Opis kworum klastra i puli

Dotyczy: Azure Stack HCI w wersjach 22H2 i 21H2; Windows Server 2022, Windows Server

Klaster trybu failover systemu Windows Server zapewnia wysoką dostępność obciążeń uruchomionych w klastrach Azure Stack HCI i Windows Server. Te zasoby są uważane za wysoce dostępne, jeśli węzły, które hostują zasoby, są aktywne; Jednak klaster zazwyczaj wymaga, aby działała więcej niż połowa węzłów, co jest nazywane posiadaniem kworum.

Kworum zostało zaprojektowane, aby zapobiec scenariuszom rozdwojenia jaźni , które mogą wystąpić, gdy w sieci znajduje się partycja, a podzbiory węzłów nie mogą się ze sobą komunikować. Może to spowodować, że oba podzbiory węzłów będą próbowały przejąć obciążenie i zapisywać na tym samym dysku, co może prowadzić do wielu problemów. Można temu jednak zapobiec dzięki koncepcji kworum klastra trybu failover, która wymusza dalsze działanie tylko jednej z tych grup węzłów, więc tylko jedna z tych grup pozostaje w trybie online.

Kworum określa liczbę awarii, które klaster może wytrzymać, pozostając w trybie online. Kworum jest przeznaczone do obsługi scenariusza, w którym występuje problem z komunikacją między podzbiorami węzłów klastra, dzięki czemu wiele serwerów nie próbuje jednocześnie hostować grupy zasobów i zapisywać na tym samym dysku w tym samym czasie. Mając tę koncepcję kworum, klaster wymusza zatrzymanie usługi klastra w jednym z podzbiorów węzłów, aby upewnić się, że istnieje tylko jeden prawdziwy właściciel określonej grupy zasobów. Węzły, które zostały zatrzymane, mogą ponownie komunikować się z główną grupą węzłów i automatycznie dołączą do klastra i uruchomią swoją usługę klastrowania.

W usługach Azure Stack HCI i Windows Server 2019 istnieją dwa składniki systemu, które mają własne mechanizmy kworum:

• Kworum klastra: Działa na poziomie klastra (tj. można stracić węzły i klastra pozostać aktywnym)
• Kworum puli: Działa na poziomie puli (tj. możesz stracić węzły i dyski, a pula pozostanie aktywna). Pule pamięci masowej zostały zaprojektowane do użytku zarówno w scenariuszach klastrowych, jak i nieklastrowanych, dlatego mają inny mechanizm kworum.

Omówienie kworum klastra

Poniższa tabela zawiera omówienie wyników kworum klastra dla poszczególnych scenariuszy:

Węzły serwera	Może przetrwać awarię jednego węzła serwera	Może przetrwać awarię jednego węzła serwera, a następnie inny	Może przetrwać dwie równoczesne awarie węzłów serwera
2	50/50	Nie.	Nie.
2 + Świadek	Tak	Nie.	Nie.
3	Tak	50/50	Nie.
3 + Świadek	Tak	Tak	Nie.
4	Tak	Tak	50/50
4 + Świadek	Tak	Tak	Tak
5 i nowsze	Tak	Tak	Tak

Zalecenia dotyczące kworum klastra

• Jeśli masz dwa węzły, wymagany jest monitor.
• Jeśli masz trzy lub cztery węzły, zdecydowanie zaleca się obecność świadka.
• Jeśli masz co najmniej pięć węzłów, monitor nie jest potrzebny i nie zapewnia dodatkowej odporności.
• Jeśli masz dostęp do Internetu, użyj monitora w chmurze.
• Jeśli jesteś w środowisku IT z innymi maszynami i udziałami plików, użyj monitora udziału plików.

Jak działa kworum klastra

Gdy węzły ulegną awarii lub gdy jeden podzbiór węzłów straci kontakt z innym podzbiorem, węzły, które przetrwały, muszą zweryfikować, czy stanowią większość klastra, aby pozostać w trybie online. Jeśli nie będą w stanie tego zweryfikować, przejdą w tryb offline.

Ale koncepcja większości działa czysto tylko wtedy, gdy całkowita liczba węzłów w klastrze jest nieparzysta (na przykład trzy węzły w klastrze z pięcioma węzłami). A co z klastrami z parzystą liczbą węzłów (powiedzmy, klastrem z czterema węzłami)?

