Haute disponibilité

Questions fréquentes

C'est quoi la haute disponibilité en informatique ?

La haute disponibilité est l'ensemble des choix d'architecture qui permettent à un service de rester accessible quand l'un de ses composants tombe en panne. On l'obtient en supprimant les points uniques de défaillance : chaque élément critique (disque, alimentation, lien, serveur, répartiteur) a un remplaçant qui prend le relais automatiquement, en quelques secondes ou quelques minutes. Elle se mesure par un taux de disponibilité, promis dans un engagement de service (chapitre 1).

Quelle est la différence entre haute disponibilité et tolérance de panne ?

La tolérance de panne garantit qu'une panne ne provoque aucune interruption visible : un RAID 1 qui perd un disque, un serveur qui perd une de ses deux alimentations. La haute disponibilité accepte une coupure courte, le temps du basculement (quelques secondes pour une adresse virtuelle VRRP, deux à trois minutes pour une VM redémarrée sur un autre hôte). La tolérance de panne est le cas extrême de la haute disponibilité, plus coûteux.

Comment calculer un taux de disponibilité ?

Disponibilité = (durée de service prévue − durée d'indisponibilité) ÷ durée de service prévue × 100, sur une période et une plage horaire convenues. Un service ouvert 242 heures dans le mois et arrêté 125 minutes est disponible à environ 99,14 %. Pour des composants en série, on multiplie leurs disponibilités ; pour des composants redondants en parallèle, on multiplie leurs indisponibilités et on prend le complément (chapitre 2).

Combien de temps d'arrêt représente 99,9 % de disponibilité ?

Sur un service ouvert 24 heures sur 24, 99,9 % (« trois neuf ») autorisent 8 h 45 min 36 s d'arrêt par an, ou 43 min 12 s par mois de 30 jours. 99,99 % n'autorisent plus que 52 min 34 s par an, et 99,999 % environ 5 minutes : chaque neuf supplémentaire divise l'arrêt toléré par dix. Le même pourcentage mesuré sur les seules heures ouvrées tolère beaucoup moins de temps d'arrêt en valeur absolue.

C'est quoi un SPOF ?

Un SPOF (single point of failure, point unique de défaillance) est un composant dont la panne suffit à arrêter tout un service, faute de remplaçant : l'unique commutateur de cœur, l'unique pare-feu, l'hyperviseur qui porte toutes les VM, la seule personne qui connaît les mots de passe. Pour les trouver, on suit le chemin complet d'une requête et on se demande, pour chaque élément : « s'il tombe, le service tombe-t-il ? ».

Quelle est la différence entre HSRP et VRRP ?

Les deux partagent une adresse IP virtuelle de passerelle entre plusieurs routeurs. HSRP est propriétaire Cisco, avec des annonces toutes les 3 secondes, une bascule après 10 secondes et la préemption désactivée par défaut. VRRP est le standard (RFC 9568), implémenté par tous les constructeurs et par keepalived sous Linux, avec une annonce par seconde, une bascule en 3,6 secondes environ et la préemption activée par défaut (chapitre 5).

C'est quoi la répartition de charge ?

La répartition de charge (load balancing) distribue les requêtes des clients entre plusieurs serveurs qui rendent le même service. Un répartiteur comme HAProxy choisit un serveur pour chaque requête selon un algorithme (tourniquet, moins de connexions) et retire automatiquement ceux qui échouent à ses contrôles de santé. Elle augmente la capacité et la disponibilité, à condition de doubler aussi le répartiteur (chapitre 6).

Quelle est la différence entre un cluster actif/passif et actif/actif ?

En actif/passif, un nœud rend le service et l'autre attend pour le reprendre en cas de panne : c'est simple, mais le passif ne sert à rien tant que tout va bien. En actif/actif, tous les nœuds travaillent en même temps, et les survivants absorbent la charge du nœud perdu, à condition d'avoir été dimensionnés pour. Dans les deux cas, un quorum et un mécanisme d'isolation (fencing) évitent que deux nœuds se croient seuls et corrompent les données (chapitre 7).

Le RAID est-il une sauvegarde ?

Non. Le RAID protège contre la panne d'un ou deux disques, mais une suppression de fichier, un rançongiciel ou une erreur de manipulation sont recopiés instantanément sur tous les disques de la grappe. Il en va de même pour la réplication et les clusters : la haute disponibilité protège contre les pannes, la sauvegarde contre la perte des données. Il faut les deux (chapitre 3).

Quelle solution de haute disponibilité présenter à l'E6 SISR ?

L'environnement de l'E6 SISR doit offrir une solution de continuité de service, une solution de tolérance de panne et une solution de répartition de charge. Une réalisation qui double les répartiteurs avec keepalived devant deux serveurs web, réplique la base de données, répartit les VM sur un cluster et supervise chaque perte de redondance les couvre toutes, à condition d'écrire le contrat de service et de démontrer la bascule en la mesurant (chapitre 12).