EN
А резервный коммутатор конфигурация является одной из наиболее эффективных стратегий, которые команда по эксплуатации сети может применить для предотвращения дорогостоящих простоев. Когда основное коммутирующее устройство неожиданно выходит из строя, резервный коммутатор автоматически берёт на себя его функции, сохраняя активные пути передачи данных и поддерживая критически важные бизнес-сервисы в рабочем состоянии без необходимости ручного вмешательства. Понимание того, как именно работает этот процесс, помогает архитекторам сетей принимать более обоснованные решения при проектировании инфраструктуры.
Каждый центр обработки данных и корпоративная сеть подвержены риску отказа оборудования. Развертывание одного резервного коммутатора может означать разницу между бесперебойным пользовательским опытом и часами деструктивного простоя. В этой статье рассматриваются основные механизмы, лежащие в основе конфигураций резервных коммутаторов, способы их реагирования на отказы оборудования, а также принципы проектирования, обеспечивающие их надёжную работу в критически важных ситуациях.
Основные механизмы внутри резервной конфигурации коммутатора
Протоколы переключения на резерв, обеспечивающие избыточность
Основой любой конфигурации избыточного коммутатора является стек протоколов отказоустойчивого переключения. Такие технологии, как протокол быстрого дерева распределения (RSTP) и протокол избыточности виртуальных маршрутизаторов (VRRP), работают на уровне протоколов для обнаружения отказа избыточного коммутатора в течение миллисекунд и соответствующей переадресации трафика. Каждый избыточный коммутатор в топологии непрерывно обменивается сигналами работоспособности со своими одноранговыми устройствами, поэтому в тот момент, когда одно из устройств перестаёт отвечать, резервный избыточный коммутатор немедленно принимает активную роль. Именно такая быстрая передача управления делает архитектуру избыточных коммутаторов чрезвычайно ценной в производственных средах, где даже десятисекундный простой оказывает измеримое финансовое воздействие.
Помимо вариантов протокола дерева кратчайших путей (Spanning Tree), современные развертывания избыточных коммутаторов зачастую опираются на агрегацию каналов с поддержкой многокорпусных устройств (Multi-Chassis Link Aggregation), что позволяет паре избыточных коммутаторов выступать в качестве одного логического устройства по отношению к подключённым хостам. При отказе одного физического избыточного коммутатора в паре оставшийся работоспособный коммутатор продолжает передачу трафика по всем агрегированным каналам без задержки, связанной с перестройкой топологии сети. Такой подход делает пару избыточных коммутаторов фактически невидимой для приложений верхних уровней и значительно сокращает время восстановления по сравнению с устаревшими решениями на основе одного коммутатора.
Аппаратная избыточность внутри одного избыточного коммутатора
Хорошо спроектированный резервный коммутатор также оснащён внутренними механизмами резервирования, независимыми от протоколов сетевого уровня. Два резервных источника питания внутри шасси резервного коммутатора обеспечивают, что отказ одного блока питания не приведёт к полному отключению устройства. Горячая замена линейных карт в модульном резервном коммутаторе позволяет бригадам на месте заменить вышедшую из строя портовую плату без отключения питания шасси, сохраняя непрерывную пересылку трафика для всех остальных подключённых устройств. Эти внутренние функции дополняют внешнюю пару резервных коммутаторов, обеспечивая многоуровневую защиту на каждом потенциальном участке отказа.
Как резервный коммутатор реагирует при активном аппаратном сбое
Последовательность обнаружения, принятия решения и переключения
При возникновении события аппаратного сбоя конфигурация избыточного коммутатора выполняет точную последовательность обнаружения и переключения. Во-первых, активный избыточный коммутатор прекращает отправку сообщений keepalive своему резервному аналогу. Резервный избыточный коммутатор обнаруживает это молчание в пределах настраиваемого интервала «мёртвого времени», который обычно составляет менее одной секунды в хорошо отлаженных развертываниях. Как только резервный избыточный коммутатор подтверждает отказ, он повышает свой статус до активного и начинает обрабатывать весь входящий и исходящий трафик. Вся последовательность переключения избыточного коммутатора — от обнаружения отказа до полной передачи трафика — может быть завершена менее чем за три секунды в оптимизированных топологиях, что делает её практически незаметной для конечных пользователей.
После переключения ранее активный резервный коммутатор либо автоматически перезагружается, либо переходит в состояние ожидания с приоритетом (preemption hold), в зависимости от политики конфигурации. Настройки приоритета (preemption) на резервном коммутаторе определяют, будет ли исходное основное устройство повторно занимать активную роль после восстановления или текущий активный резервный коммутатор сохранит управление, чтобы избежать второго сбоя. Сетевым архитекторам необходимо тщательно оценить моменты активации приоритета (preemption) резервных коммутаторов, чтобы предотвратить частые переключения (flapping) в условиях нестабильной работы оборудования.
