Acordos de nível de serviço de proxies: compromissos e monitoramento

O que um SLA estabelece

Um SLA dá uma forma mensurável a um compromisso de serviço. Ele identifica o serviço coberto, o nível de desempenho exigido, o método usado para verificá-lo e a resposta a um descumprimento. Pode ser um documento público aplicável a um produto, parte das condições do serviço ou um acordo com um cliente individual.

Uma afirmação como “proxies confiáveis” diz pouco sobre o que precisa ser entregue. Um compromisso de disponibilidade ganha significado quando especifica qual parte do serviço é coberta, o que conta como indisponível e o período de avaliação dos resultados. O mesmo vale para o suporte: um prazo de resposta precisa de um ponto de partida, uma resposta definida e horários de suporte aplicáveis.

Os limites técnicos de um pacote e seu SLA têm finalidades diferentes. Um limite de conexões descreve a carga que um cliente pode impor ao serviço. Um SLA descreve o nível de serviço prometido nas condições aplicáveis. Nem uma especificação de pacote nem um gráfico histórico de tempo de atividade estabelecem automaticamente um compromisso de SLA.

Com o que os provedores podem se comprometer

A disponibilidade é um assunto comum de SLA. Os prazos de resposta do suporte também podem estar cobertos. Prazos de restabelecimento e limites de desempenho são compromissos adicionais apenas quando incluídos expressamente.

Para proxies, o objeto do compromisso importa. Um provedor pode medir um gateway, endereços de proxy individuais ou um pool. Um gateway acessível não prova, por si só, que todos os servidores proxy ou dispositivos por trás dele funcionem. Um compromisso no nível do pool também precisa de uma regra para tratar falhas que afetam apenas parte dele.

As medições de desempenho exigem cuidado semelhante. O tempo para abrir uma conexão com o proxy é diferente do tempo para baixar uma página por ele. A segunda medição inclui mais da rota e a resposta do site de destino. Uma promessa de desempenho precisa declarar a qual medição se refere.

Suporte ininterrupto descreve quando um serviço de suporte funciona. Um compromisso de primeira resposta descreve em quanto tempo alguém precisa responder. Um compromisso de restabelecimento descreve quando o serviço precisa voltar a funcionar. São obrigações separadas; uma não inclui automaticamente as outras.

Como os provedores mantêm o nível de serviço prometido

Cumprir um SLA exige tanto infraestrutura funcional quanto uma resposta organizada a falhas. As medidas abaixo explicam como os provedores podem manter o serviço; elas não são uma lista de recursos que todo provedor necessariamente oferece.

Servidores e conexões de rede redundantes fornecem alternativas quando um equipamento ou link falha. Para que essa reserva ajude, ela não pode depender inteiramente do componente que falhou. Vários servidores proxy conectados pelo mesmo dispositivo de rede com falha podem ficar indisponíveis juntos.

O gerenciamento de tráfego pode direcionar novas conexões a servidores em bom funcionamento e parar de atribuí-las a um nó com falha. Em um pool rotativo, isso pode incluir remover servidores proxy ou dispositivos indisponíveis da seleção. Com uma lista fixa, fornecer um endereço substituto pode restabelecer o acesso, mas não preserva o IP original. Portanto, um compromisso de manter o serviço funcionando não deve ser lido como uma promessa de preservar todos os endereços ou sessões ativas.

O planejamento de capacidade oferece margem para mudanças de demanda e falhas de equipamentos. Se todos os servidores restantes já estão totalmente ocupados, desviar o tráfego de um servidor com falha também pode sobrecarregá-los. Os provedores monitoram o uso de recursos e ampliam ou redistribuem a capacidade antes que ela se torne um gargalo persistente. Os limites de conexões e solicitações ajudam a manter as cargas de trabalho dentro das condições de operação do serviço.

A manutenção e as alterações de software também precisam de planejamento. Um provedor pode mover o tráfego antes de fazer a manutenção de equipamentos, testar uma atualização em uma parte limitada do sistema e manter uma forma de reverter uma mudança com falha. Essas medidas reduzem a chance de um trabalho rotineiro causar uma interrupção maior.

Por fim, os alertas precisam de pessoas que possam agir. As responsabilidades, o acesso aos sistemas afetados e os procedimentos para envolver especialistas em redes ou datacenters afetam a rapidez com que o serviço pode ser restabelecido.

Como o cumprimento é medido

O monitoramento tem duas tarefas: detectar falhas enquanto acontecem e manter medições para avaliar o serviço ao longo do tempo. Um alerta que acorda um engenheiro e um relatório mensal de disponibilidade podem usar as mesmas observações, mas respondem a perguntas diferentes.

O monitoramento interno acompanha os próprios sistemas do provedor: processos em execução, uso de recursos, erros de conexão e integridade da rede. Ele pode revelar problemas em desenvolvimento, como capacidade de conexão esgotada, antes de todo o serviço parar de responder.

As verificações externas testam o que um cliente realmente consegue fazer. Para um proxy, uma verificação útil pode autenticar, conectar-se pelo proxy a um destino controlado e verificar se a resposta esperada chega. Apenas encontrar uma porta aberta deixa boa parte desse caminho sem teste. Um destino controlado também ajuda a evitar a confusão entre uma falha do proxy e uma falha de um site sem relação com ele.

