Amazon Web Services представила новую функцию для сервиса DNS Route 53, призванную снизить риск повторения масштабного сбоя, который в октябре парализовал работу региона US East (Северная Вирджиния) на несколько часов.
Что произошло в октябре
Тогда сбой DNS привёл к нестабильности API DynamoDB, что затронуло более 70 сервисов AWS и значительную часть клиентской базы компании. Восстановление DNS пришлось выполнять вручную, а полное возвращение сервисов к норме заняло ещё больше времени — из-за задержек с сетевыми настройками и накопившейся очереди операций.
Новая функция
Функция получила название Accelerated recovery for managing public DNS records («Ускоренное восстановление для управления публичными DNS-записями») и добавлена в Route 53 — облачный сервис AWS, который переводит доменные имена в IP-адреса. По заявлению AWS, новая возможность обеспечивает целевое время восстановления (RTO) в 60 минут даже во время региональных сбоев.
«Это усовершенствование гарантирует, что клиенты смогут вносить изменения в DNS и разворачивать инфраструктуру даже во время региональных сбоев, обеспечивая большую предсказуемость и отказоустойчивость для критически важных приложений», — говорится в блоге AWS.
Разделение data plane и control plane
Аналитик HFS Research Акшат Тьяги (Akshat Tyagi) объяснил, что крупные инциденты AWS обычно затрагивают не data plane (уровень, который фактически доставляет DNS-запросы к месту назначения), а control plane — управляющий уровень, отвечающий за то, как направляется трафик.
«В крупных инцидентах AWS DNS data plane обычно продолжает работать — инфраструктура может функционировать, но control plane в US East способен зависнуть, и тогда вы не успеваете обновлять DNS достаточно быстро, чтобы перенаправить трафик. Это и есть настоящая точка отказа», — пояснил Тьяги.
По его словам, новая функция закрывает именно этот пробел: она обеспечивает защищённый мультирегиональный управляющий канал, гарантирующий доступность ключевых API — например, ChangeResourceRecordSets — в течение 60-минутного окна восстановления. Это позволяет предприятиям перенаправлять пользователей в резервные регионы, переключаться на резервные endpoint'ы или переходить на схему аварийного восстановления, не дожидаясь, пока AWS сама устранит проблему.
US East остаётся узким местом
Регион US East (Северная Вирджиния) уже давно является архитектурным «бутылочным горлышком» для AWS. «Control plane многих глобальных сервисов AWS исторически зависит от этого региона в Северной Вирджинии. Когда там что-то трясёт, отголоски чувствуют все», — отметил Тьяги.
Аналитик предупредил, что новая функция закрывает лишь один из нескольких критических пробелов и не гарантирует, что будущие сбои не приведут к последствиям. «Пока AWS не решится распределить ответственность control plane между несколькими независимыми регионами и не предложит более надёжные гарантии кросс-регионального failover для критичных API, риск сохраняется», — добавил он. По мнению Тьяги, AWS также могла бы предоставлять клиентам более готовые шаблоны для мультирегиональной DNS-конфигурации и изоляции control plane, чтобы компаниям не приходилось каждый раз заново изобретать сложные схемы после очередного инцидента.
Как это выглядит на фоне конкурентов
Новая функция может дать AWS преимущество перед другими гиперскейлерами, которые тоже периодически сталкиваются с сетевыми сбоями. «У Azure, GCP и Cloudflare есть мощные глобально распределённые DNS-системы, но ни один из них не берёт на себя конкретных обязательств по времени восстановления обновлений control plane DNS во время регионального сбоя. В этом ключевое отличие», — сказал Тьяги. «Они гарантируют, что DNS-запросы продолжат разрешаться, но не указывают, насколько быстро вы сможете обновить DNS-записи при инциденте на уровне control plane».
Новая функция — не первый шаг AWS по снижению простоев для корпоративных клиентов: вскоре после октябрьского сбоя компания добавила в сервис CloudWatch возможность автоматической генерации инцидентов.
Источник: NetworkWorld.