{"id":75726,"date":"2020-03-28T07:42:08","date_gmt":"2020-03-28T05:42:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/klaster-iz-dvuh-uzlov-dyavol-v-detalyah"},"modified":"2020-03-28T07:42:08","modified_gmt":"2020-03-28T05:42:08","slug":"klaster-iz-dvuh-uzlov-dyavol-v-detalyah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/klaster-iz-dvuh-uzlov-dyavol-v-detalyah","title":{"rendered":"Ein Cluster aus zwei Knoten \u2013 der Teufel steckt im Detail","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Hallo, Habr! Ich pr\u00e4sentiere Ihnen eine \u00dcbersetzung des Artikels. \u00abZwei Knoten \u2013 Der Teufel steckt im Detail\u00bb<\/a><\/noindex> Autor Andrew Beekhof.<\/p>\n

Viele Menschen ziehen Cluster mit zwei Knoten vor, weil sie konzeptionell einfacher erscheinen und zudem 33 % kosteng\u00fcnstiger sind als ihre drei-knotigen Geschwister. Obwohl es durchaus m\u00f6glich ist, einen guten Cluster aus zwei Knoten zu erstellen, wird in den meisten F\u00e4llen, aufgrund nicht ber\u00fccksichtigter Szenarien, eine solche Konfiguration eine Vielzahl von weniger offensichtlichen Problemen verursachen.
\n<\/a><\/noindex>
\nDer erste Schritt bei der Schaffung eines Hochverf\u00fcgbarkeitssystems besteht darin, Einzelpunkte des Ausfalls zu identifizieren und zu beseitigen, die oft kurz als SPoF<\/i> (single point of failure) bezeichnet werden.<\/p>\n

Es ist wichtig zu beachten, dass es in jedem System unm\u00f6glich ist, alle m\u00f6glichen Ausfallrisiken zu eliminate. Das ergibt sich zumindest aus der Tatsache, dass der typische Schutz vor Risiko die Einf\u00fchrung einer gewissen Redundanz umfasst, was die Komplexit\u00e4t des Systems erh\u00f6ht und neue Ausfallpunkte schafft. Daher gehen wir von Anfang an einen Kompromiss ein und konzentrieren uns auf Ereignisse, die mit Einzelpunkten des Ausfalls verbunden sind, und nicht auf Ketten von zusammenh\u00e4ngenden und folglich immer weniger wahrscheinlichen Ereignissen.<\/p>\n

Unter Ber\u00fccksichtigung der Kompromisse suchen wir nicht nur nach SPoF, sondern w\u00e4gen auch Risiken und Konsequenzen ab, sodass die Schlussfolgerung dar\u00fcber, was kritisch und was nicht ist, je nach Bereitstellung unterschiedlich ausfallen kann.<\/p>\n

Nicht jeder ben\u00f6tigt alternative Stromversorger mit unabh\u00e4ngigen Stromleitungen. Obwohl Paranoia sich f\u00fcr mindestens einen Kunden ausgezahlt hat, als ihre \u00dcberwachung einen defekten Transformator entdeckte. Der Kunde rief an, um das Energiewerk zu warnen, bis der defekte Transformator explodierte.<\/p><\/blockquote>\n

\nEin nat\u00fcrlicher Ausgangspunkt ist, dass im System mehr als ein Knoten vorhanden ist. Bevor das System jedoch die Dienste auf den nach einem Ausfall verbleibenden Knoten verschieben kann, muss im Allgemeinen sichergestellt werden, dass die zu verschiebenden Dienste an keinem anderen Ort aktiv sind.<\/p>\n

Ein Cluster mit zwei Knoten hat keine Nachteile, wenn im Falle eines Ausfalls beide Knoten dieselbe statische Website bedienen. Alles \u00e4ndert sich jedoch, wenn beide Seiten unabh\u00e4ngig eine gemeinsame Warteschlange von Aufgaben verwalten oder unkoordinierten Schreibzugriff auf eine replizierte Datenbank oder ein gemeinsames Dateisystem gew\u00e4hren.<\/p>\n

Um Datenbesch\u00e4digungen durch den Ausfall eines Knotens zu verhindern, verlassen wir uns auf das, was man nennt \u201eAbgrenzung\u201c<\/i> (Fencing).<\/p>\n

Das Prinzip der Abgrenzung<\/h2>\n

\nDas Prinzip der Abgrenzung basiert auf der Frage: Kann ein konkurrierender Knoten Datenbesch\u00e4digungen verursachen? Wenn das Risiko einer Datenbesch\u00e4digung ein wahrscheinliches Szenario ist, ist eine Isolation des Knotens von eingehenden Anfragen sowie von persistentem Speicher eine gute L\u00f6sung. Der am h\u00e4ufigsten angewandte Ansatz zur Abgrenzung besteht darin, fehlerhafte Knoten abzuschalten.<\/p>\n

