Exchange DAG Dynamic Quorum

[Flare 12]

Hallo,

 

Mal angenommen ich habe 8 Exchangeserver in 2 Rechenzentren. 4 Exchangeserver pro Standort.

FSW ist an einem dritten Standort.

 

Ein RZ wird abgeschaltet, somit sind 4 Server down.

Das Quorum ist somit noch vorhanden da FSW + 4 Exchangeserver die Mehrheit bilden.

 

Mal angenommen das die Abschaltung des RZ länger dauerd, und es geht in dieser Zeit noch ein Server aufgrund eines Defektes down.

Dann sollte doch dank Dynamic Quorum die restlichen 3 Server die DAG aufrecht erhalten können..

 

Sehe ich das richtig ?

 

Gruss

[NilsK 2.934]

Moin,

 

Solange die Anzahl der Knoten bei 8 bleibt und es eine Quorum-Stimme gibt, dürfen nicht mehr als vier Stimmen fehlen. In deinem Szenario würde sich der Cluster also abschalten, um keine Folgeprobleme zu erzeugen.

 

Die Dynamik bezieht sich auf einen Wechsel der Konfiguration, bei dem man etwa einen Knoten hinzufügt oder entfernt. Dadurch ändert sich ja die Anzahl der Stimmen, sodass der Cluster erkennt, ob er das Quorum mitzählen muss oder nicht. Das gilt natürlich nicht bei Ausfällen.

 

Gruß, Nils

 

[Flare 12]

Hallo Nils,

danke für die Antwort.

Ist es den nicht so,das bei einem Ausfall eines Standortes, den 4 Server das Vote entzogen wird ?. So das nur noch die 4 restlichen Server eine Stimme haben ?

 

Und wenn jetzt etwas später noch ein Server ausfällt besteht noch ein Quorum, da die Mehrzahl von den restlichen vier gerechnet wird ?.

 

So, wie hier beschrieben ?

https://practical365.com/exchange-server/windows-server-2012-dynamic-quorum/

Oder hier

http://techgenix.com/exchange-2013-dag-dynamic-quorum-part1/

Gruss

bearbeitet 26. Juli 2020 von Flare

[NorbertFe 2.035]

Soweit ich mich erinnere kann man tatsächlich bis "last man standing" betreiben. Dann sollte man sich aber auch über DAC und die restlichen Punkte von Resilience die MS da vorsieht Gedanken machen.

[Flare 12]

Hallo,

 

hat das schon mal jemand von euch getestet und hat damit Erfahrungswerte ?

Wann wird das Vote entzogen ? Nur bei einem sauberen Runterfahren des Servers ?

 

Hintergrund ist, das wenn ein RZ komplett nicht mehr zur Verfügung steht, immer noch eine 

Redundanz besteht und ein weiterer Server in dem Zeitraum ausfallen darf..

 

 

[NorbertFe 2.035]

probiers doch aus. dafür braucht man ja nur 4 VMs. ;) Und das setzt natürlich voraus, dass alle DBs immer auf allen 8 Servern vorhanden sind. Über welche Größenordnung von Nutzern reden wir denn?

bearbeitet 27. Juli 2020 von NorbertFe

[Flare 12]

Hallo Norbert,

ja ausreichend passive Kopien sind vorhanden, so das mit 3 von 8 Servern der Betrieb aufrecht erhalten werden kann.

So ca. 6000 Benutzer, werde dann wohl ein paar VM´s aufsetzen müssen um das genau testen zu können.

 

[NilsK 2.934]

Moin,

 

so, wie das Szenario eingangs beschrieben ist, würde es meines Wissens mit einem fünften Ausfall nicht funktionieren, wenn man nicht manuell eingreift. Die dynamische Veränderung der Cluster-Stimmen setzt voraus, dass der Cluster nicht auf einen Schlag in einem kritischen Zustand ist. Anderenfalls ist das Risiko von Split Brain zu groß.

