Progettare ridondanza e failover

L'alta disponibilità (HA) consiste nel progettare una rete in modo che i servizi rimangano attivi anche quando si verifica un guasto. L'idea centrale è eliminare i single point of failure: qualsiasi componente il cui guasto provocherebbe il blocco dell'intero sistema. L'HA combina la ridondanza (componenti di riserva) con il failover (passaggio automatico alla riserva), mantenendo operativi i servizi critici durante le interruzioni.

Un single point of failure (SPOF) è qualsiasi elemento privo di riserva: un router, un alimentatore o un collegamento Internet la cui perdita bloccherebbe tutto. Identificare gli SPOF è il primo passo nella progettazione dell'HA. Per ogni componente critico si chieda: "che cosa succede se si guasta?" Quando la risposta è "interruzione totale", aggiunga ridondanza.

La ridondanza consiste nell'avere componenti duplicati pronti a subentrare. Può essere applicata a ogni livello: alimentatori ridondanti, collegamenti di rete ridondanti, switch e router ridondanti e connessioni Internet ridondanti. La ridondanza costa e aggiunge complessità, quindi va applicata ai componenti il cui guasto avrebbe le conseguenze più gravi. L'obiettivo è impedire che un singolo guasto causi un'interruzione.

Il failover è il passaggio automatico da un componente guasto alla relativa riserva. La sola ridondanza non basta: la riserva deve subentrare rapidamente e, idealmente, senza intervento umano. Un buon failover è veloce e trasparente, così gli utenti quasi non se ne accorgono. È la combinazione di un componente in standby e del failover automatico a garantire una vera alta disponibilità.

Esistono due modelli di ridondanza. In active-passive, la riserva resta inattiva finché il componente primario non si guasta, quindi subentra. In active-active, entrambe le unità lavorano contemporaneamente e condividono il carico; se una si guasta, l'altra assorbe la sua parte. L'active-active aumenta anche la capacità, mentre l'active-passive è più semplice. Ciascun modello è adatto a esigenze e budget diversi.

Il gateway predefinito è un comune SPOF, quindi i First Hop Redundancy Protocols (FHRP) forniscono un gateway di riserva. VRRP (Virtual Router Redundancy Protocol) e l'HSRP (Hot Standby Router Protocol) di Cisco consentono a due router di condividere un unico IP di gateway virtuale; se il router attivo si guasta, quello in standby subentra nell'uso dell'indirizzo. Gli host continuano a usare lo stesso gateway, senza accorgersi del passaggio.

La ridondanza si applica anche ai collegamenti. La link aggregation (LAG, tramite LACP) raggruppa diversi collegamenti fisici in un unico collegamento logico, offrendo sia maggiore larghezza di banda sia continuità se un collegamento si guasta. Sui server, il NIC teaming combina più schede di rete, così il traffico continua a fluire se una scheda o il relativo cavo si guasta. Entrambe le soluzioni eliminano il singolo collegamento come punto di guasto.

Molti problemi sono di natura fisica. Gli alimentatori ridondanti permettono a un dispositivo di continuare a funzionare se uno degli alimentatori si guasta. Un UPS (Uninterruptible Power Supply) mantiene alimentate le apparecchiature durante brevi interruzioni, mentre un generatore gestisce quelle più lunghe. I componenti hot-swappable possono essere sostituiti senza spegnere il dispositivo. Queste soluzioni proteggono dalle cause molto comuni dei tempi di inattività: guasti all'alimentazione e all'hardware.

L'HA si misura in nines di uptime. Il 99,9% consente circa 8,8 ore di inattività all'anno; il 99,99% circa 53 minuti; il 99,999% ("five nines") circa 5 minuti. Sono importanti anche altri due termini: RTO (Recovery Time Objective), la rapidità con cui è necessario ripristinare il servizio, e RPO (Recovery Point Objective), la quantità di perdita di dati accettabile. Questi obiettivi guidano le scelte progettuali.

La ridondanza non è gratuita né illimitata. Se configurata male, aggiunge costi, complessità e nuove modalità di guasto. Avere più copie può significare più elementi da gestire e più possibilità di configurazione errata. La capacità consiste nel bilanciare il costo della ridondanza con quello dell'inattività per ogni servizio, proteggendo ciò che è critico senza progettare eccessivamente il resto.

La progettazione dell'HA segue un metodo sistematico: mappare i servizi critici, individuare ogni SPOF, aggiungere ridondanza mirata con failover automatico e verificare che il failover funzioni davvero. Una riserva non testata è una speranza, non un piano. Simulare regolarmente i guasti dimostra la validità del progetto e rivela eventuali lacune. Se realizzate correttamente, ridondanza e failover mantengono operativa la rete quando le singole parti inevitabilmente si guastano.

Metta alla prova le Sue conoscenze sull'HA.

Ha appreso ridondanza e failover. Punti chiave:

• L'HA elimina i single point of failure.
• La ridondanza aggiunge riserve; il failover vi passa automaticamente.
• L'active-active condivide il carico; l'active-passive mantiene una riserva in standby.
• VRRP/HSRP forniscono un gateway ridondante; LAG e NIC teaming aggiungono ridondanza ai collegamenti.
• Misuri la disponibilità con i nines di uptime, RTO e RPO; testi il failover.