冗余与故障转移设计

高可用性（HA）是指通过设计网络，使服务在发生故障时仍能保持运行。其核心思想是消除单点故障：任何一个组件发生故障都可能导致整个系统停止运行。HA 将冗余（准备备用组件）与故障切换（自动切换到备用组件）结合起来，使关键服务能够在中断期间持续运行。

单点故障（SPOF）是指没有备用的任何组件，例如唯一的路由器、唯一的电源或唯一的互联网链路；它们一旦丢失，所有服务都会停止。识别 SPOF 是 HA 设计的第一步。对于每个关键组件，都应问自己：“如果它发生故障，会怎么样？”只要答案是“服务完全中断”，就应增加冗余。

冗余是指准备重复的组件，以便在需要时接替工作。它可以应用于各个层面：冗余电源、冗余网络链路、冗余交换机和路由器，以及冗余互联网连接。冗余会增加成本和复杂性，因此应重点用于那些发生故障后影响最大的组件。目标是避免任何单个故障导致服务中断。

故障切换是指从发生故障的组件自动切换到其备用组件。仅有冗余还不够；备用组件必须快速接管，最好无需人工干预。良好的故障切换应快速且平滑，让用户几乎察觉不到。备用组件与自动故障切换相结合，才能实现真正的高可用性。

冗余有两种模型。在主备模式中，备用组件在主组件发生故障前处于空闲状态，随后接管工作。在主主模式中，两台设备同时工作并分担负载；如果其中一台发生故障，另一台会接管它所承担的负载。主主模式还能提升容量，而主备模式更简单。应根据不同需求和预算选择合适的模式。

默认网关是常见的 SPOF，因此第一跳冗余协议（FHRP）可以提供备用网关。VRRP（虚拟路由器冗余协议）和思科的 HSRP（热备路由器协议）允许两台路由器共享一个虚拟网关 IP；如果活动路由器发生故障，备用路由器就会接管该地址。主机继续使用同一个网关，不会察觉这次切换。

链路也可以实现冗余。链路聚合（LAG，使用 LACP）可以将多条物理链路捆绑成一条逻辑链路，既增加带宽，也能在其中一条链路发生故障时保持连接。在服务器上，NIC 组队会将多块网卡绑定在一起，因此即使一块网卡或其网线发生故障，流量仍可继续传输。两者都能消除单条链路这一故障点。

许多问题都发生在物理层面。冗余电源可以让设备在一个电源发生故障后继续运行。UPS（不间断电源）可以让设备撑过短时停电，而发电机则应对更长时间的停电。热插拔组件可以在不关闭设备电源的情况下更换。这些措施可以防范最常见的停机原因：电源和硬件故障。

HA 通常通过可用性中的“9”来衡量。99.9% 意味着每年约允许 8.8 小时的停机时间；99.99% 约为 53 分钟；99.999%（“五个9”）约为 5 分钟。另外还有两个重要术语：RTO（恢复时间目标），即必须多快恢复；以及 RPO（恢复点目标），即可以接受丢失多少数据。这些目标会影响设计选择。

冗余并非没有成本，也不是越多越好。如果配置不当，冗余会增加成本和复杂性，并引入新的故障模式。副本越多，可能需要管理的对象就越多，发生配置错误的机会也越多。真正的难点在于，针对每项服务权衡冗余成本与停机成本，在保护关键部分的同时，避免对其他部分进行过度设计。

HA 设计应遵循系统化流程：梳理关键服务，找出所有 SPOF，针对性地增加冗余并配置自动故障切换，然后测试故障切换是否确实有效。未经测试的备用方案只是希望，而不是计划。定期模拟故障可以验证设计并发现缺口。设计得当时，冗余和故障切换能够在各个组件不可避免地发生故障时，保持网络持续运行。

测试您对 HA 的掌握情况。

您已经学习了冗余和故障切换。要点：

• HA 可以消除单点故障。
• 冗余增加备用组件；故障切换会自动切换到备用组件。
• 主主模式分担负载；主备模式保留备用组件。
• VRRP/HSRP提供冗余网关；LAG 和 NIC 组队提供链路冗余。
• 使用可用性中的“9”、RTO 和 RPO 进行衡量，并测试故障切换。