Per un’azienda moderna, il funzionamento continuo dei sistemi informatici è diventato un elemento essenziale per garantire la normale operatività. Server, database, gestionali, applicazioni web, sistemi di posta elettronica e servizi interni sono spesso interconnessi e un problema su un singolo componente può avere conseguenze sull’intera organizzazione. Un server che si arresta improvvisamente può impedire ai dipendenti di accedere al gestionale, bloccare applicazioni utilizzate quotidianamente, rendere temporaneamente indisponibili dati e documenti oppure interrompere servizi rivolti direttamente ai clienti. Per questo motivo parlare di alta disponibilità dei server significa progettare un'infrastruttura nella quale il guasto di un componente non comporti necessariamente l'interruzione del servizio.
L’alta disponibilità, indicata spesso con il termine High Availability o HA, non significa semplicemente utilizzare un server particolarmente potente o acquistare hardware di fascia elevata. Il concetto è più ampio e riguarda la progettazione dell’intera infrastruttura IT affinché i singoli punti di errore vengano ridotti e, quando possibile, sostituiti da componenti ridondanti. L’obiettivo è fare in modo che un problema hardware, software, elettrico o di rete possa essere gestito senza provocare un fermo prolungato dei servizi aziendali.
Perché un server può causare un fermo aziendale
Un errore comune nella progettazione delle infrastrutture aziendali consiste nel considerare il server come un unico elemento isolato. In realtà, anche quando il server dispone di componenti affidabili, esistono numerosi elementi che possono provocare un'interruzione. Un disco guasto, un alimentatore difettoso, un problema sulla rete, un errore del sistema operativo, un aggiornamento non riuscito, un malfunzionamento del database o un'interruzione dell'alimentazione elettrica possono rendere indisponibile un servizio.
La situazione diventa particolarmente critica quando tutti i servizi aziendali dipendono da un unico server. Se sullo stesso sistema vengono eseguiti il gestionale, il database, le applicazioni interne e altri servizi fondamentali, il guasto di quel server può bloccare contemporaneamente diverse attività. In questo scenario il problema non riguarda soltanto l'infrastruttura informatica, ma può trasformarsi rapidamente in un problema operativo ed economico per l'azienda.
La progettazione dell'alta disponibilità parte quindi dall'identificazione dei Single Point of Failure, cioè quei componenti la cui indisponibilità è sufficiente a interrompere un determinato servizio. Eliminare completamente ogni possibile punto di errore non è sempre economicamente conveniente, ma ridurre quelli più critici permette di aumentare significativamente l'affidabilità dell'infrastruttura.
Ridondanza dei server
Uno dei principali strumenti utilizzati per ottenere alta disponibilità è la ridondanza. Invece di affidare un servizio a un solo server, è possibile predisporre più sistemi capaci di collaborare oppure subentrare in caso di guasto. In base all'architettura adottata, un secondo server può rimanere pronto a prendere il controllo del servizio oppure entrambi i sistemi possono lavorare contemporaneamente distribuendo il carico.
Questa configurazione permette di evitare che il guasto di un singolo server determini necessariamente l'interruzione del servizio. Se il nodo principale non è più disponibile, il sistema può effettuare un failover verso il nodo secondario. Il passaggio può essere automatico e, in una configurazione correttamente progettata, l'utente finale può percepire solamente un'interruzione molto breve oppure nessuna interruzione significativa.
L'efficacia della ridondanza dipende però dalla corretta progettazione. Avere due server non significa automaticamente avere un'infrastruttura ad alta disponibilità. Se entrambi utilizzano lo stesso switch di rete, la stessa alimentazione senza protezione o lo stesso componente critico, potrebbe esistere comunque un punto singolo di guasto. L'alta disponibilità deve quindi essere valutata considerando l'intera catena tecnologica.
RAID e ridondanza dello storage
Anche lo storage rappresenta un elemento fondamentale. Un server può continuare a funzionare correttamente dal punto di vista dell'elaborazione, ma se il sistema utilizza un singolo disco e questo si guasta, i servizi possono diventare inutilizzabili. Le configurazioni RAID permettono di utilizzare più dischi per ottenere diversi livelli di ridondanza e, in determinate configurazioni, consentono di mantenere operativo il sistema anche in presenza del guasto di uno o più dischi.
È importante però distinguere tra ridondanza e backup. Un RAID protegge principalmente dalla perdita di disponibilità causata dal guasto di un disco, ma non sostituisce un sistema di backup. Se un file viene cancellato accidentalmente, se un database viene danneggiato oppure se un attacco compromette i dati, la semplice presenza di un RAID non permette necessariamente di recuperare la situazione precedente. Alta disponibilità e backup devono quindi essere progettati come elementi complementari.
Alimentazione e rete ridondante
Un’infrastruttura realmente affidabile deve considerare anche l'alimentazione elettrica. Un server può essere perfettamente funzionante ma diventare inutilizzabile a causa di un'interruzione di corrente. L'utilizzo di UPS permette di mantenere alimentati i sistemi durante una temporanea interruzione e di proteggere l'infrastruttura da alcune problematiche elettriche. In ambienti più critici possono inoltre essere previste alimentazioni ridondate e collegamenti a fonti differenti.
Anche la rete può rappresentare un punto critico. Se tutti i server dipendono da un unico switch e questo dispositivo si guasta, i sistemi potrebbero risultare irraggiungibili anche se i server continuano a funzionare. Per questo motivo, nelle infrastrutture dove la continuità operativa è particolarmente importante, è possibile progettare collegamenti di rete ridondanti, più switch e percorsi alternativi.
