{"id":75726,"date":"2020-03-28T07:42:08","date_gmt":"2020-03-28T05:42:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/klaster-iz-dvuh-uzlov-dyavol-v-detalyah"},"modified":"2020-03-28T07:42:08","modified_gmt":"2020-03-28T05:42:08","slug":"klaster-iz-dvuh-uzlov-dyavol-v-detalyah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/klaster-iz-dvuh-uzlov-dyavol-v-detalyah","title":{"rendered":"Cluster de deux n\u0153uds \u2013 le diable est dans les d\u00e9tails","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Bonjour Habr ! Je vous pr\u00e9sente la traduction de l'article \u00abDeux N\u0153uds \u2014 Le Diable est dans les D\u00e9tails\u00bb<\/a><\/noindex> de l'auteur Andrew Beekhof.<\/p>\n

Beaucoup de gens pr\u00e9f\u00e8rent les clusters compos\u00e9s de deux n\u0153uds, car ils semblent conceptuellement plus simples, et en plus, ils sont aussi 33 % moins chers que leurs homologues \u00e0 trois n\u0153uds. Bien qu'il soit tout \u00e0 fait possible de cr\u00e9er un bon cluster \u00e0 partir de deux n\u0153uds, dans la plupart des cas, en raison de sc\u00e9narios non pris en compte, cette configuration entra\u00eenera de nombreux probl\u00e8mes non \u00e9vidents.
\n<\/a><\/noindex>
\nLa premi\u00e8re \u00e9tape pour cr\u00e9er tout syst\u00e8me \u00e0 haute disponibilit\u00e9 est d'identifier et d'essayer d'\u00e9liminer les points de d\u00e9faillance uniques, souvent abr\u00e9g\u00e9s par SPoF<\/i> (point de d\u00e9faillance unique).<\/p>\n

Il convient de garder \u00e0 l'esprit que, dans tout syst\u00e8me, il est impossible d'\u00e9liminer tous les risques d'indisponibilit\u00e9. Cela d\u00e9coule au moins du fait que la protection typique contre le risque consiste \u00e0 introduire une certaine redondance, ce qui conduit \u00e0 une augmentation de la complexit\u00e9 du syst\u00e8me et \u00e0 l'apparition de nouveaux points de d\u00e9faillance. Par cons\u00e9quent, nous acceptons d\u00e8s le d\u00e9part des compromis et nous nous concentrons sur les \u00e9v\u00e9nements li\u00e9s aux points de d\u00e9faillance uniques, plut\u00f4t que sur des cha\u00eenes d'\u00e9v\u00e9nements connexes et donc de moins en moins probables.<\/p>\n

Compte tenu des compromis, nous ne cherchons pas seulement des SPoF, mais nous \u00e9quilibrons \u00e9galement les risques et les cons\u00e9quences, ce qui peut entra\u00eener des conclusions diff\u00e9rentes sur ce qui est critique et ce qui ne l'est pas pour chaque d\u00e9ploiement.<\/p>\n

Tout le monde n'a pas besoin de fournisseurs d'\u00e9lectricit\u00e9 alternatifs avec des lignes de transmission ind\u00e9pendantes. Bien que la parano\u00efa ait port\u00e9 ses fruits pour au moins un client lorsque leur surveillance a d\u00e9tect\u00e9 un transformateur d\u00e9fectueux. Le client a appel\u00e9, essayant de pr\u00e9venir la compagnie d'\u00e9lectricit\u00e9, jusqu'\u00e0 ce que le transformateur d\u00e9fectueux explose.<\/p><\/blockquote>\n

\nUn point de d\u00e9part naturel est d'avoir plus d'un n\u0153ud dans le syst\u00e8me. Cependant, avant qu'un syst\u00e8me puisse d\u00e9placer des services sur le n\u0153ud restant en vie apr\u00e8s une d\u00e9faillance, il faut g\u00e9n\u00e9ralement s'assurer que les services d\u00e9plac\u00e9s ne sont pas actifs ailleurs.<\/p>\n

Un cluster \u00e0 deux n\u0153uds n'a pas de probl\u00e8mes si, en cas de d\u00e9faillance, les deux n\u0153uds g\u00e8rent le m\u00eame site Web statique. Cependant, tout change si les deux parties g\u00e8rent ind\u00e9pendamment une queue de t\u00e2ches partag\u00e9e ou offrent un acc\u00e8s non coordonn\u00e9 en \u00e9criture \u00e0 une base de donn\u00e9es r\u00e9pliqu\u00e9e ou \u00e0 un syst\u00e8me de fichiers partag\u00e9.<\/p>\n

Ainsi, pour \u00e9viter la perte de donn\u00e9es due \u00e0 la d\u00e9faillance d'un n\u0153ud, nous comptons sur ce qu'on appelle la \"d\u00e9connexion\"<\/i> (fencing).<\/p>\n

Le principe de d\u00e9connexion<\/h2>\n

\nAu c\u0153ur du principe de d\u00e9connexion se pose la question suivante : un n\u0153ud concurrent peut-il endommager des donn\u00e9es ? Si la corruption des donn\u00e9es est un sc\u00e9nario probable, une bonne solution consiste \u00e0 isoler le n\u0153ud des requ\u00eates entrantes ainsi que de l'espace de stockage persistant. L'approche la plus courante de d\u00e9connexion consiste \u00e0 d\u00e9sactiver les n\u0153uds d\u00e9faillants.<\/p>\n

