ორი კვანძის კასეტური - ეშმაკი დეტალებშია

ჰეი ჰაბრ! თქვენს ყურადღებას წარმოგიდგენთ სტატიის თარგმანს "ორი კვანძი - ეშმაკი დეტალებშია" ენდრიუ ბეკჰოფის მიერ.

ბევრ ადამიანს ურჩევნია ორკვანძიანი კლასტერები, რადგან ისინი კონცეპტუალურად უფრო მარტივი და ასევე 33%-ით იაფია, ვიდრე მათი სამი კვანძის კოლეგები. მიუხედავად იმისა, რომ შესაძლებელია კარგი ორი კვანძის კლასტერის შეკრება, უმეტეს შემთხვევაში, გაუთვალისწინებელი სცენარების გამო, ეს კონფიგურაცია შექმნის ბევრ არააშკარა პრობლემას.

ნებისმიერი მაღალი ხელმისაწვდომობის სისტემის შექმნის პირველი ნაბიჯი არის მარცხის ცალკეული წერტილების პოვნა და მისი აღმოფხვრის მცდელობა, რომელსაც ხშირად უწოდებენ SPoF (მარცხის ერთი წერტილი).

გასათვალისწინებელია, რომ ნებისმიერ სისტემაში შეუძლებელია შეფერხების ყველა შესაძლო რისკის აღმოფხვრა. ეს მაინც გამომდინარეობს იქიდან, რომ რისკებისგან ტიპიური თავდაცვა არის გარკვეული სიჭარბის დანერგვა, რაც იწვევს სისტემის სირთულის ზრდას და წარუმატებლობის ახალი წერტილების გამოჩენას. აქედან გამომდინარე, ჩვენ თავდაპირველად კომპრომისზე ვართ და ფოკუსირებულნი ვართ მოვლენებზე, რომლებიც დაკავშირებულია წარუმატებლობის ცალკეულ წერტილებთან და არა დაკავშირებული და, შესაბამისად, უფრო ნაკლებად სავარაუდო მოვლენების ჯაჭვებზე.

კომპრომისების გათვალისწინებით, ჩვენ არა მხოლოდ ვეძებთ SPoF-ს, არამედ ვაბალანსებთ რისკებსა და შედეგებს, რის შედეგადაც დავასკვნათ, რა არის კრიტიკული და რა არა, შეიძლება განსხვავდებოდეს თითოეული განლაგებისთვის.

ყველას არ სჭირდება ელექტროენერგიის ალტერნატიული პროვაიდერები დამოუკიდებელი გადამცემი ხაზებით. მიუხედავად იმისა, რომ პარანოიამ მაინც გაამართლა ერთ მომხმარებელს, როდესაც მათმა მონიტორინგმა გაუმართავი ტრანსფორმატორი აღმოაჩინა. მომხმარებელი ტელეფონზე ცდილობდა ენერგოკომპანიის გაფრთხილებას, სანამ გაუმართავი ტრანსფორმატორი არ აფეთქდა.

ბუნებრივი საწყისი წერტილი არის სისტემაში ერთზე მეტი კვანძის არსებობა. თუმცა, სანამ სისტემა შეძლებს სერვისების გადატანას გადარჩენილ კვანძში, ზოგადად უნდა დარწმუნდეს, რომ გადატანილი სერვისები სხვაგან არ არის აქტიური.

ორი კვანძის კლასტერს არ აქვს უარყოფითი მხარე, თუ ორივე კვანძი ემსახურება იმავე სტატიკურ ვებსაიტს წარუმატებლობის შედეგად. თუმცა, ყველაფერი შეიცვლება, თუ ორივე მხარე დამოუკიდებლად მართავს სამუშაოს საერთო რიგს ან მისცემს არაკოორდინირებული ჩაწერის წვდომას განმეორებით მონაცემთა ბაზაში ან გაზიარებულ ფაილურ სისტემაზე.