Восстановление пути трафика и синхронизация состояния
Критически важной возможностью современной избыточной коммутационной платформы является переход с сохранением состояния (stateful switchover), при котором резервный избыточный коммутатор в режиме ожидания поддерживает синхронизированную копию таблицы коммутации и состояния сессий активного избыточного коммутатора в реальном времени. При переходе на резервный коммутатор новый активный избыточный коммутатор не нуждается в полном воссоздании своей таблицы MAC-адресов или маршрутизационной информации с нуля. Вместо этого избыточный коммутатор немедленно начинает передавать трафик, используя предварительно синхронизированное состояние, что устраняет кратковременный перерыв в передаче данных, характерный для более ранних решений избыточных коммутаторов без сохранения состояния. Эта возможность синхронизации особенно важна в центрах обработки данных, где выполняются чувствительные к задержкам рабочие нагрузки: даже частичная задержка повторного схождения избыточного коммутатора может привести к истечению времени ожидания приложений.
Принципы проектирования надёжной архитектуры избыточного коммутатора
Планирование топологии и разнообразие каналов связи
Развертывание резервного коммутатора — это лишь первый шаг. Окружающая топология должна быть спроектирована таким образом, чтобы устранить единичные точки отказа, которые могут нейтрализовать преимущества резервного коммутатора. Каждый резервный коммутатор должен подключаться к вышестоящим устройствам посредством физически раздельных восходящих линий связи, проложенных через различные кабельные лотки, короба и коммутационные панели. Если обе восходящие линии связи резервного коммутатора проходят по одному и тому же физическому маршруту, то перерезка одного кабеля полностью отключает функцию резервирования коммутатора. Правильное проектирование топологии резервного коммутатора требует координации с командами эксплуатации объектов для обеспечения истинного разнообразия маршрутов на каждом уровне инфраструктуры.
Сетевые команды также должны учитывать размещение каждого резервного коммутатора относительно распределительных устройств электропитания (PDU) и зон охлаждения. Пара резервных коммутаторов, установленных в одном шкафу и питающихся от одного и того же PDU, теряет значительную часть своей защитной ценности при сбое электропитания. Рекомендуемая практика предписывает устанавливать каждый резервный коммутатор в отдельном шкафу, на отдельной электрической цепи, в зоне пола дата-центра, изолированной от отказов.
Тестирование и проверка переключения на резервный коммутатор
Конфигурация избыточного коммутатора, которая никогда не проверялась в реалистичных условиях отказа, обеспечивает ограниченную гарантию надёжности. Плановые испытания переключения на резервный коммутатор намеренно выводят активный избыточный коммутатор из строя, что позволяет команде измерить фактическое время переключения и выявить скрытые зависимости, которые могут замедлить процесс восстановления резервного коммутатора. Автоматизированные инструменты мониторинга должны непрерывно отслеживать метрики работоспособности избыточного коммутатора и оповещать инженеров до того, как деградация аппаратного обеспечения перерастёт в полный отказ избыточного коммутатора. Регулярная проверка поддерживает конфигурацию избыточного коммутатора в известном рабочем состоянии и укрепляет доверие команды к архитектуре.
Часто задаваемые вопросы
В чём разница между избыточным коммутатором и стандартным коммутатором?
Стандартный коммутатор работает как отдельное устройство без резервного аналога. Конфигурация резервного коммутатора объединяет два или более коммутатора таким образом, что при отказе одного устройства другое автоматически берёт на себя его функции. Подход с резервным коммутатором устраняет единую точку отказа, присущую автономному коммутатору, — что особенно важно в средах, где доступность сети напрямую влияет на бизнес-операции.
Как быстро происходит переключение на резервный коммутатор?
При корректно настроенных протоколах и включённом состоянии сохраняющем переключении (stateful switchover) переключение на резервный коммутатор может завершиться менее чем за три секунды, а при событиях на уровне канала связи — за доли миллисекунд. Точное время восстановления резервного коммутатора зависит от настроек интервала обнаружения отказа (dead interval), таймеров протоколов, а также от того, поддерживает ли резервный коммутатор синхронизированное состояние пересылки вместе с активным устройством.
Подходит ли конфигурация резервного коммутатора для небольших сетей?
Резервная конфигурация коммутаторов чаще всего используется в корпоративных центрах обработки данных и на ядре кампусных сетей, где предъявляются строгие требования к времени безотказной работы. Однако небольшие сети с критически важными приложениями также могут извлечь выгоду из использования пары резервных коммутаторов на распределительном или ядерном уровне. Затраты на приобретение резервного коммутатора обычно оправданы, если финансовые потери от простоя превышают затраты на оборудование и настройку.
