Właściwy poziom ochrony zależy od awarii, którą firma musi przetrwać. Kopia zapewnia stan danych możliwy do odtworzenia. Lokalna wysoka dostępność może złagodzić awarię hosta. Druga lokalizacja rozszerza ochronę poza pierwotną domenę awarii, ale wymaga własnej mocy, sieci i przećwiczonego przełączenia. Żadna z opcji nie zastępuje odbioru funkcjonalnego aplikacji.
Tematy testu odtwarzania oraz różnicy między Proxmox HA a kopią opisano już osobno. Tutaj wybieramy połączenie kopii, lokalnych zasobów zastępczych i odległej pracy awaryjnej właściwe dla konkretnej usługi i domeny awarii. Publiczny przegląd platform również nie zastępuje analizy aplikacji.
Najpierw proces biznesowy i dwa cele czasowe
Wyraźnie fikcyjny przykład to ERP z maszyną aplikacyjną, bazą i plikami faktur. W razie utraty całej lokalizacji dział chce wznowić obsługę zamówień w cztery godziny i utracić najwyżej 15 minut spójnych danych biznesowych. Są to cele RTO i RPO, a nie zobowiązanie DAXS ani wynik pomiaru. Pojedynczy host mógłby mieć krótszy cel; omyłkowo skasowana operacja wymaga natomiast starszego, nienaruszonego punktu odtwarzania.
Analiza wpływu musi oddzielnie ocenić awarię hosta, utratę lokalizacji oraz uszkodzone lub skasowane dane. Usługa wraca dopiero wtedy, gdy w trybie awaryjnym działają logowanie, operacja w bazie i powiązany załącznik. Zasilanie, sieć lokalizacji, DNS, tożsamość, klucze i interfejsy zewnętrzne są zależnościami. Brak jednego elementu oznacza, że uruchomiony serwer zastępczy nie daje jeszcze użytecznego działania.
Trzy poziomy ochrony z różnymi ograniczeniami
| Poziom | Co może zapewnić | Co pozostaje otwarte |
|---|---|---|
| A · Kopia i odtworzenie | Oddzielne kopie umożliwiają powrót do zweryfikowanego stanu danych; aplikację odtwarza się po udostępnieniu systemu docelowego. | Zasoby zastępcze, czas odtworzenia i spójność funkcjonalna wyznaczają RTO. Bez gotowego miejsca docelowego po utracie lokalizacji nie można wiarygodnie obiecać czterech godzin. |
| B · Lokalna redundancja i kopia | Kilka hostów z odpowiednim storage, kworum i siecią może po awarii hosta uruchomić VM na innych zasobach. | Wspólne zasilanie, strefa pożarowa lub dostęp do obiektu nadal tworzą domenę awarii. Usunięte lub uszkodzone dane mogą się replikować; oddzielna kopia pozostaje konieczna. |
| C · Druga lokalizacja i kopia | Oddalone, przygotowane zasoby awaryjne z replikowanymi danymi aplikacji mogą pokryć utratę lokalizacji, jeżeli przełączenie i proces biznesowy przećwiczono. | Opóźnienie replikacji, wspólne usługi tożsamości, łącza, klucze i błędny failover mogą uniemożliwić osiągnięcie celu 15 minut/cztery godziny. Tu również potrzebne są oddzielne kopie. |
Lokalne HA może więc odpowiadać na awarię hosta, ale nie zapewnia automatycznie odtwarzania całej lokalizacji. Microsoft wyraźnie rozróżnia redundancję i replikację od kopii: zreplikowany błąd lub usunięcie pozostaje błędem. AWS opisuje backup/restore, pilot light, warm standby i aktywne modele wielolokalizacyjne jako strategie o rosnącym nakładzie. Te wzorce chmurowe dają logikę decyzji, a nie uniwersalne RPO/RTO dla przyjętego tutaj własnego ERP.
