Отказоустойчивость появляется не когда серверов становится больше, а когда исчезают общие точки отказа. Три машины за одним DNS и одной панелью — это один сервис с тремя копиями фасада.
Где обычно прячется единая точка
- DNS и сертификаты;
- панель управления и база аккаунтов;
- один апстрим / один канал до датацентра;
- общий вход, через который обязаны пройти все;
- мониторинг, который падает вместе с тем, что должен наблюдать.
Пользователь видит «много локаций». Зависимости остаются графом. Если вырезать одну вершину и сыплется всё — локаций было мало в том смысле, который важен.
Что устойчивость означает для клиента
Смена exit без перевыпуска всей конфигурации. Несколько точек входа. Понятный статус публичных узлов. Возможность переключиться, не собирая схему заново.
Это не обещание «никогда не ляжет». Это обещание, что отказ одного компонента не обязан убивать весь доступ.
Публичный статусStatus page показывает доступность того, что решено показать. Она не равна полной карте инфраструктуры — и не должна ей быть.
Как смотреть на сервис
- Есть ли разные роли, или все яйца в одном процессе.
- Меняется ли выход независимо от входа.
- Что происходит при выводе одного региона.
- Не является ли «резерв» тем же самым control plane.