Le matériel serveur : redondance, RAID et gestion hors bande

Un serveur est un ordinateur conçu pour rendre des services à d'autres machines, jour et nuit, sans interruption : partage de fichiers, annuaire, messagerie, base de données, machines virtuelles. Ses composants ressemblent à ceux d'un PC, mais tout y est pensé pour la fiabilité : pièces doublées et remplaçables à chaud, disques en RAID, mémoire qui corrige ses erreurs, et une carte de gestion hors bande qui permet de l'administrer même quand le système est planté. Ce chapitre explique ces différences, comment éliminer les points uniques de défaillance et comment administrer un serveur à distance en toute sécurité.

Ce qui distingue un serveur d'un PC

La mémoire ECC (Error-Correcting Code) ajoute des bits de contrôle à chaque mot mémoire. Elle corrige toute erreur d'un bit et détecte les erreurs de deux bits. Sur un PC, une erreur de bit passe inaperçue ou provoque un plantage rare ; sur un serveur qui garde des centaines de Go en mémoire pendant des mois, elle finirait par corrompre des données. Le contrôleur de gestion journalise chaque erreur corrigée : une barrette qui en accumule doit être changée avant qu'elle ne lâche.

Tour, rack ou lame

• Le serveur tour ressemble à un gros PC. Il convient à une petite structure sans salle informatique : un seul serveur, posé dans un local fermé.
• Le serveur rack se visse dans une baie de 19 pouces (482,6 mm de large). Sa hauteur se mesure en unités : 1U = 1,75 pouce = 44,45 mm. Un serveur 1U est très plat ; un serveur 2U accueille plus de disques et de cartes. Une baie standard fait 42U.
• Le serveur lame (blade) est une carte serveur qui s'enfiche dans un châssis commun, qui fournit l'alimentation, la ventilation et le réseau. On le rencontre dans les grands centres de données.

Une baie accueille aussi les commutateurs, le pare-feu, le NAS, le panneau de brassage, les PDU (barrettes d'alimentation, parfois pilotables à distance) et l'onduleur. La salle qui l'héberge demande une climatisation (les recommandations courantes visent 18 à 27 °C à l'entrée des serveurs), un accès fermé à clé et tracé, une détection d'incendie et, si possible, une arrivée électrique dédiée.

Chasser les points uniques de défaillance

Un point unique de défaillance (SPOF, single point of failure) est un élément dont la panne arrête tout le service. La redondance consiste à doubler ces éléments pour qu'une panne n'ait aucun effet visible. On dit qu'un système est en N+1 quand il possède un élément de plus que nécessaire (trois ventilateurs quand deux suffisent), et en 2N quand tout est doublé (deux alimentations capables chacune de tenir toute la charge).

Le RAID

Le RAID (Redundant Array of Independent Disks) regroupe plusieurs disques en un seul volume, pour tolérer la panne d'un disque, pour aller plus vite, ou les deux. Le système ne voit qu'un disque logique ; c'est le contrôleur RAID, ou le système lui-même, qui répartit les données.

La parité est un calcul (un OU exclusif entre les blocs d'une bande) qui permet de reconstruire n'importe quel bloc manquant à partir des autres. Elle coûte à l'écriture : en RAID 5, chaque petite écriture demande de relire et de réécrire la parité, soit quatre opérations au lieu d'une. Le RAID 10 écrit seulement deux fois : il est plus rapide en écriture, au prix de la moitié de la capacité.

La reconstruction. Quand un disque lâche, le volume passe en état dégradé : il fonctionne, mais sans protection en RAID 5. On remplace le disque (à chaud sur un serveur) et le contrôleur reconstruit son contenu à partir des autres. Avec des disques de 16 To, une reconstruction dure plus d'une journée, pendant laquelle tous les disques travaillent à fond : si un deuxième disque lâche, un RAID 5 est perdu. C'est pour cela qu'on préfère le RAID 6 avec de gros disques. Un disque de secours (hot spare) installé à l'avance démarre la reconstruction tout seul, sans attendre qu'un technicien passe.

