Résumé

  • Le déplacement de 40 km a réduit un risque d’inondation, puis révélé la latence du stockage et une reprise lente.
  • Le nouvel objectif de disponibilité de 99,99 % repose sur deux sites réellement indépendants et des tests de reprise par service.

Une sauvegarde à l’autre bout du réseau ne rend pas le service. C’est le constat le plus net de la présentation de Sjoerd Wolthers à RIPE 93. Le centre de Nieuwveen, à environ 40 km d’Amsterdam, a réduit l’exposition aux inondations. Mais l’architecture de stockage, conçue pour des sites proches, n’a pas absorbé la latence de cette distance : ses performances ont baissé et des services sont devenus indisponibles.

Le problème venait d’un modèle jusque-là efficace. Chaque centre disposait, en gros, d’un seul équipement par fonction, et un réseau commun reliait les deux sites comme un ensemble. Le basculement pouvait être rapide tant que la proximité géographique convenait au stockage. Le déménagement a changé cette condition sans changer le modèle.

La configuration actuelle rend la faiblesse plus visible : les deux environnements de stockage principaux sont réunis dans un centre, avec une sauvegarde dans l’autre. Si le centre primaire tombe, il faut repartir du matériel de secours pendant que l’équipement principal manque. Wolthers a jugé ce délai important et le risque inacceptable. La présence d’une copie ne répond donc pas à la question qui intéresse les utilisateurs : quand le service revient-il ?

Le programme vise aussi à sortir d’une virtualisation installée et gérée par un fournisseur, fondée sur VMware. Le coût d’extension a fortement augmenté, sans solution de remplacement dans le même environnement. RIPE NCC veut changer de plateforme et réduire cette dépendance. Une gestion simplifiée au départ peut se transformer en facture de sortie quand l’architecture ne laisse plus d’autre chemin.

Le plan présenté prévoit deux centres complets, chacun avec un équipement redondant, et des réseaux séparés. Les systèmes seraient actifs dans chaque site et en actif-veille entre les sites. Un emplacement témoin distinct conserverait des sauvegardes et arbitrerait quel centre devient prioritaire ; il ne s’agit pas d’un troisième centre complet. Les applications exigeant un objectif de reprise court auraient un stockage local rapide ; les autres pourraient se synchroniser entre sites.

Wolthers a donné 99,99 % comme niveau que la nouvelle installation devrait pouvoir soutenir. La séance n’a présenté aucun résultat mesuré à ce niveau : il s’agit d’un objectif de conception. Le programme visait la migration des services et la fermeture des centres actuels d’ici fin 2028, alors que du matériel arrive en fin de vie ou de support en 2027 et 2028.

Le cloud n’est pas un grand rapatriement. Wolthers a décrit une empreinte limitée, surtout consacrée aux mesures de l’Internet et aux données publiques. Les services d’identité et de sortie sont plus sensibles et doivent disposer d’un repli. En réponse à une question sur les juridictions et les fournisseurs, le directeur général Hans Petter Holen a rappelé que RIPE NCC dessert 72 États et dépend aussi de relations étatiques, de fabricants et d’opérateurs qu’il ne peut diriger seul.

Les faits qui changeraient l’évaluation restent le lieu et la juridiction du second site, les fournisseurs et sous-traitants retenus, ainsi que les seuils de reprise mesurés pour chaque service.

Sources