Zusammenfassung

  • Der Umzug verringerte ein Hochwasserrisiko, legte aber Speicherlatenz und einen langsamen Wiederherstellungsweg offen.
  • RIPE NCC plant zwei vollständig ausgestattete Rechenzentren mit getrennten Netzen. 99,99 Prozent Verfügbarkeit bleiben ein Ziel, bis Wiederherstellungstests sie belegen.

Hardware, die 2027 oder 2028 ihr Support-Ende erreicht, setzt RIPE NCCs Infrastrukturprogramm unter Zeitdruck. Doch das größere Risiko wäre, den Zeitplan mit einer Architektur zu erfüllen, deren Ausfallwege weiter zusammenlaufen. Das war die Lehre aus dem Umzug, den Sjoerd Wolthers auf der RIPE 93 beschrieb.

RIPE NCC verlegte einen Standort aus Amsterdam nach Nieuwveen, etwa 40 Kilometer entfernt, um die Hochwasserexposition zu verringern. Die beiden Rechenzentren waren für kurze Distanzen ausgelegt: Ein gemeinsames Netz verband die Standorte, und pro Funktion stand dort jeweils ungefähr eine Ausstattungseinheit. Das ermöglichte schnelles Umschalten. Der Speicher verkraftete die zusätzliche Latenz jedoch schlecht. Die Leistung sank, Dienste wurden zeitweise nicht verfügbar.

Heute liegen beide primären Speicherumgebungen in einem Rechenzentrum; der zweite Standort hält eine Sicherung. Fällt der Primärstandort aus, muss RIPE NCC aus der entfernten Kopie wiederherstellen, während die primäre Hardware fehlt. Wolthers zufolge würde das erheblich dauern. Er nannte das Risiko inakzeptabel. Eine Sicherung, die beim Standortausfall keinen ausreichend schnellen Wiederanlauf ermöglicht, ist für die betroffenen Dienste nur ein Teil der Lösung.

Auch die Virtualisierung soll sich ändern. Der bisherige VMware-basierte Stack war vom Lieferanten vorinstalliert und wurde von ihm verwaltet. Erweiterungen wurden deutlich teurer; innerhalb derselben Umgebung gab es keine Alternative. Das Programm will auf eine andere Plattform wechseln und die Lieferantenbindung verringern. Der Wechsel verlagert die Frage von der Lizenzrechnung auf die Kontrolle über Betrieb, Ersatz und Ausstieg.

Der aktuelle Umfang umfasst zwei vollständige Rechenzentren, jeweils mit doppelter Ausstattung und einem eigenen Netz. Innerhalb eines Standorts soll aktiv gearbeitet werden; zwischen den Standorten ist Aktiv-Standby vorgesehen. Ein separater Witness-Standort soll Sicherungen halten und bestimmen, welches Zentrum bei Problemen führt. Er ist kein drittes vollständiges Rechenzentrum. Dienste mit kurzem Recovery-Point-Ziel sollen schnellen Speicher am selben Standort erhalten; andere können standortübergreifend synchronisieren.

Wolthers sagte, das neue Setup solle 99,99 Prozent Verfügbarkeit unterstützen. Die Präsentation lieferte dafür keinen Messwert. Der Plan sieht vor, Dienste bis Ende 2028 zu migrieren und die bisherigen Zentren stillzulegen. Einige Geräte erreichen Ende 2027 oder 2028 das Ende ihrer Lebensdauer oder ihres Supports.

Die Cloud-Nutzung beschrieb Wolthers als begrenzt: Sie diene vor allem Internetmessungen und öffentlichen Daten. Identitäts- und Exit-Management seien sensibler; dafür müsse ein Rückfallweg entstehen. In der Fragerunde verwies Geschäftsführer Hans Petter Holen auf 72 betreute Staaten sowie auf die Abhängigkeit von Regierungen, Hardware- und Netzwerkanbietern. Diese könne RIPE NCC nicht vollständig steuern.

Der endgültige zweite Standort und seine Rechtsordnung, die gewählten Anbieter und Unterauftragnehmer sowie gemessene Wiederanlaufgrenzen je Dienst sind die offenen Fakten, die diese Bewertung ändern würden.

Quellen