ამიტომ, მონაცემთა კორუფციის თავიდან ასაცილებლად, რომელიც გამოწვეულია ერთი კვანძის უკმარისობით - ჩვენ ვეყრდნობით რაღაც სახელწოდებას "დელიმიტაცია" (ფარიკაობა).

დისტანცირების პრინციპი

ფარიკაობის პრინციპი ეფუძნება კითხვას: შეუძლია თუ არა კონკურენტულმა კვანძმა გამოიწვიოს მონაცემთა კორუფცია? იმ შემთხვევაში, თუ მონაცემთა კორუფცია სავარაუდო სცენარია, კვანძის იზოლირება როგორც შემომავალი მოთხოვნებისგან, ასევე მუდმივი შენახვისგან კარგი გამოსავალია. ფარიკაობის ყველაზე გავრცელებული მიდგომა არის წარუმატებელი კვანძების დახურვა.

არსებობს დისტანციური მეთოდების ორი კატეგორია, რომლებსაც მე დავასახელებ სწორი и არაპირდაპირი, მაგრამ მათ თანაბრად შეიძლება ეწოდოს აქტიური и პასიური. პირდაპირი მეთოდები მოიცავს მოქმედებებს გადარჩენილი თანატოლების მიერ, როგორიცაა IPMI (ინტელექტუალური პლატფორმის მართვის ინტერფეისი - ინტერფეისი სერვერის დისტანციური მონიტორინგისა და ფიზიკური მდგომარეობის მართვისთვის) ან iLO (სერვერების მართვის მექანიზმი მათზე ფიზიკური წვდომის არარსებობის შემთხვევაში). ), მაშინ როდესაც ირიბი მეთოდები ეყრდნობა წარუმატებელ კვანძს, რათა როგორმე აღიარონ, რომ ის არაჯანსაღ მდგომარეობაშია (ან მინიმუმ ხელს უშლის დანარჩენი წევრების გამოჯანმრთელებას) და სიგნალს აძლევს ტექნიკის მცველი წარუმატებელი კვანძის დახურვის აუცილებლობის შესახებ.

კვორუმი გვეხმარება როგორც პირდაპირი, ისე ირიბი მეთოდების გამოყენების შემთხვევაში.

პირდაპირი დისტანცია

პირდაპირი ფარიკაობის შემთხვევაში, ჩვენ შეგვიძლია გამოვიყენოთ კვორუმი, რათა თავიდან ავიცილოთ ფარიკაობის რბოლები ქსელის გაუმართაობის შემთხვევაში.

კვორუმის კონცეფციით, სისტემაში არის საკმარისი ინფორმაცია (თუნდაც მათ თანატოლებთან დაკავშირების გარეშე), რათა კვანძებმა ავტომატურად იცოდნენ, უნდა დაიწყოს თუ არა დისოციაცია და/ან აღდგენა.

კვორუმის გარეშე, ქსელის განყოფილების ორივე მხარე სამართლიანად თვლის, რომ მეორე მხარე მკვდარია და შეეცდება მეორის განცალკევებას. უარეს შემთხვევაში, ორივე მხარე ახერხებს მთელი კლასტერის დახურვას. ალტერნატიული სცენარი არის deathmatch, კვანძების გაუთავებელი მარყუჟი, რომელიც გამოჩნდება, არ ხედავს მათ თანატოლებს, გადატვირთავს მათ და იწყებს აღდგენას მხოლოდ გადატვირთვისთვის, როდესაც მათი თანატოლი გადის იმავე ლოგიკას.

ფარიკაობის პრობლემა ის არის, რომ ყველაზე ხშირად გამოყენებული მოწყობილობები მიუწვდომელია იმავე წარუმატებლობის მოვლენების გამო, რომლებიც გვინდა მივმართოთ აღდგენისთვის. IPMI და iLO ბარათების უმეტესობა დაინსტალირებულია მათ მიერ კონტროლირებად ჰოსტებზე და, ნაგულისხმევად, იყენებენ იმავე ქსელს, რაც იწვევს სამიზნე ჰოსტებს იმის ვარაუდით, რომ დანარჩენი ჰოსტები ოფლაინ არიან.

