Configurando o quorum

Um dispositivo de quorum é usado para desempate quando ocorre uma falha de SAN, quando exatamente metade dos nós que eram anteriormente membros do sistema está presente. Um dispositivo de quorum também é usado para armazenar uma cópia de backup de dados importantes de configuração do sistema. Pouco mais de 256 MB é reservado para esse propósito em cada dispositivo de quorum.

É possível para um sistema se dividir em dois grupos nos quais cada grupo contém metade do número original de nós no sistema. Um dispositivo de quorum determina qual grupo de nós para de operar e processar solicitações de E/S. Nessa situação de desempate, o primeiro grupo de nós que acessa o dispositivo de quorum é marcado como o proprietário do dispositivo de quorum e, como resultado, continua a operar como o sistema, manipulando todas as solicitações de E/S. Se o outro grupo de nós não puder acessar o dispositivo de quorum ou descobrir que o dispositivo de quorum é de propriedade de outro grupo de nós, ele parará de operar como o sistema e não manipulará solicitações de E/S.

Um sistema pode ter somente um dispositivo de quorum ativo que é usado para uma situação de desempate. No entanto, o sistema usa até três dispositivos de quorum para registrar um backup de dados de configuração do sistema para ser usado no caso de um desastre. O sistema seleciona automaticamente um dispositivo de quorum para ser o dispositivo de quorum ativo. O dispositivo de quorum ativo pode ser especificado usando o comando chquorum da interface da linha de comandos (CLI) com o parâmetro active. Para visualizar o status do dispositivo de quorum atual, use o comando lsquorum. Os outros dispositivos de quorum fornecerão redundância se o dispositivo de quorum ativo falhar antes de um sistema ser particionado. Para evitar a possibilidade de perder todos os dispositivos de quorum com uma única falha, designe candidatos de disco quorum em múltiplos sistemas de armazenamento ou execute aplicativos de quorum de IP em múltiplos servidores.

Configurações de site único

A configuração normal é usar uma unidade gerenciada ou um MDisk como o dispositivo de quorum quando o sistema não está configurado como um sistema estendido ou HyperSwap. Um system designa automaticamente os candidatos de disco quorum. Entretanto, ao incluir um novo armazenamento em um sistema ou ao remover um armazenamento existente, é uma boa prática revisar as designações do disco quorum. Opcionalmente, um dispositivo de quorum de IP pode ser configurado como uma alternativa para usar discos quorum ou para fornecer redundância adicional.

Configurações estendidas ou HyperSwap

Para fornecer proteção contra falhas que afetam um local inteiro, como uma falha de energia, é possível usar uma configuração que divida um único sistema em três locais físicos.

Um sistema estendido ou HyperSwap possui nós do sistema divididos entre dois sites. Se uma falha de SAN causar perda de conectividade entre sites ou uma falha causar uma indisponibilidade em todo o site, a configuração quorum determinará qual site continuará operando e processando solicitações de E/S. Uma solução de alta disponibilidade tem o dispositivo de quorum ativo configurado em um terceiro site para que o sistema continue operando após qualquer falha de site único.

Geralmente, quando os nós em um sistema são divididos entre sites, configure o sistema desta maneira:

Site 1: metade dos nós do sistema + um dispositivo de quorum
Site 2: metade dos nós do sistema + um dispositivo de quorum
Site 3: dispositivo de quorum ativo

Normalmente, os dispositivos de quorum no site 1 e no site 2 são os discos quorum e o dispositivo de quorum no site 3 é um aplicativo de quorum de IP. No entanto, o sistema pode ser configurado para usar os discos quorum ou os aplicativos de quorum de IP em qualquer site. Essa configuração assegura que um dispositivo de quorum esteja sempre disponível, mesmo após uma falha de site único.

Quando você está usando um aplicativo de quorum de IP em um terceiro site, é possível configurar uma preferência para qual site continuará a operação se houver uma perda de conectividade entre os dois sites. Se somente um site executar aplicativos críticos, será possível configurar esse site como preferencial. Se um site preferencial estiver configurado e uma falha causar uma indisponibilidade no site preferencial, o outro site vencerá o desempate e continuará operando e processando as solicitações de E/S.

Um sistema estendido ou HyperSwap pode ser configurado sem um dispositivo de quorum em um terceiro site. Se não houver um terceiro site, o quorum deverá ser configurado para selecionar um site para sempre vencer um desempate. Se houver uma perda de conectividade entre os sites, o site que estiver configurado como o vencedor continuará operando e processando as solicitações de E/S e o outro site parará até que a falha seja corrigida. Se houver uma indisponibilidade do site no site vencedor, o sistema parará o processamento de solicitações de E/S até que esse site seja recuperado ou o procedimento de substituição de quorum manual seja usado.

Geralmente, quando os nós em um sistema forem divididos entre dois sites e não houver nenhum quorum de terceiro site, configure o sistema desta maneira:

Site 1: metade dos nós do sistema + um ou dois dispositivos de quorum
Site 2: metade dos nós do sistema + um dispositivo de quorum

Geralmente, os dispositivos de quorum no site 1 e no site 2 são ambos discos quorum e são configurados automaticamente pelo sistema. É possível configurar aplicativos de quorum de IP como uma alternativa para o uso de discos quorum. Quando um site vencedor tiver sido configurado e ambos os sites estiverem operacionais, não haverá nenhum dispositivo de quorum ativo. Os dispositivos de quorum no site 1 e no site 2 são usados somente para reter uma cópia de backup de dados importantes de configuração do sistema. Se uma falha resultar apenas nos nós na operação de continuação do site vencedor, o sistema selecionará automaticamente um dos dispositivos de quorum nesse site para que seja o dispositivo de quorum ativo para proteger contra falhas adicionais.