Резервная площадка: первые попытки посчитать

Разговор начался с того, что директор прочитал что-то про «disaster recovery» - то ли в деловой прессе, то ли услышал от партнёров. Пришёл к нам с вопросом: «А у нас есть резервная площадка?». Нет, не было. Разговор оказался полезным, хотя и неожиданно долгим.

Сразу стало понятно: у директора в голове - некий дата-центр за городом, где зеркально крутится всё то же самое, и если офис сгорит, бизнес переезжает туда за час. Это красивая картинка. Реальность, как обычно, устроена иначе.

Первый вопрос: сколько можно не работать

Прежде чем обсуждать что строить - мы задали два вопроса, без ответа на которые любой разговор про резервирование бессмысленный.

Первый - RTO: сколько часов компания может позволить себе простоять? Не «ноль», потому что «ноль» означает полное дублирование в реальном времени с автоматическим переключением - это деньги, которые мы сейчас не готовы тратить. Конкретно: если в понедельник утром рухнул сервер, к какому часу сотрудники должны снова работать?

Второй - RPO: данные за какой период можно потерять? Ночной бэкап означает, что при аварии в пять вечера пятницы пропадёт весь пятничный день. Это приемлемо? Или нужно что-то почаще?

Директор думал минут пятнадцать. Потом ответил: простой в пределах рабочего дня - четыре часа - терпимо. Потеря данных за текущий рабочий день - не терпимо, а вот потеря данных с момента последнего бэкапа прошлой ночи - скорее терпимо, потому что за ночь у них ничего не происходит.

Это честные цифры. С ними уже можно работать.

Что стоит за «резервной площадкой»

Полноценная резервная площадка - это арендованные стойки или место в ЦОД, канал туда, оборудование, которое в холодном или горячем резерве ждёт своего часа. Это расходы, которые у нашего клиента не окупятся. Офис на пятьдесят человек, сервер с 1С, файловая шара, почта - это не банк и не телеком.

Но задача-то реальная. Что случается чаще всего, что убивает работу на несколько часов? Не пожар и не наводнение. Умер диск. Перегорел блок питания. Залило серверную (один раз реально было). Вирус зашифровал файлы - мы уже проходили такое с шифровальщиком-экспериментом. Всё это сценарии, при которых надо поднять сервисы на другом железе, а не «переехать в другой город».

Так что задача переформулируется: нужен резервный сервер, на котором достаточно актуальные данные, и который можно запустить в работу за разумное время.

Что в итоге предложили

У клиента два офиса в одном городе, в пяти минутах езды друг от друга. Это уже хорошая новость: второй офис - это и есть «другая площадка» в разумном смысле слова. Не та же серверная, не тот же этаж, другое электропитание, другой интернет-канал.

Схема вышла такая.

Резервный сервер во втором офисе. Не новый, взяли машину, которую вывели из основного использования после апгрейда. Поставили туда систему, настроили так же как основной.

Синхронизация данных. Файловая шара - rsync каждые два часа. База 1С - дамп и синхронизация раз в час в рабочее время. О том, как это работает и в чём разница между зеркалом и бэкапом - мы писали отдельно, повторяться не будем. Суть: при аварии в самом плохом случае потеряем данные за последний час работы. Директор это принял.

Канал между офисами. VPN уже был - поставили раньше для совместной работы. Синхронизация идёт по нему.

Переключение - ручное. Виртуальный IP на резервный, перенаправление пользователей. Это не автоматика - нужен инженер. При наших четырёх часах RTO - вполне укладываемся.

Что осталось за скобками

Честно говоря, несколько вещей схема не закрывает.

Пожар или серьёзная авария в здании - маловероятно, но оба офиса у клиента в одном районе. Каналы к провайдеру разные, но если что-то случится с магистралью на районе - оба офиса без интернета. Для этого нужен другой масштаб решения, другой бюджет.

Данные за текущий час при аварии - потеряются. Мы договорились, что критичные документы сотрудники сохраняют вручную почаще. Не идеал, но жить можно.

Ночные бэкапы на ленту мы не трогали - они остались как есть, это отдельный уровень защиты с историей.

Где это попадает в практику

Разговор занял часа три, включая все вопросы и возражения. Зато в конце у директора было чёткое понимание: за что он платит, что это даёт и чего не даёт. Никаких иллюзий про «у нас теперь как в банке» - но и без беспочвенного страха.

Большинство клиентов, с которыми мы работаем в рамках сопровождения инфраструктуры, приходят к этому разговору раньше или позже. Хорошо, что этот пришёл до аварии, а не во время.

Резервная площадка в соседнем офисе - звучит не так впечатляюще, как ЦОД с гарантированным временем восстановления. Но для компании на пятьдесят человек это работающее решение за нормальные деньги. И это честнее, чем продавать то, что им не нужно.