Hochverfügbarkeit für virtuelle Maschinen: Was ist vSphere HA?

Auf Cluster-Ebene sorgen vSphere HA und vSphere Fault Tolerance dafür, dass beim Ausfall von ESXi-Hosts die betroffenen VMs mit geringer oder gar keiner Downtime verfügbar bleiben. Schutz vor zu hoher Auslastung einzelner Host und damit verbundenen Latenzen gewähren Technologien wie vMotion und Storage vMotion auf Server- und Storage-Ebene.

Darüber hinaus hat VMware eine Backup-Lösung für virtuelle Maschinen (vSphere Data Protection), sowie eine Replikations-Lösung (vSphere Repliation) im Programm, die beide Schutz auf Daten-Ebene bieten. Und schließlich steht mit Site Recovery Manager (SRM) eine professionelle DR-Lösung bereit, die den Ausfall ganzer Rechen­zentren abfedern kann.

Seit vSphere 6.5 gibt es zudem eine Hochverfüg­barkeitslösung für das vCenter Server Appliance (vCSA). Die zweifelsohne bekannteste und bewährteste Schutz-Technologie ist aber vSphere HA.

Voraussetzungen für hochverfügbare VMs

Fällt einer der Hosts im Cluster aus, dann startet HA die auf dem defekten Server laufenden virtuellen Maschinen auf anderen Hosts neu. Dafür müssen aber die Daten­speicher der VMs auf einem Shared-Datastore liegen, welcher über das Netzwerk angebunden ist. Und dieser benötigt ein Cluster-fähiges Dateisystem mit entsprechenden FileLock-Mechanismen, was bei VMware mit VMFS aber von Haus aus gegeben ist.

Für den Austausch der Takt-Signale zwischen den Hosts bedarf es eines dedizierten Kernel-Adapters, dem man nach Möglichkeit einen dedizierten Uplink-Adapter zuweist. Ansonsten sind die Anforderungen an vSphere HA moderat, eine Essential-Plus-Lizenz genügt bereits.

Wie funktioniert vSphere HA?

Im Gegensatz zu einem ausge­wachsenen Windows-Server- oder Linux-Failover-Cluster ist das Funktions­prinzip von vSphere HA eher simpel, aber effektiv. VMwares HA-Konzept benötigt keinen 3-Knoten-Cluster mit Quorum und keine speziell angepassten Cluster-Applikationen oder -Rollen, die einen Aktiv/Aktiv- oder Aktiv/Passiv-Betrieb verstehen, wie es etwa bei SQL-Server, Exchange oder ScaleOut-Fileserver der Fall ist.

Die einzige Art von Anwendung, die es bei vSphere HA zu schützen gilt, ist die virtuelle Maschine. Und die wird gar nicht wirklich geschützt, sondern beim Ausfall eines Hosts auf einem anderen Host neu gestartet. Insofern ist vSphere HA gar nicht fehler­tolerant, sondern sollte eher als Fast-Recovery-Lösung bezeichnet werden. Anders sieht es hingegen bei Fault Tolerance aus.

Ansonsten steuert jeder Host in einem vSphere HA-Cluster aktiv zum laufenden Betrieb bei und führt VMs aus. So kann ein HA-Verbund simultan auch jederzeit als DRS-Cluster oder Storage-Cluster (vSAN) fungieren.

Hochverfügbarkeit für Anwendungen

Neben dem Auffangen von Host-Ausfällen hat VMwares Implementierung von vSphere HA über die Jahre weitere Features hinzu­bekommen. So schützt es heute auf Wunsch auch gegen Datastore-Zugriffsfehler und bei Bedarf auch VMs und Applikationen vor internen Fehlern. Folgende Grafik verdeutlicht die einzelnen Funktionalitäten von vSphere HA.

Allerdings vertrauen geschätzte 90 Prozent aller Unternehmen nur auf den seit über 10 Jahren bewährten Schutz vor Host-Ausfällen (oder Netzwerkfehlern), auch wenn das VM-Monitoring theoretisch VMs mit einem Bluescreen erkennen und diese neu starten kann (hier geht es also nicht um einen Host-Ausfall).

Das Applikations-Monitoring kommt so gut wie nie zum Einsatz, weil die betreffende Anwendung für dieses Feature angepasst sein muss. Ihre Entwickler müssen zu diesem Zweck das entsprechende SDK von VMware integrieren.

So arbeitet der Fault Domain Manager

Die folgende Abbildung illustriert die mit vSphere 5.0 von VMware komplett neu entwickelte HA-Implementation mit:

• Fault-Domain-Manager (FDM) auf den Host
• Heartbeat-Netzwerk auf dem dafür vorgesehenen Kernel-Adapter vom Typ Management
• zusätzlichen Datastore-Heartbeats als redundante Erkennungs-Strategie, mit deren Hilfe sich Host-Ausfälle noch zuverlässiger von einem Ausfall des regulären Management-Netzwerk oder einer Host-Isolation unterscheiden lassen
• den File-Locks in der Heartbeat-Region von VMFS

Hat ein Host eine virtuelle Maschine im Zugriff, sperrt er die wichtigsten VM-Dateien vor konkurrierenden Zugriff durch andere Hosts. Geht dieser Lock verloren, weil ein Host die zugehörigen VMDKs über das Speicher­netzwerk nicht mehr erreichen kann, dann wird ein anderer Host dies erkennen und wissen, dass ein Netzwerk­fehler vorliegt.