Miért a legrosszabb választás a két csomópontos fürt: a többség problémája

Megvan a második szerver, és felépült a fürt. Az érzés biztonságosabb: már két gép van, és ha az egyik kiesik, a másik viszi tovább.

Nem viszi. A két csomópontos fürt törékenyebb az egyetlen csomópontnál, és ennek felismerése többnyire rossz napra esik.

Miért

A fürt döntéseit a többség hozza. Ha három csomópontból kettő fent van, van többség, és a fürt tovább működik. Ha két csomópontból az egyik kiesik, a maradék egy csomópont nem többség, ezért a fürt lezárja magát: a gépek tovább futnak, de a beállítások nem módosíthatók, új gép nem indítható, és a felügyeleti munka nagy része leáll.

Ez nem hiba, hanem szándékos tervezés. Az alternatíva sokkal rosszabb: amikor két csomópont nem látja egymást, mindkettő azt mondja, hogy "én fent vagyok, a másik kiesett", és ugyanazt a virtuális gépet két helyen indítja el. Ugyanarra a lemezre mindkét oldalról írás történik, és az adat helyrehozhatatlanul sérül.

A fürt tehát kizárással véd. Két csomópont esetén viszont ez a védelem a hibák felénél lép működésbe.

A helyes szám a három

Három csomópontos fürtben, ha az egyik kiesik, kettő marad, a többség megvan, és az élet megy tovább. Ezért szerepel a hármas szám mindenütt a fürt dokumentációjában.

A harmadik gépnek nem kell erősnek lennie. Csak szavaz, munkát nem kell futtatnia. Egy kis gép, akár egy régi számítógép is megteszi.

Ha a harmadik gép valóban nem jöhet szóba, helyette beállítható egy kis tanú csomópont, amely csak a szavazás miatt létezik. Ez nem teljes értékű csomópont, gépek nem futtathatók rajta, de a többség számtanát háromra egészíti ki. Ha a két csomópont marad, legalább ezt érdemes beállítani.

Ha két csomópont marad, ezt érdemes tudni

Amikor az egyik csomópont karbantartás miatt kikerül, a maradék egyetlen csomópont is kezelhetetlenné válik. Így már egy tervezett frissítés is lezárt állapotot hagy maga után.

Kézzel kimondható, hogy "egyetlen csomópont is dönthet", ez viszont pontosan a fent leírt kettős indítás kockázatát nyitja meg újra. Ideiglenesen, tudatosan és rövid ideig alkalmazható; nem tartós megoldás.

A fürt építése nem biztonsági mentés

Ez a két dolog keveredik össze a leggyakrabban. A fürt a rendelkezésre állásért van: azért, hogy a munka folytatódjon, amikor egy gép kiesik. A biztonsági mentés a visszaállításért van: azért, hogy adatsérülés vagy véletlen törlés után legyen visszaút.

A véletlenül törölt virtuális gépet a fürt nem hozza vissza. A törlés azonnal minden csomópontra átterjed, mert a fürt éppen azért van, hogy ugyanazt lássák. Fürt mellett is szükség lesz biztonsági mentésre.

Mit csinál az Atlas

Az Atlas a fürtöt nem fogalomként kezeli, hanem állapotként: hány csomópont van, hány szavaz, és megvan-e éppen most a többség.

Ez a frissítésnél segít a legtöbbet. Egy csomópont frissítése előtt az Atlas megnézi, hogy a rajta lévő gépek közül hány költöztethető át másik csomópontra, és sorrendet javasol. A javaslat javaslat marad: a költöztetés parancsa magától nem indul el, a gombot ember nyomja meg.

Egy részlet itt különösen fontos, és egyenesen ennek a bejegyzésnek a tárgyához vezet. A fürt állapotát lekérdező parancs két különböző helyzetben ugyanúgy hibázik: amikor a gép valóban önálló, és amikor egy olyan fürt tagja, amelynek a fürtrétege összeomlott. Ha ez a kettő nem különül el, a termék pontosan a fürt összeomlásának pillanatában mondja azt, hogy "nincs fürt, a többség rendben". Vagyis a legveszélyesebb pillanatban adja a legmegnyugtatóbb mondatot.

Az Atlas azt nézi meg, hogy létezik-e a beállításfájl: ez a fájl a tagsággal együtt jön létre, és a fürtréteg összeomlása után is a helyén marad. A megkülönböztetés egyetlen helyen él, mert korábban három különböző ponton volt külön megírva, és mindhárom ugyanazt a hibát hordozta.