Soalan dan bila ia terpakai
Reka bentuk penyelaras yang menilai kesihatan wilayah, mengalihkan trafik apabila peraturan dipenuhi dan memulihkan trafik dengan selamat selepas pemulihan. Terangkan satah kawalan (control plane) dan satah data (data plane), isyarat, keadaan data, kelulusan, audit dan latihan simulasi.
AWS ARC menerangkan kawalan penghalaan sebagai suis satah data yang boleh dipercayai dan menegaskan bahawa mekanisme failover mesti berfungsi semasa bencana. Kubernetes menekankan replika, penyebaran topologi dan belanjawan gangguan. Topik temu duga perisian Amazon menekankan penggunaan pengetahuan untuk menyelesaikan masalah sistem.
Ini berbeza daripada mereka bentuk get laluan API pelbagai wilayah: tumpuan utama adalah pada aliran kerja keputusan dan pemulihan, termasuk positif palsu, split brain, penyelarasan data tertunggak (data catch-up) dan failback.
Perkara yang dinilai oleh penemu duga
Mereka mencari kesihatan pelbagai isyarat, kawalan penghalaan yang berdaya tahan, RTO/RPO dan replikasi yang eksplisit, pemagaran (fencing) terhadap keputusan serentak, kebolehauditan, latihan simulasi dan pelan failback yang boleh diukur.
Soalan untuk dijelaskan sebelum menjawab
- Apakah sasaran RTO, RPO, ketersediaan dan campur tangan manusia?
- Adakah kegagalan tersebut melibatkan kebolehcapaian wilayah, kebergantungan, kependaman (latency), penggunaan (deployment) atau kerosakan data?
- Adakah wilayah tunggu sedia itu hot, warm atau cold?
- Data manakah yang direplikasi dan penulisan manakah yang boleh ditolak?
- Bagaimanakah DNS, get laluan, Anycast atau klien menerima penghalaan baharu?
- Siapakah yang boleh mengambil alih jika automasi gagal?
- Bagaimanakah penulisan dwi-wilayah (dual writing) dihalang?
- Apakah syarat kesihatan dan catch-up data yang mengawal failback?
- Adakah skopnya untuk satu awan tertentu atau reka bentuk abstrak?
Kerangka jawapan 30 saat
"Saya mentakrifkan RTO, RPO dan kesediaan tunggu sedia terlebih dahulu. Setiap wilayah menjalankan satah datanya sendiri; penyelaras hanya menerbitkan keadaan penghalaan yang disahkan. Kesihatan menggabungkan prob perniagaan, kebergantungan, kapasiti dan lat replikasi dengan isyarat seperti kuorum serta pelembapan (dampening). Sebelum beralih, saya memagar atau menurunkan taraf penulisan, mengesahkan ambang data tunggu sedia dan menggunakan kawalan penghalaan berketersediaan tinggi. Setiap perubahan keadaan diaudit dan boleh dibalikkan. Failback menunggu kesihatan dan penyelarasan data, kemudian bermula dengan sebahagian kecil trafik."
Jawapan mendalam, langkah demi langkah
Langkah 1: Takrifkan model kegagalan dan sasaran
Asingkan gangguan zon, pemisahan wilayah, kegagalan kebergantungan, penggunaan yang tidak elok dan kerosakan data. Petakan RTO/RPO kepada kos tunggu sedia, replikasi dan automasi.
Langkah 2: Asingkan satah kawalan dan satah data
Satah data menyediakan perkhidmatan untuk permintaan dan melaksanakan penghalaan. Satah kawalan mengira cadangan, kelulusan dan rekod. Pelaksanaan failover tidak boleh bergantung pada satah kawalan yang tidak tersedia.
Langkah 3: Bina keputusan kesihatan
Gabungkan kejayaan perniagaan, kebergantungan, kependaman, lat replikasi, kapasiti dan isyarat pengendali. Satu prob yang gagal menghasilkan keadaan calon (candidate); ambang yang berterusan akan memajukan aliran kerja.
Langkah 4: Laksanakan peralihan yang selamat
Gunakan keadaan seperti sedia (ready), calon (candidate), diluluskan (approved), beralih (switching), stabil (stable) dan failback. Pajakan (leases) atau versi pemagaran menghalang operasi serentak. Takrifkan pemagaran penulisan, masa peralihan maksimum dan tindakan henti.
| Peringkat | Pemeriksaan utama | Tindakan kegagalan |
|---|---|---|
| Ready | Ambang tunggu sedia dan replikasi | Sekat peralihan |
| Candidate | Kegagalan pelbagai isyarat yang berterusan | Perhati atau luluskan |
| Switching | Penghalaan, ralat dan kapasiti | Jeda atau undur balik (revert) |
| Stable | Pemulihan perniagaan dan penulis tunggal | Selesai |
| Failback | Kesihatan utama dan catch-up | Kekalkan wilayah tunggu sedia aktif |
Langkah 5: Kendalikan konsistensi dan split brain
Pilih penulis tunggal, penjujukan global atau penyelesaian konflik. Semasa pemisahan berlaku, tolak penulisan yang tidak selamat daripada menerima penulisan yang tidak dapat digabungkan di kedua-dua wilayah. Rekodkan titik pertukaran (cutover point) dan jurang data.
