Резервирование каналов связи: Часть 1 — Зачем оно нужно и как устроено

Когда в офисе пропадает интернет или отказывает коммутатор в серверной, останавливается всё, что зависит от сети: почта, CRM, облачная бухгалтерия, IP-телефония, приём заказов на сайте. Резервирование каналов связи — это набор мер, при которых отказ одного кабеля, устройства или провайдера не приводит к остановке работы. Этот цикл разбирает резервирование на трёх уровнях: внутри здания, между офисами и на выходе в интернет.

С чего начинать: сколько простоя допустимо

Прежде чем покупать второй канал или второй коммутатор, стоит определить две величины.

• RTO (Recovery Time Objective) — за какое время сервис должен восстановиться после сбоя. Для сайта интернет-магазина это могут быть минуты, для внутреннего файлового сервера — часы.
• RPO (Recovery Point Objective) — какой объём данных допустимо потерять, то есть насколько свежей должна быть последняя копия. Для каналов связи RPO обычно важен косвенно: если при переключении обрываются транзакции, их нужно повторить или восстановить.

От RTO зависит выбор решения. Если допустим час простоя, достаточно запасного канала, который включают вручную. Если допустимы секунды, нужно автоматическое переключение и оборудование, которое само по себе не является единственной точкой отказа.

Что означают проценты доступности

Провайдеры и облачные сервисы обещают доступность в процентах. Удобнее переводить её в часы и минуты простоя. Расчёт для года из 365 дней (8 760 часов) и месяца из 30 дней:

Два важных следствия.

1. Доступность цепочки ниже доступности каждого звена. Если сервис зависит от провайдера с 99,9 %, маршрутизатора с 99,9 % и коммутатора с 99,9 %, доступность всей цепочки — около 99,7 %, то есть больше суток простоя в год.
2. Два независимых канала резко повышают доступность. Если каждый из двух провайдеров доступен 99 % времени и их отказы не связаны, одновременный отказ случается в 0,01 % времени — меньше часа в год. Ключевое слово здесь «независимых»: об этом ниже.

Что обычно ломается

• Физическая линия. Кабель повреждают при ремонте дороги или в здании, оптику перегибают, медный патч-корд выдёргивают при уборке.
• Оборудование. Выходит из строя блок питания коммутатора, порт, SFP-модуль, сетевая карта сервера.
• Провайдер. Авария на магистрали, работы на узле, ошибка в маршрутизации, неоплаченный счёт.
• Электропитание. Без ИБП на маршрутизаторе и коммутаторе резервный канал бесполезен: он выключится вместе с основным.
• Настройки. Ошибка в конфигурации маршрутизатора или межсетевого экрана способна остановить сеть не хуже обрыва кабеля.

Независимость каналов и разнесение трасс

Второй канал защищает только от тех отказов, которые не затрагивают его одновременно с первым. Типичные ловушки:

• Один кабельный ввод. Два провайдера заходят в здание через одну кабельную канализацию, и одна авария экскаватора обрывает оба. При подключении стоит спросить у провайдеров, как проходят их трассы, и по возможности заводить кабели с разных сторон здания.
• Один вышестоящий оператор. Два разных провайдера могут арендовать ёмкость у одного магистрального оператора или стоять на одном узле связи. Этот вопрос тоже задают до заключения договора.
• Одно устройство на входе. Два канала подключены к одному маршрутизатору, и его отказ отключает оба.
• Один тип среды. Для резервного канала в офисе часто выбирают другую технологию: оптику плюс радиоканал или мобильный интернет через LTE/5G-маршрутизатор.

Уровни резервирования

Резервирование удобно рассматривать снизу вверх.

1. Внутри здания: две сетевые карты в сервере, два коммутатора, агрегация каналов, запасные SFP-модули, ИБП.
2. Между офисами: несколько VPN-туннелей через разных провайдеров, арендованные каналы, MPLS, собственное волокно, SD-WAN, резервирование шлюза по VRRP.
3. Выход в интернет: два провайдера с автоматическим переключением, BGP с собственной автономной системой, DNS с проверками доступности, CDN.

Нижний уровень дешевле всего и защищает от самых частых сбоев. Нет смысла строить BGP с двумя провайдерами, если все серверы подключены к одному коммутатору без резервного питания.

Мониторинг: резерв, который не проверяли, не работает

Резервный канал может месяцами не использоваться и отказать именно в тот момент, когда нужен. Поэтому:

• контролируйте состояние обоих каналов, а не только того, по которому сейчас идёт трафик;
• получайте уведомление о каждом переключении — иначе можно неделями работать на резерве, не зная об отказе основного канала;
• раз в квартал проводите учебное отключение основного канала в согласованное время и засекайте, сколько длится переключение;
• записывайте, какие сервисы при переключении теряют соединения: телефония и VPN-клиенты часто требуют переподключения.

Сколько вкладывать

Цену резервирования разумно сравнивать с ценой простоя: сколько компания теряет за час без связи — выручку, оплачиваемые часы сотрудников, штрафы по договорам. Для небольшого офиса часто достаточно второго провайдера другой технологии и маршрутизатора с автоматическим переключением. Сервисам, которые приносят деньги круглосуточно, нужен более высокий уровень.

Как соотнести уровень защиты с задачами бизнеса, разобрано в статье «Четыре уровня отказоустойчивости: на каком вы и что вам действительно нужно».