Sunucu kesintilerine karşı yüksek erişilebilirlik (HA) ve failover cluster mimarisi: Paylaşımlı depolama, quorum, split-brain koruması ve süreklilik rehberi.
Hızlı Özet (TL;DR)
7/24 kesintisiz üretim yapan fabrikalarda, lojistik merkezlerinde veya sağlık kuruluşlarında tek bir fiziksel sunucunun anakartının, RAID kartının veya güç kaynağının yanması; ERP, MES, barkod el terminalleri ve dosya sunucularının saatlerce hatta günlerce durmasına yol açar. Yüksek Erişilebilirlik (High Availability - HA) ve Failover Cluster (Yük Devretme Kümesi) mimarisi; en az iki veya üç fiziksel sunucunun ortak bir depolama havuzu üzerinden tek bir beyin gibi çalışmasını ve sunuculardan biri donanımsal olarak çöktüğünde üzerindeki sanal makinelerin saniyeler içinde sağlam sunucu üzerinde otomatik olarak ayağa kalkmasını sağlar.
Tek Sunucu (Single Point of Failure) Riski ve İş Sürekliliği Maliyeti
Birçok işletme çok güçlü, çift işlemcili ve çift güç kaynaklı (PSU) tek bir sunucu satın aldığında donanım kesintisi yaşamayacağını düşünür. Oysa sunucunun içindeki iki güç kaynağı aynı anakarta (Motherboard) ve aynı arka panele (Backplane) bağlıdır. Anakart üzerindeki bir kapasitör yandığında, BIOS güncellemesi sırasında çip bozulduğunda veya RAM modüllerinden biri kritik çekirdek hatası (Kernel Panic / BSOD) verdiğinde tüm sunucu anında kapanır.
Yedek parça temini ve işletim sisteminin yedekten geri yüklenmesi ortalama 6 ila 24 saat sürer. Bu sürede fabrikada hiçbir irsaliye kesilemez, üretim istasyonları iş emri göremez ve yüzlerce personel atıl bekler. Failover Cluster, sistem mimarisindeki tüm “Tekil Hata Noktalarını (SPOF)” ortadan kaldırmak için tasarlanmıştır.
Bir Failover Cluster Mimarisi Hangi Bileşenlerden Oluşur?
Kurumsal bir yüksek erişilebilirlik kümesi (Proxmox VE HA Cluster, Windows Server Failover Clustering veya VMware vSphere HA) dört temel mühendislik katmanının birleşimiyle çalışır:
- Hesaplama Düğümleri (Compute Nodes): Sanal makineleri (VM) ve konteynerleri çalıştıran, birbirinin iş yükünü tek başına taşıyabilecek kapasitede en az iki veya üç fiziksel sunucu.
- Paylaşımlı veya Dağıtık Depolama (Shared / HCI Storage): Tüm sunucuların aynı anda erişebildiği merkezi bir SAN/iSCSI depolama ünitesi ya da sunucuların kendi içlerindeki NVMe diskleri ağ üzerinden birleştiren Ceph / vSAN (Hiper-Bütünleşik Altyapı - HCI) depolama havuzu.
- Kalp Atışı Ağı (Heartbeat / Corosync Network): Sunucuların birbirlerinin hayatta olup olmadığını milisaniyelik paketlerle denetlediği, normal kullanıcı trafiğinden fiziksel olarak yalıtılmış yedekli özel ağ.
- Quorum (Çoğunluk Oyu) ve Şahit (Witness / QDevice): Küme içinde karar alınabilmesi için gereken oy çoğunluğu mekanizması.
| SLA Erişilebilirlik Seviyesi | Mimari Yapı | Yıllık Kabul Edilebilir Kesinti | Donanım Arızasında Kurtarma Süresi (RTO) |
|---|---|---|---|
| %99.0 (Standart) | Tek Fiziksel Sunucu + Günlük Yedek | ~3.65 Gün / Yıl | 4 – 24 Saat (Donanım tamiri ve yedekten dönüş) |
| %99.9 (Yüksek Erişilebilirlik) | 2 veya 3 Sunuculu HA Failover Cluster | ~8.76 Saat / Yıl | 30 – 90 Saniye (Otomatik VM yeniden başlatma) |
| %99.99 (Hata Toleranslı HA) | HCI Cluster + Çift Switch + Canlı Replikasyon | ~52.6 Dakika / Yıl | Saniyeler içinde (Kullanıcı hissetmeden geçiş) |
Quorum Matematiği ve “Split-Brain (Bölünmüş Beyin)” Felaketi Nedir?
Cluster mimarisindeki en tehlikeli senaryo, sunuculardan birinin çökmesi değil; iki sunucu arasındaki ağ kablosunun kopmasıdır. Eğer Node 1 ve Node 2 arasındaki iletişim koparsa, her iki sunucu da diğerinin öldüğünü zannedip aynı sanal makine diskini (.qcow2 veya .vhdx) aynı anda açıp üzerine veri yazmaya kalkışabilir. Buna Split-Brain (Bölünmüş Beyin) durumu denir ve sanal makine diskinin saniyeler içinde geri döndürülemez biçimde bozulmasına (Data Corruption) yol açar.
Quorum ($N/2 + 1$) Kuralı Nasıl Koruma Sağlar?
