Virtualisierung: mehrere Server auf einer Maschine

Drei Begriffe reichen. Der Host ist das Gerät aus Blech, das im Schrank steht. Darauf läuft der Hypervisor (Hyper-V von Microsoft oder ESXi von VMware), eine schlanke Software, die Prozessor, Arbeitsspeicher und Datenträger des Hosts aufteilt. Und darin laufen die virtuellen Maschinen, kurz VMs: vollständige Windows-Server, die sich benehmen, als hätten sie eigene Hardware.

Für Ihre Mitarbeiter ändert sich nichts. Das Laufwerk heißt wie vorher, die Warenwirtschaft startet wie vorher. Die Server sind dabei sauber voneinander getrennt: Hängt sich der Anwendungsserver auf, läuft der Dateiserver weiter, und ein Neustart des einen stört den anderen nicht.

Die Kehrseite zeigen die gestrichelten Linien in der Abbildung. Alle VMs hängen am selben Host. Fällt er aus (Netzteil, Hauptplatine, Controller), stehen alle Server darauf im selben Moment. Vorher wäre vielleicht nur einer von dreien ausgefallen. Deshalb sparen wir am Host nicht, und deshalb gibt es weiter unten einen eigenen Abschnitt für den Tag, an dem er trotzdem steht.

Beide Plattformen können, was ein kleiner oder mittlerer Betrieb braucht, und wir sind an keinen der beiden Hersteller gebunden. Die Entscheidung fällt an drei Stellen: was Sie schon haben und kennen, was die Hersteller Ihrer Software freigeben und was die Lizenzen kosten.

Die Freigabe ist der Punkt, an dem es gern hakt. Manche Branchensoftware ist nur für eine bestimmte Kombination aus Windows-Version, Datenbank und Plattform zugelassen. Wir fragen beim Hersteller nach, bevor wir etwas bestellen. Ohne Freigabe bekommen Sie im Störungsfall von ihm keine Hilfe.

Ein eigenes Thema sind Lizenz-Dongles (die kleinen USB-Stecker, ohne die manche CAD- oder Branchensoftware nicht startet) und Geräte, die direkt am Server hängen. Ein Stecker steckt in einem Gerät aus Blech; die virtuelle Maschine soll im Ernstfall aber auf ein anderes umziehen können. Dafür gibt es Lösungen, man muss sie halt vorher einplanen. Wir klären, was Ihr Hersteller unterstützt.

Und die Lizenzen. Windows Server wird nach den Prozessorkernen des Hosts lizenziert, und je nach Edition dürfen darauf unterschiedlich viele virtuelle Windows-Server laufen. Dazu kommen die Zugriffslizenzen für Ihre Benutzer oder Geräte. Die Regeln stehen in den Lizenzhinweisen von Microsoft zur Virtualisierung (englisch). Wir rechnen das für Ihren Fall durch, und im Angebot steht, welche Lizenzen Sie schon haben und welche dazukommen.

Das ist die Frage, die vor dem Kauf beantwortet sein muss. Es gibt im Wesentlichen zwei Antworten. Sie unterscheiden sich im Preis und in der Zeit, die Ihr Betrieb steht.

Antwort eins: ein Host und eine geprobte Wiederherstellung. Fällt der Host aus, reparieren oder ersetzen wir ihn und spielen die virtuellen Server aus der Sicherung zurück. Bis dahin steht der Betrieb. Wie lange das dauert, wissen Sie vorher, weil wir es einmal durchgespielt haben. Ist ein solcher Stillstand für Sie ärgerlich, aber verkraftbar, ist das die richtige Lösung.

Antwort zwei: zwei Hosts im Verbund, dem Cluster. Fällt einer aus, startet der andere dessen virtuelle Server neu. Das geht von selbst, aber nicht ohne Unterbrechung: Die Server fahren neu hoch, die Datenbank prüft sich, und Ihre Leute melden sich danach neu an. Bei VMware heißt die Funktion vSphere HA; Broadcom beschreibt, welche virtuellen Maschinen dabei neu gestartet werden (englisch). Bei Hyper-V übernimmt das der Failovercluster.

