Der Ernstfall,
auf die Minute gerechnet

Was repliziert wird

Bezugsgröße ist die geschützte Kapazität — dieselbe Menge, auf die der Satz je Gigabyte gerechnet wird. Aufbewahrte Stände laufen mit, im Rahmen der Frist der jeweiligen Datastore-Klasse — bei den Betriebsklassen längstens 30 Tage.

Blöcke der geschützten Datastores

Gastplatten, Konfigurationsdateien und Vorlagen, soweit sie auf einem geschützten Datastore liegen. Die replizierte Menge ist genau die Menge, auf die abgerechnet wird — es gibt keinen stillen Zuschlag für Verwaltungsdaten.

Snapshots im Rahmen der Aufbewahrung

Die Aufbewahrungsfrist der Datastore-Klasse gilt auch in der Zielregion. Sie ist das Gegenstück zur Replikation: Ein Replikat schützt gegen den Verlust eines Standorts, ein aufbewahrter Stand gegen einen Fehler, der in beide Standorte geschrieben wurde.

Platzierungs- und Netzzuordnung

Welcher Gast in welches Segment gehört, in welcher Reihenfolge er startet und wovon er abhängt, steht im Runbook und wird bei jeder Änderung nachgeführt. Das ist kein Datenstrom, sondern ein gepflegtes Dokument — und der Teil, der in einer Probe am häufigsten auffällt.

Was nicht repliziert wird

Sechs Punkte, an denen ein Wiederanlauf erfahrungsgemäß hängen bleibt. Keiner davon ist eine Lücke im Produkt — jeder ist eine Entscheidung, die auf Ihrer Seite getroffen werden muss, bevor sie im Ernstfall auffällt.

Arbeitsspeicherinhalt

Ein Wiederanlauf ist ein Kaltstart, auch bei synchroner Spiegelung. Gespiegelt werden Schreibvorgänge auf den Speicher, nicht der Zustand laufender Prozesse. Was eine Anwendung nur im Arbeitsspeicher hielt, ist nach der Übernahme fort.

Lokale Laufwerke außerhalb geschützter Datastores

Was auf einer lokalen NVMe eines Hosts liegt und keinem geschützten Datastore angehört, wird nicht repliziert. Das betrifft insbesondere Umgebungen, die bewusst ohne geteilten Datastore gebaut wurden.

Die Verwaltungsebene selbst

vCenter beziehungsweise die Verbundkonsole werden in der Zielregion neu gestellt, nicht gespiegelt. Eine gespiegelte Verwaltungsebene würde im Ernstfall zwei Instanzen mit demselben Anspruch auf dieselben Gäste erzeugen — der teuerste denkbare Zustand.

Öffentliche Adressen

Ein Wiederanlauf in einer anderen Region läuft unter den Adressen dieser Region. Die Umschaltung geschieht über den Namensdienst, es sei denn, Sie bringen eigene Adressbereiche mit und kündigen sie am Zielstandort an.

Alles außerhalb der geschützten Umgebung

Verzeichnisdienst, Namensauflösung, Zeitquelle, Lizenzserver, Zahlungsdienstleister: Was nicht in der geschützten Umgebung liegt, läuft nicht mit an. Jede solche Abhängigkeit braucht eine eigene Antwort, bevor sie in der ersten Probe auffällt.

Der Unterschied zwischen Standortverlust und Datenfehler

Eine Replikation überträgt jeden Schreibvorgang, auch den falschen. Gegen eine irrtümlich gelöschte Tabelle hilft kein Replikat, sondern nur ein aufbewahrter Stand davor. Deshalb ersetzt keine Stufe dieser Seite die Sicherung — jede ergänzt sie.

Ablauf einer Übernahme

Die Übernahme — im Fachjargon Failover, also das Umschalten des Betriebs auf den zweiten Standort — läuft in fünf Schritten, deren Summe die zugesicherte Wiederanlaufzeit ergibt: zwischen 20 min und 8 h, je nach Stufe. Einzelne Schritte tragen bewusst keine Minutenangabe: Zugesichert ist die Summe, nicht ihre Aufteilung.

