Ośrodek gorący (hot site) to w pełni wyposażona lokalizacja odtwarzania, w której sprzęt, oprogramowanie, łącza sieciowe i aktualne dane są już na miejscu i która może przejąć zadania z lokalizacji podstawowej w ciągu minut do godzin. To najszybszy i najdroższy rodzaj ośrodka odtwarzania awaryjnego. W chmurze odpowiednikiem jest hot standby lub konfiguracja active/active w drugim regionie.
Najważniejsze wnioski
- NIST opisuje ośrodki gorące jako obiekty dobrane do systemu i skonfigurowane z niezbędnym sprzętem, infrastrukturą wspierającą i personelem pomocniczym.
- Jego dane są aktualizowane w sposób ciągły lub tuż po lokalizacji podstawowej, więc traci się niewiele danych, a odtwarzanie jest szybkie.
- Ośrodki ciepłe zawierają część wyposażenia i wymagają przygotowania przed użyciem. Ośrodki zimne zapewniają tylko przestrzeń i zasilanie.
- W terminologii AWS odpowiada to „hot standby” (active/passive z pełną mocą) lub „multi-site active/active”, czyli najbardziej złożonej i kosztownej strategii.
- Replikacja nie chroni przed uszkodzeniem danych ani ransomware. Nadal potrzebujesz kopii zapasowych z punktami w czasie.
Czym jest ośrodek gorący w odtwarzaniu awaryjnym?
To alternatywna lokalizacja, w której już działa lub może natychmiast zacząć działać kopia Twoich systemów produkcyjnych. Gdy lokalizacja podstawowa ulegnie awarii, przekierowujesz użytkowników i pracujesz dalej.
Standardowym amerykańskim punktem odniesienia jest NIST SP 800-34, Contingency Planning Guide for Federal Information Systems. Definiuje on ten typ ośrodka jako posiadający wystarczające wyposażenie, aktualne oprogramowanie produkcyjne i odpowiednią pamięć masową, z załadowanymi najnowszymi danymi z kopii zapasowych. W wielu przypadkach jego bazy danych są aktualizowane jednocześnie z podstawowymi lub tuż po nich. NIST zauważa też, że ośrodek potrzebuje sposobu szybkiego przeniesienia łączności użytkowników oraz wsparcia operacyjnego zbliżonego do tego w lokalizacji produkcyjnej.
Jednym z przykładów NIST są dwa identyczne systemy w różnych lokalizacjach, oba produkcyjne, każdy zdolny przenieść pełne obciążenie, z danymi synchronizowanymi w sposób ciągły. NIST nazywa to najdroższą opcją.
Ośrodek gorący, ciepły i zimny
Trzy typy ośrodków różnią się tym, jak wiele jest gotowe przed katastrofą. Większa gotowość oznacza szybsze odtwarzanie i wyższy koszt utrzymania.
| Cecha | Ośrodek zimny | Ośrodek ciepły | Ośrodek gorący |
|---|---|---|---|
| Co jest na miejscu | Przestrzeń, zasilanie, łącza telekomunikacyjne, kontrola środowiska | Część lub całość sprzętu, oprogramowania, telekomunikacji i zasilania | Pełny sprzęt, infrastruktura wspierająca i personel |
| Dane | Odtwarzane z kopii zapasowej po zdarzeniu | Odtwarzane lub częściowo replikowane | Aktualne lub niemal aktualne, często replikowane w sposób ciągły |
| Czas przygotowania | Długi | Średni | Krótki |
| Koszt | Niski | Średni | Średni do wysokiego |
| Typowe zastosowanie | Systemy, które mogą być niedostępne przez dni | Ważne systemy z pewną tolerancją | Systemy, w których liczą się minuty przestoju |
Wiersze o czasie przygotowania i kosztach wynikają z przykładowej tabeli kryteriów ośrodków alternatywnych NIST. Dokładne czasy odtwarzania zależą od Twojego projektu i testów, a nie od etykiety.
Jak działa ośrodek gorący?