Bir kümenin sanal makineleri çalıştırma kararı alabilmesi için toplam oy sayısının yarısından fazlasına ($N/2 + 1$) sahip olması şarttır.
- 3 Sunuculu Kümede: Toplam 3 oy vardır; çoğunluk için 2 oy gerekir. Bir sunucu çökerse veya ağdan koparsa, kalan 2 sunucu çoğunluğu (2/3) sağlar ve iş yükünü güvenle devralır. Ağdan kopan tekil sunucu ise yalnız kaldığını (1/3) anlayarak kendini kilitler.
- 2 Sunuculu Kümede QDevice (Şahit) Zorunluluğu: İki sunuculu bir yapıda bir sunucu koparsa kalan sunucu %50 oyda (1/2) kalır ve çoğunluğu sağlayamaz. Bu nedenle 2 sunuculu mimarilerde mutlaka düşük güçlü üçüncü bir mikro sunucu veya farklı bir kabindeki NAS cihazı üzerinde Quorum Witness (QDevice / Hakem) konumlandırılır. Böylece toplam oy sayısı 3’e çıkarılır ve %100 güvenli yük devretme sağlanır.
Fencing (STONITH) ve Canlı Göç (Live Migration)
Donanımsal İzolasyon: Fencing / STONITH
Bir sunucu yazılım olarak kilitlendiğinde (örneğin I/O darboğazı yüzünden yanıt vermediğinde), diğer sunucular iş yükünü devralmadan önce sorunlu sunucunun diske yazma yapmadığından %100 emin olmalıdır. Fencing (STONITH - Shoot The Other Node In The Head) mekanizması; sağlıklı sunucuların sorunlu sunucuya veya onun IPMI/iDRAC/iLO yönetim kartına komut göndererek fiziksel elektriğini kesmesini ve ardından sanal makineleri sağlam sunucuda güvenle başlatmasını sağlar.
Sıfır Kesintiyle Bakım: Live Migration (Canlı Taşıma)
Failover Cluster yalnızca arıza anında değil, planlı bakımlarda da hayat kurtarır. Mesai saatleri içinde birinci sunucunun RAM kapasitesini artırmak veya işletim sistemi çekirdeğini güncellemek istediğinizde; çalışan Özel ERP ve İmalat Çözümleri veritabanı sanal makinesi Live Migration özelliğiyle bellekteki (RAM) açık oturumlarıyla birlikte ikinci sunucuya canlı olarak kaydırılır. Fabrikadaki hiçbir kullanıcının ekranı donmaz, tek bir ping paketi dahi kaybolmadan birinci sunucu bakıma alınır.
Ağ katmanında da tekil hata noktası bırakmamak adına, sunucu kümesinin önünde çalışan güvenlik duvarlarının da Active-Passive HA (CARP/VRRP) yapısında kurgulanması için Güvenlik Duvarı Hizmetleri ile bütünleşik mimari uygulanır.
Fabrikanız ve kurumunuz için kesintisiz çalışan sanallaştırma kümesi ve paylaşımlı depolama projelerimiz hakkında detaylı bilgi almak üzere Sunucu ve Yedekleme sayfamızı inceleyebilirsiniz.
Sıkça Sorulan Sorular
Failover Cluster kurduğumuzda ayrıca yedekleme (Backup) almamıza gerek var mıdır?
Evet, kesinlikle vardır. Yüksek Erişilebilirlik (HA Cluster) bir yedekleme çözümü değildir; donanım arızalarına karşı iş sürekliliği çözümüdür. Eğer bir kullanıcı yanlışlıkla ERP veritabanındaki bir tabloyu silerse veya ağa sızan bir fidye yazılımı dosyaları şifrelerse, bu değişiklik anında paylaşımlı depolama havuzuna (veya tüm Ceph düğümlerine) yazılır. Bu nedenle HA Cluster mimarisinin yanında mutlaka kümeden bağımsız bir sunucuya 3-2-1 kuralına uygun değişmez (Immutable) yedekleme yapılmalıdır.
İki sunuculu bir cluster için harici bir SAN depolama ünitesi almak zorunda mıyız?
Hayır. Klasik mimaride iki sunucunun ortasına pahalı bir SAN (Storage Area Network) cihazı konulurdu; ancak SAN cihazının kendisi arızalandığında her iki sunucu da dururdu. Günümüzde HCI (Hiper-Bütünleşik Altyapı) veya ZFS yüksek hızlı replikasyon mimarileri sayesinde, sunucuların kendi üzerlerindeki kurumsal NVMe diskler 10 GbE / 25 GbE ağ kartları üzerinden senkronize edilerek harici SAN maliyeti olmadan tam yedekli küme kurulabilmektedir.
Birinci sunucu tamamen yandığında sanal makinelerin ikinci sunucuda açılması kaç saniye sürer?
Sunucu donanımsal olarak kapandığında Corosync/Heartbeat ağı yaklaşık 5 ila 10 saniye içinde düğümün yanıt vermediğini kesinleştirir, Fencing işlemini uygular ve sanal makineleri ikinci düğümde başlatır. Sanal makinenin işletim sisteminin (Windows Server veya Linux) hızlı NVMe diskler üzerinden boot etmesiyle birlikte toplam kesinti süresi genellikle 45 ila 90 saniye arasında tamamlanır.