Como o Amazon Route 53 evita problemas de failover

Os algoritmos de failover implementados pelo Route 53 destinam-se não apenas a direcionar o tráfego para endpoints saudáveis, mas também ajudam a diminuir o risco de desastres por erros de configuração de verificações de integridade e aplicações, sobrecarga de endpoints e falhas de partição.

Como o Amazon Route 53 evita falhas em cascata

Como primeira defesa contra falhas em cascata, cada algoritmo do roteamento de solicitação (como ponderado e de failover) tem um modo de último recurso. Nesse modo especial, quando todos os registros não são considerados íntegros, o algoritmo do Route 53 é revertido para considerar todos os registros como íntegros.

Por exemplo, se todas as instâncias de uma aplicação, em vários hosts, estiverem rejeitando solicitações de verificação de integridade, os servidores DNS do Route 53 escolherão uma resposta e a retornarão, em vez de não retornar nenhuma resposta DNS ou retornar uma resposta NXDOMAIN (domínio inexistente). Um aplicativo pode responder aos usuários e ainda falhar nas verificações de integridade. Isso oferece alguma proteção contra configurações incorretas.

Da mesma forma, se uma aplicação estiver sobrecarregada e um dos três endpoints apresentar falha nas verificações de integridade, de modo que seja excluído das respostas DNS do Route 53, o Route 53 distribuirá respostas entre os dois endpoints restantes. Se os endpoints restantes não conseguirem lidar com a carga adicional e falharem, o Route 53 reverterá para distribuir as solicitações aos três endpoints.

Como o Amazon Route 53 lida com partições da Internet

Embora isso seja incomum, há partições da Internet ocasionalmente significativas, o que significa que grandes regiões geográficas não podem se comunicar entre si por meio da Internet. Durante essas partições, os locais do Route 53 podem chegar a conclusões diferentes sobre o status de integridade de um endpoint, e eles podem ser diferentes do status relatado para o CloudWatch. Os verificadores de integridade do Route 53 em cada região da AWS estão constantemente enviando status da verificação de integridade a todos os locais do Route 53. Durante as partições da Internet, cada local do Route 53 pode ter acesso somente a um conjunto parcial desses status, geralmente das regiões mais próximas.

Por exemplo, durante uma partição da Internet que afeta a conectividade para a América do Sul e vice-versa, os servidores DNS do Route 53 no local América do Sul (São Paulo) do Route 53 podem ter um bom acesso aos endpoints de verificação de integridade na região América do Sul (São Paulo) da AWS, mas acesso inadequado a endpoints em outros lugares. Ao mesmo tempo, o Route 53 no Leste dos EUA (Ohio) pode ter acesso inadequado aos endpoints de verificação de integridade na região América do Sul (São Paulo) e concluir que os registros correspondentes não estão íntegros.

Partições como estas podem dar origem a situações em que os locais do Route 53 tiram conclusões diferentes sobre o status de integridade dos endpoints, com base na visibilidade local desses endpoints. É por isso que cada local do Route 53 considera um endpoint íntegro quando somente uma parte dos verificadores de integridade o ​​consideram íntegro.