Кратко

  • На RIPE 93 технический директор RIPE NCC Sjoerd Wolthers показал план отказа от единой сети второго уровня, растянутой между двумя близкими дата-центрами. Вместо неё предполагаются два полноценных автономных центра в Западной Европе: активная работа двух комплектов внутри каждого и схема «основной — резервный» между центрами.
  • В проекте названы раздельные сети, Proxmox, независимые кластеры Ceph, шифрованные линии между площадками и резервные копии в третьем месте. Детальное проектирование и закупки продолжаются, завершение намечено на вторую половину 2028 года.

Два здания могут пережить один пожар, но всё ещё зависеть от одной логической схемы. Слайды RIPE NCC с конференции RIPE 93 показывают именно такую проблему границ. Нынешняя схема объединяет две близкие площадки одной растянутой сетью Layer 2. Рисунок помечен как упрощённый. На будущем рисунке у каждого центра собственная сеть, вычислительные ресурсы и хранилище, а связь между ними уже не превращает их в одно помещение. Количество зданий остаётся прежним; меняется количество общих зависимостей.

У обновления есть вполне земные причины. Оборудование нужно менять по возрасту, часть каналов приближается к пределу скорости, хранилище и резервное копирование ограничены по производительности, возможностям и отказоустойчивости. Платформа виртуализации привязывает организацию к одному поставщику. За годы работы накопились связи между компонентами. Презентация не связывает с действующей схемой конкретную аварию. Она объясняет, почему следующая архитектура должна яснее отделять отказ одной площадки от состояния другой.

План теперь достаточно подробен, чтобы обсуждать его как инженерный выбор. RIPE NCC хочет построить два полноценных центра в Западной Европе по стандартному шаблону, пригодному для будущих площадок. Внутри каждого — резервирование N+1 и две одновременно работающие части. Между центрами — активная и резервная площадки: организаторы объясняют это задержкой, возникающей на расстоянии. Их соединят арендованные скоростные линии со сквозным шифрованием. Глобальный балансировщик должен помогать переключать услуги между регионами.

Резервный центр не становится главным от одного изменения маршрута. Для сервиса с состоянием важно, какие записи уже пришли на вторую площадку, кто разрешает ей отвечать пользователям и как возвращать управление обратно. Если точка входа переместится раньше данных, ответ может оказаться устаревшим. Если порядок обратного перехода не определён, журнал изменений будет трудно свести. Это задачи проектирования распределённых систем: порядок смены ведущей площадки, согласование данных и проверяемый путь возврата. Для реестра адресных ресурсов они особенно дороги: его общественная функция заключена в авторитетных записях и путях их публикации.

В намеченной сети каждому центру отводятся отдельные сегменты, упрощённое ядро, резервные маршрутизаторы, коммутаторы, межсетевые экраны и средства доставки приложений. Предусмотрены сегментация прикладных уровней, настройка сети как кода, поддержка IPv6 для основных сервисов, запрет по умолчанию на межсетевом экране и локальный межсетевой экран уровня веб-приложений (WAF). Для виртуализации назван Proxmox, для хранения — Ceph. Кластеры Ceph должны быть независимыми на каждой площадке и обслуживать как объединённые вычисления с дисками, так и сетевое хранилище. Пока это проектная конфигурация, а не отчёт о переводе всех приложений.

Третья площадка нужна по другой причине. Слайд о резервном копировании описывает зашифрованные неизменяемые копии по схеме 3-2-1-1-0. Тома Ceph предполагается реплицировать между центрами в зависимости от требований к точке восстановления и дополнительно сохранять в третьем месте. Отдельно показаны Proxmox Backup Server, виртуальные машины с коротким допустимым интервалом потери данных, физические серверы и тома Ceph. Резервный дата-центр помогает при потере первого. Копия позволяет вернуться к прежнему состоянию, если испорченные данные успели реплицироваться. Одно не заменяет другое.

График разбит на последовательные этапы. RIPE NCC сообщает, что обследование старой системы и формулировка требований уже завершены. Сейчас уточняется проект, выбираются центры и закупается оборудование. Затем установят новую сеть, после чего команды приложений начнут переносить сервисы. Плановый финиш — вторая половина 2028 года. Публичные слайды не указывают правил перевода резервной площадки в основной режим для каждого сервиса, численных целей восстановления и результатов испытаний. Первый опубликованный протокол переключения важного сервиса с состоянием данных и последовательностью возврата станет более сильным доказательством, чем новый план помещений.

В июньском объяснении RIPE NCC руководство проследило путь от начатой в 2019 году установки «сначала облако» к переоценке зависимости от внешних поставщиков. Октябрьские слайды переводят эту идею в сеть, хранилище и правила эксплуатации. Два близких зала перестают изображать один большой зал. Теперь каждой службе предстоит доказать, что она умеет пересечь промежуток между ними, не потеряв права говорить от имени реестра.

Источники: официальные слайды RIPE 93; страница выступления; июньское объяснение RIPE NCC.