Damit zwei Hosts sich einig sind, wer von beiden noch läuft, braucht der Verbund eine dritte Stimme (im Fachjargon: Quorum mit Zeuge). Fehlt sie, halten sich bei einer gestörten Verbindung beide für den Letzten oder bleiben vorsichtshalber beide stehen. Das richten wir mit ein.

Zwei Hosts helfen nur, wenn sie nicht am selben Faden hängen. Stecken beide am selben Switch und an derselben Steckdosenleiste und greifen auf denselben einzelnen Speicher zu, haben Sie doppelte Kosten und einfache Sicherheit. Wir zeichnen deshalb auf, was beide gemeinsam haben, und trennen, was sich mit vertretbarem Aufwand trennen lässt (beim Netz greift das in die Netzwerktechnik). Und der verbleibende Host muss stark genug sein, alle wichtigen Server allein zu tragen.

Eines decken beide Antworten nicht ab: die Datenbank, die sich selbst zerlegt hat, und die gelöschte Datei. Der zweite Host startet eine kaputte Datenbank genauso kaputt neu. Dafür brauchen Sie die Sicherung.

Bei der Probe holen wir einen virtuellen Server aus der Sicherung zurück, und zwar abgeschottet vom echten Netz. Sonst hätten Sie plötzlich zwei Server mit demselben Namen im Haus, und das gibt Ärger.

Dann kommt der Teil, auf den es ankommt. Dass Windows hochfährt, sehen wir selbst. Ob Ihre Arbeit damit geht, sehen Sie: Jemand aus dem Büro meldet sich an, öffnet eine Datei, ruft in der Warenwirtschaft den letzten Auftrag auf. Stimmt der Stand, stimmt das Datum, fehlt etwas? Was genau geprüft wird, machen wir vorher mit Ihnen aus.

Zwei Sorten Server brauchen dabei besondere Vorsicht. Der Domänencontroller (der Server mit der Benutzerverwaltung) verträgt es schlecht, auf einen alten Stand zurückgesetzt zu werden, solange noch andere seiner Art laufen; für ihn gelten eigene Verfahren von Microsoft, an die wir uns halten. Und Datenbanken müssen so gesichert sein, dass sie in sich stimmig zurückkommen. Beides klären wir vor der Probe und nicht währenddessen.

Am Ende steht ein Protokoll: welcher Stand, wie lange es gedauert hat, was funktioniert hat und was nicht. Es gilt für den Tag der Probe. Ändert sich bei Ihnen etwas Größeres (neue Software, neuer Host), proben wir neu. Was so ein Test zeigt, erklärt der Ratgeber zum Wiederherstellungstest.

In einer virtuellen Umgebung gibt es zwei Ebenen, die Updates brauchen: den Host mit seinem Hypervisor und jeden einzelnen virtuellen Server. Ein Update am Host betrifft alle Server darauf, weil er dafür neu starten muss. Das legen wir deshalb in ein Zeitfenster, das wir mit Ihnen ausmachen, und sehen danach nach, ob jeder Server wieder da ist und seine Arbeit tut: Anmeldung, Laufwerke, Warenwirtschaft.

Dazwischen überwachen wir, was in einer virtuellen Umgebung gern schiefgeht. Der gemeinsame Speicher läuft voll, ein vergessener Snapshot wächst, die Sicherung ist nachts nicht durchgelaufen. Für jede dieser Meldungen ist geregelt, wer sie bekommt und was dann passiert. Den größten Teil erledigen wir per Fernzugriff.

Alles, was wir einrichten oder ändern, steht in der Systemakte: Aufbau, Einstellungen, Startreihenfolge, Zugangsdaten. Sie liegt bei Ihnen. Sie könnten den Dienstleister wechseln, ohne dass der Nächste raten muss.

Sie erreichen uns Mo–Fr 8–17 Uhr. Welche Reaktionszeit gilt, steht im Betreuungsvertrag. Liegt eine Störung an der Branchensoftware selbst, holen wir ihren Hersteller dazu.