 

Generell ist es richtig, mit Dynamic Quorum kann ein Cluster bis runter auf einen Knoten ausfallen und immer noch weiter arbeiten - Stück für Stück. Das hier diskutierte Szenario würde aber trotzdem ein erhebliches Funktionsrisiko erzeugen. Wie gesagt, ich bin der Meinung, dass es nicht von selbst funktionieren würde, das aber nur auf theoretischer Basis ohne Praxiserfahrung mit genau diesem Szenario. Selbst wenn es ginge, würde ich mir aber gut überlegen, ob mir das Risiko nicht doch zu hoch ist.

 

Gruß, Nils

 

[Flare 12]

Hallo Nils,

 

ja ich werde das mal mit ein paar VM´s durchspielen.

Ich will da auf Nummer sicher gehen..  

 

Ja, die Server dürfen nicht alle auf einmal ausfallen, das stimmt.

Das Szenario welches ich beschrieb, 1 RZ fällt aus, Quorum besteht noch, da mit FSW noch die Mehrheit gebildet werden kann.

Ein weiterer Server fällt später in diesem Zeitraum aus, also nicht gleichzeitig mit den anderen.

 

Ich denke nicht dass das Risiko zu hoch ist, schließlich kann ich den Betrieb aufrecht erhalten wenn ein Standort weggebrochen ist und zudem noch kurze Zeit später ein weiterer Server die Biege macht.

Das dieses Szenario mal zutreffen wird ist schon äußerst gering.

 

Ich werde auf jeden Fall berichten..

 

Gruß

bearbeitet 27. Juli 2020 von Flare

[NilsK 2.934]

Moin,

 

einen solchen Cluster würde man ja aber ohnehin mit Monitoring und einem umfassenden Betriebskonzept betreiben. Wenn ein ganzes RZ plötzlich ausfällt und nicht sofort wieder da ist, muss es zum Eingriff kommen, da wartet man ja nicht einfach ab. Zu so einem Eingriff kann auch die Rekonfiguration des Clusters gehören.

 

Und selbst dann sollte man im Blick behalten, dass in fast allen Unternehmen faktisch die Anforderungen an den Wiederanlauf von Mail geringer sind als etwa bei einer Produktionssteuerung. Statt zu sehr auf Automatisierung und ein imaginär notwendiges "Sofort" zu blicken (was viele tun), ist es oft sinnvoller, weniger Energie gezielt in den Aufbau von Prozessen zu stecken.

 

Gruß, Nils

 

[Flare 12]

Da gib ich Dir recht, ein RZ sollte erst gar nicht ausfallen und wenn dann schon gar nicht über Tage.

Ich spiele solche Szenarien dennoch gerne durch um die Handgriffe dann auch geplant zu haben, ob ich das Exchange Cluster dann rekonfigurieren muss oder Dynamic Quorum es automatisch macht.

 

Gruß

 

 

 

[NorbertFe 2.035]

Ich bin da bei Nils. Wenn die Mail mal nicht da ist (auch bei 6000 Usern), geht die Welt definitiv langsamer unter, als man immer denkt. Und bei 8 Knoten über zwei RZ und abgesetzten FSW sollte Planung für Betrieb und Desaster ja sowieso dazugehören. Nichtsdestotrotz ist das Wissen vom Handling natürlich praktisch im Fehlerfall. ;)

 

Bye

Norbert

[NilsK 2.934]

Moin,

 

falls du die Zeit für Tests findet, wäre das Ergebnis jedenfalls interessant.

 

Gruß, Nils

 

[NorbertFe 2.035]

vor 3 Stunden schrieb NilsK:

Anderenfalls ist das Risiko von Split Brain zu groß

Das würde man bei exchange ja mit dac in den Griff kriegen.

[NilsK 2.934]

Moin,

 

vor 57 Minuten schrieb NorbertFe:

Das würde man bei exchange ja mit dac in den Griff kriegen.

ja, aber Exchange bedient sich ja auch nur sehr selektiv bei den Clusterfunktionen des Betriebssystems. Die Aussage meinte ich übergreifender.

 

Gruß, Nils