Et hot site er en fuldt udstyret genetableringslokation med hardware, software, netforbindelser og aktuelle data på plads, som kan overtage fra dit primære site inden for minutter til timer. Det er den hurtigste og dyreste type disaster recovery-site. I skyen svarer det til en hot standby eller en active/active-opsætning i en anden region.
Vigtigste pointer
- NIST beskriver hot sites som faciliteter, der er dimensioneret til systemet og konfigureret med den nødvendige hardware, understøttende infrastruktur og supportpersonale.
- Dataene opdateres løbende eller kort efter det primære site, så der går kun lidt data tabt, og genetableringen går hurtigt.
- Warm sites har noget udstyr og kræver opsætning, før de kan bruges. Cold sites leverer kun plads og strøm.
- I AWS-termer svarer det til "hot standby" (active/passive i fuld kapacitet) eller "multi-site active/active", den mest komplekse og dyre strategi.
- Replikering beskytter ikke mod datakorruption eller ransomware. Du har stadig brug for point-in-time-backups.
Hvad er et hot site i disaster recovery?
Det er en alternativ lokation, der allerede kører, eller straks kan køre, en kopi af dine produktionssystemer. Når det primære site svigter, omdirigerer du brugerne og arbejder videre.
Den amerikanske standardreference er NIST SP 800-34, Contingency Planning Guide for Federal Information Systems. Den definerer denne sitetype som en lokation med tilstrækkeligt udstyr, den aktuelle produktionssoftware og passende lagerplads, hvor de seneste backupdata er indlæst. I mange tilfælde opdateres databaserne samtidig med, eller kort efter, de primære. NIST bemærker også, at lokationen skal kunne flytte brugernes forbindelse hurtigt og have driftssupport tæt på produktionssitets niveau.
Et af NIST's eksempler er to identiske systemer på forskellige lokationer, begge i produktion, som hver især kan bære hele arbejdsbyrden, med løbende synkroniserede data. NIST kalder dette den dyreste løsning.
Hot site, warm site og cold site
De tre sitetyper adskiller sig i, hvor meget der er klart, før en katastrofe rammer. Mere beredskab giver hurtigere genetablering og højere driftsomkostninger.
| Egenskab | Cold site | Warm site | Hot site |
|---|---|---|---|
| Hvad der er på plads | Plads, strøm, telekommunikationsforbindelser, miljøstyring | Noget eller al hardware, software, telekommunikation og strøm | Fuld hardware, understøttende infrastruktur og personale |
| Data | Gendannes fra backup efter hændelsen | Gendannes eller delvist replikeret | Aktuelle eller næsten aktuelle, ofte løbende replikeret |
| Opsætningstid | Lang | Middel | Kort |
| Pris | Lav | Middel | Middel til høj |
| Typisk brug | Systemer, der kan ligge nede i dagevis | Vigtige systemer med en vis tolerance | Systemer, hvor minutters nedetid betyder noget |
Rækkerne om opsætningstid og pris følger NIST's eksempeltabel over kriterier for alternative sites. De præcise genetableringstider afhænger af dit design og dine tests, ikke af betegnelsen.
Hvordan fungerer et hot site?
En fungerende opsætning har fire dele, som skal holdes i takt med produktionen:
- Infrastruktur: servere, lager og netværkskapacitet dimensioneret til den arbejdsbyrde, du skal køre dér.
- Datareplikering: synkron eller asynkron kopiering af databaser og filer fra det primære site.
- Konfiguration og kode: de samme softwareversioner, patches og indstillinger som i produktion, helst udrullet fra de samme infrastructure-as-code-skabeloner.
- Omskiftning af trafik: DNS-, load balancer- eller netværksændringer, der sender brugerne til recovery-sitet, når du aktiverer det.
Hvad sker der ved aktivering?
Aktivering er en beslutning, ikke blot et teknisk skridt. Incident-lederen bekræfter, at det primære site ikke kan genetableres inden for det aftalte recovery time objective (RTO), og derefter følger teamet runbooken: stop om muligt skrivninger til det primære site, promovér replikadatabaserne, skift trafikken, kontrollér at applikationerne virker, og informér brugere og interessenter. AWS bemærker, at automatisk failover på baggrund af health checks bør bruges med forsigtighed, fordi en falsk alarm koster tilgængelighed og data. Mange teams udløser derfor failover manuelt, men automatiserer alle trin bag knappen.
