “até 15 minutos de trabalho”). RTO é em quanto tempo o serviço volta. Quanto menores, maior o custo.
Replicação exige banda estável entre os sites e capacidade reservada no secundário.
Sem teste de failover, o plano é uma hipótese: por isso incluímos ensaios no escopo.

Conversar sobre esta arquitetura

Nuvem híbrida e continuidade de filiais

Matriz e filiais ligadas à nuvem por um link principal e outro de reserva (4G/5G), para que cada unidade continue conectada e os sistemas na nuvem continuem acessíveis.

Imagem ilustrativa

caminho principal reserva ou replicação Diagrama esquemático, não representa um projeto real.

Quando usar

Parte dos sistemas já está na nuvem ou vai migrar, e as unidades dependem desse acesso.
Filiais que não podem ficar paradas por falha no link principal.
Identidade e acesso unificados entre o ambiente local e a nuvem.

O que entrega

Conectividade segura entre unidades e nuvem (VPN, por exemplo WireGuard), com troca automática para o link de reserva.
Arquitetura híbrida com migração faseada e plano de retorno.
Identidade híbrida com Active Directory e Microsoft Entra ID, quando a empresa já usa AD.

Requisitos e limites

O link 4G/5G de reserva tem banda e latência menores e depende da cobertura da operadora no local; serve para manter o essencial funcionando.
Ao trocar de link, conexões em andamento podem cair e precisar reconectar.
Custos de nuvem variam com o uso: incluímos governança de custos (FinOps) no escopo.

Conversar sobre esta arquitetura

Vamos conversar sobre o seu ambiente?

Conte o cenário e receba uma proposta sob medida.

Solicitar orçamento Agendar visita

Como desenhamos conectividade e continuidade

Conectividade e BGP

Um link de internet: quando basta

Quando usar

O que entrega

Requisitos e limites

Dois links com failover, sem ASN próprio

Quando usar

O que entrega

Requisitos e limites

Multihoming com ASN e prefixos próprios (BGP)

Quando usar

O que entrega

Requisitos e limites

Peering no IX.br (PTT)

Quando usar

O que entrega

Requisitos e limites

Segurança na borda: RPKI, filtros e DDoS

Quando usar

O que entrega

Requisitos e limites

Continuidade do negócio (BCP)

Backup 3-2-1 com cópia externa

Quando usar

O que entrega

Requisitos e limites

Site secundário e recuperação de desastres (DR)

Quando usar

O que entrega

Requisitos e limites

Nuvem híbrida e continuidade de filiais

Quando usar

O que entrega

Requisitos e limites

Vamos conversar sobre o seu ambiente?

Tecnologias com que trabalhamos

Imprimir ou salvar em PDF