სამწუხაროდ, IPMI და iLo მოწყობილობების მახასიათებლები იშვიათად განიხილება აღჭურვილობის შეძენის დროს.

არაპირდაპირი დისტანცირება

კვორუმი ასევე მნიშვნელოვანია არაპირდაპირი ფარიკაობის მართვისთვის, თუ სწორად გაკეთდა, კვორუმს შეუძლია გადარჩენილებს საშუალება მისცეს იფიქრონ, რომ დაკარგული კვანძები გარკვეული პერიოდის შემდეგ გადავა უსაფრთხო მდგომარეობაში.

ამ დაყენებით, ტექნიკის დამკვირვებელი ტაიმერი გადაიტვირთება ყოველ N წამში, თუ კვორუმი არ დაიკარგება. თუ ტაიმერი (ჩვეულებრივ N-ის რამდენიმე ჯერადი) ამოიწურება, მაშინ მოწყობილობა ახორციელებს არაკეთილსინდისიერ გამორთვას (არა გამორთვას).

ეს მიდგომა ძალიან ეფექტურია, მაგრამ კვორუმის გარეშე, კლასტერში არ არის საკმარისი ინფორმაცია მის სამართავად. ადვილი არ არის განსხვავება ქსელის გათიშვასა და კვანძის უკმარისობას შორის. ამის მნიშვნელოვანი მიზეზი ის არის, რომ ორი შემთხვევის გარჩევის უნარის გარეშე, თქვენ იძულებული ხართ ორივე შემთხვევაში აირჩიოთ ერთი და იგივე ქცევა.

ერთი რეჟიმის არჩევის პრობლემა ის არის, რომ არ არსებობს მოქმედების კურსი, რომელიც მაქსიმალურად გაზრდის ხელმისაწვდომობას და ხელს უშლის მონაცემთა დაკარგვას.

• თუ ირჩევთ, რომ ჩავთვალოთ, რომ პარტნიორი კვანძი გააქტიურებულია, მაგრამ რეალურად ვერ მოხერხდა, კლასტერი ზედმეტად შეაჩერებს სერვისებს, რომლებიც უნდა გაშვებულიყო, რათა კომპენსაცია გაუწიოს სერვისების დაკარგვას ჩამოშლილი პარტნიორის კვანძიდან.
• თუ თქვენ აირჩევთ ჩავთვალოთ, რომ კვანძი გათიშულია, მაგრამ ეს მხოლოდ ქსელის გათიშვა იყო და რეალურად დისტანციური კვანძი გათიშულია, მაშინ საუკეთესო შემთხვევაში თქვენ გამოიწერთ შედეგების ნაკრების სამომავლო ხელით შეჯერებას.

არ აქვს მნიშვნელობა რა ევრისტიკას იყენებთ, ტრივიალურია წარუმატებლობის შექმნა, რომელიც ან აიძულებს ორივე მხარეს იმუშაოს ან აიძულებს კლასტერს დახუროს გადარჩენილი კვანძები. კვორუმის გამოუყენებლობა ნამდვილად ართმევს კლასტერს მის არსენალში ერთ-ერთ ყველაზე მძლავრ ინსტრუმენტს.

თუ სხვა ალტერნატივა არ არსებობს, საუკეთესო მიდგომაა ხელმისაწვდომობის შეწირვა (აქ ავტორი მიუთითებს CAP თეორემაზე). დაზიანებული მონაცემების მაღალი ხელმისაწვდომობა არავის ეხმარება და სხვადასხვა მონაცემთა ნაკრების ხელით შეჯერება არც სახალისოა.

კვორუმი

კვორუმი მშვენივრად ჟღერს, არა?