Hot sites i skyen: hot standby og active/active
I skyen lejer du sjældent en separat bygning. I stedet kører du en ekstra kopi af miljøet i en anden region eller Availability Zone. AWS' whitepaper om disaster recovery beskriver fire strategier, fra den billigste til den mest fuldstændige:
| AWS-strategi | Hvad der kører i recovery-regionen | Nærmeste sitetype |
|---|---|---|
| Backup and restore | Kun backups; infrastrukturen udrulles igen efter hændelsen | Cold site |
| Pilot light | Data er replikeret og kernetjenester kører; applikationsservere er slukket | Cold til warm |
| Warm standby | En nedskaleret, men fuldt fungerende kopi, der straks kan tage trafik | Warm site |
| Hot standby / multi-site active/active | Fuld kapacitet, enten ventende (active/passive) eller betjenende brugere (active/active) | Hot site |
AWS kalder multi-site active/active den mest komplekse og dyre fremgangsmåde, men siger, at den kan bringe genetableringstiden tæt på nul ved de fleste katastrofer. AWS peger også på, at de fleste kunder, der bygger et helt andet miljø, ender med at bruge det active/active, da de alligevel betaler for det.
En skyopsætning har to fordele frem for en fysisk. Du kan teste failover uden at flytte personale, og du kan genopbygge hele miljøet fra kode, hvis noget driver. Til gengæld betaler du for fuld kapacitet to steder plus datatrafik til replikeringen.
Er et hot site pengene værd?
Kun for systemer, hvor nedetid koster mere end driften af et ekstra miljø. Tag udgangspunkt i en business impact-analyse, fastsæt et RTO og et recovery point objective (RPO) for hvert system, og tilpas sitetypen til de mål. Vores guide til RPO og RTO viser, hvordan du fastsætter dem.
NIST kommer her med et nyttigt synspunkt: ét system kan have brug for forskellige strategier til forskellige funktioner. Ordrebehandling kan kræve øjeblikkelig failover, mens månedlig rapportering på samme platform kan vente i dagevis. En sådan opdeling i niveauer holder det altid tændte fodaftryk lille og regningen overskuelig.
Tjekliste, før du bygger et
- Langt nok fra det primære site til, at én regional hændelse ikke kan ramme begge.
- Kapacitet til den kritiske arbejdsbyrde, ikke nødvendigvis til alt.
- Replikeringsforsinkelsen overvåges op mod dit RPO, med alarmer.
- Point-in-time-backups opbevares separat, så du kan komme sig efter korruption eller ransomware, som replikeringen ville kopiere.
- Sikkerhedskontroller svarende til produktion: identitet, firewalls, logning og kryptering.
- En failover-runbook med navngivne ansvarlige og en plan for failback.
- Regelmæssige failover-tests, dokumenteret i din disaster recovery-plan.
Sådan hjælper Opsio
Opsio designer og driver cloud disaster recovery på AWS, Azure og Google Cloud, fra pilot light til fulde multiregion-opsætninger, og tester failover sammen med dit team. For WorkBuster, en global SaaS-rekrutteringsplatform, byggede vi AWS-miljøet på Multi-AZ MySQL RDS og auto-scaling med CloudFormation-skabeloner, så infrastrukturen kan udrulles ensartet igen. Læs casen om WorkBuster.
Ofte stillede spørgsmål
Hvad er forskellen på et hot site og et cold site?
Det første har udstyr, software og aktuelle data klar og kan overtage hurtigt. Det andet har kun plads, strøm og netforbindelser, så systemerne skal installeres og gendannes fra backup, før arbejdet kan genoptages.
Hvor hurtigt kan et hot site overtage driften?
Typisk i løbet af minutter til timer, afhængigt af hvor aktuelle dataene er, og hvor automatiseret omskiftningen er. En active/active-opsætning i skyen kan bringe genetableringstiden tæt på nul ved de fleste fejl, men genetablering efter datakorruption afhænger stadig af backups.
Er et hot site det samme som et mirrored site?
De ligger tæt på hinanden. Et mirrored site kører en identisk, løbende synkroniseret kopi af produktionen. NIST's eksempel med to identiske produktionssystemer, der hver bærer hele belastningen, er i praksis et mirrored site.
Har jeg brug for et hot site, hvis jeg kører i skyen?
Ikke automatisk. Drift på tværs af flere Availability Zones beskytter allerede mod tab af ét datacenter. En hot standby i en anden region er umagen værd, når regionale udfald, regulering eller kontrakter kræver meget korte genetableringstider.
Hvad betyder "hotsite" i marketing?
I marketing, især i Brasilien, er et "hotsite" et lille, midlertidigt website til en kampagne eller en produktlancering. Det har intet med disaster recovery at gøre.
Skrevet af
Group COO & CISO
Fredrik er koncernens COO og CISO hos Opsio. Han fokuserer på operationel ekspertise, governance og informationssikkerhed og arbejder tæt sammen med leverance- og ledelsesteams om at afstemme teknologi, risiko og forretningsresultater i komplekse IT-miljøer. Han leder Opsios sikkerhedspraksis, herunder SOC-services, penetrationstest og compliance-rammer.
Redaktionelle retningslinjer: Artiklen er skrevet af den cloud-ekspert, der er angivet i bylinen ovenfor. Vi opdaterer den, når den teknologi eller regulering, den handler om, ændrer sig; datoerne på siden viser den seneste opdatering. Opsio er redaktionelt uafhængig.