Helsesonder og kontrollert degradering

Tilstandskontroller er mekanismen som lastbalanserere og trafikkstyrere bruker til å oppdage om en backend-instans kan behandle forespørsler. Uten tilstandskontroller kan en lastbalanserer fortsette å sende trafikk til en server som har sviktet eller ikke svarer, noe som fører til feil for brukerne. Riktig konfigurerte tilstandskontroller muliggjør automatisk omdirigering av trafikk bort fra usunne instanser i løpet av sekunder etter en feil.

Azure Load Balancer støtter to typer tilstandskontroller:

• TCP-kontroll — kontrollerer om backend-en kan godta en TCP-tilkobling på en angitt port. Enkel, men bekrefter ikke applikasjonslogikken.
• HTTP/HTTPS-kontroll — sender en GET-forespørsel til en angitt bane og forventer et 200 OK-svar. Mer nøyaktig fordi den tester applikasjonens endepunkt direkte.

En backend markeres som usunn hvis kontrollen mislykkes et konfigurerbart antall ganger etter hverandre.

Et godt utformet tilstandsendepunkt (/health) gjør mer enn å returnere 200 OK — det bekrefter at applikasjonens kritiske avhengigheter er tilgjengelige. En omfattende tilstandskontroll kan teste tilkoblingen til databasen, hurtigbufferen og eventuelle underordnede API-er. Hvis en avhengighet ikke er tilgjengelig, returnerer endepunktet en 5xx-statuskode, som signaliserer til lastbalansereren at denne instansen skal fjernes fra rotasjonen.

Azure Traffic Manager bruker også tilstandskontroller, men på regionalt nivå. Den sender periodiske HTTP- eller HTTPS-GET-forespørsler til den konfigurerte endepunkt-URL-en i hver region. Hvis et endepunkt ikke svarer innenfor tidsavbruddsintervallet et angitt antall intervaller etter hverandre, markerer Traffic Manager endepunktet som degradert og slutter å rute DNS-spørringer til det. Brukerne omdirigeres dermed til en frisk region.

Azure Application Gateway har mer avanserte funksjoner for tilstandskontroller enn standardutgaven av Load Balancer. Den støtter egendefinerte kontroller som angir host-headeren, det forventede statuskodeområdet (for eksempel 200–399) og en streng som skal finnes i responsinnholdet. Application Gateway støtter også ruting per bane, slik at ulike backend-pooler kan ha forskjellige konfigurasjoner for tilstandskontroller for ulike URL-baner.

Kontrollert funksjonsreduksjon er en applikasjons evne til å fortsette å tilby deler av funksjonaliteten når én eller flere avhengigheter svikter. I stedet for å krasje fullstendig oppdager applikasjonen at en ikke-kritisk tjeneste er utilgjengelig, og går over til en redusert, men fortsatt nyttig tilstand. Hvis for eksempel en anbefalingstjeneste svikter, kan et e-handelsnettsted vise generelle forslag i stedet for at hele produktsiden krasjer.

Circuit breaker-mønsteret hindrer et program i å kalle en tjeneste lenger ned i kjeden som feiler, gjentatte ganger. Når en tjeneste begynner å feile, åpner circuit breaker-en og returnerer umiddelbart en feil- eller fallback-respons uten å foreta nettverkskallet. Etter en avkjølingsperiode går den inn i tilstanden halvåpen og tillater ett prøveanrop. Hvis det lykkes, lukkes circuit breaker-en, og normal drift gjenopptas.

For forbigående feil (korte nettverksforstyrrelser eller midlertidig overbelastning av en tjeneste) er en strategi med nye forsøk og eksponentiell backoff egnet. Programmet prøver det mislykkede kallet på nytt etter en forsinkelse, og dobler forsinkelsen for hvert nytt forsøk opp til en maksimumsverdi. Ved å legge til jitter (tilfeldig variasjon) i forsinkelsen unngår man at alle nye forsøk synkroniseres og overbelaster en tjeneste som er i ferd med å hente seg inn.

Bulkhead-mønsteret isolerer ulike deler av et program i separate ressursutvalg, slik at en feil i ett område ikke bruker opp alle ressursene og fører til at hele systemet stopper. Navnet kommer fra skott i skip, som hindrer at ett oversvømt rom senker hele fartøyet. I Azure kan dette innebære å bruke separate trådpooler eller separate App Service-planer for ulike tjenester, slik at feil begrenses.

En vanlig teknikk for kontrollert funksjonsreduksjon er å levere bufrede eller foreldede data når en direkte datakilde ikke er tilgjengelig. En produk katalogside kan for eksempel vise gårsdagens bufrede priser fra Azure Cache for Redis i stedet for å vise en feil hvis databasen midlertidig ikke kan nås. Brukerne opplever en liten ulempe (litt foreldede priser) i stedet for et fullstendig avbrudd.

Kontrollert funksjonsreduksjon bør være synlig og målbar. Bruk Application Insights til å spore frekvensen av åpninger av circuit breaker-en, fallback-responser og nye forsøk som egendefinerte måleverdier. Konfigurer varsler når disse måleverdiene overskrider tersklene, slik at beredskapsteamet får beskjed om at programmet kjører med redusert funksjonalitet, selv om brukeropplevelsen tilsynelatende er akseptabel.

I denne leksjonen lærte De at helseprober gjør det mulig for lastbalansere å oppdage backend-systemer som feiler, og automatisk omdirigere trafikken; kontrollert funksjonsreduksjon holder programmer delvis funksjonelle når avhengigheter feiler; og mønstre som circuit breaker, nye forsøk med backoff og bulkhead implementerer robusthet på programnivå. Deretter skal vi se nærmere på konsepter innen katastrofegjenoppretting – definisjon av RTO, RPO og gjenopprettingsnivåer.