RIPE NCC는 두 데이터센터를 떼어 놓는다. 예비 센터가 주인이 되는 순간이 관건이다

요약

• RIPE NCC 최고기술책임자 Sjoerd Wolthers는 RIPE 93에서 가까운 두 데이터센터를 가로지르는 기존 2계층 네트워크를 서유럽의 완전하고 독립된 두 센터로 바꾸는 계획을 공개했다. 센터 내부는 동시 운영, 센터 간에는 주·예비 방식이다.
• 새 설계에는 센터별 분리된 네트워크, Proxmox 가상화, 독립 Ceph 클러스터, 암호화된 센터 간 회선과 제3의 백업 장소가 들어간다. 세부 설계와 조달이 진행 중이며 완료 목표는 2028년 하반기다.

건물이 두 채라는 말은 쉽다. 어느 건물의 고장이 다른 쪽까지 따라가는지 설명하는 일은 어렵다. RIPE NCC가 RIPE 93에서 공개한 자료는 바로 그 차이를 보여 준다. 현재 구조를 그린 5쪽에는 서로 가까운 두 데이터센터를 하나의 확장된 2계층망이 묶고 있다. 발표자는 이 그림을 단순화한 도식이라고 표시했다. 미래 구조를 그린 15쪽에서는 각 센터가 자체 네트워크와 컴퓨팅, 저장장치를 갖는다. 건물 수보다 중요한 것은 두 건물이 함께 의존하던 부분을 어디까지 끊어 내느냐다.

교체 이유도 막연한 유행이 아니다. RIPE NCC는 수명이 다해 가는 하드웨어, 한계에 가까워지는 일부 회선 속도, 성능과 중복성 면에서 제약이 있는 저장·백업 체계, 특정 가상화 공급업체에 대한 종속을 꼽았다. 오래 쌓인 시스템 간 의존성도 있다. 공개 슬라이드는 지금 구조가 실제 사고를 냈다고 말하지 않는다. 다음 구조에서 시설별 장애 경계를 더 또렷하게 만들겠다는 판단을 담았다.

제안된 배치는 구체적이다. 서유럽에 완전한 데이터센터 두 곳을 두고, 나중에 다른 곳으로 복제할 수 있는 표준 설계를 적용한다. 각 센터에는 N+1 예비 용량과 내부의 동시 가동 체계를 둔다. 그러나 센터 간에는 주·예비 운영을 택한다. 거리에 따른 지연을 관리하려는 선택이라고 발표 자료에 적혀 있다. 두 곳은 임대한 고속 회선을 종단 간 암호화해 연결하고, 전역 서비스 부하 분산 장치가 지역 간 전환을 맡는다. 가까운 두 방을 한 방처럼 다루던 방식과는 다른 운영 문법이다.

대기 중인 센터에 전원이 들어와 있다는 사실만으로 등록 서비스가 넘어가지는 않는다. 어느 복제본이 최신인지, 누가 대기 측에 응답 권한을 부여하는지, 원래 센터가 돌아왔을 때 어떤 순서로 되돌릴지 결정해야 한다. 접속 지점을 먼저 옮기고 데이터 상태를 나중에 확인하면 오래된 기록이 나갈 수 있다. 이는 상태를 보존하는 모든 서비스의 설계 문제이며, RIPE NCC에서 이미 일어난 사고를 뜻하지 않는다. 번호자원 등록기관에서는 권위 있는 기록과 그 공개 경로가 서비스의 핵심이다. 서버가 켜져 있어도 기록의 권위가 흔들리면 연속성은 입증되지 않는다.

새 장비와 소프트웨어 목록은 그 책임의 위치를 드러낸다. 센터마다 별도 네트워크, 단순화된 핵심 스위치 구조, 중복 라우터·스위치·방화벽·애플리케이션 전달 장치가 계획돼 있다. 애플리케이션 계층은 분리하고 네트워크 설정은 코드로 관리하며 주요 서비스에 IPv6를 적용한다. 기본 차단 방화벽과 현장 웹 애플리케이션 방화벽도 포함된다. 가상화에는 Proxmox, 저장에는 Ceph를 쓰겠다고 명시했다. Ceph 클러스터는 각 센터에 독립적으로 놓이며 가상머신용 통합 자원과 SAN 역할을 모두 맡는다. 이 목록은 목표 설계이지 모든 서비스의 설치 완료 보고서는 아니다.

백업 장소는 두 센터와 다른 임무를 맡는다. 슬라이드는 암호화되고 변경할 수 없는 복사본을 포함한 3-2-1-1-0 전략을 제시한다. Ceph 볼륨은 복구 시점 목표에 맞춰 두 센터 사이에서 복제하고, 제3의 장소에도 백업한다. Proxmox Backup Server, 짧은 복구 시점이 필요한 가상 서버, 물리 서버와 Ceph 볼륨을 위한 추가 절차가 나뉜다. 예비 센터는 첫 센터가 멈출 때 서비스를 이어받는다. 백업은 잘못된 데이터가 두 센터로 함께 퍼진 뒤에도 되돌아갈 지점을 남긴다. 두 역할은 비슷한 그림 속에 있지만 같은 장치가 아니다.

일정은 아직 넘어야 할 단계를 분명히 한다. RIPE NCC는 기존 환경 평가와 요구사항 정의를 마쳤다고 한다. 지금은 세부 설계를 다듬고 장소와 장비를 선택·협상하는 중이다. 설치가 끝나야 애플리케이션 팀이 서비스를 옮길 수 있다. 목표는 2028년 하반기다. 공개 자료에는 서비스별 주계 승격 규칙, 숫자로 된 복구 시점·시간 목표나 훈련 결과가 없다. 첫 핵심 서비스가 실제로 옮겨 가고 되돌아온 기록이 공개되면, 그림보다 훨씬 많은 것을 판단할 수 있다.

RIPE NCC는 6월 설명에서 2019년 시작된 클라우드 우선 경로와 외부 대형 사업자 의존을 다시 살피는 이유를 밝혔다. 이번 발표는 그 생각을 배선과 운영 방식으로 구체화했다. 서로 가까운 두 시설을 하나처럼 묶는 편의에서 벗어나는 대신, 서비스마다 어느 복제본이 기관을 대표하는지 증명해야 한다. 독립성의 대가는 그 인계 순간에 치른다.

자료: RIPE 93 공식 발표 자료, 공식 발표 페이지, RIPE NCC의 6월 설명.