Równy zakres: jawny rachunek na trzy i pięć lat
Każdy poziom porównuje tę samą produkcyjną usługę ERP i ten sam podstawowy program oddzielnych kopii. Istniejącej platformy produkcyjnej nie uwzględnia się więc w żadnej opcji. Runbook kopii i baza testów wymagają jednorazowo 24 roboczogodzin; rocznie zakłada się 3 600 € za zewnętrzne kopie/storage, 12 × 4 roboczogodziny eksploatacji i dwa ćwiczenia odtworzenia po 16 roboczogodzin. Dowolnie przyjęty pełny koszt wynosi 80 € za roboczogodzinę: jednorazowo 1 920 €, rocznie 3 600 + (48 + 32) × 80 = 10 000 €. To nie są ceny dostawców.
Poziom B dodaje jednorazowo 60 roboczogodzin na projekt i odbiór hostów/storage/sieci oraz rocznie przykładowe 7 800 € dodatkowej lokalnej mocy wraz z energią i wsparciem, 12 × 4 dodatkowe godziny eksploatacji i dwa ćwiczenia HA po osiem dodatkowych roboczogodzin. C dodaje zamiast tego jednorazowo 96 roboczogodzin na lokalizację, dane i przełączenie, a rocznie 18 000 € na gotowe zasoby awaryjne i sieć, 3 600 € na transmisję, 12 × 8 dodatkowych godzin eksploatacji i dwa ćwiczenia lokalizacyjne po 24 dodatkowe roboczogodziny. Godziny ćwiczeń to sumy całego zespołu; wspólna baza kopii jest liczona raz w każdej opcji.
| Poziom | Jednorazowo | Rocznie | 3 lata | 5 lat |
|---|---|---|---|---|
| A · Kopia/odtworzenie | 24 × 80 = 1 920 € | 10 000 € podstawa | 31 920 € | 51 920 € |
| B · Lokalna redundancja | 1 920 + 60 × 80 = 6 720 € | 10 000 + 7 800 + 3 840 + 1 280 = 22 920 € | 75 480 € | 121 320 € |
| C · Druga lokalizacja | 1 920 + 96 × 80 = 9 600 € | 10 000 + 18 000 + 3 600 + 7 680 + 3 840 = 43 120 € | 138 960 € | 225 200 € |
Wrażliwość: Jeżeli gotowa moc drugiej lokalizacji kosztuje o 500 € miesięcznie więcej, C rośnie o 6 000 € rocznie: do 156 960 € przez trzy lata albo 255 200 € przez pięć. Przed zakupem należy doliczyć części, podatki, rzeczywiste oferty łączy i lokalizacji, prawa licencyjne, eksploatację poza przyjętymi godzinami i koszty faktycznej awarii. Żadna opcja nie obiecuje oszczędności ani gwarantowanego wznowienia.
Decyzja na podstawie testu
Dla założonego celu cztery godziny/15 minut przy utracie lokalizacji A i B nie wystarczą samodzielnie bez innego użytecznego miejsca z danymi, tożsamością i siecią. C to tylko kandydat: zespół musi zmierzyć replikację, spójność bazy i plików, dostęp, decyzję o przełączeniu, wydajność pod obciążeniem i powrót podczas realnego testu. Jeśli dział akceptuje dłuższą pracę awaryjną z ręcznym przyjmowaniem zamówień, może wystarczyć tańsza droga. Trzeba ją wyraźnie zatwierdzić, zapisać i przećwiczyć.
DAXS może opisać usługę i zależności, określić minimalną pracę awaryjną użyteczną biznesowo i porównać trzy opcje na podstawie rzeczywistych ofert oraz wyników restore/failover. Kontakt z DAXS.
Źródła: Microsoft Learn: redundancja, replikacja i kopie · AWS Well-Architected: strategie odtwarzania po awarii · Proxmox VE: funkcje HA i kopii.