ერთადერთი ნაკლი არის ის, რომ იმისათვის, რომ ის გქონდეთ კლასტერში N წევრებთან, თქვენ უნდა გქონდეთ კავშირი N / 2 + 1 კვანძს შორის. რაც შეუძლებელია ორი კვანძის კლასტერში ერთი კვანძის ჩავარდნის შემდეგ.

რაც საბოლოოდ მიგვიყვანს ფუნდამენტურ ორი კვანძის პრობლემამდე:
კვორუმი უაზროა ორ კვანძის კლასტერში და მის გარეშე შეუძლებელია მოქმედების ისეთი კურსის საიმედოდ განსაზღვრა, რომელიც მაქსიმალურად გაზრდის ხელმისაწვდომობას და ხელს უშლის მონაცემთა დაკარგვას.
კროსოვერის კაბელით დაკავშირებულ ორი კვანძის სისტემაშიც კი შეუძლებელია ცალსახად განასხვავოს ქსელის გათიშვა და სხვა კვანძის გაუმართაობა. ერთი ბოლოს გამორთვა (რომლის ალბათობა, რა თქმა უნდა, კვანძებს შორის მანძილის პროპორციულია) საკმარისი იქნება ნებისმიერი ვარაუდის გასაუქმებლად, რომ ბმულის სიჯანსაღე პარტნიორი კვანძის სიჯანსაღის ტოლია.

ჩვენ ვამუშავებთ ორი კვანძის კლასტერს

ზოგჯერ კლიენტს არ შეუძლია ან არ სურს მესამე კვანძის ყიდვა და ჩვენ იძულებულნი ვართ ვეძიოთ ალტერნატივა.

ვარიანტი 1 - დუბლიკატი დემარკაციის მეთოდი

კვანძის iLO ან IPMI მოწყობილობა წარმოადგენს მარცხის წერტილს, რადგან თუ ის ვერ მოხერხდა, გადარჩენილები ვერ გამოიყენებენ მას კვანძის უსაფრთხო მდგომარეობაში მოსაყვანად. 3 ან მეტი კვანძისგან შემდგარ კლასტერში, ჩვენ შეგვიძლია შევამსუბუქოთ ეს კვორუმის გამოთვლით და ტექნიკის დამკვირვებლის გამოყენებით (ირიბი ფარიკაობის მექანიზმი, როგორც ადრე განვიხილეთ). ორი კვანძის შემთხვევაში, ჩვენ უნდა გამოვიყენოთ ქსელის დენის გადამრთველები (ელექტროენერგიის განაწილების ერთეულები ან PDUs).

წარუმატებლობის შემდეგ, გადარჩენილი პირველი ცდილობს დაუკავშირდეს პირველადი ფარიკაობის მოწყობილობას (ჩაშენებული iLO ან IPMI). წარმატების შემთხვევაში, აღდგენა გრძელდება ჩვეულ რეჟიმში. მხოლოდ იმ შემთხვევაში, თუ iLO / IPMI მოწყობილობა ვერ ხერხდება, PDU-ზე წვდომა ხდება, თუ წვდომა წარმატებულია, აღდგენა შეიძლება გაგრძელდეს.

დარწმუნდით, რომ მოათავსეთ PDU ქსელში, რომელიც განცალკევებულია კლასტერული ტრაფიკისგან, წინააღმდეგ შემთხვევაში ქსელის ერთი უკმარისობა დაბლოკავს წვდომას ორივე ფარიკაობის მოწყობილობებზე და დაბლოკავს სერვისის აღდგენას.

ამ ეტაპზე, თქვენ შეიძლება იკითხოთ - განა PDU არ არის ერთი მარცხის წერტილი? რაზეც პასუხი, რა თქმა უნდა, არის.

