Warum fällt der Zugriff aus, obwohl die Dienste laufen? Infrastrukturredundanz

Dass ein Dienst auf einem Server läuft, sagt allein noch nichts darüber aus, ob er für Nutzer erreichbar ist. Ein Zugriffsproblem, das wir bei X Mind Solutions erlebt haben, führte uns diesen Unterschied deutlich vor Augen. Unsere Dienste und Server liefen, und unsere bestehenden Alarme meldeten keine Probleme. Trotzdem konnten Nutzer nicht auf den Dienst zugreifen. In einer solchen Situation reicht es nicht aus, nur den internen Systemzustand zu betrachten. Auch die Verbindungen und externen Abhängigkeiten, die eine Nutzeranfrage durchläuft, müssen in die Bewertung einbezogen werden.

Bei unseren ersten Prüfungen konzentrierten wir uns auf die Docker-Umgebung, die Tunnel und die Serverdienste. Wir untersuchten den Server und die Logs und stellten fest, dass der Cloudflared-Prozess lief. Diese Prüfungen belegten jedoch nicht, dass der gesamte Zugriffsweg intakt war. Ein laufender Prozess und eine funktionierende Ende-zu-Ende-Verbindung über diesen Prozess sind zwei unterschiedliche Dinge. Bei der Fehlersuche ist es deshalb sinnvoller, die Frage „Läuft der Dienst?“ stets mit der Frage „Ist er für den Nutzer tatsächlich erreichbar?“ zu verbinden.

Im weiteren Verlauf der Untersuchung richtete sich unser Augenmerk auf die Infrastruktur außerhalb unserer eigenen Server und auf ein Zugriffsproblem im Raum Frankfurt. Ohne verifizierte technische Einzelheiten dazu, was in welcher Komponente eines bestimmten Anbieters geschehen ist, wäre es jedoch nicht angemessen, eine eindeutige Grundursache zu benennen. Die zentrale Erkenntnis lautet, dass auch externe Abhängigkeiten zur Dienstkontinuität gehören. Erfolgreiche lokale Prüfungen bedeuten nicht, dass an anderer Stelle der Verbindungskette kein Problem vorliegt. Der Untersuchungsumfang muss entsprechend erweitert werden.

Zur Vorbereitung auf solche Situationen ist es wichtig, die Überwachung stärker an der Nutzererfahrung auszurichten. Ergänzend zur Überwachung von Serverressourcen und Dienstprozessen lassen sich externe Erreichbarkeitsprüfungen einplanen. Dabei geht es nicht nur darum, festzustellen, ob eine Komponente aktiv ist, sondern zu prüfen, ob der Dienst die erwartete Antwort liefern kann. Prüfungen von verschiedenen Zugriffspunkten aus können helfen, den Unterschied zwischen dem lokalen Systemzustand und der tatsächlichen Verfügbarkeit aus Nutzersicht sichtbar zu machen. Dadurch lässt sich auch klarer definieren, was die Alarme messen.

Nach dieser Erfahrung gehörten redundante Systeme auf unterschiedlichen Infrastrukturen zu den Themen, die wir bewerten mussten. Dabei ist zwischen Datensicherung und Dienstredundanz zu unterscheiden: Eine vorhandene Datenkopie bedeutet nicht, dass der Nutzerverkehr auf ein alternatives System umgeleitet werden kann. Wir bei X Mind Solutions haben daraus gelernt, auch zu hinterfragen, ob die Alternativen auf dieselben externen Abhängigkeiten zurückgreifen. Ein tragfähiger Plan sollte Datenkonsistenz, Bedingungen für die Umschaltung und Schritte zur Rückschaltung abdecken. Seine Umsetzbarkeit sollte durch Tests bewertet werden.