Zapasowe łącze internetowe jest jedną z najczęściej kupowanych i najrzadziej testowanych form redundancji. Umowa podpisana, kabel podłączony do drugiego portu routera, pozycja w budżecie uzasadniona. Pierwszy test odbywa się w dniu awarii łącza podstawowego i wtedy okazuje się, że przełączenie nie nastąpiło, nastąpiło po dwudziestu minutach albo nastąpiło, ale VPN do drugiego oddziału i tak nie działa.
Dwa łącza to nie to samo, co dwie umowy
Redundancja istnieje wtedy, gdy łącza nie mają wspólnego punktu awarii. Dwa łącza od tego samego operatora często wchodzą tym samym kablem do budynku i kończą się w tym samym węźle. Dwa łącza światłowodowe od różnych operatorów bywają prowadzone tą samą kanalizacją, którą przecina ta sama koparka.
Rozsądne minimum dla małej firmy: łącze podstawowe przewodowe i łącze zapasowe innego typu, radiowe lub komórkowe, od innego operatora. Przepustowość zapasowego może być mniejsza; ma utrzymać krytyczne usługi, nie komfort.
Wykrywanie awarii
Router lub firewall decyduje o przełączeniu na podstawie monitorowania łącza. Najczęstszy błąd: monitorowanie przez odpytywanie bramy operatora. Brama odpowiada, gdy awaria jest dalej w sieci operatora, więc przełączenie nie następuje, a internet nie działa.
Monitorowanie powinno sprawdzać cele poza siecią operatora: dwa lub trzy adresy publiczne różnych organizacji, przez dane łącze. Przełączenie następuje, gdy większość celów nie odpowiada przez określony czas, na przykład trzy kolejne próby co dziesięć sekund. Zbyt krótki czas oznacza przełączanie w obie strony przy chwilowych zakłóceniach; zbyt długi oznacza minuty bez internetu.
Powrót na łącze podstawowe po jego przywróceniu również ma opóźnienie, dłuższe niż przełączenie awaryjne: łącze, które wróciło na trzydzieści sekund, może zaraz zniknąć znowu.
Co się nie przełączy samo
Przełączenie ruchu wychodzącego to najprostsza część. Kilka rzeczy wymaga osobnego planu:
- Usługi wystawione do internetu pod publicznym adresem łącza podstawowego. Po przełączeniu adres jest nieosiągalny. Rozwiązania: usługi za zewnętrznym dostawcą (proxy, chmura), dynamiczna aktualizacja rekordów DNS z krótkim TTL, albo świadoma decyzja, że te usługi nie mają redundancji.
- Tunele VPN między lokalizacjami zestawione na konkretne adresy. Druga strona musi znać oba adresy publiczne i mieć skonfigurowane dwa tunele lub tunel z automatycznym wyborem.
- Rekordy SPF, jeśli poczta wychodzi bezpośrednio z lokalizacji. Adres łącza zapasowego musi być w rekordzie, inaczej poczta po przełączeniu trafia do spamu.
- Listy dozwolonych adresów u partnerów i w usługach chmurowych, które ograniczają dostęp do publicznego adresu firmy.
- Filtrowanie i logowanie, które działa na łączu podstawowym, a na zapasowym zostało pominięte, bo „to tylko awaryjne”.
Priorytety na łączu zapasowym
Mniejsza przepustowość wymaga decyzji, co jest ważne. Reguły kształtowania ruchu na łączu zapasowym: głos i wideo oraz VPN mają pierwszeństwo, następnie usługi biurowe w chmurze, na końcu wszystko inne. Aktualizacje systemów i kopie zapasowe do chmury są wstrzymywane na czas pracy na łączu zapasowym.
Test
Raz na kwartał, w godzinach pracy, po uprzedzeniu: odłączenie kabla łącza podstawowego. Nie wyłączenie interfejsu w konfiguracji, bo to testuje inny scenariusz. Pomiar: po jakim czasie ruch płynie łączem zapasowym, co przestało działać, czy ktoś zauważył. Po podłączeniu kabla: czy ruch wrócił i po jakim czasie. Wyniki zapisane, rozbieżności poprawione przed kolejnym testem.
Zdarzenie przełączenia generuje alert. Praca na łączu zapasowym przez tydzień bez wiedzy zespołu jest częstsza, niż się wydaje.
Podsumowanie
Redundancja łącza to niezależne medium i operator, monitorowanie celów poza siecią operatora, plan dla usług wchodzących i tuneli, priorytety ruchu na łączu o mniejszej przepustowości i test przez wyciągnięcie kabla co kwartał. Drugie łącze bez tych elementów jest pozycją w budżecie, nie zabezpieczeniem.