Uma VPC a sério é uma propriedade do hardware, não uma linha na base de dados de outra pessoa.

«Virtual private cloud» é um dos melhores nomes que os hyperscalers alguma vez lançaram. Soa a um lugar. Na realidade é uma linha numa base de dados: um overlay definido por software recortado de infraestrutura que se partilha com outros tenants, imposto pelo mesmo control plane que corre o de toda a gente. Mas «private» carrega muito peso nessa frase, e vale a pena perguntar o que a palavra significa quando não assenta em hardware.

Isolamento que é real

No nosso fabric, a separação entre tenants não é uma regra de firewall que alguém escreveu. Cada tenant recebe a sua própria separação de routing e a sua própria identidade de rede virtual no nosso fabric leaf-spine, não uma VLAN partilhada com uma access list aparafusada por cima. A sua rede existe como uma entidade própria nas tabelas de encaminhamento do silício: as suas rotas não estão numa tabela com as de mais ninguém, e não há uma ordem de regras que possa falhar de forma subtil entre a sua empresa e o vizinho.

É isto que raio de impacto significa na camada de rede. Uma má configuração, um comprometimento ou uma inundação no segmento de um tenant não tem caminho para o seu, porque não existe um segmento partilhado para atravessar. Para quem responde perante um auditor, a rede single-tenant é também a frase mais fácil de defender: o isolamento é arquitetural, uma postura que encaixa naturalmente em conversas sobre a ISO 27001, em vez de uma política que encaixa numa promessa.

A resiliência é a predefinição, não o upsell

No edge, a rede é multi-homed em vários carriers upstream, mais peering no GR-IX e no NetIX, pelo que perder um carrier é um evento de routing para nós, não algo que a sua empresa note. Por dentro, o fabric é leaf-spine. Não há nenhum escalão de resiliência para comprar. As falhas aborrecidas são eliminadas no desenho antes de a sua empresa chegar.

A interligação privada

O tráfego entre os nossos datacenters viaja num mesh sempre ativo encriptado com IPsec, de datacenter para datacenter, não pela internet aberta. Se replica storage entre sites ou corre DR numa segunda localização, esse tráfego é privado por predefinição: nenhuma VPN para construir, nenhum trânsito público para os seus dados atravessarem, nenhum contador por gigabyte a correr sobre a sua própria replicação. A ligação é desenhada para replicação, não para internet best-effort.

A história do storage e a história da rede encontram-se exatamente aqui: a replicação entre sites descrita em O seu tráfego de DR faz o trajeto diário pela internet pública viaja neste mesh. Quando dizemos que o seu ponto de recuperação é uma decisão de desenho e não uma esperança, a interligação privada é uma das peças que tornam a frase verdadeira.

Porque isto exige hardware que nos pertence

Nada do que está acima está ao alcance de um fornecedor que aluga a sua rede. Não se pode dar aos tenants uma separação real ao nível do silício num backbone alugado, e não se pode prometer uma interligação privada quando o tráfego entre sites viaja no mesmo trânsito que se comprou ao gigabyte. Esta é a metade de rede da tese de que o hardware tem de nos pertencer, e a razão pela qual a primeira pergunta a fazer a qualquer fornecedor é a quem pertence a rede.

Desenhada para a carga de trabalho

A postura de rede é desenhada por projeto, da mesma forma que dimensionamos computação e storage: a profundidade do isolamento, os caminhos de DR e as necessidades de peering são perguntas que nós fazemos, não caixas que a sua empresa assinala. E a regra do dimensionamento honesto também se aplica aqui. Se a sua carga de trabalho não precisa de um segundo site, dizemo-lo antes de pagar por um. O assistente faz a pergunta do disaster recovery duas vezes exatamente por essa razão.