Кратко

  • Перенос площадки уменьшил риск наводнения, но выявил задержку хранилища и долгий путь восстановления.
  • RIPE NCC проектирует два полноценных ЦОДа с отдельными сетями; 99,99% — пока цель, а не измеренный результат.

Две площадки ещё не означают два независимых способа вернуть сервис в строй. По словам Sjoerd Wolthers, нынешняя схема RIPE NCC хранит оба основных контура данных в одном центре, а резервную копию — в другом. Если основная площадка выйдет из строя, восстановление придётся вести с удалённой копии без исходного оборудования. На это уйдёт значительное время; Wolthers назвал такой риск неприемлемым.

Прежняя архитектура была рассчитана на близкие площадки. В каждом центре находился примерно один комплект оборудования для каждой функции, а общая сеть связывала их так, словно это одна система. Переключение происходило быстро. Перенос одного ЦОДа из Амстердама в Nieuwveen, примерно на 40 км, снизил опасность затопления. Но хранилище плохо переносило выросшую задержку: производительность ухудшилась, а сервисы стали недоступны.

Переезд решил одну географическую задачу и выявил технический предел прежней схемы. Ещё два инцидента, о которых рассказал Wolthers, показали, что проблема в одном центре может затронуть и второй. Причины этих случаев в выступлении не названы. Поэтому главный вопрос — не количество адресов, а путь восстановления конкретной услуги, когда основная площадка исчезает.

Отдельная зависимость связана с виртуализацией. Оборудование и VMware-платформу заранее установил и обслуживал поставщик. Продление среды стало намного дороже, а в той же конфигурации альтернативы не было. Программа предусматривает смену платформы и снижение зависимости от одного поставщика. Низкие расходы на обслуживание легко превращаются в дорогой выход, когда система не оставляет другого пути.

Новая схема должна включать два полноценных ЦОДа с двойным комплектом оборудования в каждом и отдельной сетью на площадку. Внутри ЦОДов системы будут работать активно, между площадками — по схеме «активный–резервный». Отдельная площадка-свидетель будет хранить копии и выбирать, какой центр ведёт работу при сбое; третьим полноценным ЦОДом она не станет. Для систем с короткой целью восстановления запланировано быстрое хранилище на той же площадке, для остальных — синхронизация между центрами.

Wolthers указал 99,99% как уровень доступности, который должна поддержать новая схема. На встрече не приводились измерения, подтверждающие этот показатель. План предусматривает завершить перенос сервисов и вывести нынешние центры из эксплуатации к концу 2028 года. Часть оборудования достигнет конца срока службы или поддержки в конце 2027-го и в 2028 году.

Облачный след RIPE NCC, по словам Wolthers, ограничен: он нужен главным образом для измерений Интернета и публичных данных. Идентификация и управление выходом чувствительнее; для них нужен резервный путь. В вопросе о юрисдикции генеральный директор Hans Petter Holen напомнил, что организация обслуживает 72 государства и зависит от правительств, производителей оборудования и сетевых поставщиков, которыми не может распоряжаться единолично.

Оценку изменят конкретные данные: финальный адрес второй площадки и её юрисдикция, выбранные поставщики и субподрядчики, а также измеренные нормативы восстановления каждой услуги.

Источники