5.10 High Availability
Zwei Appliances, die als eine auftreten, sodass der Ausfall einer von beiden für Benutzer nicht bemerkbar ist. Das besteht aus drei voneinander unabhängigen Schichten, und zu verstehen, dass sie unabhängig sind, ist der größte Teil des Verständnisses von Hochverfügbarkeit:
| Schicht | Leistet | Konfiguriert in |
|---|---|---|
| CARP | Eine gemeinsame virtuelle Adresse, die dem jeweiligen Master gehört. Clients sprechen mit dieser Adresse und erfahren nie, welche Maschine antwortet. | Network → Virtual IPs |
| pfsync | Kopiert die Verbindungszustände der Firewall zwischen den Knoten, sodass bestehende Verbindungen eine Umschaltung überleben statt abzubrechen. | Eine dem Paar gewidmete Schnittstelle |
| Konfigurationsabgleich | Schiebt die Konfiguration vom Master zum Backup, sodass das Backup eine Kopie ist und keine zweite Maschine, die Sie ebenfalls pflegen müssen. | Diese Seite |
Ein Paar mit CARP, aber ohne Zustandsabgleich schaltet um, und jede Verbindung bricht ab. Ein Paar mit beidem, aber ohne Konfigurationsabgleich schaltet auf ein Backup um, dessen Regeln Monate alt sind. Alle drei — oder Sie sind nicht fertig.
Settings — /m/core/hasync
Auf dem Master sagt diese Seite, wo das Backup steht und was ihm geschickt wird: dessen Adresse, die Zugangsdaten und die Liste der abzugleichenden Bereiche.
Die Bereichsliste ist Absicht, nicht „alles“: manche Einstellungen müssen sich zwischen den Knoten unterscheiden — die eigenen Schnittstellenadressen, der Hostname, die CARP-Priorität. Die bleiben knotenlokal und werden nie geschoben. Alles, was Sie ankreuzen, wird bei jeder Änderung kopiert.
Richten Sie den Abgleich nur in eine Richtung ein. Wenn beide Knoten einander beschicken, überschreiben sich zwei Maschinen gegenseitig. Der Master gleicht zum Backup ab; das Backup gleicht zu niemandem ab.
Status — /ha-status
Das Paar auf einer Seite:
- Die Rolle dieses Knotens — Master oder Backup, aus Sicht von CARP.
- Konfigurationsabgleich — wann er zuletzt lief, was er geschickt hat und ob es geklappt hat. Ein Abgleich, der seit Wochen still scheitert, ist genau der Fehlerfall, für den es diese Seite gibt.
- CARP — jede virtuelle Adresse und welcher Knoten sie hält. Ein gesundes Paar zeigt alle Adressen beim selben Knoten; auf beide Knoten verteilte Adressen heißen, die Knoten hören einander nicht.
- Dienste auf dem Backup — was drüben läuft.
Sehen Sie nach jeder Änderung am Paar hier nach, und nach jedem Umschalttest erneut. Und testen Sie: eine Umschaltung, die nie geprobt wurde, ist ein Plan, keine Fähigkeit.