Acho que fundei a resposta para minha pergunta - Ganeti tem apenas failover manual. O fence é necessário apenas no caso de failover automático para impedir o acesso simultâneo ao mesmo recurso (já que no caso de nós divididos com quorum não pode ter certeza se outros nós estão mortos ou há apenas um problema de comunicação - STONITH ), mas no caso de failover manual, você retransmite o julgamento dos administradores.