Um monitor funcionando e 25 domínios que ele nunca olhou

Estávamos prestes a mover 25 domínios (Ler em inglês), incluindo o principal, que os clientes usam todos os dias, de um servidor antigo para uma infraestrutura nova. Ninguém podia ficar sem e-mail ou sem site no meio do caminho. Não tínhamos uma equipe de operações dedicada, então fizemos isso com um inventário cuidadoso das peças de cada domínio: para onde ele aponta, que e-mails passam por ele e o que precisa ser movido junto para que nada quebre no meio da troca.

A migração em si correu bem. Levou cerca de seis horas e meia, vinte e cinco domínios foram movidos, sem queda e sem e-mail perdido. Visto de fora, parecia que a história era só essa.

O que realmente importou veio de verificar se a rede de segurança por baixo da migração era de verdade. Antes de mudar qualquer coisa, olhamos o que o monitor de saúde existente estava vigiando. É ele que deveria avisar alguém no instante em que um site cair. Ele não estava vigiando os domínios ativos da empresa. Estava vigiando um endereço pessoal e alguns domínios de teste, alguns deles expirados, que não tinham nada a ver com o que os clientes usavam.

A migração não causou isso. Aquele monitor estava apontado para as coisas erradas havia um tempo, e ninguém percebeu. Um monitor em funcionamento parece igual por fora, esteja ele vigiando a coisa certa ou a errada. Verde é verde. Ele não diz verde para quê.

O que teria acontecido num dia ruim

Se um daqueles vinte e cinco domínios tivesse caído no meio da migração, o monitor não teria dito nada, porque ele nem estava olhando para aquele domínio. A rede de segurança que todos nós acreditávamos existir não cobria justamente o que precisava cobrir. Essa lacuna poderia ter ficado ali por tempo indeterminado, esperando um dia ruim para aparecer. Só encontramos o problema nesta migração porque finalmente lemos o que a configuração do monitor realmente dizia, em vez de confiar que ele existia.

Corrigir a ordem, não só os alvos

A correção dependeu tanto da sequência quanto de apontar para os endereços certos. Movemos o monitor para os domínios reais, voltados aos clientes, só depois de verificar que o novo roteamento já funcionava. A ordem importou. Um sinal verde nos alvos antigos e errados durante a migração poderia ser confundido com cobertura de verdade justo no momento em que a cobertura era mais necessária. Inverter a ordem teria significado confiar numa luz que parece funcionar em um sistema que ainda não estava sendo vigiado.

Uma verificação de cinco minutos

Ter um monitor é uma afirmação diferente de o monitor vigiar a coisa certa. Abra o que faz a verificação de saúde hoje e leia, literalmente, para quais endereços ou sistemas ele está apontado. Compare essa lista com o que seus clientes realmente usam. Se as duas listas não forem idênticas, você tem uma lacuna que se comporta como cobertura até o dia em que você precisar dela.

Peça a quem cuida do seu monitoramento a lista de endereços que ele verifica e compare com os domínios que seus clientes realmente usam. Faça isso antes de qualquer migração e mova o monitor para os domínios reais só depois de verificar o novo roteamento.