Arquitetura de alto nível da infraestrutura — visão executiva, blocos funcionais e decisões de design
Este documento apresenta a arquitetura de alto nível (HLD) do laboratório de infraestrutura, descrevendo a visão geral dos componentes, suas interconexões e as decisões fundamentais de design que orientaram a construção do ambiente. O HLD é o ponto de partida para qualquer profissional que queira compreender a estrutura macro do laboratório antes de mergulhar nos detalhes de implementação (LLD), nos diagramas de topologia ou no inventário de equipamentos.
Propósito, escopo e objetivos da infraestrutura
O laboratório foi projetado para reproduzir, em escala reduzida, um ambiente de data center corporativo com foco em alta disponibilidade, virtualização, redes segmentadas, segurança da informação, automação e infraestrutura de energia. Diferente de um home lab convencional, este ambiente foi planejado com critérios de engenharia — cada componente foi selecionado por sua relevância para ambientes de produção real, não por conveniência ou custo.
A infraestrutura é composta por 3 hosts em um cluster Proxmox VE com alta disponibilidade e um servidor de backup dedicado, somando mais de 40 máquinas virtuais e containers. Eles executam serviços reais de produção em categorias como telefonia IP, armazenamento em rede, SIEM e detecção de intrusão, automação residencial, streaming de mídia, hospedagem de aplicações e serviços de diretório.
A infraestrutura elétrica é sustentada por um sistema solar com inversor off-grid e banco de baterias LiFePO4 com BMS, garantindo autonomia estendida e operação contínua mesmo durante variações da rede elétrica. O objetivo principal é validar arquiteturas, testar cenários de falha, documentar procedimentos operacionais e gerar conhecimento aplicável a ambientes corporativos de missão crítica. A integração entre os subsistemas — virtualização, redes, segurança, monitoramento, energia — permite simular incidentes reais e testar estratégias de recuperação sem impacto em produção.
Macro visão dos subsistemas e suas interconexões
Zonas de segurança e VLANs de referência. Valores ilustrativos — IDs de VLAN, endereçamento e nomes reais ficam na documentação interna
| VLAN (exemplo) | Zona | Finalidade | Nível de confiança |
|---|---|---|---|
| 100 | Gerência | Administração da infraestrutura, cluster e equipamentos | Restrito |
| 110 | Servidores | Serviços internos e de apoio | Alto |
| 120 | Publicação web (DMZ) | Sites e aplicações expostos à internet | Baixo |
| 130 | Serviços críticos | Sistemas essenciais à operação | Alto |
| 140 | IoT e automação | Dispositivos inteligentes e sensores | Baixo |
| 150 | Usuários | Estações de trabalho e dispositivos pessoais | Médio |
| 160 | Visitantes | Wi-Fi de convidados, acesso apenas à internet | Nenhum |
| 170 | Backup e monitoramento | Cópias de segurança, logs e telemetria | Restrito |
| 901 / 902 | WAN A / WAN B | Links das operadoras, isolados até o firewall | Externo |
Cada zona usa uma sub-rede própria (no modelo, 10.0.<VLAN>.0/24) com gateway no firewall. Nenhuma zona se comunica com outra sem passar pelo firewall, e as regras são definidas pela necessidade de cada serviço, partindo do menor privilégio.
Justificativas técnicas para as principais escolhas de design
Escolhido por oferecer virtualização completa (KVM) e leve (LXC) na mesma plataforma, com cluster nativo, storage ZFS integrado e sem custo de licenciamento. Alternativas como VMware vSphere foram descartadas por restrições de licenciamento e hardware compatível.
Selecionado por recursos avançados de integridade de dados (checksum), snapshots instantâneos, compressão transparente, replicação nativa e gerenciamento de pools flexível. A alternativa Ceph foi considerada mas exigiria mais nós para desempenho adequado.
Firewall stateful de próxima geração, com inspeção de aplicações, IPS/IDS e VPN, rodando em par ativo/standby em servidores físicos diferentes. Concentrar o roteamento entre zonas no firewall, com o switch de núcleo apenas comutando, segue a prática de defesa em camadas e simplifica a auditoria das regras.
A combinação de inversor off-grid e baterias LiFePO4 oferece autonomia estendida (horas) comparada a UPS convencionais (minutos), além de eficiência energética e sustentabilidade. O BMS garante ciclos de carga inteligentes que prolongam a vida útil das baterias.
Zonas em VLANs separadas, com todo o roteamento entre elas controlado pelo firewall, garantem isolamento entre subsistemas. A gerência fica em uma zona própria, separada do tráfego de serviço, para que um problema nos serviços não comprometa a administração do cluster.
Open source, sem custo de licenciamento, com correlação de eventos, integração com MITRE ATT&CK, hardening assessment e alertas em tempo real. Alternativa open source ao Splunk para ambientes com orçamento restrito mas exigência de compliance.
Como o tráfego e os dados fluem entre os subsistemas
Categorias de serviços reais hospedados na infraestrutura
Central telefônica IP com ramais, filas, URA e integração com operadoras SIP.
Storage ZFS com snapshots, replicação e compartilhamento NFS/SMB.
Correlação de eventos, detecção de ameaças, hardening assessment e integração MITRE ATT&CK.
Integração com o sistema de energia, sensores e dispositivos IoT.
Transmissão ao vivo, gravação e gerenciamento de conteúdo.
Painel de deploy para sites, aplicações e bancos de dados.
Orquestração de containers e automação de fluxos low-code.
Controle de domínio, DNS, DHCP e políticas de grupo centralizadas.
Terminação HTTPS e proxy reverso para os serviços publicados.
Bloqueio de anúncios e rastreadores, com resolução recursiva e cache local.
Critérios que guiaram cada decisão de arquitetura
Próximos passos e evolução planejada da infraestrutura
Documentação completa de todos os serviços (HLD/LLD finalizados). Automação de provisionamento com Ansible ou script bash.
Expansão da capacidade de armazenamento e novos testes documentados de recuperação de desastres.
Dashboard de capacidade preditiva (Grafana + ML). Migração de VMs legado para containers LXC/Docker.
Expansão do cluster Proxmox com 4º nó (maior capacidade). Upgrade para 10GbE no backbone. Integração com nuvem (backup híbrido).
"Arquitetura de infraestrutura não é sobre o que funciona hoje — é sobre o que continua funcionando quando algo falha amanhã. Cada decisão neste HLD foi tomada considerando o cenário de falha: se o link de internet cair, se um nó do cluster morrer, se o storage corromper, se a energia acabar. Um design de alto nível que não considera a falha como hipótese não é um projeto de engenharia — é uma aposta."
Este é o primeiro documento da série de documentação técnica. Explore o LLD para os detalhes de implementação ou veja a topologia completa da infraestrutura.