თუ ეს რისკი თქვენთვის მნიშვნელოვანია, თქვენ მარტო არ ხართ: დააკავშირეთ ორივე კვანძი ორ PDU-სთან და უთხარით კლასტერულ პროგრამას გამოიყენოს ორივე კვანძების ჩართვისა და გამორთვისას. კლასტერი ახლა აქტიური რჩება, თუ ერთი PDU კვდება და მეორე PDU ან IPMI მოწყობილობის მეორე უკმარისობა იქნება საჭირო აღდგენის დასაბლოკად.

ვარიანტი 2 - არბიტრის დამატება

ზოგიერთ სცენარში, მიუხედავად იმისა, რომ ზედმეტი დისტანციის ტექნიკა ტექნიკურად შესაძლებელია, ის პოლიტიკურად რთულია. ბევრ კომპანიას მოსწონს ადმინისტრატორებსა და აპლიკაციების მფლობელებს შორის გარკვეული გამიჯვნა, და უსაფრთხოების შეგნებული ქსელის ადმინისტრატორები ყოველთვის არ არიან ენთუზიაზმით დაინტერესებულნი PDU წვდომის პარამეტრების ვინმესთვის გადაცემით.

ამ შემთხვევაში, რეკომენდებული ალტერნატივა არის ნეიტრალური მესამე მხარის შექმნა, რომელსაც შეუძლია შეავსოს კვორუმის გამოთვლა.

წარუმატებლობის შემთხვევაში, კვანძს უნდა შეეძლოს მისი თანატოლის ან არბიტრის ჰაერის დანახვა, რათა აღადგინოს სერვისები. არბიტრი ასევე შეიცავს ფუნქციას ბმულის გაწყვეტისთვის, თუ ორივე კვანძს შეუძლია არბიტრის დანახვა, მაგრამ ვერ ხედავს ერთმანეთს.

ეს პარამეტრი უნდა იყოს გამოყენებული არაპირდაპირი ფარიკაობის მეთოდთან ერთად, როგორიცაა ტექნიკის დამკვირვებელი ტაიმერი, რომელიც კონფიგურირებულია დახუროს მანქანა, თუ ის დაკარგავს კავშირს თავის თანატოლ კვანძთან და არბიტრთან. ამრიგად, გადარჩენილს შეუძლია გონივრული დარწმუნებით ივარაუდოს, რომ მისი თანატოლი კვანძი იქნება უსაფრთხო მდგომარეობაში მას შემდეგ, რაც ტექნიკის დამკვირვებელი ტაიმერი ამოიწურება.

პრაქტიკული განსხვავება არბიტრსა და მესამე კვანძს შორის არის ის, რომ არბიტრს სჭირდება გაცილებით ნაკლები რესურსი გასაშვებად და პოტენციურად შეუძლია მოემსახუროს ერთზე მეტ კლასტერს.

ვარიანტი 3 - ადამიანური ფაქტორი

ბოლო მიდგომა არის ის, რომ გადარჩენილებმა განაგრძონ ნებისმიერი სერვისის გაშვება, რომელსაც უკვე აწარმოებდნენ, მაგრამ არ დაიწყონ რაიმე ახალი, სანამ პრობლემა თავისთავად არ მოგვარდება (ქსელის აღდგენა, კვანძის გადატვირთვა) ან პირი არ აიღებს პასუხისმგებლობას ხელით დაადასტუროს, რომ მეორე მხარე მკვდარია.

ბონუს ვარიანტი

მე აღვნიშნე, რომ შეგიძლიათ დაამატოთ მესამე კვანძი?

ორი თარო

არგუმენტის გულისთვის, ვიფიქროთ, რომ მე დაგარწმუნეთ მესამე კვანძის დამსახურებაში, ახლა უნდა განვიხილოთ კვანძების ფიზიკური განლაგება. თუ ისინი მოთავსებულია (და იკვებება) ერთსა და იმავე თაროში, ეს ასევე არის SPoF და ის, რომლის მოგვარებაც შეუძლებელია მეორე თაროს დამატებით.

