Failover

Failover, oder Ausfallsicherung ist ein Backup-Betriebsmodus, bei dem die Funktionen einer Komponente eines Hauptsystems, wie z. B. eines Prozessors, Servers, Netzwerks oder einer Datenbank, von Komponenten eines Notfallsystems übernommen werden, wenn das erste System nicht verfügbar ist, entweder aufgrund eines Ausfalls oder einer geplanten Wartungszeit.

Dies wird eingesetzt, um die Fehlertoleranz von Systemen zu erhöhen und ist oft ein integraler Bestandteil von unternehmenskritischen Systemen die ständig verfügbar sein müssen.

Der Hauptzweck von Failover besteht darin, dass die Vorgänge, die normalerweise auf einem Host laufen, auf einen anderen übertragen werden können falls der Haupthost, der die Dienste bereitstellt, ausfällt. Dieses Verfahren ermöglicht u. a. auch die Wartung und den Austausch von Hardware, ohne dass die spezifischen Dienste für den Endbenutzer beeinträchtigt werden.

Für das Failover wird empfohlen, dass sich die Hosts in verschiedenen Rechenzentren und, wenn möglich, an verschiedenen geografischen Standorten befinden, um die Effizienz zu erhöhen.

Bei diesem Verfahren werden Aufgaben automatisch auf eine Systemkomponente im Standby-Modus verlagert, so dass bei einem Ausfall des Hauptsystems die Übergabe an das Notfallsystem für den Endbenutzer so transparent wie möglich erfolgt.

Die Fähigkeit zur automatischen Wiederherstellung bedeutet, dass die normalen Funktionen trotz unvermeidlicher Unterbrechungen aufgrund von Geräte- oder Dienstproblemen aufrechterhalten werden können.

Strategien

Der Grad der Fehlertoleranz hängt von den verwendeten Techniken ab. Er wird jedoch nie absolut sein da es in der Regel immer irgendeine Art von massivem Ausfall geben wird der zu einem nicht behebbaren Fehler führt.

Für jedes kritische System muss die Fehlertoleranz so gestaltet werden, dass die Anstrengungen zur Abmilderung bestimmter Arten von „Ausfallzeiten“ den Schaden überwiegen, der durch die Nichttoleranz entstehen würde.

In dieser Hinsicht gibt es verschiedene Strategien, die das System so fehlertolerant wie möglich machen. Die wichtigsten und bekanntesten sind:

• Redundanz: Existenz von passiven Modulen die genau die gleiche Leistung erbringen wie andere aktive Module so dass sie diese ersetzen können und verhindern, dass das System aufgrund des Ausfalls eines Elements ausfällt.
• Replizierung: Um zu verhindern, dass ein Ausfall den Verlust gespeicherter Informationen zur Folge hat, werden die Informationen in der Regel auf mehr als einem physischen Medium oder auf einem externen Computer oder Gerät als Backup repliziert. Wenn also ein Fehler auftritt der zu einem Datenverlust führen könnte muss das System in der Lage sein, alle Informationen wiederherzustellen, indem es die erforderlichen Daten von den verfügbaren Sicherungsmedien abruft.

Implementierung

Es gibt zwei Arten von Ausfallsicherung: Failover und Switchover, die in der Praxis im Wesentlichen dasselbe sind, mit dem Unterschied, dass ersteres automatisch und im Allgemeinen ohne Vorwarnung abläuft, während letzteres einen menschlichen Eingriff erfordert.

In Systemen zur Unterstützung von Servern oder Netzwerken, die eine nahezu kontinuierliche Verfügbarkeit und eine hohe Zuverlässigkeit erfordern, wird eine automatische Failover-Funktion eingesetzt.

Bei der Failover-Automatisierung wird in der Regel ein „Heartbeat“-System verwendet, das zwei Server entweder über ein separates Kabel (z. B. seriell RS-232) oder eine Netzwerkverbindung verbindet.

Solange ein regelmäßiger „Herzschlag“ oder „Heartbeat“ zwischen dem Hauptserver und dem zweiten Server besteht, wird der zweite Server seine Systeme nicht online bringen. Es kann auch ein dritter „Ersatzteilserver“ vorhanden sein, auf dem Backup-Komponenten für „Hot Swapping“ laufen, um Ausfallzeiten zu vermeiden.

