Как проверяют, что резервная копия восстановится

Резервная копия имеет смысл только тогда, когда из неё удалось развернуть работающую систему в известный срок. Задание, которое отчитывается об успешном завершении, этого не доказывает: ошибки обнаруживаются на восстановлении — у копии нет части данных, нет носителя нужного поколения, нет свободного оборудования, на котором разворачивать, или развёртывание укладывается не в час, а в двое суток.

Ниже — что именно проверяется, из чего собирается стенд для проверки, как считается допустимое время восстановления и какое оборудование под это закладывается. Позиции собраны в разделах ленточные накопители и библиотеки, дисковые полки и серверы.

Что проверяется помимо отчёта задания

• Читаемость носителя. Для ленты это чтение картриджа приводом, для дисковой полки — контрольное считывание блоков. Задание записи успешно завершается и в том случае, если носитель читается с ошибками при обратном чтении.
• Целостность цепочки копий. Полная копия и последующие разностные образуют цепочку: потеря одного звена делает недоступными все следующие. Проверяется наличие каждого звена за выбранную точку восстановления.
• Полнота состава. В копию попадает то, что перечислено в задании. Новая база, новый том, новая виртуальная машина в задание не попадают автоматически, и отсутствие обнаруживается только при восстановлении.
• Применимость к оборудованию. Образ, снятый с одной платформы, разворачивается на другой не всегда: различаются контроллеры дисков, сетевые адаптеры, режим загрузки.
• Фактическое время развёртывания. Замеряется от начала операции до работоспособного состояния службы, а не до окончания копирования файлов.
• Доступность ключей шифрования. Зашифрованная копия без ключа бесполезна, и ключ хранится отдельно от копии.
• Актуальность документации на развёртывание. Порядок действий, пароли, адреса, зависимости служб — всё это проверяется вместе с самой копией.

Как считается допустимое время восстановления

Два показателя задаются до выбора оборудования и определяют весь его состав.

• Допустимая потеря данных. Определяет частоту снятия копий: при частоте раз в сутки теряется до суток работы, при частоте раз в час — до часа.
• Допустимое время простоя. Определяет, с какого носителя восстанавливаются данные и нужно ли держать свободное оборудование под развёртывание.
• Скорость чтения с носителя. Объём восстанавливаемых данных делится на реальную скорость чтения — это нижняя граница времени, к которой добавляется время на подготовку оборудования и запуск служб.
• Порядок восстановления. Службы зависят друг от друга, и часть из них нельзя поднимать параллельно. Суммарное время считается по цепочке зависимостей, а не по самому большому объёму.
• Пропускная способность сети между хранилищем копий и целевым оборудованием. На больших объёмах именно она, а не носитель, ограничивает скорость.

Когда допустимое время простоя измеряется часами, последняя полная копия держится на диске, а лента остаётся только для долгого хранения. Когда простой измеряется сутками, достаточно ленты. Накопители и картриджи собраны в разделе ленточные накопители и библиотеки, диски под промежуточное хранение — в разделе жёсткие диски.

Чем различаются способы проверки

Какое оборудование нужно для проверки

• Отдельный сервер под развёртывание. Требования к нему ниже, чем к рабочему: достаточно процессора и памяти, позволяющих поднять систему, и дискового пространства под один восстанавливаемый экземпляр. Подбирается в разделе стоечные серверы.
• Дисковое пространство под промежуточную площадку. На неё выкладывается образ с ленты перед развёртыванием: восстанавливать напрямую с ленты медленно и ненадёжно при многократных обращениях.
• Привод того же поколения, что и картриджи. Приводы читают носители на одно-два поколения назад, но не произвольно глубоко, и при смене парка это проверяется отдельно.
• Сетевая связность достаточной полосы между хранилищем копий и целевым оборудованием. При восстановлении десятков терабайт разница между 1 и 10 Гбит/с измеряется сутками. Коммутаторы и адаптеры подбираются в разделах коммутаторы и кабели.
• Изолированный сегмент сети. Поднятая из копии система не должна попасть в рабочую сеть с теми же адресами и именами.
• Место хранения ключей и документации, независимое от восстанавливаемой системы.

Как выстраивается регламент

• Ежедневно — контроль завершения заданий и свободного места на хранилище копий.
• Еженедельно — восстановление выборочных файлов из последней копии и обратное чтение части носителей.
• Ежемесячно — полное развёртывание одной значимой системы на отдельном оборудовании с замером времени.
• Раз в полгода — проверка восстановления по всей цепочке зависимостей, включая службы каталога, базы и прикладные серверы.
• При каждом изменении состава систем — ревизия заданий: что добавилось и попало ли это в копию.
• Все замеры времени фиксируются. Без записанных значений нельзя утверждать, что допустимое время простоя соблюдается.

Частые вопросы

Достаточно ли проверки, которую делает сама система резервного копирования? Встроенная проверка подтверждает целостность файла копии и иногда выполняет тестовый запуск виртуальной машины. Это полезно, но не заменяет развёртывания на оборудовании и замера времени по цепочке зависимостей.

Можно ли проверять восстановление на рабочем оборудовании? Только в отдельном изолированном сегменте и в плановое окно. Безопаснее держать под проверку отдельный сервер — его требования заметно ниже рабочих, и он же становится площадкой при настоящем отказе.

Сколько лент держать под долгий архив? Число картриджей считается от объёма архива, глубины хранения и ёмкости поколения ленты, плюс запас на вышедшие из допуска носители. Отдельно закладывается чистящий картридж для привода.

Что делать, если восстановление не укладывается в допустимое время? Варианты в порядке стоимости: держать последнюю полную копию на диске вместо ленты, увеличить полосу между хранилищем и целевым оборудованием, разделить системы по приоритету восстановления, добавить резервное оборудование под критичные службы.

Что прислать для расчёта? Перечень систем с объёмом данных, допустимую потерю данных и допустимое время простоя по каждой, текущую схему копирования и носители, полосу между площадками, наличие свободного оборудования под развёртывание.

Что мы делаем

Считаем нижнюю границу времени восстановления по объёму и скорости чтения носителя, подбираем состав хранилища копий под заданные допуски, предлагаем оборудование под площадку развёртывания и проверки, подбираем приводы и картриджи нужного поколения, считаем требуемую полосу между хранилищем и целевыми серверами. Позиции — в разделах ленточные накопители и библиотеки, дисковые полки, дисковые массивы, стоечные серверы и жёсткие диски.

Пришлите объём данных и допустимое время простоя на server@tkasiatorg.ru — посчитаем время восстановления, подберём носители и оборудование под проверку, назовём сроки поставки.