Langkah 6: Sebarkan laluan dan lindungi kapasiti
Terangkan penyebaran DNS, get laluan atau pinggir (edge), termasuk TTL, cache dan percubaan semula klien. Panaskan kapasiti tunggu sedia serta takrifkan mod pendikit (throttling) dan penurunan taraf.
Langkah 7: Perhati, audit dan serah tugas
Rekodkan bukti kesihatan, versi peraturan, pengendali, peralihan keadaan dan keputusan laluan. Berikan amaran tentang masa peralihan, ralat, lat, kapasiti dan tanda-tanda penulisan dwi-wilayah. Tindakan manual mestilah diberi kebenaran dan bersifat idempoten.
Langkah 8: Lakukan latihan simulasi dan failback dengan selamat
Suntik kegagalan dan uji trafik secara berperingkat. Sebelum failback, sahkan kesihatan wilayah utama, penyelarasan data, kestabilan kebergantungan dan kapasiti. Alihkan peratusan kecil terlebih dahulu dan kekalkan keupayaan undur balik pantas.
Contoh jawapan berkualiti tinggi
"Saya akan mereka bentuk dua wilayah dengan satu penulis serta RTO lima minit dan RPO tiga puluh saat. Kedua-dua wilayah mempunyai satah data yang lengkap; wilayah tunggu sedia mengekalkan cache dan kapasiti yang dipanaskan.
Kesihatan menggabungkan kejayaan perniagaan, kebergantungan, lat replikasi dan kapasiti. Tiga tetingkap buruk berturut-turut menghasilkan calon; pajakan dan versi pemagaran monotonik membenarkan hanya satu penyelaras memajukan keadaan. Sebelum beralih, penulisan dipagar, lat tunggu sedia diperiksa dan kawalan penghalaan berketersediaan tinggi memindahkan trafik. Ralat dan kependaman diperhatikan, dengan ambang undur balik serta-merta.
Audit menyimpan bukti, peraturan, kelulusan dan hasil laluan. Latihan simulasi bulanan menguji pengauditan cache DNS, percubaan semula klien dan kapasiti tunggu sedia. Failback menunggu penyelarasan data, mengalihkan lima peratus terlebih dahulu dan berhenti jika penulisan dwi-wilayah atau kependaman muncul."
Kesilapan biasa
- Menunjukkan dua wilayah tanpa pemilik keputusan.
- Menggunakan satu ping atau metrik infrastruktur sebagai kesihatan perniagaan.
- Mengautomasikan tanpa pemagaran, pelembapan, kelulusan atau undur balik.
- Mengabaikan TTL, cache dan percubaan semula klien.
- Membenarkan penulisan dwi-wilayah tanpa pengendalian konflik.
- Melupakan pemanasan dan kapasiti tunggu sedia.
- Membincangkan failover tetapi tidak membincangkan failback atau latihan simulasi.
- Menyatakan RTO/RPO tanpa memetakannya kepada replikasi dan kos.
Soalan susulan dan cara menjawabnya
Soalan susulan 1: Bagaimanakah anda mengendalikan positif palsu?
Gunakan pelbagai isyarat, tetingkap yang berterusan dan pelembapan (dampening). Kegagalan berkeyakinan rendah harus diperhatikan atau diturunkan taraf perkhidmatannya sebelum beralih.
Soalan susulan 2: Bagaimana jika satah kawalan tergendala?
Kekalkan suis pelaksanaan dan bacaan yang diperlukan pada satah data berketersediaan tinggi, pra-edarkan keadaan yang selamat dan hadkan operasi manual yang diaudit.
Soalan susulan 3: Bagaimana jika kedua-dua wilayah menjadi wilayah utama?
Gunakan pajakan, token pemagaran atau penimbang tara luar. Jika pemilikan penulis tunggal tidak pasti, tolak penulisan.
Soalan susulan 4: Bagaimana jika kapasiti tunggu sedia tidak mencukupi?
Rizab kapasiti, gunakan mod penurunan taraf dan pendikit (throttling), serta terima trafik kritikal sahaja apabila beban penuh tidak dapat dilayan.
Soalan susulan 5: Mengapakah tidak mengautomasikan semuanya?
Automasikan kegagalan yang boleh dibalikkan dan berkeyakinan tinggi. Wajibkan pengesahan manusia untuk kerosakan data, split brain dan kejadian berkeyakinan rendah.
Soalan susulan 6: Bagaimanakah anda membuktikan latihan simulasi berfungsi?
Jejak masa dari pengesanan hingga pemulihan, RPO, ralat, kapasiti, langkah manual dan hasil undur balik; ubah setiap jurang yang ditemui kepada penambahbaikan yang mempunyai pemilik bertanggungjawab.