Istnieją dwa sposoby, w jakie klaster może sprawić, że łączna liczba głosów będzie nieparzysta:

1. Po pierwsze, może wzrosnąć o jeden, dodając świadka z dodatkowym głosem. Wymaga to konfiguracji przez użytkownika.
2. Lub może spaść o jeden, zerując głos jednego pechowego węzła (dzieje się to automatycznie w razie potrzeby).

Za każdym razem, gdy węzły, które przeżyły, pomyślnie zweryfikują, że stanowią większość, definicja większości jest aktualizowana tak, aby dotyczyła tylko tych, którzy przeżyli. Dzięki temu klaster może stracić jeden węzeł, potem kolejny, potem kolejny i tak dalej. Ta koncepcja całkowitej liczby głosów dostosowujących się po kolejnych niepowodzeniach jest znana jako kworum dynamiczne.

Dynamiczny świadek

Świadek dynamiczny przełącza głos świadka, aby upewnić się, że łączna liczba głosów jest nieparzysta. Jeżeli liczba głosów jest nieparzysta, świadek nie ma prawa głosu. Jeśli liczba głosów jest parzysta, świadek ma głos. Dynamiczny obserwator znacznie zmniejsza ryzyko, że klaster ulegnie awarii monitora. Klaster decyduje, czy użyć głosu monitora, na podstawie liczby węzłów głosowania, które są dostępne w klastrze.

Kworum dynamiczne współpracuje z monitorem dynamicznym w sposób opisany poniżej.

Dynamiczne zachowanie kworum

• Jeśli masz parzystą liczbę węzłów i nie ma monitora, jeden węzeł otrzymuje swój głos wyzerowany. Na przykład tylko trzy z czterech węzłów otrzymują głosy, więc łączna liczba głosów wynosi trzy, a dwie osoby, które przeżyły, z głosami są uważane za większość.
• Jeśli masz nieparzystą liczbę węzłów i nie masz świadka, wszystkie one otrzymują głosy.
• Jeśli masz parzystą liczbę węzłów i świadka, świadek głosuje, więc suma jest nieparzysta.
• Jeśli masz nieparzystą liczbę węzłów i świadka, świadek nie głosuje.

Kworum dynamiczne umożliwia dynamiczne przypisywanie głosu do węzła w celu uniknięcia utraty większości głosów i umożliwienia klastrowi działania z jednym węzłem (tzw. ostatni stojący człowiek). Weźmy jako przykład klaster z czterema węzłami. Załóżmy, że kworum wymaga 3 głosów.

W takim przypadku klaster uległby awarii, gdyby utracono dwa węzły.

Jednak kworum dynamiczne uniemożliwia takie działania. Łączna liczba głosów wymagana do uzyskania kworum jest teraz określana na podstawie liczby dostępnych węzłów. Tak więc w przypadku kworum dynamicznego klaster pozostaje aktywny, nawet jeśli utracisz trzy węzły.

Powyższy scenariusz dotyczy ogólnego klastra, który nie ma włączonej bezpośredniej funkcji Bezpośrednie miejsca do magazynowania. Jednak po włączeniu Bezpośrednie miejsca do magazynowania klaster może obsługiwać tylko awarie dwóch węzłów. Jest to bardziej szczegółowo wyjaśnione w sekcji kworum puli.

Przykłady

Dwa węzły bez monitora

Głos jednego węzła jest wyzerowany, więc większość głosów jest określana z łącznej liczby 1 głosów. Jeśli węzeł bez prawa głosu nieoczekiwanie ulegnie awarii, ocalały ma 1/1, a klaster przetrwa. Jeśli węzeł głosowania nieoczekiwanie przestanie działać, ocalały ma 0/1, a klaster spada. Jeśli węzeł głosowania zostanie bezpiecznie wyłączony, głos zostanie przeniesiony do drugiego węzła, a klaster przetrwa. Dlatego tak ważne jest skonfigurowanie świadka.

• Może przetrwać jedną awarię serwera: pięćdziesiąt procent szansy.
• Może przetrwać jedną awarię serwera, a potem kolejną: Nie.
• Może przetrwać dwie awarie serwera jednocześnie: Nie.