Virtualizzazione e alta disponibilità
La virtualizzazione ha modificato profondamente il modo in cui vengono progettate le infrastrutture server. Attraverso piattaforme di virtualizzazione è possibile eseguire più macchine virtuali su un'infrastruttura fisica condivisa e, in presenza di più host, progettare sistemi nei quali le macchine virtuali possono essere spostate o riavviate su un altro nodo in caso di problemi.
Questo approccio permette di separare maggiormente i servizi dall'hardware fisico. Un gestionale, un database o un'applicazione aziendale possono essere eseguiti all'interno di una macchina virtuale senza essere legati in modo rigido a uno specifico server fisico. In caso di guasto dell'host, una piattaforma progettata per l'alta disponibilità può consentire il ripristino del servizio su un altro nodo.
La virtualizzazione non elimina però la necessità di progettare correttamente l'infrastruttura. Se tutti gli host dipendono dallo stesso storage, dallo stesso switch o dalla stessa alimentazione, anche in questo caso possono rimanere punti singoli di guasto. L'alta disponibilità deve quindi essere considerata a livello di infrastruttura complessiva.
Monitoraggio e intervento preventivo
Un altro elemento fondamentale per evitare i fermi aziendali è il monitoraggio. Un'infrastruttura non dovrebbe essere controllata solamente quando si verifica un problema. Temperatura dei server, utilizzo della CPU, memoria RAM, spazio disponibile, stato dei dischi, errori hardware, servizi attivi e prestazioni della rete possono essere monitorati continuamente per individuare anomalie prima che si trasformino in un guasto.
Un disco che presenta errori crescenti, ad esempio, può essere sostituito prima che diventi completamente inutilizzabile. Allo stesso modo, un filesystem quasi pieno o un consumo anomalo della memoria possono essere individuati prima che provochino il blocco di un'applicazione. Il monitoraggio permette quindi di passare da una gestione reattiva, nella quale si interviene dopo il guasto, a una gestione preventiva dell'infrastruttura.
Alta disponibilità e disaster recovery
Alta disponibilità e Disaster Recovery sono concetti collegati ma differenti. L'alta disponibilità punta principalmente a mantenere un servizio operativo o a ridurre al minimo il tempo di indisponibilità in caso di guasto. Il Disaster Recovery riguarda invece la capacità dell'azienda di ripristinare sistemi e dati dopo eventi più gravi, come la perdita completa di un'infrastruttura, un incidente, un attacco informatico o un altro evento che renda inutilizzabile l'ambiente principale.
Una strategia completa deve quindi considerare entrambi gli aspetti. La ridondanza può permettere di continuare a lavorare quando un server si guasta, mentre un backup correttamente progettato e una procedura di Disaster Recovery permettono di recuperare i sistemi quando l'intera infrastruttura viene compromessa. Confondere i due concetti può portare a una falsa sensazione di sicurezza.
Progettare un'infrastruttura realmente affidabile
Non tutte le aziende hanno bisogno dello stesso livello di disponibilità. Un piccolo ufficio potrebbe tollerare un fermo di alcune ore per la sostituzione di un server, mentre un'azienda che gestisce servizi online, applicazioni commerciali o processi produttivi critici potrebbe avere esigenze molto più stringenti. La progettazione deve quindi partire dall'analisi dei servizi realmente importanti e dal costo che avrebbe la loro indisponibilità.
In questo contesto diventano importanti parametri come RTO, cioè il tempo massimo entro il quale un servizio deve essere ripristinato, e RPO, cioè la quantità massima di dati che l'azienda può permettersi di perdere in caso di incidente. Questi valori permettono di definire tecnicamente l'infrastruttura necessaria e di scegliere quali sistemi richiedono ridondanza, quali possono essere ripristinati attraverso backup e quali invece necessitano di soluzioni ad alta disponibilità.
Per ottenere un risultato efficace è quindi necessario valutare server fisici o virtuali, storage, rete, alimentazione, backup, monitoraggio, sicurezza e procedure di ripristino come parti di un'unica architettura. Investire esclusivamente in hardware più potente non garantisce necessariamente maggiore continuità operativa: spesso è la ridondanza dei componenti critici e la corretta progettazione dei sistemi a fare la differenza.
Il supporto di ALLIT
ALLIT può supportare le aziende nella progettazione e nella gestione di infrastrutture IT orientate alla continuità operativa, analizzando l'architettura esistente e individuando i punti nei quali un guasto potrebbe provocare un fermo. L'intervento può riguardare la progettazione dei server, la virtualizzazione, la gestione dello storage, la ridondanza, il monitoraggio e le strategie di backup e ripristino, con l'obiettivo di costruire un'infrastruttura adeguata alle reali esigenze dell'azienda.
L'alta disponibilità non deve essere quindi considerata una soluzione riservata esclusivamente alle grandi organizzazioni. Anche una PMI può individuare i propri servizi critici e progettare una strategia proporzionata al rischio e al valore delle informazioni gestite. Ridurre i Single Point of Failure, monitorare costantemente l'infrastruttura, predisporre sistemi ridondanti dove necessario e avere procedure affidabili di backup e ripristino permette di ridurre concretamente il rischio di fermi operativi.
Un'infrastruttura IT ben progettata non è quella che non può mai avere un guasto, perché nessun sistema è completamente immune dai problemi, ma quella nella quale il guasto di un componente non si trasforma automaticamente in un blocco dell'attività aziendale. È questo il principio alla base dell'alta disponibilità dei server: progettare sistemi capaci di continuare a funzionare, o di ripristinare rapidamente i servizi, anche quando una parte dell'infrastruttura non è più disponibile.
