Redundanz- und Failover-Designs

Hohe Verfügbarkeit (HA) bedeutet, ein Netzwerk so zu entwerfen, dass Dienste auch bei einem Fehler verfügbar bleiben. Der zentrale Gedanke besteht darin, Single Points of Failure zu beseitigen: einzelne Komponenten, deren Ausfall das gesamte System außer Betrieb setzt. HA kombiniert Redundanz (Ersatzkomponenten) mit Failover (automatisches Umschalten auf die Ersatzkomponente), damit kritische Dienste auch während Ausfällen weiterlaufen.

Ein Single Point of Failure (SPOF) ist ein Element ohne Ersatz – etwa ein einzelner Router, ein einzelnes Netzteil oder eine einzelne Internetverbindung –, dessen Ausfall alles zum Stillstand bringt. SPOFs zu identifizieren, ist der erste Schritt beim HA-Design. Für jede kritische Komponente fragen Sie: „Was passiert, wenn diese ausfällt?“ Lautet die Antwort „vollständiger Ausfall“, fügen Sie Redundanz hinzu.

Redundanz bedeutet, dass doppelte Komponenten bereitstehen und übernehmen können. Sie kann auf jeder Ebene eingesetzt werden: redundante Netzteile, redundante Netzwerkverbindungen, redundante Switches und Router sowie redundante Internetverbindungen. Redundanz kostet Geld und erhöht die Komplexität. Daher wird sie gezielt für Komponenten eingesetzt, deren Ausfall besonders schwerwiegend wäre. Ziel ist, dass kein einzelner Fehler einen Ausfall verursacht.

Failover ist das automatische Umschalten von einer ausgefallenen Komponente auf ihre Ersatzkomponente. Redundanz allein reicht nicht aus; die Ersatzkomponente muss schnell und idealerweise ohne menschliches Eingreifen übernehmen. Ein gutes Failover erfolgt schnell und nahtlos, sodass Benutzer kaum etwas bemerken. Erst die Kombination aus einer Standby-Komponente und automatischem Failover sorgt für echte hohe Verfügbarkeit.

Es gibt zwei Redundanzmodelle. Bei active-passive wartet die Ersatzkomponente inaktiv, bis die primäre Komponente ausfällt, und übernimmt dann. Bei active-active arbeiten beide Einheiten gleichzeitig und teilen sich die Last. Fällt eine aus, übernimmt die andere ihren Anteil. Active-active erhöht zusätzlich die Kapazität, während active-passive einfacher ist. Beide Modelle eignen sich für unterschiedliche Anforderungen und Budgets.

Das Standardgateway ist ein häufiger SPOF. Daher stellen First Hop Redundancy Protocols (FHRP) ein Ersatzgateway bereit. VRRP (Virtual Router Redundancy Protocol) und HSRP (Hot Standby Router Protocol) von Cisco ermöglichen es zwei Routern, sich eine virtuelle Gateway-IP-Adresse zu teilen. Wenn der aktive Router ausfällt, übernimmt das Standby-Gerät die Adresse. Die Hosts verwenden weiterhin dasselbe Gateway und bemerken den Wechsel nicht.

Redundanz gilt auch für Verbindungen. Link Aggregation (LAG, mit LACP) bündelt mehrere physische Verbindungen zu einer logischen Verbindung. Dadurch stehen sowohl mehr Bandbreite als auch Schutz beim Ausfall einer Verbindung zur Verfügung. Auf Servern bündelt NIC Teaming mehrere Netzwerkkarten, sodass der Datenverkehr weiterläuft, wenn eine Karte oder deren Kabel ausfällt. Beides beseitigt eine einzelne Verbindung als Ausfallpunkt.

Viele Probleme sind physischer Natur. Redundante Netzteile ermöglichen es einem Gerät, den Ausfall eines Netzteils zu überstehen. Eine USV (unterbrechungsfreie Stromversorgung) überbrückt kurze Stromausfälle, während ein Generator längere Ausfälle abfängt. Hot-Swap-fähige Komponenten können ausgetauscht werden, ohne das Gerät auszuschalten. Sie schützen vor sehr häufigen Ursachen von Ausfallzeiten: Stromversorgungs- und Hardwarefehlern.

HA wird anhand von Verfügbarkeitsneunen gemessen. 99,9 % erlauben etwa 8,8 Stunden Ausfallzeit pro Jahr, 99,99 % etwa 53 Minuten und 99,999 % („Five Nines“) etwa 5 Minuten. Zwei weitere Begriffe sind wichtig: RTO (Recovery Time Objective), wie schnell Sie die Wiederherstellung durchführen müssen, und RPO (Recovery Point Objective), wie viel Datenverlust akzeptabel ist. Diese Zielwerte bestimmen die Designentscheidungen.

Redundanz ist weder kostenlos noch unbegrenzt. Bei schlechter Konfiguration erhöht sie Kosten und Komplexität und schafft neue Fehlerquellen. Mehr Kopien können mehr Verwaltungsaufwand und mehr Möglichkeiten für Fehlkonfigurationen bedeuten. Die Kunst besteht darin, die Kosten der Redundanz gegen die Kosten von Ausfallzeiten für den jeweiligen Dienst abzuwägen und kritische Bereiche zu schützen, ohne alles unnötig komplex zu gestalten.

HA-Design erfolgt systematisch: Erfassen Sie die kritischen Dienste, identifizieren Sie jeden SPOF, fügen Sie gezielte Redundanz mit automatischem Failover hinzu und testen Sie, ob das Failover tatsächlich funktioniert. Eine nicht getestete Ersatzlösung ist eine Hoffnung, kein Plan. Durch regelmäßige simulierte Ausfälle können Sie das Design überprüfen und Lücken aufdecken. Bei guter Umsetzung halten Redundanz und Failover das Netzwerk betriebsbereit, wenn einzelne Komponenten unvermeidlich ausfallen.

Testen Sie Ihr Wissen über HA.

Sie haben Redundanz und Failover kennengelernt. Wichtige Punkte:

• HA beseitigt Single Points of Failure.
• Redundanz fügt Ersatzkomponenten hinzu; Failover schaltet automatisch auf diese um.
• Active-active teilt die Last; active-passive hält eine Standby-Komponente bereit.
• VRRP/HSRP stellen ein redundantes Gateway bereit; LAG und NIC Teaming sorgen für redundante Verbindungen.
• Messen Sie die Verfügbarkeit anhand der Neunen sowie RTO und RPO, und testen Sie das Failover.