RAID matériel ou logiciel. Un contrôleur RAID matériel (Dell PERC, HPE Smart Array) gère le RAID avec son propre processeur et un cache protégé par batterie ou par mémoire flash ; le système ne voit qu'un disque. Le RAID logiciel est géré par le système : mdadm sous Linux, les espaces de stockage sous Windows, ou ZFS, qui intègre le RAID au système de fichiers. Il est gratuit et portable d'une machine à l'autre ; il consomme un peu de processeur.

La gestion hors bande

La gestion hors bande (out-of-band management) consiste à administrer un serveur par un canal indépendant de son système d'exploitation et de son réseau de production. Elle repose sur le BMC (Baseboard Management Controller), un petit ordinateur intégré à la carte mère, avec sa propre carte réseau et sa propre adresse IP. Il est alimenté dès que le serveur est branché, même éteint, même si le système est planté.

Depuis son interface web, un administrateur peut :

• allumer, éteindre ou redémarrer le serveur, même s'il ne répond plus ;
• ouvrir une console distante (KVM sur IP) : il voit l'écran du serveur, y compris le POST et les réglages UEFI, et tape au clavier comme s'il était devant ;
• monter une image ISO à distance (le média virtuel) pour installer ou réparer un système ;
• lire les capteurs (températures, ventilateurs, alimentations, consommation) et le journal matériel (le SEL, System Event Log) ;
• recevoir des alertes par courriel, SNMP ou Redfish quand un disque ou une alimentation tombe en panne ;
• mettre à jour le micrologiciel du serveur, du contrôleur RAID et des cartes réseau.

Deux protocoles permettent de piloter le BMC sans son interface web :

• IPMI (Intelligent Platform Management Interface), créé en 1998, sur le port UDP 623. L'outil ipmitool l'utilise. Il a de vraies faiblesses de sécurité (dont la possibilité de récupérer l'empreinte d'un mot de passe sans être authentifié) : désactive l'IPMI sur le réseau quand tu ne t'en sers pas.
• Redfish, une norme du DMTF publiée en 2015 : une API REST en HTTPS qui échange du JSON. C'est la norme actuelle, prise en charge par tous les grands fabricants, et facile à utiliser dans un script.

# IPMI : état de l'alimentation du serveur, depuis le poste d'administration
ipmitool -I lanplus -H 10.10.30.11 -U admin-sarah -a chassis power status

# Redfish : la même information en HTTPS (le certificat du BMC doit être reconnu)
curl --cacert ca-ravelle.pem -u admin-sarah https://10.10.30.11/redfish/v1/Systems/System.Embedded.1

L'option -a demande le mot de passe au clavier au lieu de l'écrire dans la commande, où il resterait dans l'historique du shell. L'identifiant du système (System.Embedded.1) est celui des serveurs Dell ; GET /redfish/v1/Systems donne la liste sur n'importe quel serveur.

L'onduleur

L'onduleur (UPS, Uninterruptible Power Supply) est une batterie placée entre le secteur et les équipements. Il les alimente pendant une coupure, filtre les surtensions et, surtout, prévient les serveurs pour qu'ils s'éteignent proprement avant que la batterie soit vide.

Un onduleur se dimensionne d'abord en watts (la puissance réelle consommée), avec une marge d'environ 25 %. Les fiches donnent deux valeurs, en VA (puissance apparente) et en W : c'est la valeur en watts qu'on compare à la consommation. Il se dimensionne ensuite en autonomie : le temps qu'il faut pour éteindre proprement les serveurs, souvent 10 à 15 minutes. Il se relie aux serveurs par USB ou par le réseau, avec le logiciel du fabricant ou NUT (Network UPS Tools) sous Linux, qui déclenche l'arrêt quand la batterie descend sous un seuil. Ses batteries s'usent : elles se testent régulièrement et se remplacent tous les trois à cinq ans.

Exercices