თუ ეს გასაკვირია, იფიქრეთ რა მოხდებოდა, თუ ორკვანძიანი თარო ჩამოიშლება და როგორ განასხვავებს გადარჩენილი კვანძი ამ შემთხვევასა და ქსელის უკმარისობას შორის.

მოკლე პასუხი არის ის, რომ ეს შეუძლებელია და ისევ ყველა პრობლემასთან გვაქვს საქმე ორი კვანძის შემთხვევაში. ან გადარჩენილი:

• იგნორირებას უკეთებს კვორუმს და არასწორად ცდილობს აღდგენის დაწყებას ქსელის გათიშვის დროს (ღობეების დასრულების შესაძლებლობა სხვა ამბავია და დამოკიდებულია იმაზე, არის თუ არა ჩართული PDU და იზიარებენ თუ არა ისინი ელექტროენერგიას რომელიმე თაროსთან), ან
• პატივს სცემს ქვორუმს და ნაადრევად იხურება, როდესაც მისი თანატოლი კვანძი ვერ ხერხდება

ნებისმიერ შემთხვევაში, ორი თარო არ ჯობია ერთს და კვანძებმა ან უნდა მიიღონ დამოუკიდებელი კვების წყარო, ან გადანაწილდნენ სამ (ან მეტზე, იმისდა მიხედვით, თუ რამდენი კვანძი გაქვთ) თაროზე.

ორი მონაცემთა ცენტრი

ამ ეტაპზე, მკითხველებმა, რომლებიც აღარ არიან რისკებისადმი მიდრეკილნი, შეუძლიათ განიხილონ კატასტროფის აღდგენა. რა მოხდება, როდესაც ასტეროიდი მოხვდება მონაცემთა ერთსა და იმავე ცენტრზე, ჩვენი სამი კვანძით, რომლებიც განლაგებულია სამ სხვადასხვა თაროზე? ცხადია, ცუდი რამ არის, მაგრამ თქვენი საჭიროებიდან გამომდინარე, მეორე მონაცემთა ცენტრის დამატება შეიძლება არ იყოს საკმარისი.

თუ გაკეთდა სწორად, მეორე მონაცემთა ცენტრი მოგაწვდით (და ეს გონივრულია) თქვენი სერვისების და მათი მონაცემების განახლებულ და თანმიმდევრულ ასლს. თუმცა, როგორც XNUMX კვანძის, XNUMX თაროების სცენარებში, სისტემაში არ არის საკმარისი ინფორმაცია მაქსიმალური ხელმისაწვდომობის უზრუნველსაყოფად და კორუფციის (ან მონაცემთა განსხვავების თავიდან ასაცილებლად). სამი კვანძის (ან თაროების) შემთხვევაშიც კი, მათი განაწილება მხოლოდ ორ მონაცემთა ცენტრში ტოვებს სისტემას არ შეუძლია საიმედოდ მიიღოს სწორი გადაწყვეტილება მოვლენის შემთხვევაში (ახლა ბევრად უფრო სავარაუდოა), რომლითაც ორივე მხარე ვერ დაუკავშირდება.

ეს არ ნიშნავს, რომ ორი მონაცემთა ცენტრის გადაწყვეტა არასდროს არის კარგი იდეა. კომპანიებს ხშირად სურთ, რომ ადამიანი იცოდეს სარეზერვო მონაცემთა ცენტრში გადასვლის განსაკუთრებული ნაბიჯის გადადგმამდე. უბრალოდ გაითვალისწინეთ, რომ თუ გსურთ მარცხის ავტომატიზაცია, ან დაგჭირდებათ მესამე მონაცემთა ცენტრი, რათა კვორუმი გააზრებული იყოს (პირდაპირ ან არბიტრის მეშვეობით), ან იპოვით გზას საიმედოდ დახუროთ მთელი მონაცემთა ცენტრი.

წყარო: www.habr.com