Roteador Dual Wan Load Balance

Configurando roteador dual wan load balance na prática

Load balance em dois links WAN serve para combinar duas conexões de internet e distribuir o tráfego entre elas. Não é mágica. O roteador cria duas rotas de saída e decide, baseando-se no peso ou no estado de cada link, por onde cada fluxo de dados vai trafegar. A ideia principal é dobrar a largura de banda disponível e ter redundância caso um dos provedores caia. O que a maioria das pessoas não entende na hora da compra é que load balance não soma velocidades de forma linear. Se você tem dois links de 100 Mbps cada, dificilmente verá 200 Mbps de throughput real. O problema está no fato de que a maioria dos testes de velocidade usa poucas conexões simultâneas. Um navegador abre talvez dez arquivos do Google ao mesmo tempo. O roteador vê isso como uma única sessão e envia tudo por um único WAN. O segundo link fica ocioso. Para ganhar performance de verdade, você precisa de aplicações que criem múltiplas sessões paralelas, como downloads multi-thread, streaming de várias janelas ao mesmo tempo ou transferências de rede interna usando ferramentas como iperf.

A configuração padrão em dispositivos como Mikrotik, OPNsense ou Cisco utiliza two-policies ou equal-cost multi-path routing. No Mikrotik, por exemplo, você define duas routes com gateway diferente e um valor de distance distinto para priorização, além de usar a tabela de roteamento com regras de mangle para marcação de pacotes. A marcação de pacotes (prouting) é o que realmente faz o equilíbrio funcionar de forma transparente para os usuários.

roteador dual wan load balance: o que funciona e o que quebra

Existem basicamente três métodos de distribuição. O first-wins marca apenas o primeiro pacote de uma nova conexão e tudo segue pelo mesmo gateway até o timeout da sessão. É simples, funciona para navegação comum e causa o mínimo de problemas com tracking de estado. O problema é que ele não usa os dois links de forma equilibrada em cargas altas, porque sessões longas ficam presas em um único caminho. O per-connection-hash distribui com base num hash do par de endereços de origem e destino. Isso garante que uma mesma sessão sempre use o mesmo WAN, evitando problemas de retransmissão e perda de pacotes por mudança de rota no meio do caminho. Sessões novas é que são espalhadas. Esse é o método mais usado em ambientes empresariais e é o que oferece o melhor equilíbrio entre performance e estabilidade.

O source-address-hash funciona de forma semelhante, mas usa apenas o endereço de origem do cliente. É útil quando você quer que um usuário específico sempre saia pela mesma interface, o que pode ser necessário para reglas de whitelabel ou controle de acesso baseado em IP. Um detalhe que quase ninguém menciona: o estado de conexão do firewall. Quando você usa NAT em ambos os WANs, o roteador precisa manter uma tabela de conexões separada por interface de saída. Se os dois provedores tiverem MTU diferente, o que é extremamente comum, você vai ter problemas de fragmentação que aparecem apenas em transferências de arquivos grandes e são impossíveis de diagnosticar olhando o speedtest. A solução é ajustar o MTU de cada WAN para o valor mais baixo entre os dois ou configurar MSS clamping no link com MTU maior. Eu configurei isso há anos atrás em um cliente com dois links de 100 Mega — um via rádio com MTU 1400 e outro via fibra com MTU 1500. Sem o ajuste de MSS, o link de 1400 causava timeouts em conexões HTTPS e FTP que pareciam aleatórios. Colocar uma regra de mangle para ajustar o TCP MSS no handshake resolveu imediatamente.

Aqui vai um problema específico que eu encontrei recentemente e que mostra como esse tipo de configuração pode ser frustrante. Tinha um cliente com dois links de fibra de 500 Mbps cada, configurados em per-connection-hash com monitoramento de gateway ativo. O load balance funcionava perfeitamente até que um dos provedores fez uma migração de infraestrutura e começou a aplicar politicas de rate-limiting assimétricas. O link de subida caía para 2 Mbps enquanto a descida mantinha 500 Mbps. O roteador continuava enviando tráfego de saída por aquele link porque o monitoramento de gateway só verificava ping, não mediava a taxa de transferência real. O resultado era que conexões estabelecidas ficavam presas no link degradado e os usuários reclamavam de lentidão intermitente. A solução foi implementar um script de monitoramento que mede a throughput real usando um download periódico de um servidor externo, e não apenas o estado do gateway. Quando a taxa de subida caía abaixo de um threshold configurado, o roteador marca o link como down automaticamente e remapeia todas as conexões ativas para o outro WAN. Isso reduziu as reclamações em cerca de 90%. Sobre escolha de equipamento, routers dedicados como Mikrotik CCR série ou dispositivos baseados em OPNsense com duas placas de rede oferecem o melhor controle. Roteadores domésticos com dual WAN frequentemente implementam load balance de forma muito simplória, apenas alternando o gateway padrão, o que não oferece nenhuma das vantagens reais do método adequado. Se o seu orçamento permite, invista em hardware que suporte BGP ou pelo menos policy-based routing com tracking de estado avançado.

Outro ponto que merece atenção é a latência assimétrica entre os links. Se um dos provedores tem 10ms de latência e o outro 80ms, o hash-based routing vai distribuir conexões igualmente entre eles, mas a experiência do usuário em tempo real, como vídeo chamada e jogos online, vai sofrer no link mais lento. Nesse caso, configure pesos diferentes na distribuição, colocando mais tráfego no link de menor latência e usando o outro como backup principal apenas quando o principal saturar. O custo-benefício depende muito do seu uso. Para uma pequena empresa com dez computadores e navegação básica, um único link de 300 Mbps muitas vezes basta. O dual WAN faz mais sentido quando você tem múltiplos departamentos, servidores rodando 24 horas, ou quando a queda de um único provedor paralisa operações críticas. Nesse cenário, o investimento em um roteador adequado e na configuração correta se paga em produtividade recuperada.