Proxmox VE 9 thay thế các nhóm HA bằng quy tắc đặt chỗ linh hoạt

Proxmox VE 9 đã cập nhật kiến trúc sẵn sàng cao (high availability) của mình bằng cách thay thế các nhóm HA cũ bằng các quy tắc HA chi tiết hơn. Thay đổi này ảnh hưởng đến cách quản trị viên xác định nơi máy ảo và container chạy trong điều kiện bình thường cũng như sau khi xảy ra lỗi nút. Bản cập nhật yêu cầu cấu hình cẩn thận về liên kết nút và vị trí đặt tài nguyên để đảm bảo quá trình chuyển đổi dự phòng (failover) đáng tin cậy mà không cần can thiệp thủ công.

Điều gì đã xảy ra

Phiên bản mới nhất của Proxmox VE chuyển cơ chế kiểm soát vị trí khách từ các nhóm HA đơn giản sang hệ thống dựa trên quy tắc được lưu trữ trong /etc/pve/ha/rules.cfg. Trong các phiên bản trước, quản trị viên sử dụng các nhóm để thể hiện ưu tiên về việc nút nào nên lưu trữ các khách cụ thể. Proxmox VE 9 loại bỏ dần các nhóm này để ủng hộ các quy tắc liên kết nút và liên kết tài nguyên rõ ràng. Các cấu hình hiện có sẽ tự động được di chuyển thành các quy tắc liên kết nút một khi mọi nút trong cụm đều chạy phiên bản 9, nhưng quản trị viên phải xác minh logic kết quả để tránh các hành vi ngoài ý muốn.

Thay đổi cấu trúc này là một phần của sự nhấn mạnh rộng rãi hơn vào các thiết lập sẵn sàng cao vững chắc, phụ thuộc vào quorum và fencing phù hợp. Hệ thống sử dụng hai daemon chính: bộ quản lý tài nguyên cục bộ (pve-ha-lrm) và bộ quản lý tài nguyên cụm (pve-ha-crm). Các thành phần này phối hợp với bộ đếm thời gian watchdog để đảm bảo rằng nếu một nút bị lỗi hoặc mất kết nối mạng, nó sẽ bị buộc khởi động lại trước khi các khách của nó được khởi động lại ở nơi khác. Điều này ngăn ngừa hỏng dữ liệu trên bộ nhớ chia sẻ bằng cách đảm bảo không có hai nút nào ghi vào cùng một ổ đĩa đồng thời.

Chi tiết quan trọng

• Quy tắc HA thay thế Nhóm: Quy tắc liên kết nút xác định nơi một khách có thể chạy, trong khi quy tắc liên kết tài nguyên giữ các khách ở cùng nhau hoặc tách rời nhau. Theo mặc định, các quy tắc không nghiêm ngặt trừ khi được cấu hình rõ ràng.
• Fencing qua Watchdog: Proxmox VE sử dụng bộ đếm thời gian watchdog để cô lập (fence) các nút bị lỗi. Nếu một nút mất quorum, nó không thể đặt lại bộ đếm thời gian, dẫn đến việc khởi động lại phần cứng hoặc phần mềm để bảo vệ tính toàn vẹn của bộ nhớ chia sẻ.
• Yêu cầu Quorum: Sẵn sàng cao đáng tin cậy yêu cầu ít nhất ba nút cụm hoặc hai nút cộng với một QDevice. Các cụm hai nút không có QDevice có nguy cơ gặp tình huống split-brain, nơi không nút nào có thể tiếp quản an toàn.
• Chính sách Tắt máy: Quản trị viên có thể chọn giữa các chính sách conditional, migrate, failover hoặc freeze cho bảo trì theo kế hoạch. Chính sách mặc định conditional dừng các khách khi tắt máy, trong khi migrate cố gắng di chuyển trực tuyến (live migration) trước.
• Chế độ Bảo trì: Một lệnh chế độ bảo trì chuyên dụng di chuyển các khách HA ra khỏi nút đích và giữ chúng ở đó cho đến khi chế độ này bị vô hiệu hóa, giúp đơn giản hóa việc sửa chữa hoặc cập nhật phần cứng.
• Yêu cầu Kiểm thử: Tác giả nhấn mạnh việc rút dây nguồn trên một nút thử nghiệm để xác minh quá trình failover, vì các lần tắt máy sạch sẽ không kích hoạt các cơ chế fencing và phục hồi giống như các lỗi phần cứng thực tế.

