Você configura o cluster, distribui as máquinas virtuais e, de repente, a rede oscila por dois segundos. Quando tudo volta ao normal, você descobre que duas VMs idênticas estão rodando simultaneamente em nós diferentes, corrompendo seus bancos de dados e arquivos compartilhados. Isso é o temido split brain (cérebro partido) e é o pesadelo silencioso de quem busca alta disponibilidade no Proxmox.
- O que é Split Brain e por que ele destrói seu cluster
- O papel vital do Quorum na tomada de decisões
- Fencing (STONITH): O mecanismo de defesa final
- Configuração ideal para evitar falhas de quorum
- Comparação: Arbitration Disk vs. Network Quorum
- Perguntas frequentes sobre clusterização
- Conclusão e próximos passos
A maioria dos administradores de sistemas foca obsessivamente na replicação de dados e no agendamento de migrações live. No entanto, a verdadeira estabilidade de um ambiente virtualizado reside na capacidade do cluster de tomar decisões unânimes durante uma falha parcial de rede ou hardware. Sem um mecanismo robusto para evitar o split brain, sua infraestrutura de alta disponibilidade não é confiável; ela é apenas uma fonte de riscos operacionais.
Neste guia técnico, vamos dissecar os mecanismos internos do Proxmox VE (PVE) que garantem a integridade do cluster. Vamos além da configuração básica e entrar na lógica de quorum e fencing, essenciais para profissionais de TI e donos de empresas que não podem pagar pelo tempo de inatividade gerado por decisões ambíguas do sistema.
O que é Split Brain e por que ele destrói seu cluster
O termo "split brain" descreve uma condição onde dois ou mais nós de um cluster acreditam, erroneamente, que são o único nó restante ou que possuem autoridade total sobre os recursos compartilhados. Em um cenário ideal de alta disponibilidade, se um nó falha, o outro assume imediatamente. Mas e se a comunicação entre eles for perdida? Se o nó A não consegue ouvir o nó B, ele pode assumir que o nó B caiu e iniciar as VMs que estavam nele.
Se, por algum motivo, o nó B ainda estiver vivo (apenas isolado da rede), ele também tentará iniciar suas VMs. O resultado é uma duplicidade de processos acessando o mesmo armazenamento compartilhado. Para sistemas de arquivos não clusterizados ou bancos de dados tradicionais, isso resulta em corrupção irreversível de dados.
"Um cluster sem um mecanismo de fencing eficaz não é alta disponibilidade; é uma bomba-relógio esperando para explodir durante a primeira manutenção de rede."
No Proxmox, esse cenário é mitigado pela combinação de dois conceitos fundamentais: quorum e fencing. O quorum define se o cluster tem "maioria" para operar. O fencing garante que, se um nó perde o quorum ou fica isolado, ele seja forçado a desligar fisicamente antes de tentar acessar os dados.
O papel vital do Quorum na tomada de decisões
O quorum é o princípio democrático aplicado à infraestrutura de TI. Para que um cluster Proxmox tome decisões críticas, como iniciar uma VM ou migrar um serviço, ele precisa de maioria dos votos. Essa regra previne que um subconjunto isolado do cluster execute ações perigosas.
Cada nó do cluster possui um voto. Se você tem um cluster de dois nós, cada um tem 50% dos votos. Se a rede cai e eles se desconectam, nenhum deles tem mais de 50% (a maioria). Tecnicamente, ambos perdem o quorum.
No entanto, o Proxmox VE possui uma lógica específica para clusters de dois nós (2-node cluster) para evitar que ambos desliguem e causem uma parada total. Por padrão, se um nó perde a conexão com o outro, ele verifica se ainda tem acesso ao armazenamento compartilhado. Se tiver, ele pode continuar operando localmente, mas com restrições. A chave aqui é entender que sem quorum, operações de escrita no storage compartilhado são bloqueadas ou altamente desencorajadas.
Para clusters com três ou mais nós, a tolerância a falhas aumenta. Você pode perder um nó e ainda manter a maioria (2 votos contra 1). Isso permite que o cluster continue funcionando mesmo durante uma falha parcial, desde que os mecanismos de fencing estejam ativos para isolar o nó defeituoso.
Fencing (STONITH): O mecanismo de defesa final
Se o quorum é a regra de votação, o fencing (também conhecido como STONITH - Shoot The Other Node In The Head) é a execução da sentença. É o processo de garantir que um nó que perdeu o quorum ou está se comportando mal seja fisicamente desligado ou reiniciado.
Muitos administradores negligenciam a configuração do fencing, achando que o cluster se recuperará sozinho. Isso é um erro grave. Se o nó A não consegue "matar" o nó B isolado, o nó B continuará rodando e acessando o storage, causando o split brain. O Proxmox exige que o fencing esteja habilitado para considerar a alta disponibilidade verdadeira.
O fencing funciona através de agentes externos. Você configura um dispositivo IPMI, iDRAC, ILO ou um switch gerenciável (PDU). Quando o cluster decide que um nó deve ser isolado, ele envia um comando para esse dispositivo externo, cortando a energia do servidor fisicamente.
- Verificação de Saúde: O nó vizinho monitora a resposta do nó alvo.
- Se o alvo não responde ao ping ou ao serviço SSH, o cluster tenta o fencing.
- O agente externo corta a energia do nó alvo.
- O nó alvo reinicia e entra em um estado limpo, sem acesso aos discos compartilhados.
- As VMs são iniciadas nos nós restantes que possuem quorum.
Sem essa etapa física, a lógica de software é insuficiente para garantir a integridade dos dados em cenários de falha de rede assimétrica.