Działająca konfiguracja ma cztery części, które muszą nadążać za produkcją:
- Infrastruktura: serwery, pamięć masowa i przepustowość sieci dobrane do obciążenia, które chcesz tam uruchomić.
- Replikacja danych: synchroniczne lub asynchroniczne kopiowanie baz danych i plików z lokalizacji podstawowej.
- Konfiguracja i kod: te same wersje oprogramowania, poprawki i ustawienia co w produkcji, najlepiej wdrażane z tych samych szablonów infrastruktury jako kodu.
- Przełączanie ruchu: zmiany w DNS, load balancerze lub sieci, które kierują użytkowników do lokalizacji odtwarzania po jej aktywacji.
Co dzieje się przy aktywacji?
Aktywacja to decyzja, a nie tylko krok techniczny. Lider incydentu potwierdza, że lokalizacja podstawowa nie odtworzy się w uzgodnionym docelowym czasie odtworzenia (RTO), po czym zespół wykonuje instrukcję postępowania: wstrzymuje zapisy do lokalizacji podstawowej, jeśli to możliwe, promuje bazy danych repliki, przełącza ruch, sprawdza działanie aplikacji i informuje użytkowników oraz interesariuszy. AWS zauważa, że automatycznego przełączenia awaryjnego na podstawie kontroli stanu należy używać ostrożnie, bo fałszywy alarm kosztuje dostępność i dane. Wiele zespołów uruchamia więc przełączenie ręcznie, ale automatyzuje każdy krok za przyciskiem.
Ośrodki gorące w chmurze: hot standby i active/active
W chmurze rzadko wynajmuje się osobny budynek. Zamiast tego uruchamia się drugą kopię środowiska w innym regionie lub strefie dostępności. Whitepaper AWS o odtwarzaniu awaryjnym opisuje cztery strategie, od najtańszej do najpełniejszej:
| Strategia AWS | Co działa w regionie odtwarzania | Najbliższy typ ośrodka |
|---|---|---|
| Kopia zapasowa i odtworzenie | Tylko kopie zapasowe; infrastruktura jest wdrażana ponownie po zdarzeniu | Ośrodek zimny |
| Pilot light | Dane replikowane i podstawowe usługi włączone; serwery aplikacji wyłączone | Zimny do ciepłego |
| Warm standby | Pomniejszona, lecz w pełni działająca kopia, która może od razu przejąć ruch | Ośrodek ciepły |
| Hot standby / multi-site active/active | Pełna moc, czekająca (active/passive) lub obsługująca użytkowników (active/active) | Ośrodek gorący |
AWS nazywa multi-site active/active najbardziej złożonym i kosztownym podejściem, ale twierdzi, że przy większości katastrof może sprowadzić czas odtworzenia niemal do zera. Zauważa też, że większość klientów, którzy budują pełne drugie środowisko, kończy na używaniu go w trybie active/active, skoro i tak za nie płacą.
Konfiguracja w chmurze ma dwie zalety względem fizycznej. Możesz testować przełączenie awaryjne bez przemieszczania ludzi i możesz odbudować całe środowisko z kodu, jeśli coś się rozjedzie. Kompromisem jest to, że płacisz za pełną moc w dwóch miejscach, plus transfer danych na potrzeby replikacji.
Czy ośrodek gorący jest wart swojej ceny?
Tylko dla systemów, w których koszt przestoju jest wyższy niż koszt utrzymania drugiego środowiska. Zacznij od analizy wpływu na biznes, ustal RTO i docelowy punkt odtworzenia (RPO) dla każdego systemu i dopasuj typ ośrodka do tych celów. Nasz przewodnik po RPO i RTO pokazuje, jak je ustalać.
NIST słusznie zauważa, że jeden system może wymagać różnych strategii dla różnych funkcji. Przetwarzanie zamówień może wymagać natychmiastowego przełączenia, podczas gdy comiesięczne raportowanie na tej samej platformie może poczekać dni. Takie warstwowanie utrzymuje mały zakres stale włączonych zasobów, a rachunek w ryzach.
