摘要

  • 迁址降低了洪水风险，却让存储性能下降、恢复时间过长的问题浮出水面。
  • RIPE NCC计划建设两座设备冗余、网络分离的数据中心；99.99%的可用性仍是待验证的设计目标。

一份异地备份能保住数据，却不自动带回服务。RIPE NCC CTO Sjoerd Wolthers在RIPE 93把这个差别讲得很具体：目前两套主要存储环境都放在一座数据中心，另一座保存备份。若主站点故障，恢复必须依赖另一处的备份，而主设备已经不可用；这会耗费相当长时间。Wolthers称这种风险不可接受。

这并非两个机房距离太近这么简单。旧架构的网络横跨两座数据中心，像一张网络运行；每座机房的各类功能大致只有一套设备，因此系统可以快速切换。它原本是为相距较近的站点设计的。把一座机房从阿姆斯特丹迁到约40公里外的Nieuwveen，缓解了洪水暴露，却把存储延迟推到了架构承受不住的位置。性能下降，服务因此出现不可用。

迁址改变了地理条件，存储拓扑和恢复安排却没有同步变成独立的故障域。眼下的主备格局更显出恢复的不对称：数据有副本，主站点一旦消失，服务仍要等设备与数据恢复。与其问“有没有备份”，新的设计必须回答“每项服务什么时候能回来”。

供应商锁定是另一根绳。现有虚拟化平台由供应商预装并管理，基于VMware。扩展成本大幅上升，同一环境又没有可替代方案。RIPE NCC希望更换平台，减少对单一供应商路径的依赖。此前省下的维护投入，最终变成扩展贵、退出难的账单。

新方案的范围是两座完整数据中心，各自配置双套设备，并让每座中心拥有独立网络。系统在单站点内主动运行，在两个站点之间采用主备模式。另设一处见证位置，保存备份并决定由哪座中心承担主导；它不是第三座完整数据中心。恢复点要求短的服务会使用同站点快速存储，间隔较长的服务则可跨站同步。

Wolthers把99.99%称为新架构应能支持的可用性水平。会上没有给出达到该水平的运行测量值。项目仍在高层设计阶段，目标是在2028年底前迁移服务、退役现有数据中心；部分设备将在2027年末或2028年到达寿命或支持期限。

云服务只是有限的一部分。Wolthers说，主要用途是互联网测量和公开数据；身份与退出管理更敏感，需要优先准备回退方案。问答中，管理总监Hans Petter Holen把控制问题放在现实约束里：RIPE NCC服务72个国家，同时依赖政府关系以及自己无法完全支配的硬件、网络供应商。

最终第二站点及其法域、所选供应商和分包商、每项服务经测量的恢复门槛，才是会改变韧性判断的事实。

来源