Тестирование и выполнение аварийного переключения

План аварийного восстановления, который никогда не тестировался, остаётся лишь предположением. Тестовое переключение позволяет проверить, что виртуальные машины правильно загружаются, приложения запускаются, а сетевое подключение работает в целевом регионе — и всё это без нарушения работы исходной среды или текущей репликации. Многие организации обнаруживают недостатки своих планов DR только при настоящей аварии — именно тогда неисправный план наносит наибольший ущерб. Для большинства нормативных стандартов регулярное тестовое переключение является обязательным требованием.

ASR поддерживает три типа действий при переключении. Тестовое переключение создаёт копии переключённых виртуальных машин в изолированной сети (целевую VNet Вы указываете самостоятельно), не влияя на репликацию или исходную среду. Плановое переключение используется для запланированных миграций или обслуживания: сначала синхронизируются оставшиеся изменения, затем исходная система выключается и выполняется переключение. Незапланированное переключение (используемое при реальной аварии) выполняется немедленно из последней точки восстановления, без ожидания окончательной синхронизации.

Чтобы выполнить тестовое переключение на портале, выберите защищённый элемент, нажмите Тестовое переключение, выберите точку восстановления (последнюю точку с согласованностью после сбоя, последнюю точку с согласованностью приложения или конкретный момент времени), а затем укажите целевую виртуальную сеть (обычно отдельную изолированную тестовую VNet). ASR запускает виртуальную машину в целевом регионе, используя диски-реплики. Тестовая виртуальная машина отображается рядом с репликой, но полностью независима от неё — рабочая среда не затрагивается. После тестирования нажмите Очистить тестовое переключение, чтобы удалить тестовые виртуальные машины.

Во время переключения Вы выбираете точку восстановления из окна хранения ASR. Доступны следующие варианты: Последняя (минимальный RPO) — самая актуальная точка восстановления с согласованностью после сбоя, минимизирующая потерю данных. Последняя обработанная — недавно обработанная точка, которая может отставать на несколько минут. Последняя с согласованностью приложения — самая свежая точка восстановления с согласованностью приложения; она может быть старше, но гарантирует корректное восстановление приложения. Пользовательская — конкретная более старая точка восстановления для возврата в заведомо исправное состояние, существовавшее до инцидента.

План восстановления объединяет несколько защищённых виртуальных машин и определяет последовательность и время их переключения. Вы можете указать, какие виртуальные машины должны запускаться первыми (например, серверы баз данных перед серверами приложений), добавить этапы ручного подтверждения для приостановки переключения с целью проверки человеком и вставить сценарии Azure Automation для запуска сценариев до и после переключения (например, обновления записей DNS, настройки балансировщиков нагрузки или отправки уведомлений). Планы восстановления можно тестировать независимо с помощью тестового переключения.

Тестовое переключение позволяет измерить фактический RTO (целевой показатель времени восстановления). Запустите секундомер в момент начала переключения и остановите его, когда приложение полностью заработает и станет доступно пользователям. Типичное переключение Azure-to-Azure для одной виртуальной машины занимает 15–30 минут, однако многоуровневые приложения с зависимостями могут переключаться дольше. Задокументируйте все этапы, которые неожиданно увеличивают продолжительность (например, распространение DNS или прогрев приложения), и устраните их до следующего тестирования.

После планового переключения (например, миграции в новый регион) выполните действие Commit, чтобы завершить переключение. Подтверждение прекращает репликацию обратно из исходной системы и помечает целевые виртуальные машины как новые основные. После подтверждения можно включить обратную защиту, чтобы изменить направление репликации и сделать исходный регион новым целевым регионом DR. Это позволит выполнить обратное переключение в исходный регион после устранения инцидента.

Обратное переключение — это процесс возврата рабочих нагрузок в исходный регион после аварии или плановой миграции. Выполните следующие действия: повторно защитите переключённые виртуальные машины (изменив направление репликации, чтобы репликация выполнялась от новой основной системы обратно в исходный регион), дождитесь завершения начальной синхронизации, а затем выполните плановое переключение обратно в исходный регион. Для обратного переключения исходная инфраструктура должна сохраниться. Если она была уничтожена, перед обратным переключением может потребоваться восстановить целевую базовую среду.

После тестового переключения необходимо выполнить действие Очистить тестовое переключение на портале, чтобы удалить тестовые виртуальные машины и связанные с ними диски. Без очистки тестовые виртуальные машины продолжат работать и увеличивать затраты на вычисления. Этот этап также сбрасывает состояние тестового переключения защищённого элемента, позволяя в будущем выполнить ещё один тест. Автоматизация очистки (например, планирование её выполнения через час после начала теста с помощью сценария Automation) предотвращает работу забытых тестовых виртуальных машин в течение нескольких дней.

Каждый тест DR должен завершаться созданием отчёта об учении DR, содержащего дату и проверенный сценарий, использованные точки восстановления, достигнутые значения RTO и RPO, обнаруженные проблемы и выполненные действия по их устранению. Эта документация удовлетворяет требованиям аудиторов в рамках стандартов, таких как ISO 27001 и SOC 2, предусматривающих регулярное тестирование DR. Храните отчёты об учениях в защищённом месте, доступном командам IT и обеспечения непрерывности бизнеса.

Стоимость Azure Site Recovery рассчитывается за каждый защищённый экземпляр в месяц — плата включает службу репликации и оркестрацию. Кроме того, взимается плата за Storage, занятое дисками-репликами в целевом регионе, и за учётную запись кэширования, используемую во время репликации. Исходящий перенос данных между регионами Azure для трафика репликации оплачивается по обычным тарифам исходящего трафика (в отличие от Azure Backup, где исходящий трафик между парными регионами бесплатен). При репликации из локальной среды в Azure для виртуальных машин Azure можно использовать Azure Hybrid Benefit, чтобы снизить затраты.

Проверьте понимание концепций Microsoft Azure Fundamentals (AZ-900), рассмотренных в этом уроке.

В этом уроке Вы узнали, что тестовое переключение проверяет план DR в изолированной сети без влияния на рабочую среду, планы восстановления определяют последовательность переключения нескольких виртуальных машин с этапами ручного подтверждения и шагами автоматизации, а обратное переключение возвращает рабочие нагрузки в исходный регион после аварии, изменяя направление репликации. Далее мы рассмотрим Azure CDN для ускорения глобальной доставки содержимого.