Dwa węzły ze świadkiem

Oba węzły głosują plus głosy świadków, więc większość jest określana z łącznej liczby 3 głosów. Jeśli któryś z węzłów ulegnie awarii, ocalały ma 2/3, a klaster przetrwa.

• Może przetrwać jedną awarię serwera: Tak.
• Może przetrwać jedną awarię serwera, a potem kolejną: Nie.
• Może przetrwać dwie awarie serwera jednocześnie: Nie.

Trzy węzły bez monitora

Wszystkie węzły głosują, więc większość jest określana z łącznej liczby 3 głosów. Jeśli którykolwiek z węzłów ulegnie awarii, ocalałych jest 2/3, a klaster przetrwa. Klaster staje się dwoma węzłami bez monitora — w tym momencie znajdujesz się w scenariuszu 1.

• Może przetrwać jedną awarię serwera: Tak.
• Może przetrwać jedną awarię serwera, a potem drugą: pięćdziesiąt procent szansy.
• Może przetrwać dwie awarie serwera jednocześnie: Nie.

Trzy węzły ze świadkiem

Wszystkie węzły głosują, więc świadek początkowo nie głosuje. Większość jest ustalana z łącznej liczby 3 głosów. Po jednej awarii klaster ma dwa węzły z monitorem — co powoduje powrót do scenariusza 2. A więc teraz dwa węzły i głos świadka.

• Może przetrwać jedną awarię serwera: Tak.
• Może przetrwać jedną awarię serwera, a potem kolejną: Tak.
• Może przetrwać dwie awarie serwera jednocześnie: Nie.

Cztery węzły bez monitora

Głos jednego węzła jest wyzerowany, więc większość jest określana z łącznej liczby 3 głosów. Po jednym niepowodzeniu klaster staje się trzema węzłami i jesteś w scenariuszu 3.

• Może przetrwać jedną awarię serwera: Tak.
• Może przetrwać jedną awarię serwera, a potem kolejną: Tak.
• Może przetrwać dwie awarie serwera jednocześnie: pięćdziesiąt procent szansy.

Cztery węzły ze świadkiem

Wszystkie węzły głosują i głosy świadków, więc większość jest określana z łącznej liczby 5 głosów. Po jednym niepowodzeniu znajdujesz się w scenariuszu 4. Po dwóch jednoczesnych awariach przechodzisz do scenariusza 2.

• Może przetrwać jedną awarię serwera: Tak.
• Może przetrwać jedną awarię serwera, a potem kolejną: Tak.
• Może przetrwać dwie awarie serwera jednocześnie: Tak.

Pięć węzłów i więcej

Głosują wszystkie węzły lub wszystkie oprócz jednego, w zależności od tego, co sprawia, że suma jest nieparzysta. Bezpośrednie miejsca do magazynowania i tak nie mogą obsłużyć więcej niż dwóch węzłów, więc w tym momencie żaden monitor nie jest potrzebny ani przydatny.

• Może przetrwać jedną awarię serwera: Tak.
• Może przetrwać jedną awarię serwera, a potem kolejną: Tak.
• Może przetrwać dwie awarie serwera jednocześnie: Tak.

Teraz, gdy już wiemy, jak działa kworum, przyjrzyjmy się typom świadków kworum.

Typy świadków kworum

Klaster trybu failover obsługuje trzy typy świadków kworum:

• Monitor w chmurze — magazyn obiektów blob na platformie Azure dostępny dla wszystkich węzłów klastra. Przechowuje informacje klastrowania w pliku witness.log, ale nie przechowuje kopii bazy danych klastra.
• Monitor udziału plików — udział plików SMB skonfigurowany na serwerze plików z systemem Windows Server. Przechowuje informacje klastrowania w pliku witness.log, ale nie przechowuje kopii bazy danych klastra.
• Monitor dysku — mały dysk klastrowany, który znajduje się w grupie Magazyn dostępny w klastrze. Ten dysk jest wysoce dostępny i może być przełączany w tryb failover między węzłami. Zawiera kopię bazy danych klastra. Świadek dysku nie jest obsługiwany w Storage Spaces Direct.