1. 01

   Auslösen

   Eine Übernahme wird von einer namentlich benannten Person Ihres Hauses ausgelöst, nicht von uns entschieden. Die einzige Ausnahme ist die synchrone Metro-Spiegelung: Dort schaltet der Verbund selbst um, sobald das Quorum — die Mehrheit der Verbundknoten — den ausgefallenen Standort ausschließt — bei null Datenverlust gibt es nichts abzuwägen.

2. 02

   Stand feststellen

   Vor dem Start wird festgehalten, welcher Wiederherstellungspunkt tatsächlich vorliegt. Er ist in aller Regel jünger als das zugesicherte RPO — die Zusage ist eine Obergrenze, kein Zielwert. Diese Feststellung ist der Grund, warum eine Übernahme nicht mit dem ersten Klick beginnt.

3. 03

   Netz stellen

   Segmente, Firewall-Regeln und Namensauflösung werden in der Zielregion aktiv geschaltet. Bis dahin läuft nichts an: Gäste, die vor ihrem Netz starten, melden Fehler, die anschließend niemand mehr von echten unterscheiden kann.

4. 04

   In Reihenfolge starten

   Die Gäste starten in der Reihenfolge des Runbooks — Datenbanken vor Anwendungen, Anwendungen vor Zugängen von außen. Die Reihenfolge steht schriftlich, weil sie im Ernstfall nicht hergeleitet, sondern abgearbeitet wird.

5. 05

   Fachlich freigeben

   Die Umgebung gilt als übernommen, wenn Ihre fachlichen Prüfpunkte bestanden sind — nicht, wenn alle Maschinen laufen. Erst mit dieser Freigabe endet die Wiederanlaufzeit, die auf dieser Seite zugesichert ist.

Ablauf einer Rückübernahme

Die Rückübernahme — Failback, die Rückkehr an den ursprünglichen Standort — ist kein Rückgängigmachen. Sie ist eine zweite Umschaltung, mit demselben Aufwand und derselben Sorgfalt wie die erste. Sie läuft in einem Wartungsfenster, also in einem vorher vereinbarten Zeitraum, nicht im laufenden Betrieb. Nur bei Metro-Spiegelung entfällt sie als eigener Vorgang: automatisch, sobald der ausgefallene Standort wieder im Quorum ist.

1. 01

   Die Zielregion bleibt führend

   Nach einer Übernahme läuft die Umgebung dort weiter, bis der Ursprungsstandort wieder vollständig trägt. Eine schnelle Rückkehr auf einen gerade erst wiederhergestellten Standort ist der zweite Ausfall, nicht das Ende des ersten.

2. 02

   Replikation in Gegenrichtung

   Die Änderungen, die seit der Übernahme entstanden sind, laufen zurück zum Ursprung. Wie das geschieht, hängt an der Stufe: Von der vollständigen Rücksicherung bis zur Umschaltung ohne Vollabgleich ist alles vertreten — das Verfahren je Stufe steht in der Tabelle unten.

3. 03

   Umschalten im Fenster

   Die eigentliche Rückkehr geschieht in einem abgestimmten Wartungsfenster, nicht im laufenden Betrieb. Sie ist kurz, weil der Datenabgleich zu diesem Zeitpunkt bereits gelaufen ist; was bleibt, ist ein letztes Delta und die Umkehr der Richtung.

4. 04

   Schutz gilt erst danach wieder

   Zwischen Übernahme und abgeschlossener Rückkehr läuft die Umgebung an einem einzigen Standort. In dieser Zeit gibt es keine zweite Kopie und damit keine der Zusagen dieser Seite. Das ist die wichtigste Nebenwirkung einer Übernahme — und der Grund, warum eine Rückkehr geplant und nicht abgewartet wird.