Redundans- og failover-design

Høy tilgjengelighet (HA) betyr å utforme et nettverk slik at tjenestene forblir tilgjengelige selv når noe svikter. Hovedideen er å fjerne enkeltstående feilkilder: komponenter der én feil tar ned hele systemet. HA kombinerer redundans (reservekomponenter) med failover (automatisk bytte til reserven), slik at kritiske tjenester fortsetter å kjøre under avbrudd.

En enkeltstående feilpunkt (SPOF) er et element uten sikkerhetskopi – én ruter, én strømforsyning eller én internettlenke – der tapet av elementet stanser alt. Å identifisere SPOF-er er det første trinnet i HA-utforming. For hver kritiske komponent spør De: «Hva skjer hvis denne slutter å virke?» Der svaret er «fullstendig avbrudd», legger De til redundans.

Redundans betyr å ha dupliserte komponenter klare til å overta. Det kan gjelde på alle nivåer: redundante strømforsyninger, nettverkslenker, svitsjer og rutere samt internettforbindelser. Redundans koster penger og øker kompleksiteten, så den målrettes mot komponentene der en feil ville fått størst konsekvenser. Målet er at ingen enkeltfeil skal føre til et avbrudd.

Failover er det automatiske byttet fra en komponent som har sviktet, til sikkerhetskopien. Redundans alene er ikke nok; sikkerhetskopien må overta raskt og helst uten menneskelig innblanding. God failover er rask og sømløs, slik at brukerne knapt merker det. Det er kombinasjonen av en standby-komponent og automatisk failover som gir reell høy tilgjengelighet.

Det finnes to redundansmodeller. I active-passive står sikkerhetskopien inaktiv til den primære enheten svikter, og overtar deretter. I active-active arbeider begge enhetene samtidig og deler belastningen. Hvis den ene svikter, tar den andre over dens andel. Active-active øker også kapasiteten, mens active-passive er enklere. Hver modell passer til ulike behov og budsjetter.

Standardgatewayen er en vanlig SPOF, så First Hop Redundancy Protocols (FHRP) sørger for en reservegateway. VRRP (Virtual Router Redundancy Protocol) og Ciscos HSRP (Hot Standby Router Protocol) lar to rutere dele én virtuell gateway-IP-adresse. Hvis den aktive ruteren svikter, overtar standby-ruteren adressen. Vertene fortsetter å bruke den samme gatewayen uten å merke byttet.

Redundans gjelder også lenker. Lenkeaggregering (LAG, med LACP) samler flere fysiske lenker i én logisk lenke for både økt båndbredde og overlevelse hvis én lenke svikter. På servere binder NIC teaming sammen flere nettverkskort, slik at trafikken fortsetter hvis ett kort eller kabelen til det svikter. Begge deler fjerner én enkelt lenke som feilkilde.

Mange problemer er fysiske. Redundante strømforsyninger lar en enhet fortsette å fungere hvis én strømforsyning svikter. En UPS (Uninterruptible Power Supply) holder utstyret i gang under korte strømbrudd, og en generator håndterer lengre brudd. Hot-swappable-komponenter kan byttes uten å slå av strømmen. Dette beskytter mot de svært vanlige årsakene til nedetid: strøm- og maskinvarefeil.

HA måles i oppetids-niere. 99,9 % tillater omtrent 8,8 timer nedetid i året, 99,99 % omtrent 53 minutter og 99,999 % («fem niere») omtrent 5 minutter. To andre begreper er viktige: RTO (Recovery Time Objective), hvor raskt De må gjenopprette tjenesten, og RPO (Recovery Point Objective), hvor stort datatap som er akseptabelt. Disse målene styrer designvalgene.

Redundans er verken gratis eller ubegrenset. Den øker kostnadene og kompleksiteten og kan innføre nye feilkilder hvis den konfigureres dårlig. Flere kopier kan bety mer å administrere og flere muligheter for feilkonfigurering. Kunsten er å veie kostnadene ved redundans mot kostnadene ved nedetid for hver tjeneste, slik at det kritiske beskyttes uten at resten overkonstrueres.

HA-utforming skjer systematisk: kartlegg kritiske tjenester, finn alle SPOF-er, legg til målrettet redundans med automatisk failover, og test at failover faktisk fungerer. En uprøvd sikkerhetskopi er et håp, ikke en plan. Regelmessige simuleringer av feil beviser at utformingen fungerer og avdekker mangler. Når dette gjøres riktig, holder redundans og failover nettverket i gang når de enkelte delene uunngåelig svikter.

De har lært om redundans og failover. Viktige punkter:

• HA fjerner enkeltstående feilkilder.
• Redundans legger til reserver; failover bytter automatisk til dem.
• Active-active deler belastningen; active-passive har en standby-enhet.
• VRRP/HSRP gir en redundant gateway; LAG og NIC teaming gir redundans for lenker.
• Mål med oppetids-niere, RTO og RPO, og test failover.