Omówienie kworum puli

Właśnie rozmawialiśmy o kworum klastra, które działa na poziomie klastra. Teraz zanurzmy się w kworum puli, które działa na poziomie puli (tj. możesz stracić węzły i dyski, a pula pozostanie aktywna). Pule pamięci masowej zostały zaprojektowane do użytku zarówno w scenariuszach klastrowych, jak i nieklastrowanych, dlatego mają inny mechanizm kworum.

Poniższa tabela zawiera omówienie wyników kworum puli dla poszczególnych scenariuszy:

Węzły serwera	Może przetrwać awarię jednego węzła serwera	Może przetrwać awarię jednego węzła serwera, a następnie inny	Może przetrwać dwie równoczesne awarie węzłów serwera
2	Tak	Nie.	Nie.
2 + Świadek	Tak	Nie.	Nie.
3	Tak	Nie.	Nie.
3 + Świadek	Tak	Nie.	Nie.
4	Tak	Nie.	Nie.
4 + Świadek	Tak	Tak	Tak
5 i nowsze	Tak	Tak	Tak

Jak działa kworum puli

Gdy dyski ulegną awarii lub gdy jeden podzbiór dysków utraci kontakt z innym podzbiorem, dyski, które przetrwały, hostując metadane, muszą zweryfikować, czy stanowią większość puli, aby pozostać w trybie online. Jeśli nie będą w stanie tego zweryfikować, przejdą w tryb offline. Pula to jednostka, która przechodzi w tryb offline lub pozostaje w trybie online w zależności od tego, czy ma wystarczającą liczbę dysków dla kworum (50% + 1). Baza danych klastra może mieć wartość +1, o ile sam klaster jest kworum.

Jednak kworum puli działa inaczej niż kworum klastra w następujący sposób:

• Pula wybiera podzbiór dysków na węzeł do hostowania metadanych
• Pula używa bazy danych klastra do przerywania więzi
• Pula nie ma kworum dynamicznego
• Pula nie implementuje własnej wersji usuwania głosu

Przykłady

Cztery węzły o układzie symetrycznym

Każdy z 16 dysków ma jeden głos, a węzeł drugi ma również jeden głos (ponieważ jest właścicielem zasobu puli). Większość wyłaniana jest z ogólnej liczby 16 głosów. Jeśli węzły trzeci i czwarty ulegną awarii, pozostały podzbiór ma 8 dysków i właściciela zasobu puli, czyli 9/16 głosów. Tak więc basen przetrwa.

• Może przetrwać jedną awarię serwera: Tak.
• Może przetrwać jedną awarię serwera, a potem kolejną: Tak.
• Może przetrwać dwie awarie serwera jednocześnie: Tak.

Cztery węzły z symetrycznym układem i awarią dysku

Każdy z 16 dysków ma jeden głos, a węzeł 2 ma również jeden głos (ponieważ jest właścicielem zasobu puli). Większość wyłaniana jest z ogólnej liczby 16 głosów. Po pierwsze, dysk 7 idzie w dół. Jeśli węzły trzeci i czwarty ulegną awarii, pozostały podzbiór ma 7 dysków i właściciela zasobu puli, czyli 8/16 głosów. Tak więc pula nie ma większości i spada.

• Może przetrwać jedną awarię serwera: Tak.
• Może przetrwać jedną awarię serwera, a potem kolejną: Nie.
• Może przetrwać dwie awarie serwera jednocześnie: Nie.

Zalecenia dotyczące kworum puli

• Upewnij się, że każdy węzeł w klastrze jest symetryczny (każdy węzeł ma taką samą liczbę dysków)
• Włącz dublowanie trójkierunkowe lub podwójną parzystość, aby tolerować awarie dwóch węzłów i utrzymywać dyski wirtualne w trybie online.
• Jeśli więcej niż dwa węzły nie działają lub dwa węzły i dysk w innym węźle nie działają, woluminy mogą nie mieć dostępu do wszystkich trzech kopii swoich danych, a tym samym zostać przełączone w tryb offline i być niedostępne. Zaleca się szybkie przywrócenie serwerów lub wymianę dysków w celu zapewnienia największej odporności wszystkich danych w woluminie.

Dalsze kroki

• Konfigurowanie i zarządzanie kworum
• Konfigurowanie świadka klastra