Es gibt zwei Kategorien von Abgrenzungsmethoden, die ich erw\u00e4hnen m\u00f6chte: direkte<\/i> und indirekte<\/i>, aber ebenso k\u00f6nnen sie genannt werden aktive<\/i> und passive<\/i>. Direkte Methoden umfassen Ma\u00dfnahmen von \u00fcberlebenden Peer-Knoten, wie das Interagieren mit einem IPMI-Ger\u00e4t (Intelligent Platform Management Interface \u2013 Schnittstelle zur Fern\u00fcberwachung und Verwaltung des physischen Zustands eines Servers) oder iLO (Managementmechanismus f\u00fcr Server ohne physischen Zugang), w\u00e4hrend indirekte Methoden auf einen ausgefallenen Knoten angewiesen sind, um auf irgendeine Weise zu erkennen, dass er sich in einem fehlerhaften Zustand befindet (oder zumindest die anderen Mitglieder bei der Wiederherstellung st\u00f6rt) und Signale zu senden hardware watchdog<\/a><\/noindex> um den Ausfall des fehlerhaften Knotens zu melden.<\/p>\n

Quorum hilft sowohl bei der Anwendung direkter als auch indirekter Methoden.<\/p>\n

Direkte Abgrenzung<\/h3>\n

\nIm Falle der direkten Abgrenzung k\u00f6nnen wir ein Quorum nutzen, um Wettrennen bei der Abgrenzung im Falle eines Netzwerkfehlers zu verhindern.<\/p>\n

Mit dem Konzept des Quorums hat das System gen\u00fcgend Informationen (auch ohne Verbindung zu seinen Partnern), sodass die Knoten automatisch wissen, ob sie eine Abgrenzung und \/ oder Wiederherstellung einleiten sollen.<\/p>\n

Ohne Quorum nehmen beide Seiten der Netzwerkpartition zu Recht an, dass die andere Seite tot ist, und werden versuchen, den anderen abzugrenzen. Im schlimmsten Fall gelingt es beiden Seiten, den gesamten Cluster abzuschalten. Ein alternatives Szenario ist der Deathmatch, ein endloser Zyklus von Knoten, die erscheinen, ihre Peers nicht sehen, sie neu starten und die Wiederherstellung einleiten, nur um neu zu starten, wenn ihr Peer nach demselben Prinzip agiert.<\/p>\n

Das Problem der Abgrenzung besteht darin, dass die am h\u00e4ufigsten verwendeten Ger\u00e4te aufgrund derselben Ausfallereignisse, auf die wir uns f\u00fcr die Wiederherstellung konzentrieren m\u00f6chten, nicht verf\u00fcgbar werden. Die meisten IPMI- und iLO-Karten sind auf den Hosts installiert, die sie steuern, und verwenden standardm\u00e4\u00dfig dasselbe Netzwerk, was dazu f\u00fchrt, dass die Zielknoten annehmen, dass die anderen Knoten offline sind.<\/p>\n

Leider werden die Besonderheiten der Funktionsweise von IPMI- und iLo-Ger\u00e4ten beim Kauf von Hardware selten ber\u00fccksichtigt.<\/p>\n

Indirekte Abgrenzung<\/h3>\n

\nEin Quorum ist auch wichtig f\u00fcr die Verwaltung indirekter Abgrenzungen; wenn alles richtig gemacht wird, kann das Quorum den \u00dcberlebenden erm\u00f6glichen anzunehmen, dass die verlorenen Knoten nach einer gewissen Zeit in einen sicheren Zustand \u00fcbergehen.<\/p>\n

Bei dieser Konfiguration wird der Hardware-Watchdog-Timer alle N Sekunden zur\u00fcckgesetzt, wenn kein Quorum verloren geht. Wenn der Timer (normalerweise mehrere Vielfache von N) abl\u00e4uft, f\u00fchrt das Ger\u00e4t eine unfreundliche Abschaltung (keine Shutdown) durch.<\/p>\n

Dieser Ansatz ist sehr effektiv, aber ohne ein Quorum zur Verwaltung gibt es nicht gen\u00fcgend Informationen innerhalb des Clusters. Es ist nicht einfach, den Unterschied zwischen einem Netzwerkabbruch und einem Ausfall des Partnerknotens zu erkennen. Der Grund, warum dies von Bedeutung ist, besteht darin, dass Sie ohne die M\u00f6glichkeit, die beiden F\u00e4lle zu unterscheiden, gezwungen sind, im beiden F\u00e4llen das gleiche Verhalten zu w\u00e4hlen.<\/p>\n

Das Problem bei der Wahl eines Modus besteht darin, dass es keinen Handlungsansatz gibt, der die Verf\u00fcgbarkeit maximiert und den Datenverlust verhindert.<\/p>\n