Резервирование связи для филиалов: архитектура без единой точки отказа

Резервный канал полезен только тогда, когда его отказ не совпадает с отказом основного. Два договора, два кабеля в одном коллекторе и один маршрутизатор по-прежнему образуют единую точку отказа. Поэтому устойчивость связи филиала начинается не с покупки второй линии, а с разбора физических маршрутов, оборудования, питания, адресации и сценария переключения.

Для каждого офиса сначала определите, какие процессы действительно должны продолжаться при аварии: телефония, терминальный доступ, кассы, VPN, видеосвязь, работа CRM или обмен с центральной базой. От этого зависят необходимая пропускная способность, допустимая задержка и время переключения.

Что именно нужно резервировать

Цепочка связи состоит из нескольких уровней:

1. ввод кабеля в здание;
2. линия до узла оператора;
3. оборудование доступа;
4. маршрутизатор или межсетевой экран;
5. питание и источник бесперебойного питания;
6. туннель до центральной площадки;
7. DNS, аутентификация и другие общие сервисы;
8. сама центральная площадка или облачный контур.

Если резервируется только пункт «оператор», остальные компоненты могут остановить оба канала одновременно. Например, два провайдера подключены к одному коммутатору, а его отказ делает бесполезными обе линии. Или независимые кабели завершаются в одном VPN-шлюзе без горячего резерва.

Независимость операторов и трасс

Названия разных операторов не гарантируют физическую независимость. Один провайдер может арендовать последнюю милю у другого, а оба кабеля могут входить в здание через один колодец.

До подключения запросите:

• схему вводов в здание;
• сведения о последней миле;
• точки подключения к операторской сети;
• возможные общие участки трассы;
• порядок аварийного взаимодействия;
• целевые сроки восстановления;
• контакт и регламент эскалации.

Если получить детальную схему нельзя, хотя бы разведите технологии. Например, основной оптический канал можно дополнить радиоканалом или мобильным подключением. Такой резерв обычно уступает по стабильной полосе, но лучше переживает физический обрыв кабеля.

Активный резерв или балансировка

Есть две базовые модели.

Модель	Как работает	Когда подходит
Active–standby	Резерв ждёт отказа основного канала	Простая схема, предсказуемое переключение
Active–active	Оба канала передают трафик	Нужна утилизация полосы и гибкая маршрутизация

Active–active сложнее: необходимо контролировать асимметричные маршруты, состояние сессий, приоритеты приложений и поведение при деградации одного канала. Для небольшого филиала надёжный active–standby часто полезнее сложной балансировки, которую никто регулярно не проверяет.

Автоматическое переключение можно строить на динамической маршрутизации, SD-WAN или контролируемых health-check. Проверка должна подтверждать доступность бизнес-сервиса, а не только отвечающий интерфейс ближайшего маршрутизатора.

Не отправляйте весь трафик в мобильный резерв

Резервный канал обычно уже основного. При переключении ограничьте некритичный трафик:

• обновления рабочих станций;
• синхронизацию больших архивов;
• потоковое видео;
• фоновые резервные копии;
• гостевую сеть;
• необязательные облачные сервисы.

Приоритет следует дать телефонии, транзакциям, удалённому доступу и системам, от которых зависит обслуживание клиентов. Политику ограничений лучше подготовить заранее: во время аварии менять её вручную поздно.

Центральная площадка тоже должна быть резервной

Устойчивый филиал не поможет, если оба его туннеля ведут на один шлюз в одном дата-центре. Для критичных систем проектируют как минимум два узла завершения, разнесённые по оборудованию, питанию, а при необходимости — по площадкам.

Проверьте:

• может ли филиал установить туннель к обоим узлам;
• синхронизированы ли политики доступа;
• сохраняется ли адресация при переключении;
• не зависит ли резерв от недоступного центра управления;
• как работают DNS и аутентификация;
• какой путь используется для обратного трафика.

Связь должна рассматриваться вместе с планом аварийного восстановления и целевыми RPO/RTO сервисов.

Наблюдаемость до и после переключения

Одного статуса «канал доступен» недостаточно. Для каждой линии измеряйте:

• потерю пакетов;
• задержку и джиттер;
• доступную полосу;
• число обрывов;
• состояние туннелей;
• время обнаружения отказа;
• время фактического переключения;
• ошибки приложений после смены маршрута.

Соберите эти данные в едином контуре наблюдаемости. Подход к метрикам, логам и трассировкам описан в статье о мониторинге IT-инфраструктуры.

Как проводить испытания

Резервирование нельзя принимать только по схеме. Нужны контролируемые тесты:

1. отключить основной порт;
2. обесточить основное устройство;
3. имитировать потерю внешней связности при работающем интерфейсе;
4. проверить деградацию, а не только полный обрыв;
5. убедиться, что активные сессии восстанавливаются приемлемо;
6. вернуть основной канал и проверить отсутствие флаппинга;
7. зафиксировать фактическое время и найденные ручные действия.

Испытания повторяют после замены оборудования, изменения маршрутизации и обновления программного обеспечения. Для критичных филиалов полезен календарь учений и владелец каждого выявленного риска.

Чек-лист перед запуском

• Операторы и физические трассы действительно независимы.
• Вводы в здание и оборудование доступа разнесены.
• Маршрутизаторы, межсетевые экраны и питание имеют резерв.
• Критичный трафик отделён от фонового.
• Проверка доступности отражает состояние бизнес-сервиса.
• Центральная площадка не является единой точкой отказа.
• Метрики переключения собираются автоматически.
• Есть аварийные контакты и порядок эскалации.
• Проведено испытание полного отказа и деградации.
• Результаты теста сопоставлены с требованиями бизнеса.

Как можем помочь

«Лоджик Телеком» может помочь инвентаризировать точки отказа, спроектировать основной и резервный маршруты и подготовить сценарий испытаний. Практичный первый шаг — выбрать один критичный филиал и проверить всю цепочку от ввода в здание до бизнес-приложения.