Summary

  • RIPE NCC betreibt heute zwei nahe beieinanderliegende Rechenzentren mit einer standortübergreifenden Layer-2-Architektur. Der neue Entwurf sieht zwei vollständige, eigenständige Standorte in Westeuropa vor.
  • Innerhalb jedes Standorts ist aktiv-aktiver Betrieb vorgesehen, zwischen den Standorten aktiv-standby. Der Abschluss der Migration wird für die zweite Hälfte 2028 erwartet.

Zwei Gebäude sind noch keine zwei Ausfallzonen. Wer sie mit einem gestreckten Netz zu einer Einheit macht, kann sich die zweite Adresse auf das Briefpapier drucken, muss aber dieselben technischen Abhängigkeiten beherrschen. RIPE-NCC-Technikchef Sjoerd Wolthers zeigte bei RIPE 93 in seinen Originalfolien, wie die derzeitigen, räumlich nahen Zentren gekoppelt sind. Der neue Entwurf soll diese Kopplung auflösen.

Die Gründe stehen in der Betriebsbilanz: Hardware muss ersetzt werden, einige Verbindungsgeschwindigkeiten stoßen an Grenzen, Speicher und Backups erfüllen nicht mehr alle Anforderungen an Leistung und Redundanz. Bei der Virtualisierung besteht Herstellerbindung. Hinzu kommen steigende Cloudkosten und eine veränderte geopolitische, regulatorische und sicherheitspolitische Lage. RIPE NCC will die Abhängigkeit von großen externen Anbietern verringern und zentrale Dienste stärker auf eigener Infrastruktur betreiben.

Der Entwurf spricht nicht nur von „mehr Widerstandsfähigkeit“. Er legt zwei vollwertige Rechenzentren in Westeuropa fest. Jedes soll N+1-Redundanz und eine aktiv-aktive Doppelstruktur im Haus erhalten. Zwischen den Häusern ist aktiv-standby geplant, um Laufzeiten über die größere Entfernung zu berücksichtigen. Gemietete schnelle Leitungen werden Ende-zu-Ende verschlüsselt. Separate Netze, Segmentierung der Anwendungsebenen und ein globaler Lastverteiler sollen einen Standortwechsel ermöglichen; IPv6 ist für sämtliche Kerndienste vorgesehen.

Auch die Plattform wird konkret: Proxmox für die Virtualisierung, voneinander unabhängige CEPH-Cluster je Rechenzentrum und ein S3-kompatibler Objektspeicher. Verschlüsselte, unveränderliche Sicherungen sollen zudem an einem dritten Ort liegen. Damit ist die Behauptung prüfbar. Ein ausgefallenes Zentrum darf nicht erst vom anderen repariert werden müssen, bevor das Register wieder arbeitet.

Noch fehlen Standortnamen, Beschaffungsentscheidungen, die Reihenfolge der Dienstumzüge und gemessene Wiederanlaufzeiten. Die offizielle Sitzung zeigt den Weg über Detailplanung, Einkauf, Installation und Migration; Wolthers rechnet mit dem Abschluss in der zweiten Hälfte 2028. Für die neue Architektur liegt kein veröffentlichtes Ergebnis eines Ausfalltests vor.

Über die Kosten haben die Mitglieder bereits debattiert. Jetzt kennen sie die technische Wette hinter der Summe: weniger Bequemlichkeit eines gemeinsamen Netzes, mehr Verantwortung für zwei eigenständige Betriebsumgebungen. Ob sich das auszahlt, entscheidet ein nüchterner Test mit einem abgeschalteten Standort und weiterlaufenden Registerdiensten.

Quellen: offizielle RIPE-93-Sitzung und Wolthers’ Originalfolien.