SD-WAN Fortinet: vários links de internet, uma rede só

Quase toda empresa que depende de internet acaba contratando um segundo link. E quase toda empresa descobre, na primeira queda, que o segundo link não funcionava como imaginava: ou ninguém trocou de link porque a mudança era manual, ou a troca aconteceu e derrubou todas as conexões em andamento, ou o link reserva estava fora do ar havia semanas sem ninguém saber.

SD-WAN resolve isso. E resolve mais do que redundância: ele decide, conexão por conexão, qual link usar com base na qualidade medida naquele instante.

O que está errado no balanceamento tradicional

O balanceamento clássico divide o tráfego entre links por peso ou por hash de sessão. O problema é o que ele não enxerga:

• ele sabe se o link está up, mas não sabe se está bom. Um link com 12% de perda de pacotes continua "no ar" — e destrói qualquer chamada de voz que passe por ele;
• ele trata todo tráfego igual. O download de uma atualização e uma videoconferência disputam o mesmo caminho, embora tenham exigências opostas;
• a falha só é detectada quando a interface cai. Se o problema está três saltos adiante, no provedor, a interface continua ativa e o tráfego continua indo para o buraco.

Como o SD-WAN do FortiGate funciona

São três peças que se encaixam: os membros, a medição de qualidade e as regras.

1. Membros

São as interfaces que participam do SD-WAN — dois links de fibra, um link de rádio, um 4G de contingência. Elas passam a ser tratadas como um conjunto, e as políticas de firewall apontam para a zona, não para cada interface.

2. Performance SLA — a medição contínua

Aqui está o coração do recurso. O FortiGate envia sondas constantes por cada link e mede três coisas: latência, jitter e perda de pacotes. Cada link é aprovado ou reprovado contra limites que você define.

config system sdwan
    set status enable
    config health-check
        edit "qualidade-internet"
            set server "8.8.8.8" "1.1.1.1"
            set protocol ping
            set interval 500
            set failtime 5
            set recoverytime 10
            set members 1 2
            config sla
                edit 1
                    set latency-threshold 120
                    set jitter-threshold 30
                    set packetloss-threshold 2
                next
            end
        next
    end
end

Traduzindo: sonda a cada 500 ms; considera o link fora depois de 5 falhas seguidas; só o devolve ao serviço após 10 sucessos consecutivos. Um link é considerado dentro do SLA se tiver menos de 120 ms de latência, menos de 30 ms de jitter e menos de 2% de perda.

3. Regras — quem vai por onde

As regras dizem qual tráfego usa qual estratégia. As mais usadas:

• Best Quality — manda pelo link com melhor métrica no momento. Ideal para voz e vídeo;
• Lowest Cost (SLA) — usa o link mais barato entre os que estão dentro do SLA, e só troca quando ele sai. Ideal para tráfego geral;
• Maximize Bandwidth — distribui entre todos os links que atendem ao SLA;
• Manual — força um caminho específico, para casos que exigem IP de saída fixo.

config system sdwan
    config service
        edit 1
            set name "voip-melhor-qualidade"
            set mode sla
            set dst "all"
            set internet-service enable
            set internet-service-name "Microsoft-Teams" "Zoom"
            config sla
                edit "qualidade-internet"
                    set id 1
                next
            end
            set priority-members 1 2
        next
    end
end

O caso que justifica tudo sozinho

Vale detalhar o cenário que mais aparece na prática, porque é o que o balanceamento comum não resolve.

Um link de fibra começa a apresentar 6% de perda de pacotes por um problema no provedor. A interface continua ativa. O balanceador tradicional continua mandando metade do tráfego por ali. Resultado: as chamadas ficam picotadas, o sistema de gestão em nuvem trava a cada dois cliques e o suporte recebe dez chamados dizendo "a internet está ruim" — enquanto o teste de velocidade mostra o link funcionando.

Com Performance SLA configurado, o link é reprovado em segundos e o tráfego sensível migra sozinho para o outro. Quando o provedor corrige, ele volta ao conjunto. Ninguém abriu chamado, e o gráfico registra o episódio.

Cuidados que evitam surpresa

• Sessões que não gostam de trocar de IP: internet banking, VPNs de terceiros e alguns sistemas de nota fiscal derrubam a sessão se o IP de saída muda no meio. Crie regras específicas para esse tráfego com estratégia manual;
• Assimetria de banda: se um link tem 500 Mbps e o outro 50 Mbps, distribuir igualmente satura o menor. Use peso ou reserve o menor para contingência;
• 4G como terceiro membro é ótimo para contingência, mas coloque-o com prioridade mais baixa e restrinja o que pode passar por ele — franquia de dados acaba rápido com atualização de sistema operacional;
• Túneis VPN sobre SD-WAN devem ser configurados como membros, não como destinos, para que a troca de link não derrube o túnel.

Medir para saber que está funcionando

SD-WAN gera métricas valiosas e desperdiçadas na maioria das instalações. Latência, jitter e perda por link, ao longo do tempo, contam a história do seu provedor.

Colete esses dados via SNMP no Zabbix e monte um painel com o histórico. Duas coisas mudam: você percebe a degradação antes do usuário, e passa a ter evidência na hora de cobrar o provedor. Discussão sobre qualidade de link sem gráfico costuma terminar em "aqui está tudo normal".

Vale a pena para empresas pequenas?

Vale, e o critério é simples: quanto custa uma hora sem internet? Se a empresa para de faturar quando o link cai — venda online, emissão de nota, sistema em nuvem, atendimento por VoIP —, o segundo link com SD-WAN se paga na primeira queda evitada.

Se a operação continua funcionando no papel por algumas horas sem prejuízo real, um link só com bom monitoramento pode ser suficiente.

A TRIAT projeta e opera SD-WAN Fortinet com as métricas integradas ao monitoramento, para que a troca de link seja automática e visível — não uma descoberta feita pelo usuário.