40キロの移転に追いつかなかったストレージ

要約

洪水を避けた40キロの移転が、近接拠点向けストレージの限界を露出させた。性能が落ち、サービスは使えなくなった。
次の計画は二つの完全なデータセンターと独立したネットワーク。99.99%は、サービス別の復旧試験で確かめる目標だ。

40キロの移転は、洪水リスクを遠ざけた。代わりに浮かび上がったのは、ストレージ性能と復旧時間の問題だった。RIPE NCCのCTO、Sjoerd WolthersがRIPE 93で示したのは、地図上の距離だけでは障害を切り離せないという現実だ。

以前は、機能ごとの機器が各センターにおおむね一組ずつあり、一つのネットワークが二拠点をまたいでいた。近い場所の間なら切り替えは速い。ストレージも、その距離を前提に設計されていた。

洪水リスクを下げるため、同組織はアムステルダムの一拠点を海抜の高いニューウェフェーンへ移した。二地点の距離は約40キロ。ところが、ストレージはその遅延に対応できず、性能が落ちてサービスの可用性にも影響した。物理的に離す判断は一つのリスクを減らし、既存の設計が抱えていた別の制約を明るみに出した。

現在のストレージ配置は、その代償を抱えたままだ。二つのストレージ環境は一方のデータセンターにあり、もう一方にはバックアップがある。主拠点が失われれば、主機器がない状態で遠隔バックアップから復旧することになる。Wolthersは相当な時間がかかると説明し、このリスクを受け入れられないと述べた。データの複製と、利用者がサービスを再び使える時刻は別の指標である。

もう一つの焦点は仮想化基盤だ。外部の供給者が導入・管理するVMwareベースの環境では、拡張費用が急上昇し、同じ構成のまま選べる代替策がなかった。更新計画は別の仮想化基盤へ移り、供給者への固定を弱めることを目指す。

計画では、各拠点に二重の機器を備えた完全なデータセンターを二つ設け、ネットワークも拠点ごとに分離する。各拠点の中はアクティブ運用、二拠点間はアクティブ・スタンバイとする。別の場所に置くウィットネスはバックアップを保管し、障害時に主導する拠点を選ぶ役割を担うが、第三の完全なデータセンターではない。短い復旧目標を持つサービスには同じ拠点内の高速ストレージを使い、それ以外は拠点間で同期する案だ。

Wolthersは新構成が支える水準として99.99%を挙げた。会合では、その実測値は示されていない。サービス移行と旧拠点の廃止は2028年末までが目標で、既存機器の一部は2027年末から2028年にかけて保守期限を迎える。クラウド利用は限定的で、インターネット測定や公開データが中心だ。より敏感なID・退出管理の代替経路は優先課題とされた。

最終候補地と法域、選定される供給者・再委託先、サービスごとの実測復旧基準が公表されれば、この設計の独立性評価は変わり得る。