Lista kontrolna przed budową
- Wystarczająco daleko od lokalizacji podstawowej, aby jedno zdarzenie regionalne nie dotknęło obu.
- Moc dla krytycznego obciążenia, niekoniecznie dla wszystkiego.
- Opóźnienie replikacji monitorowane względem RPO, z alertami.
- Kopie zapasowe z punktami w czasie przechowywane osobno, aby odzyskać dane po uszkodzeniu lub ransomware, które replikacja skopiowałaby.
- Zabezpieczenia na poziomie produkcji: tożsamość, firewalle, logowanie i szyfrowanie.
- Instrukcja przełączenia awaryjnego z imiennymi właścicielami oraz plan powrotu.
- Regularne testy przełączenia awaryjnego, odnotowywane w Twoim planie odtwarzania awaryjnego.
Jak pomaga Opsio
Opsio projektuje i prowadzi odtwarzanie awaryjne w chmurze w AWS, Azure i Google Cloud, od pilot light po pełne konfiguracje wieloregionowe, i testuje przełączenie awaryjne wraz z Twoim zespołem. Dla WorkBuster, globalnej platformy rekrutacyjnej SaaS, zbudowaliśmy środowisko AWS na Multi-AZ MySQL RDS i automatycznym skalowaniu, z szablonami CloudFormation, aby infrastrukturę można było wdrażać ponownie w spójny sposób; przeczytaj case study WorkBuster.
Najczęściej zadawane pytania
Jaka jest różnica między ośrodkiem gorącym a zimnym?
Pierwszy ma gotowy sprzęt, oprogramowanie i aktualne dane i może szybko przejąć zadania. Drugi ma tylko przestrzeń, zasilanie i łącza sieciowe, więc systemy trzeba zainstalować i odtworzyć z kopii zapasowej, zanim praca zostanie wznowiona.
Jak szybko ośrodek gorący może przejąć operacje?
Zwykle w ciągu minut do godzin, zależnie od aktualności danych i stopnia automatyzacji przełączenia. Konfiguracja active/active w chmurze może sprowadzić czas odtworzenia niemal do zera przy większości awarii, ale odzyskiwanie po uszkodzeniu danych nadal zależy od kopii zapasowych.
Czy ośrodek gorący to to samo co ośrodek lustrzany?
Są bardzo bliskie. Ośrodek lustrzany prowadzi identyczną, stale synchronizowaną kopię produkcji. Przykład NIST z dwoma identycznymi systemami produkcyjnymi, z których każdy przenosi pełne obciążenie, to w praktyce ośrodek lustrzany.
Czy potrzebuję ośrodka gorącego, jeśli działam w chmurze?
Niekoniecznie. Działanie w kilku strefach dostępności chroni już przed utratą jednego centrum danych. Hot standby w drugim regionie warto mieć, gdy awarie regionalne, regulacje lub umowy wymagają bardzo krótkich czasów odtwarzania.
Co oznacza „hotsite” w marketingu?
W marketingu, zwłaszcza w Brazylii, „hotsite” to mała tymczasowa strona internetowa kampanii lub premiery produktu. Nie ma to związku z odtwarzaniem awaryjnym.
Autor
Group COO & CISO
Fredrik jest COO i CISO grupy w Opsio. Koncentruje się na doskonałości operacyjnej, ładzie korporacyjnym i bezpieczeństwie informacji, ściśle współpracując z zespołami dostawczymi i kierowniczymi w celu uzgodnienia technologii, ryzyka i wyników biznesowych w złożonych środowiskach IT. Kieruje praktyką bezpieczeństwa Opsio, obejmującą usługi SOC, testy penetracyjne i ramy zgodności.
Zasady redakcyjne: Artykuł napisał wskazany powyżej specjalista od chmury. Aktualizujemy go, gdy zmienia się opisywana technologia lub regulacja; daty na tej stronie pokazują ostatnią aktualizację. Opsio zachowuje niezależność redakcyjną.