Der zweite Server übernimmt die Arbeit des ersten, sobald er eine Störung im „Heartbeat“ des ersten Servers feststellt. Einige Systeme bieten sogar die Möglichkeit, Failover-Benachrichtigungen zu senden.

Bei anderen Systemen erfolgt die Ausfallsicherung absichtlich nicht vollautomatisch, sondern erfordert einen menschlichen Eingriff. Diese „automatisierte Konfiguration mit manueller Genehmigung“ wird automatisch ausgeführt, sobald ein Mensch die Ausfallsicherung genehmigt hat.

Der Einsatz von Virtualisierungssoftware ermöglicht es, die Abhängigkeit der Ausfallsicherung von physischer Hardware durch einen Migrationsvorgang zu verringern, indem eine laufende virtuelle Maschine von einem physischen Host zu einem anderen verschoben wird, ohne dass der Betrieb unterbrochen wird.

Failover-Clustering

Ein Failover-Cluster ist eine Sammlung von Servern die zusammenarbeiten, um eine hohe oder kontinuierliche Verfügbarkeit zu gewährleisten.

Wenn einer der Server ausfällt kann ein anderer Cluster-Host dessen Arbeitslast mit minimaler oder garkeiner Ausfallzeit übernehmen. Einige Failover-Cluster verwenden nur physische Server während andere virtuelle Maschinen einsetzen.

Der Hauptzweck eines Failover-Clusters besteht darin, Verfügbarkeit unter zwei Aspekten zu gewährleisten: Kontinuierliche und hohe Verfügbarkeit für Anwendungen und Dienste.

Kontinuierlich verfügbare Cluster ermöglichen es Endbenutzern, Anwendungen und Dienste weiterhin zu nutzen, ohne dass es zu Ausfallzeiten kommt wenn ein Server ausfällt.

Bei hochverfügbaren Clustern kann ein Benutzer eine kurze Unterbrechung des Dienstes erleiden, aber das System stellt sich automatisch wieder her, ohne Datenverlust und mit minimaler Ausfallzeit.

Während kontinuierlich verfügbare Failover-Cluster auf 100% Verfügbarkeit ausgelegt sind, streben hochverfügbare Cluster eine Verfügbarkeit von 99,999 % an (auch bekannt als „Five Nines“).

Als Ausgleich für ihre geringere Verfügbarkeit sind hochverfügbare Cluster aufgrund der geringeren Hardwareanforderungen kostengünstiger beim Implementieren als kontinuierlich verfügbare Cluster.

Protokollierung und Überwachung

Weitere wichtige Möglichkeiten im Zusammenhang mit der Ausfallsicherung sind die Protokollierung und Speicherung der Historie von Änderungen, des Verbindungsstatus sowie die Benachrichtigung eines Administrators über Änderungen. Dies ermöglicht es den Verantwortlichen, die notwendigen Maßnahmen zu ergreifen und Ausfälle aufgrund dieser Informationen abzumildern.

Diese Lösungen sollen auch sicherstellen, dass die ausgefallenen Verbindungen nach dem Auftreten einer Störung und der Implementierung von Notfallkonfigurationen weiterhin überwacht werden und dass die Geräte, wenn sie transparent wiederhergestellt sind, die notwendigen Änderungen vornehmen, um zum ursprünglichen Szenario vor dem Auftreten der Störung zurückzukehren.

Es ist wichtig, die Bedeutung regelmäßiger (geplanter) Tests von Failover-Konfigurationen zu betonen, um sicherzustellen, dass sie wie erwartet funktionieren und bei Änderungen in der Architektur aktuell bleiben.

Ein wirksamer Notfallplan und eine Ausrüstung, die die Konfiguration einer automatischen Redundanz der Verbindungen ermöglicht, sind für die Gewährleistung der Betriebskontinuität unerlässlich und im Falle von Cybersicherheitssystemen sogar noch wichtiger.

Protelion verwendet Hot-Standby in seinen Security-Gateways im privaten Netzwerk für die Systeme, die aufgrund ihrer Wichtigkeit nicht ausfallen dürfen, mit Serverwechselzeiten von weniger als einer Sekunde.