us-east-1 · Virginia del Norte

II

La región se llama us-east-1 y está en el norte de Virginia, repartida por varios centros de datos del condado de Loudoun y alrededores.

Es la primera que Amazon abrió, en 2006, y de ahí viene casi todo lo demás: la inercia acumulada desde entonces tiene masa. Es la más barata, es donde primero se estrenan los servicios nuevos, es la que sale por defecto en las herramientas y en los ejemplos de la documentación, y es donde están alojados varios servicios globales que no tienen copia en ninguna otra parte.

Esa última frase es la importante. Una región se supone que es una unidad independiente, y si se cae una se usa otra. Pero algunas funciones centrales —ciertos registros de identidad, ciertos repertorios de nombres— viven físicamente allí y en ningún otro sitio, de modo que un cliente con toda su infraestructura en Europa puede quedarse sin poder autenticar peticiones porque ha fallado un edificio en Virginia.

El condado de Loudoun lleva años anunciándose como el sitio por el que pasa una parte muy grande del tráfico mundial de internet. La cifra que usa el propio condado en su material de promoción es que por allí pasa alrededor del setenta por ciento. Es una cifra de folleto y conviene tomarla como lo que es. Lo que sí está documentado es la concentración de metros cuadrados de centro de datos, que es la mayor del mundo.

III

Volvió a pasar el 7 de diciembre de 2021, por otro camino.

Esa vez fue una actividad automatizada de escalado la que provocó una tormenta de conexiones en la red interna de la región. La red interna se congestionó, y los sistemas de vigilancia [que usan esa misma red] dejaron de ver lo que ocurría.

Durante varias horas los ingenieros trabajaron a ciegas, sin telemetría. El panel de estado tampoco se podía actualizar, por la misma razón que cuatro años antes. Dejaron de funcionar servicios de entrega, de vídeo, de aspiradoras domésticas y de timbres con cámara; en varios almacenes de la propia Amazon se interrumpió la operación.

Hay un patrón en las dos caídas que no es casual. En los dos casos el sistema que debía informar del fallo dependía del sistema que había fallado, y en los dos casos la recuperación fue lenta no por falta de diagnóstico sino porque reiniciar en frío algo que lleva años encendido es una operación que nadie ha ensayado.

Conviene además poner el tamaño del asunto, porque sin él esto parece una anécdota de un proveedor. Tres empresas se reparten en torno a dos tercios del mercado mundial de infraestructura en la nube, y la primera de ellas tiene en Virginia su región más antigua y más usada. No es que haya un punto único de fallo; es que hay tres, y uno de ellos es bastante más grande que los otros dos.

IV

Lo interesante no es que un proveedor se caiga. Los proveedores se caen; se caen los de todo el mundo y seguirán cayéndose.

Lo interesante es que nadie tenía la lista de quién dependía de qué.

Cuando una empresa contrata un servicio de nube, sabe lo que ha contratado. Lo que no sabe es qué ha contratado el proveedor de su pasarela de pagos, ni dónde está alojado el servicio de envío de mensajes que usa su proveedor de identidad, ni en qué región está el repositorio del que su propio despliegue descarga una dependencia en el momento de arrancar.

Esa cadena no está declarada en ninguna parte y no hay obligación de declararla. Se descubre el día que se rompe, mirando qué dejó de funcionar, y el inventario que queda después es el único que existe hasta la siguiente vez.

El ocho de junio de 2021 hubo una demostración especialmente limpia de esto. Un cliente de la empresa que acelera la entrega de contenidos cambió una línea de su configuración; el cambio despertó un fallo que llevaba un mes latente en el programa; durante unos cuarenta y nueve minutos, una parte considerable de la web devolvió error — varios periódicos, una plataforma de pagos, el portal del gobierno británico. Ninguno de ellos había contratado nada de esa empresa ese día. Lo habían contratado años antes y lo habían olvidado.

Hay una prueba sencilla de que la cadena no se conoce, y es que nadie la pasa. Pregúntese una empresa cualquiera qué servicios suyos dejarían de funcionar si desapareciera, durante seis horas, una región concreta de un proveedor concreto. La respuesta honesta, en casi todos los casos, es que habría que averiguarlo apagándola.

Hay un nombre para ese ejercicio cuando se hace a propósito [ingeniería del caos], y hay empresas que lo practican. Son pocas.

V

Baran midió la supervivencia de una red suponiendo que los nodos caen de uno en uno y por separado.

Esa suposición es la que sostiene todo su resultado. Si los nodos caen independientemente, con tres o cuatro enlaces cada uno la red aguanta la pérdida de la mitad. Si caen juntos, el cálculo no dice nada, porque lo que parecían cien nodos era uno.

La palabra del sector para eso es dependencia correlacionada, y es exactamente lo que una región de nube fabrica: miles de servicios que se dibujarían como puntos separados en cualquier diagrama de arquitectura, y que comparten un edificio, una red interna y un plano de control.

El dibujo de la derecha sigue siendo correcto. Lo que ha cambiado es qué cuenta como nodo.

Una arquitectura de microservicios dibujada en una pizarra tiene el aspecto del panel distribuido: muchas piezas pequeñas, cada una hablando con varias. Dibujada sobre el plano del condado de Loudoun tiene el aspecto del panel de la izquierda, y la pizarra no miente — está midiendo otra cosa.