{"id":75726,"date":"2020-03-28T07:42:08","date_gmt":"2020-03-28T05:42:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/klaster-iz-dvuh-uzlov-dyavol-v-detalyah"},"modified":"2020-03-28T07:42:08","modified_gmt":"2020-03-28T05:42:08","slug":"klaster-iz-dvuh-uzlov-dyavol-v-detalyah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/klaster-iz-dvuh-uzlov-dyavol-v-detalyah","title":{"rendered":"Ein Cluster aus zwei Knoten \u2013 der Teufel steckt im Detail","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Hallo, Habr! Ich pr\u00e4sentiere Ihnen die \u00dcbersetzung des Artikels \u00abZwei Knoten \u2014 Der Teufel liegt im Detail\u00bb<\/a><\/noindex> Autor Andrew Beekhof.<\/p>\n

Viele Menschen ziehen Cluster mit zwei Knoten vor, da sie konzeptionell einfacher erscheinen und zudem 33 % g\u00fcnstiger sind als ihre dreiknotenartigen Kollegen. Obwohl es durchaus m\u00f6glich ist, ein gutes Cluster aus zwei Knoten zu erstellen, f\u00fchrt diese Konfiguration in den meisten F\u00e4llen aufgrund unber\u00fccksichtigter Szenarien zu einer Vielzahl von unvorhersehbaren Problemen.
\n<\/a><\/noindex>
\nDer erste Schritt zum Aufbau eines hochverf\u00fcgbaren Systems besteht darin, einzelne Fehlerpunkte zu identifizieren und zu beseitigen, die h\u00e4ufig als SPoF<\/i> (Single Point of Failure) bezeichnet werden.<\/p>\n

Es ist wichtig zu beachten, dass es in jedem System unm\u00f6glich ist, alle m\u00f6glichen Ausfallrisiken zu eliminieren. Dies ergibt sich zumindest aus der Tatsache, dass typischerweise der Schutz vor Risiko durch die Einf\u00fchrung gewisser Redundanzen erfolgt, was zu einer erh\u00f6hten Systemkomplexit\u00e4t und der Entstehung neuer Fehlerpunkte f\u00fchrt. Daher gehen wir von Anfang an einen Kompromiss ein und konzentrieren uns auf Ereignisse, die mit einzelnen Fehlerpunkten verbunden sind, anstatt auf Ketten verbundener und folglich immer unwahrscheinlicherer Ereignisse.<\/p>\n

Bei der Ber\u00fccksichtigung von Kompromissen suchen wir nicht nur nach SPoF, sondern w\u00e4gen auch Risiken und Konsequenzen ab. Daraus ergibt sich, dass das, was kritisch ist und was nicht, je nach Deployment unterschiedlich sein kann.<\/p>\n

Nicht jeder ben\u00f6tigt alternative Stromanbieter mit unabh\u00e4ngigen Stromleitungen. W\u00e4hrend Paranoia sich f\u00fcr mindestens einen Kunden rentiert hat, als deren \u00dcberwachung einen defekten Transformator entdeckte. Der Kunde rief an, um das Energieunternehmen zu warnen, bis der defekte Transformator explodierte.<\/p><\/blockquote>\n

\nEin nat\u00fcrlicher Ausgangspunkt ist, dass das System mehr als einen Knoten hat. Bevor das System jedoch Dienste auf den verbleibenden Knoten nach einem Ausfall verschieben kann, muss in der Regel sichergestellt werden, dass die zu verschiebenden Dienste nicht an anderer Stelle aktiv sind.<\/p>\n

Ein zwei Knoten Cluster hat keine Nachteile, wenn beide Knoten im Falle eines Ausfalls dieselbe statische Webseite bedienen. Doch alles \u00e4ndert sich, wenn beide Seiten unabh\u00e4ngig eine gemeinsame Aufgabenwarteschlange verwalten oder unkoordinierten Schreibzugriff auf eine replizierte Datenbank oder ein gemeinsames Dateisystem gew\u00e4hren.<\/p>\n

Um Datenbesch\u00e4digungen durch den Ausfall eines Knotens zu vermeiden, verlassen wir uns auf das, was als \u00abAbgrenzung\u00bb<\/i> (fencing) bezeichnet wird.<\/p>\n

Das Prinzip der Abgrenzung<\/h2>\n

\nDas Prinzip der Abgrenzung basiert auf der Frage: Kann ein konkurrierender Knoten Datenbesch\u00e4digungen verursachen? Wenn Datenbesch\u00e4digung ein wahrscheinliches Szenario darstellt, ist eine Isolation des Knotens sowohl von eingehenden Anfragen als auch von persistentem Speicher eine gute L\u00f6sung. Der g\u00e4ngigste Ansatz zur Abgrenzung besteht darin, defekte Knoten abzuschalten.<\/p>\n

