Säkerhetskopiering över diod

Grundtopologi: utgående backup (push)

Beskrivning. Backupservern står kvar i produktionsdomänen och gör sitt jobb som vanligt. Det som ändras är destinationen: i stället för att skriva till ett lagringssystem den kan läsa tillbaka från, lämnar den över resultatet till DDMW:s sändarnod. Sändarnoden terminerar protokollet, skickar nyttolasten som en enkelriktad ström över dioden, och mottagarnoden återskapar filerna och verifierar hashen innan de skrivs till lagret.

Två egenskaper i katalogen är det som gör mönstret möjligt över huvud taget: att varje överföring hashas och verifieras på mottagarnoden, och att konfigurerbar redundans ersätter den omsändning som annars hade krävts.

Vad som händer utan mottrycksmekanism

Detta är mönstrets svåraste punkt och den som oftast dimensioneras fel.

Mottagarsidan kan inte be sändarsidan sakta ner. Skickar sändaren mer än länken bär, försvinner det överskjutande — och sändaren märker det inte. Konsekvensen för backup är annorlunda än för telemetri: en förlorad mätpunkt är brus, en förlorad fil är en trasig återläsning som upptäcks först när den behövs.

Dimensionera för toppen, inte medelvärdet. Ett backupfönster är per definition en topp. Räkna så här:

1. Största enskilda jobbets datamängd, inte månadsmedelvärdet.
2. Dela med det faktiska fönstret i sekunder — inte dygnet.
3. Lägg på DDMW:s redundans. Konfigurerbar redundans betyder att mer bitar går över länken än nyttolasten. Hur mycket är en konfigurationsfråga; katalogen anger ingen siffra.
4. Lägg på marginal för att flera jobb interfolieras. DDMW anger att överföringar interfolieras — det är bra för rättvisa mellan jobb och dåligt för den som räknade på ett jobb i taget.
5. Jämför med 1 Gbit som takgräns. Katalogens snabbaste diod är 1 Gbit.

Punkt 5 är den ärliga begränsningen. Ett produktionsnät med flera terabyte i nattlig förändring får inte plats över en 1 Gbit-länk oavsett hur väl flödet är konstruerat. Vid 1 Gbit och full utnyttjandegrad är taket omkring 450 GB per timme före redundans och overhead. Behöver miljön mer måste antingen datamängden ned (inkrementell strategi, deduplicering före dioden), flera parallella diodlänkar användas, eller så är mönstret fel för den miljön. Skriv ut det i förstudien i stället för att upptäcka det vid driftsättning.

Justerbar takt är en säkerhetsmekanism, inte bara prestandaoptimering. DDMW anger justerbar paketstorlek, paketantal och takt. Sätt takten under länkhastigheten med marginal. En sändarnod som får köra fritt kommer att köra fritt.

Hur verifiering byggs in när det inte finns kvittens

Ingen bekräftelse går tillbaka. Verifiering måste därför konstrueras som ett oberoende utflöde från backupdomänen till en tredje plats, inte som en returväg.

1. Manifest per jobb. Sändarsidan producerar en förteckning över vad som skickades — filnamn, storlek, hash, sekvensnummer — och skickar den som en egen överföring efter datat. Mottagarsidan jämför förteckningen mot vad den faktiskt tog emot. Skillnaden är felrapporten. DDMW:s hashning per överföring täcker enskild fil; manifestet täcker att inga filer saknas — vilket hashen inte kan säga.
2. Livstecken med larm. DDMW:s heartbeat larmar när livstecken uteblir. Detta upptäcker en trasig länk, inte en trunkerad överföring. Båda behövs.
3. Periodisk provåterläsning. Den enda verifiering som faktiskt bevisar något.