Projekty nadmiarowości i przełączania awaryjnego

Wysoka dostępność (HA) oznacza projektowanie sieci tak, aby usługi pozostawały aktywne nawet w przypadku awarii. Podstawową zasadą jest eliminowanie pojedynczych punktów awarii: elementów, których awaria wyłącza cały system. HA łączy redundancję (zapasowe komponenty) z funkcją failover (automatyczne przełączanie na komponent zapasowy), dzięki czemu krytyczne usługi działają mimo awarii.

Pojedynczy punkt awarii (SPOF) to element pozbawiony kopii zapasowej — na przykład jeden router, jeden zasilacz lub jedno łącze internetowe — którego utrata zatrzymuje działanie całości. Identyfikacja SPOF to pierwszy krok w projektowaniu HA. Dla każdego krytycznego komponentu należy zadać sobie pytanie: „Co się stanie, jeśli ten element ulegnie awarii?”. Jeśli odpowiedzią jest „całkowita awaria”, należy dodać redundancję.

Redundancja polega na posiadaniu zduplikowanych komponentów gotowych do przejęcia działania. Może dotyczyć każdego poziomu: redundantnych zasilaczy, łączy sieciowych, przełączników i routerów oraz połączeń internetowych. Redundancja kosztuje i zwiększa złożoność, dlatego stosuje się ją przede wszystkim w przypadku komponentów, których awaria miałaby największe skutki. Celem jest niedopuszczenie do awarii spowodowanej przez pojedynczy uszkodzony element.

Failover to automatyczne przełączenie z uszkodzonego komponentu na jego kopię zapasową. Sama redundancja nie wystarczy — komponent zapasowy musi szybko przejąć działanie, najlepiej bez udziału człowieka. Dobry mechanizm failover działa szybko i płynnie, dzięki czemu użytkownicy prawie go nie zauważają. Połączenie komponentu rezerwowego z automatycznym przełączaniem zapewnia rzeczywistą wysoką dostępność.

Istnieją dwa modele redundancji. W modelu active-passive komponent zapasowy pozostaje bezczynny do czasu awarii podstawowego, a następnie przejmuje jego działanie. W modelu active-active oba urządzenia działają jednocześnie i współdzielą obciążenie, a po awarii jednego drugie przejmuje jego część. Active-active zwiększa również wydajność, natomiast active-passive jest prostszy. Każdy model odpowiada innym potrzebom i budżetom.

Brama domyślna jest częstym SPOF, dlatego First Hop Redundancy Protocols (FHRP) zapewniają zapasową bramę. VRRP (Virtual Router Redundancy Protocol) i HSRP (Hot Standby Router Protocol) firmy Cisco pozwalają dwóm routerom współdzielić jeden wirtualny adres IP bramy; gdy aktywny router ulegnie awarii, router rezerwowy przejmuje ten adres. Hosty nadal korzystają z tej samej bramy i nie wiedzą o przełączeniu.

Redundancja dotyczy również łączy. Agregacja łączy (LAG z użyciem LACP) łączy kilka fizycznych łączy w jedno logiczne, zapewniając dodatkową przepustowość oraz działanie mimo awarii jednego z nich. Na serwerach funkcja NIC teaming łączy wiele kart sieciowych, dzięki czemu transmisja jest kontynuowana, gdy awarii ulegnie jedna karta lub jej kabel. Oba rozwiązania eliminują pojedyncze łącze jako punkt awarii.

Wiele problemów ma charakter fizyczny. Redundantne zasilacze pozwalają urządzeniu działać mimo awarii jednego zasilacza. UPS (Uninterruptible Power Supply) podtrzymuje pracę urządzeń podczas krótkich przerw w zasilaniu, a generator obsługuje dłuższe przerwy. Komponenty wymieniane podczas pracy można zastąpić bez wyłączania urządzenia. Rozwiązania te chronią przed bardzo częstymi przyczynami przestojów: awariami zasilania i sprzętu.

HA mierzy się za pomocą „dziewiątek” dostępności. Dostępność 99,9% oznacza około 8,8 godziny przestoju rocznie, 99,99% — około 53 minut, a 99,999% („pięć dziewiątek”) — około 5 minut. Znaczenie mają również dwa inne pojęcia: RTO (Recovery Time Objective), czyli wymagany czas przywrócenia działania, oraz RPO (Recovery Point Objective), czyli akceptowalna ilość utraconych danych. Te cele wpływają na wybór rozwiązań projektowych.

Redundancja nie jest darmowa ani nieograniczona. Zwiększa koszty i złożoność, a przy nieprawidłowej konfiguracji może wprowadzać nowe rodzaje awarii. Większa liczba kopii oznacza więcej elementów do zarządzania i więcej możliwości popełnienia błędu w konfiguracji. Sztuka polega na zrównoważeniu kosztu redundancji z kosztem przestoju każdej usługi — należy chronić to, co krytyczne, bez nadmiernego komplikowania pozostałych elementów.

Projektowanie HA przebiega systematycznie: należy zinwentaryzować krytyczne usługi, znaleźć każdy SPOF, dodać odpowiednio dobraną redundancję z automatycznym przełączaniem oraz sprawdzić, czy failover rzeczywiście działa. Niesprawdzona kopia zapasowa to nadzieja, a nie plan. Regularne symulowanie awarii potwierdza poprawność projektu i ujawnia luki. Prawidłowo wdrożone mechanizmy redundancji i failover utrzymują działanie sieci, gdy poszczególne elementy nieuchronnie ulegają awariom.

Sprawdź swoją wiedzę o HA.

Dowiedziałeś się o redundancji i failover. Najważniejsze informacje:

• HA eliminuje pojedyncze punkty awarii.
• Redundancja dodaje komponenty zapasowe, a failover automatycznie na nie przełącza.
• Active-active współdzieli obciążenie, a active-passive utrzymuje komponent rezerwowy.
• VRRP/HSRP zapewniają redundantną bramę, a LAG i NIC teaming dodają redundancję łączy.
• Dostępność należy mierzyć za pomocą „dziewiątek”, RTO i RPO oraz testować mechanizm failover.