Configuração ideal para evitar falhas de tamanho
A arquitetura do seu cluster define a robustez contra o split brain. Embora seja possível criar um cluster de dois nós, a recomendação oficial e a prática de mercado para ambientes críticos apontam para clusters de três ou mais nós.
Por quê? A matemática do quorum.
Em um cluster de dois nós, você está operando no limite. Qualquer falha de comunicação coloca o sistema em um estado de "ou um ou nenhum" (ou ambos param, ou um assume risco). Um cluster de três nós permite que você perca um nó e ainda tenha 66% dos votos restantes, mantendo a operação normal sem riscos de divisão cerebral.
Além do número de nós, a topologia de rede é crítica. Evite depender de uma única interface de rede para a comunicação do cluster (cluster net) e para o armazenamento (storage net). Se possível, utilize links dedicados ou VLANs separadas. A congestão na rede pode ser interpretada como falha de nó, acionando migrações desnecessárias ou tentativas de fencing.
Comparação: Arbitration Disk vs. Network Quorum
Para clusters de dois nós, o Proxmox oferece duas abordagens principais para lidar com a perda de quorum. Entender as limitações de cada uma é vital para a tomada de decisão.
| Característica | Arbitration Disk (Disco de Arbitragem) | Network Quorum (Quorum via Rede) |
|---|---|---|
| Funcionamento | Um disco pequeno e dedicado fica conectado apenas aos dois nós. Ele atua como juiz. | Usa um terceiro nó ou serviço externo (como um DNS ou outro cluster) para decidir quem tem a maioria. |
| Complexidade | Moderada. Requer hardware físico adicional ou configuração de iSCSI/NFS específica. | Baixa. Não requer hardware extra, mas depende da confiabilidade do terceiro ponto. |
| Confiabilidade | Alta, se o disco estiver acessível a ambos os nós. Evita que ambos desliguem. | Depende totalmente da disponibilidade do serviço de rede externo. |
| Risco de Split Brain | Baixo, desde que o disco não fique inacessível simultaneamente. | Moderado, se o serviço externo falhar junto com a rede principal. |
O Arbitration Disk é frequentemente preferido em ambientes on-premise tradicionais por ser independente de serviços externos. Já o Network Quorum pode ser útil em arquiteturas híbridas ou quando se utiliza um cluster Proxmox como parte de uma infraestrutura maior que já possui um sistema de quorum centralizado.
Independentemente da escolha, a configuração correta do agente de fencing é o que transforma essa lógica teórica em segurança prática. Sem fencing, o disco de arbitragem ou o serviço de rede não têm poder para impedir que um nó "loco" continue escrevendo nos dados.
Perguntas frequentes sobre clusterização
O Proxmox funciona sem fencing habilitado?
Tecnicamente, sim, você pode criar um cluster e rodar VMs sem o fencing. No entanto, a alta disponibilidade não será garantida. Se um nó falhar ou ficar isolado, o Proxmox pode hesitar em migrar as VMs para evitar corromper dados, resultando em tempo de inatividade prolongado. Além disso, operações de armazenamento compartilhado podem ser bloqueadas pelo sistema de cluster se o fencing não estiver configurado corretamente, pois ele é a garantia de segurança do sistema.
Qual a diferença entre HA e Failover?
Failover é o processo reativo de mover uma VM de um nó falho para outro. High Availability (HA) é a estratégia proativa que inclui o failover, mas também envolve a prevenção de split brain, o gerenciamento de quorum e a configuração de fencing. Um sistema pode ter failover manual sem ter HA verdadeira. A HA exige automação e integridade de dados garantidas pelo cluster.
Posso usar NFS para storage em um cluster Proxmox?
Não é recomendado para discos virtuais (VM disks) que exigem alta disponibilidade. O NFS é um protocolo de arquivo, não um sistema de arquivos clusterizado. Se duas VMs acessarem o mesmo disco via NFS ao mesmo tempo, os dados serão corrompidos. Para alta disponibilidade, utilize Ceph, iSCSI, FC ou NFS apenas para storage de leitura única (como ISOs ou backups), nunca para discos bootáveis em cluster.
O que acontece se eu perder 2 nós em um cluster de 4?
Se você tem 4 nós e perde 2, restam 2 votos. Como a maioria absoluta é necessária (mais de 50%), o cluster restante perderá o quorum. Nenhum nó poderá iniciar novas VMs ou escrever no storage compartilhado. O sistema entra em modo de "proteção", aguardando que a maioria dos nós volte ao ar para retomar as operações normais. Isso protege seus dados da corrupção.
Como monitorar o status do quorum?
Você pode verificar o status do quorum diretamente na interface web do Proxmox, na aba "Datacenter" > "Cluster". O status deve indicar "Quorate". Via linha de comando, o comando pvecm status mostra detalhes sobre os nós membros, seus votos e se o cluster está saudável. Monitorar isso é essencial para detectar problemas de rede antes que eles causem uma falha real.
Conclusão
Montar um cluster Proxmox não é apenas sobre conectar servidores e distribuir cargas. É sobre construir um sistema resiliente capaz de tomar decisões críticas sob pressão. O split brain é uma ameaça real que transforma sua infraestrutura de alta disponibilidade em um risco operacional.
A solução não reside em software mágico, mas na arquitetura correta: quorum bem definido, fencing robusto e, preferencialmente, três ou mais nós para garantir a maioria. Ao implementar esses pilares, você garante que suas VMs estejam seguras, íntegras e prontas para assumir a carga quando o inesperado acontecer.
A infraestrutura é a base do seu negócio. Se você busca uma solução que já entregue essa maturidade técnica, sem a complexidade de gerenciar quorum e fencing manualmente, conte com a expertise da Toda Solução. Nossas soluções de cloud e servidores são projetadas para oferecer essa estabilidade desde o primeiro dia, permitindo que você foque no seu core business.