As observações precisam de detalhes suficientes para localizar um incidente: o endereço ou gateway testado, o registro de horário, o resultado e o erro relevante. O intervalo entre as verificações determina quanto pode ser observado. Verificações muito espaçadas podem não detectar interrupções breves, enquanto uma verificação a partir de uma única rede pode não detectar um problema de roteamento em outro lugar. Um teste de endereços selecionados não deve ser apresentado como prova contínua de que todos os IPs de um grande pool estavam funcionando.

O acordo determina então como essas observações são contabilizadas. A disponibilidade pode ser calculada a partir do tempo de serviço elegível ou de solicitações que atendam aos critérios, dependendo da definição. O período de avaliação, o tratamento de falhas parciais e as exclusões aplicáveis precisam corresponder a esse cálculo. Uma porcentagem sem essas regras não descreve completamente a medição.

Os clientes podem manter suas próprias medições junto com os relatórios do provedor. Uma página pública de status é útil para eventos que afetam todo o serviço, enquanto relatórios de conta ou verificações individuais podem mostrar um problema mais restrito. O SLA deve identificar os registros usados para avaliar uma solicitação e quaisquer informações que o cliente precise fornecer.

Como um incidente de serviço é tratado

Um incidente pode ser detectado por verificações automatizadas ou comunicado por um cliente. O provedor precisa estabelecer o que foi afetado: um endereço, uma localização, a autenticação, um gateway ou o serviço de forma mais ampla. Isso ajuda a direcionar o problema às pessoas que podem corrigi-lo e determinar sua prioridade.

A tarefa imediata é restabelecer um serviço utilizável. Isso pode envolver reiniciar um processo com falha, mover o tráfego, reverter uma alteração ou trabalhar com o operador da rede. Encontrar e eliminar a causa original pode levar mais tempo do que restabelecer o acesso. Portanto, uma recuperação temporária e um reparo permanente são etapas distintas.

A comunicação com o cliente precisa de um responsável próprio. Durante uma interrupção mais ampla, os engenheiros podem trabalhar na recuperação enquanto a equipe de suporte coleta relatos e publica atualizações. Se um SLA especifica intervalos de atualização ou prazos de escalonamento, esses são compromissos que podem ser verificados separadamente do próprio reparo.

A recuperação também precisa de verificação. O provedor deve confirmar que as conexões afetadas voltaram a funcionar e observar a recorrência de erros. Quando são fornecidos relatórios, o registro pode incluir o período do incidente, os serviços afetados, as medidas tomadas e as medidas destinadas a evitar a repetição. O nível de detalhe disponível aos clientes depende das condições do serviço.

Onde os compromissos se aplicam

Uma solicitação sem sucesso não identifica sua causa por si só. Credenciais incorretas, um pacote expirado, um limite de conexões, uma recusa do site de destino e um servidor proxy com falha podem interromper uma tarefa, mas dizem respeito a partes diferentes do serviço.

O SLA define quais dessas partes o provedor se comprometeu a cobrir. Manter uma conexão de proxy não promete automaticamente que um site independente aceitará o IP ou retornará o conteúdo desejado pelo cliente. Da mesma forma, um problema na rede local de um cliente é diferente de uma falha dentro da infraestrutura do provedor.

A manutenção programada e outras exclusões precisam de condições declaradas. Uma exclusão de manutenção pode depender de aviso prévio ou de uma janela de manutenção especificada. O simples fato de um trabalho ter sido realizado não estabelece como a interrupção deve ser contabilizada. O acordo aplicável fornece essa regra.

As dependências também precisam de tratamento claro. Um serviço de proxy pode usar uma empresa de hospedagem, uma rede de trânsito ou outro fornecedor. Se uma interrupção que envolve esse fornecedor é excluída depende do acordo; terceirizar parte da infraestrutura não é, por si só, uma explicação da cobertura do SLA do cliente.

O que acontece quando um SLA não é cumprido

Restabelecer o serviço resolve o problema técnico. A solução prevista no SLA trata do compromisso não cumprido. Uma forma usada pelos provedores é um crédito de serviço: um valor aplicado a cobranças posteriores do serviço. Outros arranjos podem oferecer uma extensão ou um reembolso, mas o documento aplicável precisa estabelecer a solução.

O cálculo precisa de uma base de cobrança definida. Um crédito pode estar vinculado ao serviço afetado, em vez de a todos os itens da conta do cliente. Níveis diferentes de falha podem gerar créditos diferentes, e um valor máximo pode se aplicar. Essas regras explicam o que o SLA oferece; um compromisso não cumprido não estabelece, por si só, o ressarcimento de toda perda causada por uma tarefa interrompida.

Um cliente pode precisar enviar uma solicitação dentro de um período declarado. As informações relevantes podem incluir o serviço afetado, os horários do incidente com fuso horário e os registros de erros de conexão. A solicitação é avaliada usando o procedimento e as evidências especificados no SLA.

Isso é separado de uma política comum de reembolso de compras. Uma janela de reembolso trata das condições para devolver uma compra; uma solução prevista em SLA trata do descumprimento de um compromisso de serviço definido durante o uso.