Bối cảnh

Sẵn sàng cao trong môi trường ảo hóa phụ thuộc vào khái niệm quorum, đảm bảo rằng đa số các nút đồng ý về trạng thái cụm. Không có quorum, một cụm không thể phân biệt giữa lỗi nút và phân vùng mạng, dẫn đến nguy cơ hỏng dữ liệu nếu nhiều nút cố gắng đóng vai trò chính. Proxmox VE giải quyết vấn đề này bằng cách yêu cầu một số lượng lẻ các thành viên bỏ phiếu hoặc một QDevice phá vỡ thế cân bằng.

Fencing là quá trình cô lập một nút bị lỗi để ngăn nó truy cập vào các tài nguyên chia sẻ. Trong Proxmox VE, điều này đạt được thông qua các bộ đếm thời gian watchdog. Nếu một nút trở nên không phản hồi hoặc mất liên lạc với đa số cụm, bộ đếm thời gian watchdog của nó sẽ hết hạn, buộc phải khởi động lại. Việc khởi động lại cứng này đảm bảo rằng bất kỳ khóa nào do nút bị lỗi nắm giữ đều được giải phóng, cho phép bộ quản lý tài nguyên cụm khởi động lại an toàn các khách bị ảnh hưởng trên các nút khỏe mạnh.

Tại sao điều này quan trọng

Đối với các đội ngũ vận hành hạ tầng tự chủ (self-hosted), sự chuyển đổi sang quy tắc HA cung cấp khả năng kiểm soát tốt hơn đối với phân bổ tài nguyên nhưng cũng đưa vào sự phức tạp trong cấu hình. Các quy tắc liên kết được cấu hình sai có thể ngăn cản các khách khởi động trong trường hợp lỗi nếu các nút ưu tiên không khả dụng. Hiểu rõ sự khác biệt giữa liên kết nghiêm ngặt và không nghiêm ngặt là rất quan trọng để đảm bảo rằng các dịch vụ thiết yếu vẫn trực tuyến ngay cả khi phần cứng ưu tiên đang ngoại tuyến.

Việc phụ thuộc vào watchdog và quorum có nghĩa là lựa chọn phần cứng và độ tin cậy của mạng lưới quan trọng hơn bao giờ hết. Sử dụng watchdog phần mềm mặc định (softdog) thì tiện lợi nhưng kém tin cậy hơn so với một mô-đun watchdog phần cứng chuyên dụng. Các đội ngũ phải đảm bảo rằng phần cứng máy chủ của họ hỗ trợ và bật các mô-đun này để đảm bảo rằng fencing diễn ra kịp thời trong các sự cố thực tế, chẳng hạn như mất điện hoặc kernel panic.

Hơn nữa, sự khác biệt giữa sẵn sàng cao và sao lưu vẫn là một cạm bẫy phổ biến. HA đảm bảo tính liên tục của dịch vụ bằng cách khởi động lại các khách trên các nút khác, nhưng nó không bảo vệ chống lại hỏng dữ liệu hoặc lỗi logic bên trong chính khách đó. Quản trị viên phải duy trì các chiến lược sao lưu riêng biệt và đảm bảo rằng các giải pháp bộ nhớ chia sẻ, chẳng hạn như Ceph hoặc nhân bản ZFS, được cấu hình đúng cách để giảm thiểu cửa sổ mất dữ liệu trong các sự kiện failover.

Bạn có thể làm gì

• Xác minh Thiết lập Quorum: Đảm bảo cụm của bạn có ít nhất ba nút hoặc hai nút với một QDevice để duy trì quorum trong trường hợp lỗi một nút.
• Xem xét Quy tắc HA: Kiểm tra /etc/pve/ha/rules.cfg sau khi nâng cấp lên Proxmox VE 9 để xác nhận rằng các quy tắc liên kết nút đã di chuyển khớp với chiến lược đặt chỗ dự kiến của bạn.
• Cấu hình Watchdog Phần cứng: Bật các mô-đun watchdog phần cứng trong /etc/default/pve-ha-manager thay vì chỉ dựa vào softdog phần mềm để có fencing đáng tin cậy hơn.
• Kiểm thử Failover An toàn: Thực hiện một bài kiểm soát có kiểm soát bằng cách thêm một VM dùng một lần vào HA và cắt nguồn vật lý của nút chủ để quan sát quá trình phục hồi và thời gian.
• Đặt Chính sách Tắt máy: Đặt rõ ràng chính sách tắt máy trong datacenter.cfg thành migrate nếu bạn thích di chuyển trực tuyến trong các lần khởi động lại theo kế hoạch, thay vì hành vi dừng-và-khởi động lại mặc định.
• Sử dụng Chế độ Bảo trì: Utilize the ha-manager crm-command node-maintenance feature when performing work on a specific node to automatically migrate guests away and prevent them from returning until the work is complete.