Il existe deux cat\u00e9gories de m\u00e9thodes de d\u00e9connexion que je vais appeler directes<\/i> et indirectes<\/i>, mais qui peuvent \u00e9galement \u00eatre appel\u00e9es actives<\/i> et passives<\/i>. Les m\u00e9thodes directes comprennent des actions de la part des n\u0153uds survivants, comme l'interaction avec un dispositif IPMI (Intelligent Platform Management Interface \u2014 interface pour le monitoring et la gestion \u00e0 distance de l'\u00e9tat physique du serveur) ou iLO (m\u00e9canisme de gestion des serveurs en l'absence d'acc\u00e8s physique), tandis que les m\u00e9thodes indirectes d\u00e9pendent du n\u0153ud d\u00e9faillant pour reconna\u00eetre d'une mani\u00e8re ou d'une autre qu'il est en mauvais \u00e9tat (ou, du moins, qu'il emp\u00eache les autres membres de se r\u00e9tablir) et de signaler un watchdog mat\u00e9riel<\/a><\/noindex> la n\u00e9cessit\u00e9 de d\u00e9sactiver le n\u0153ud d\u00e9faillant.<\/p>\n

Le quorum aide dans le cas o\u00f9 l'on utilise \u00e0 la fois des m\u00e9thodes directes et indirectes.<\/p>\n

D\u00e9connexion directe<\/h3>\n

\nDans le cas d'une d\u00e9connexion directe, nous pouvons utiliser le quorum pour \u00e9viter les courses de d\u00e9connexion en cas de d\u00e9faillance du r\u00e9seau.<\/p>\n

Avec le concept de quorum, le syst\u00e8me dispose de suffisamment d'informations (m\u00eame sans connexion avec ses partenaires) pour que les n\u0153uds sachent automatiquement s'ils doivent initier la d\u00e9connexion et\/ou la r\u00e9cup\u00e9ration.<\/p>\n

Sans quorum, les deux parties d'une s\u00e9paration r\u00e9seau supposent l\u00e9gitimement que l'autre partie est morte et vont chercher \u00e0 se d\u00e9connecter l'une de l'autre. Dans le pire des cas, les deux parties parviennent \u00e0 d\u00e9sactiver l'ensemble du cluster. Un sc\u00e9nario alternatif serait un deathmatch, un cycle infini de n\u0153uds apparaissant, ne voyant pas leurs pairs, les red\u00e9marrant et initiant une r\u00e9cup\u00e9ration juste pour red\u00e9marrer lorsque leur pair suit la m\u00eame logique.<\/p>\n

Le probl\u00e8me de l'isolement r\u00e9side dans le fait que les dispositifs les plus souvent utilis\u00e9s deviennent inaccessibles en raison des m\u00eames \u00e9v\u00e9nements de panne sur lesquels nous souhaitons nous appuyer pour la r\u00e9cup\u00e9ration. La plupart des cartes IPMI et iLO sont install\u00e9es sur les h\u00f4tes qu'elles contr\u00f4lent et, par d\u00e9faut, utilisent le m\u00eame r\u00e9seau, ce qui am\u00e8ne les n\u0153uds cibles \u00e0 croire que les autres n\u0153uds sont hors ligne.<\/p>\n

Malheureusement, les particularit\u00e9s du fonctionnement des dispositifs IPMI et iLo sont rarement prises en compte lors de l'achat de mat\u00e9riel.<\/p>\n

Isolement indirect<\/h3>\n

\nLe quorum est \u00e9galement important pour la gestion des isolations indirectes. Si tout est fait correctement, le quorum peut permettre aux n\u0153uds survivants de supposer que les n\u0153uds perdus passeront \u00e0 un \u00e9tat s\u00e9curis\u00e9 apr\u00e8s une certaine p\u00e9riode.<\/p>\n

Avec cette configuration, le timer de surveillance mat\u00e9riel est r\u00e9initialis\u00e9 toutes les N secondes, \u00e0 condition que le quorum ne soit pas perdu. Si le timer (g\u00e9n\u00e9ralement plusieurs multiples de N) expire, l'appareil effectue un arr\u00eat non gracieux (pas de shutdown).<\/p>\n

Cette approche est tr\u00e8s efficace, mais sans quorum pour sa gestion, il y a pas assez d'informations au sein du cluster. Il n'est pas facile de faire la distinction entre une panne de r\u00e9seau et un \u00e9chec de n\u0153ud partenaire. La raison pour laquelle cela a de l'importance est que sans la possibilit\u00e9 de diff\u00e9rencier les deux cas, vous \u00eates contraint de choisir le m\u00eame mode de comportement dans les deux situations.<\/p>\n

Le probl\u00e8me avec le choix d'un mode unique est qu'il n'existe pas de plan d'action qui maximise la disponibilit\u00e9 tout en \u00e9vitant la perte de donn\u00e9es.<\/p>\n