Provare un ripristino: un lavoro verde non è una prova

I lavori di backup girano ogni notte e sono tutti verdi. Questo dimostra che il file è stato scritto. Non dimostra che possa essere letto, non dimostra che la macchina dentro si avvii, e tanto meno che il servizio su quella macchina funzioni. La distanza fra queste cose si vede il giorno in cui serve davvero.

Tre livelli di prova

Primo: si riesce a leggere. Una verifica che il backup sia integro. È economica, si può automatizzare, e almeno intercetta la corruzione silenziosa. Da sola però non dice ancora "la macchina si avvia".

Secondo: si avvia. Ripristina il backup con una nuova identità su un bersaglio di prova, avvialo con la rete scollegata e guarda la schermata di accesso. La maggior parte delle persone non arriva mai a questo livello, benché costi una pausa caffè e insegni molto.

Terzo: fa il suo lavoro. L’applicazione si avvia, i dati ci sono, manca l’ultima ora. Sulle macchine critiche questa è la domanda vera, perché una macchina che si avvia ma si avvia vuota non salva nessuno.

La regola per provare senza rompere nulla

Ripristina sempre con una nuova identità, mai sopra la macchina in funzione. E fai la prova con la rete scollegata: due macchine con la stessa identità e lo stesso indirizzo litigano sulla stessa rete, e il prezzo non lo paga la tua copia di prova ma l’originale in servizio.

Che cosa trovano le persone quando finalmente provano

Quello che trovano i primi tentativi si somiglia in modo sorprendente da un impianto all’altro. Il backup ha tre settimane perché il lavoro si è fermato in silenzio e nessuno ha guardato. La macchina si avvia ma l’applicazione chiede una chiave che stava altrove. Il ripristino richiede più spazio di quanto il bersaglio ne abbia. Niente di tutto questo si vede mentre si fa il backup; tutto si vede mentre si ripristina.

Sorprese al momento del ripristino

Conflitto di identità: quel numero è già in uso. Nome dello storage: il backup rimanda a un nome di storage che su questa macchina non esiste più. Nome del bridge: la definizione di rete nel backup punta a un bridge che questo server non ha, quindi la macchina si avvia senza rete.

Nessuna di queste è un guasto, sono effetti dello spostamento. Ma incontrate per la prima volta nel giorno di un disastro vero, non si distinguono da un guasto.

Frequenza e calendario

Una prova di ripristino fatta una volta a trimestre vale più di una politica di backup impeccabile mai messa alla prova. Lega la prova a una data; le prove rimandate a "quando c’è tempo" non avvengono. Scrivi che cosa hai trovato, perché se la prova successiva trova la stessa cosa, il problema non è il backup ma il processo.

Il punto è la prova generale

Nel giorno di una perdita vera non avrai tempo di imparare tutto questo. L’unica cosa da fare quel giorno è ripetere un lavoro già fatto. La prova è la prova generale di quel giorno, ed è esattamente questo che vale.

Che cosa fa Atlas

Atlas mostra quali backup esistono, dove stanno e quando sono stati fatti, così alla domanda "ho un backup e di quando è" si risponde guardando invece di indovinare. È il primo passo della prova qui sopra: assicurarsi che ci sia qualcosa da provare. Il ripristino in sé si fa dalle schermate lato Proxmox; Atlas non si mette in mezzo, rende visibile ciò che hai in mano.