Высокая доступность
Сервер выходит из строя не тогда, когда удобно. Отказоустойчивая схема означает, что линия продолжает принимать звонки без вашего участия — а чинить сломанное можно в рабочее время, а не ночью под давлением.
Почему схема несимметрична
Это не компромисс и не экономия. Причина в том, что база и разговор — принципиально разные вещи.
База данных · active-active
Данные — это записи. Два узла могут принимать их одновременно и сверять между собой, поэтому потеря одного не требует переключения: второй уже содержит всё то же самое и продолжает работать так, будто ничего не произошло.
Для руководителя: как два бухгалтера, которые ведут одну и ту же книгу и постоянно сверяются. Заболел один — книга цела.
Телефония · active-passive
Разговор — это не запись, а живое состояние: открытый канал, поток голоса, подключённый оператор. Вести его с двух серверов одновременно нельзя. Поэтому один сервер работает, второй синхронизирован и ждёт, а при отказе забирает себе общий адрес.
Для руководителя: сменщик сидит рядом и готов принять пост, но говорить в одну трубку вдвоём невозможно.
Что меняется в момент аварии
Что происходит с линией после отказа сервера — на одной шкале времени.
Один сервербез резерва
Отказоустойчивый контурдва узла
✕Линия молчит. Клиенты слышат короткие гудки или тишину.
✓Новые звонки уже идут через второй узел. Разговоры, шедшие в момент отказа, оборвались — клиент перезванивает и попадает на оператора.
✕Операторы простаивают и не могут ни принять обращение, ни перезвонить.
✓Софтфон переподключается сам. Работа продолжается, супервизор видит короткий провал в статистике.
✕История звонков за период с последней резервной копии под угрозой.
✓Данные записаны на обоих узлах одновременно. Терять нечего, восстанавливать нечего.
✕Аварийные работы немедленно, любой ценой, чаще всего ночью или в выходной.
✓Плановые работы в удобное окно: контур продолжает работать на втором узле.
Сценарии отказа
Цвет — насколько это заметно бизнесу: где обслуживание не прервётся вовсе, а где вы всё-таки потеряете несколько разговоров.
| Что отказало | Клиенты | Операторы | Восстановление |
|---|---|---|---|
| Активный сервер телефонии | короткий сбой: Идущие разговоры обрываются, новые звонки проходят | незаметно: Софтфон переподключается автоматически | незаметно: Секунды, без участия человека |
| Один узел базы данных | незаметно: Не замечают ничего | незаметно: Не замечают ничего | незаметно: Переключение не требуется |
| Канал оператора связи | незаметно: Дозваниваются по резервному направлению | незаметно: Не замечают ничего | короткий сбой: Секунды или минуты, зависит от договора с оператором |
| Связь между площадками | незаметно: Обслуживание продолжается на активной площадке | незаметно: Не замечают ничего | незаметно: Автоматически, с защитой от расщепления кластера |
| Площадка целиком | короткий сбой: Дозваниваются, если вторая площадка вынесена отдельно | короткий сбой: Переходят на резервный контур | короткий сбой: Минуты, по заранее проверенному сценарию |
Как мы это строим
Сколько узлов и площадок нужно — следствие, а не отправная точка. Сначала считаем, во что обходится час молчащей линии.
Обсудить архитектуруСколько стоит час молчащей линии именно для вас и какой перерыв бизнес переживёт. От этого зависит, нужна ли вторая площадка или хватит двух узлов в одной стойке — и сколько будет стоить решение.
Определяем состав узлов, кворум базы, маршруты операторов связи и правила переключения. Вы получаете схему, смету и перечень того, что схема не закрывает.
Разворачиваем кластер на стенде, переносим трафик частями и держим путь отката на каждом шаге.
Гасим активный узел намеренно и засекаем реальное время переключения. Резерв, который ни разу не проверяли, резервом не считается — эту проверку мы делаем при вас.
Дежурная команда получает понятные сигналы: кто сейчас активен, синхронна ли база, цел ли кворум. Плюс регламент действий на случай аварии.
Вопросы
Короткие ответы; подробно разберём на встрече под вашу инфраструктуру.
Нет. Два узла в одной серверной уже закрывают отказ железа, диска или операционной системы — это большинство реальных аварий. Вторая площадка нужна, когда вы защищаетесь от потери здания, питания или канала целиком, и стоит она заметно дороже. Решение принимается на первом этапе, по допустимому простою.
Если узлов ровно два и связь между ними пропала, каждый считает живым себя — данные разъезжаются. Поэтому в кластер добавляют третий голос: полноценный узел или лёгкий арбитр, который не хранит данные, а только участвует в голосовании. Стоит он копейки, а от расщепления спасает.
Те, что шли в эту секунду, — да. Живой разговор существует в памяти конкретного сервера, и перенести его на другой без разрыва нельзя. Честная формулировка звучит так: вы теряете несколько разговоров вместо всей линии на несколько часов. Клиент перезванивает и сразу попадает на оператора.
Записи кладутся на хранилище, которое переживает потерю узла: реплицируемый том или отдельное сетевое хранилище. Схему выбираем по объёму и требованиям к сроку хранения.
Да, и часто так и делают. Важно заложить схему сразу: разделение ролей, внешнюю базу, плавающий адрес. Тогда второй узел добавляется без переделки, а не превращается в отдельный проект.
Отказоустойчивость и производительность решаются разными средствами. Резерв защищает от аварии, а рост нагрузки закрывается ёмкостью узлов и разделением ролей — телефония, база и аналитика разводятся по разным машинам. Ёмкость считаем от вашего профиля звонков на этапе проектирования.