Es gibt zwei Kategorien von Abgrenzungsmethoden, die ich als direkt<\/i> und indirekt<\/i>, aber auch gleicherma\u00dfen als aktiv<\/i> und passiv bezeichnet werden k\u00f6nnen.<\/i>. Direkte Methoden umfassen Ma\u00dfnahmen seitens der \u00fcberlebenden Peer-Knoten, wie die Interaktion mit IPMI (Intelligent Platform Management Interface \u2013 eine Schnittstelle zum Fern\u00fcberwachen und Verwalten des physischen Zustands eines Servers) oder iLO (Management-Mechanismus f\u00fcr Server unter Bedingungen ohne physischen Zugriff), w\u00e4hrend indirekte Methoden auf den ausgefallenen Knoten angewiesen sind, um in irgendeiner Weise zu erkennen, dass er sich in einem ung\u00fcltigen Zustand befindet (oder zumindest den Wiederherstellungsprozess anderer Mitglieder behindert) und ein Signal zu senden. Hardware-Watchdog<\/a><\/noindex> zum Abschalten des ausgefallenen Knotens.<\/p>\n

Quorum, hilfreich bei der Verwendung sowohl direkter als auch indirekter Methoden.<\/p>\n

Direkte Abgrenzung<\/h3>\n

\nBei der direkten Abgrenzung k\u00f6nnen wir ein Quorum nutzen, um Abgrenzungsrennen im Falle eines Netzwerkausfalls zu verhindern.<\/p>\n

Mit dem Konzept des Quorums hat das System gen\u00fcgend Informationen (auch ohne Verbindung zu seinen Partnern), damit die Knoten automatisch wissen, ob sie eine Abgrenzung und\/oder Wiederherstellung einleiten sollen.<\/p>\n

Ohne ein Quorum gehen beide Seiten der Netzwerksegmentierung f\u00e4lschlicherweise davon aus, dass die andere Seite offline ist, und versuchen, sich voneinander abzutrennen. Im schlimmsten Fall gelingt es beiden Seiten, den gesamten Cluster abzuschalten. Ein alternatives Szenario ist ein Deathmatch, ein endloser Zyklus von Knoten, die erscheinen, ihre Peers nicht sehen, sie neu starten und eine Wiederherstellung initiieren, nur um sich erneut neu zu starten, wenn ihr Peer dasselbe Prinzip durchl\u00e4uft.<\/p>\n

Das Problem mit der Abtrennung besteht darin, dass die h\u00e4ufigsten Ger\u00e4te aufgrund derselben Ausfallereignisse, auf die wir uns zur Wiederherstellung st\u00fctzen m\u00f6chten, nicht mehr verf\u00fcgbar sind. Die meisten IPMI- und iLO-Karten sind auf Hosts installiert, die sie verwalten, und verwenden standardm\u00e4\u00dfig dasselbe Netzwerk, was dazu f\u00fchrt, dass die Zielknoten annehmen, dass die anderen Knoten offline sind.<\/p>\n

Leider werden die Besonderheiten des Betriebs von IPMI- und iLo-Ger\u00e4ten selten zum Zeitpunkt des Kaufs der Hardware ber\u00fccksichtigt.<\/p>\n

Indirekte Abtrennung<\/h3>\n

\nDas Quorum ist auch wichtig f\u00fcr das Management indirekter Abgrenzungen. Wenn alles richtig gemacht wird, kann das Quorum den \u00dcberlebenden erm\u00f6glichen anzunehmen, dass verlorene Knoten nach einer bestimmten Zeit in einen sicheren Zustand \u00fcbergehen.<\/p>\n

Bei dieser Einstellung wird der Hardware-\u00dcberwachungs-Timer alle N Sekunden zur\u00fcckgesetzt, solange das Quorum nicht verloren geht. Wenn der Timer (normalerweise ein Vielfaches von N) abl\u00e4uft, erfolgt eine ungraceful Abschaltung des Ger\u00e4ts (nicht ein Shutdown).<\/p>\n

Dieser Ansatz ist sehr effektiv, aber ohne Quorum fehlen die notwendigen Informationen innerhalb des Clusters f\u00fcr dessen Verwaltung. Es ist nicht einfach zu unterscheiden, ob ein Netzwerk ausgefallen ist oder ob ein Partnerknoten ausgefallen ist. Der Grund, warum das wichtig ist, liegt darin, dass Sie ohne die M\u00f6glichkeit, die beiden F\u00e4lle zu unterscheiden, gezwungen sind, in beiden F\u00e4llen dasselbe Verhalten zu w\u00e4hlen.<\/p>\n

Das Problem bei der Wahl eines einzelnen Modus besteht darin, dass es keinen Handlungsansatz gibt, der die Verf\u00fcgbarkeit maximiert und den Datenverlust verhindert.<\/p>\n