Utrata quorum

Utrata quorum uniemożliwia klastrowi podejmowanie decyzji o dostępności zasobów.

Po co klaster liczy głosy

Klaster składa się z kilku serwerów, które muszą zgodnie ustalić, który z nich odpowiada w danej chwili za usługę. Bez takiego uzgodnienia dwa węzły, które przestały się widzieć w sieci, uznałyby jednocześnie, że drugi padł, i oba zaczęłyby zapisywać dane do tego samego wolumenu. Skutkiem jest nieodwracalne uszkodzenie bazy. Mechanizm głosowania służy właśnie temu, by w sytuacji rozerwania sieci przetrwała najwyżej jedna strona podziału - ta, która ma większość głosów.

Głosy nie muszą pochodzić wyłącznie od serwerów. Rolę dodatkowego, rozstrzygającego głosu może pełnić udział sieciowy albo dysk świadek, dzięki czemu klaster o parzystej liczbie węzłów nie kończy w martwym punkcie przy podziale pół na pół.

Konfiguracja większości a rozmiar klastra

Przy dwóch węzłach świadek jest praktycznie obowiązkowy, bo bez niego awaria jednego serwera zabiera połowę głosów i zatrzymuje całość. Przy trzech węzłach klaster przetrwa utratę jednego, ale nie dwóch. Przy pięciu wytrzyma awarię dwóch. Reguła jest prosta: żeby działać, trzeba mieć więcej niż połowę wszystkich przypisanych głosów. Dlatego dokładanie węzła do klastra trzyelementowego nie zwiększa odporności, dopóki nie zmieni się konfiguracji świadka - klaster czteroelementowy bez świadka znosi tak samo jedną awarię jak trzyelementowy.

Objawy w dzienniku i najczęstsze przyczyny zatrzymania

Charakterystyczny obraz awarii to usługi bazodanowe niedostępne dla użytkowników, choć serwery działają i odpowiadają na ping. W dzienniku systemowym pojawiają się wpisy o zatrzymaniu usługi klastra i o niepowodzeniu uzyskania większości. Prawdziwą przyczyną bywa rzadko awaria serwera - znacznie częściej jest to zerwana komunikacja między węzłami: przestawiony port na przełączniku, przerwana sieć dedykowana do wymiany sygnałów, zmiana konfiguracji zapory po aktualizacji, wygaśnięcie dzierżawy adresu. Osobnym przypadkiem jest niedostępny świadek: zdjęty udział sieciowy albo wyłączony serwer plików, na którym go umieszczono.

Bardzo podstępny wariant to migracja maszyn wirtualnych, po której wszystkie węzły klastra wylądowały na jednym hoście fizycznym. Klaster wygląda wtedy na zdrowy, a awaria pojedynczego serwera fizycznego kładzie całość naraz.

Odporność infrastruktury w małych i średnich firmach

W praktyce małe firmy rzadko budują pełne klastry, ale problem ciągłości pracy mają identyczny. Serwer z bazą systemu handlowego jest pojedynczym punktem awarii i jego zatrzymanie oznacza przestój całej sprzedaży. Wdrażamy i utrzymujemy systemy handlowe oparte o SQL Server, dbamy o kopie zapasowe i o to, żeby dało się z nich rzeczywiście odtworzyć bazę, a nie tylko żeby zadanie kopiowania kończyło się na zielono. Reagujemy o każdej porze doby i przez wszystkie dni tygodnia, bo awaria serwera firmowego rzadko zdarza się w godzinach pracy.