摘要

  • RIPE NCC 首席技术官 Sjoerd Wolthers 在 RIPE 93 展示方案：把当前连接两处邻近机房的延伸二层网络，改为西欧两座各自完整、独立的数据中心。每座机房内部双活，两座机房之间采用主备运行。
  • 方案列出分离网络、Proxmox 虚拟化、两地独立 Ceph 集群、加密跨站链路和第三地点备份。详细设计、选址及采购仍在进行，目标于 2028 年下半年完成。

一座机房着火时，另一座机房还有没有自己的大脑？这比“我们有两座机房”更值得问。RIPE NCC 首席技术官 Sjoerd Wolthers 在 RIPE 93 的第 5 页幻灯片上画出旧系统：两处距离不远的数据中心连在同一张网络里，二层网络跨楼延伸，虚拟化与存储也形成跨站点布局。图上注明“简化示意”。第 15 页换了一张图：两座机房分别拥有网络、计算和存储，中间是连接线路，旁边另设备份地点。改变的关键不是楼的数量，而是故障还能沿着哪些共同依赖传过去。

旧设计有它当年的便利。距离近、网络连通，应用和虚拟机能在更像一个本地环境的结构中运行。如今 RIPE NCC 在报告中列出的压力已变：设备进入更新周期，部分线路速度接近上限，存储和备份在性能、冗余与功能上受限，虚拟化平台还带来供应商锁定。官方材料没有把某次事故归咎于这张网络。它给出的是下一轮工程选择：把两个机房从共享环境改造成可以各自承担服务的环境。

新设计已经具体到运行方式。西欧将有 两座完整数据中心，采用标准化模板，便于将来扩展到更多地点。每座内部按 N+1 冗余建设，内部两套系统同时运行；跨机房则是 主备，RIPE NCC 明说这是为了处理距离带来的延迟。两地之间使用租用的高速线路并做端到端加密，全球服务负载均衡器负责区域间故障转移。这不是“两个地方同时写入一切”的口号，架构本身把站内和站间的规则分开了。

主备的难点藏在“主”字里。备用机房可以通电，可以有服务器，也可以有数据副本；只有服务知道何时该让哪一份数据对外发言。若入口先切过去而数据还没追上，读者可能看到旧状态；若切回顺序含糊，操作记录也可能难以对账。这里说的是有状态服务必须面对的工程问题，并非指控 RIPE NCC 已发生此类错误。对注册局而言，服务的核心是权威记录及其发布路径。机器存活，只是条件之一；记录的权威版本在交接时没有丢掉，才是结果。

新图纸列出了工具，也列出了边界。每座机房有分离网络、简化的核心交换层，以及冗余路由器、交换机、防火墙和应用交付设备。网络配置准备采用基础设施即代码；应用层间隔离、IPv6 全面支持、默认拒绝的防火墙及本地 Web 应用防火墙都写进方案。虚拟化选用 Proxmox，计算和存储采用 Ceph；两地 Ceph 集群各自独立，既承担虚拟机的超融合存储，也承担存储网络功能。公开的是拟议架构，具体应用迁移还未完成。

备份则有第三个地址。RIPE NCC 打算使用加密、不可变的“3-2-1-1-0”策略；Ceph 卷按恢复点目标在两座机房之间复制，同时备份到第三地点。Proxmox 备份服务器、恢复点要求较短的虚拟机、物理服务器和 Ceph 卷分别有安排。一座热备机房解决第一座不可用的问题；第三地备份解决坏数据也被同步过去的问题。把两者混成“冗余”两个字，正会抹掉新图纸最有价值的区别。

时间表同样清楚。现有系统评估和需求定义已经完成；详细设计正在深化，机房与设备进入选择、谈判和采购；接着才是安装网络、逐个迁移应用。目标终点是 2028 年下半年。幻灯片还没有给出每项服务的主备提升规则、数值化恢复点或恢复时间，也没有展示演练成绩。第一份按服务记录的切换与回切结果，会比另一次设备展示更能回答投资是否买到了独立性。

RIPE NCC 今年六月的说明回顾了 2019 年开始的云优先路线，以及后来对外部提供商依赖和自身技术债的重新评估。十月的幻灯片把抽象的“自主”变成了拓扑：不再让两个近邻机房假装是一间大机房。真正的交卷时刻在切换按钮按下之后。那时，对外说话的究竟是哪一份注册局记录？

资料来源：RIPE 93 官方演示文稿；RIPE 93 演讲页面；RIPE NCC 六月基础设施说明。