English
Deutsch
PolskiWAN-Failover: Was mit offenen Verbindungen bei der Umschaltung passiert
Inhalt
Ausfallsicherung wird meist in Sekunden beschrieben: Die Prüfung merkt es, der Router schaltet um, die Leitung ist zurück. Diese Beschreibung stimmt für die Leitung und schweigt über alles, was sie benutzt hat – und genau das bemerkt zuerst, wer gerade telefoniert.
Was im Augenblick der Umschaltung geschieht, ist keine kurze Unterbrechung bestehender Verbindungen. Es ist deren Ende.
Warum jede Verbindung stirbt
Eine TCP-Verbindung wird über vier Werte bezeichnet: beide Adressen und beide Ports. Verkehr, der über WAN1 hinausgeht, trägt die öffentliche Adresse von WAN1, und der Server auf der anderen Seite hat diese Adresse in seiner Hälfte der Verbindung stehen.
Nach der Umschaltung geht derselbe Verkehr über WAN2 hinaus und kommt mit einer anderen Absenderadresse an. Für den Server ist das nicht dieselbe Verbindung – es sind Pakete, die zu nichts gehören, und die bekommen ein Rücksetzen oder werden verworfen. Der Router kann nicht helfen: Der Übersetzungszustand, der die innere Verbindung auf die Adresse von WAN1 abbildete, gehört zu einer Schnittstelle, die unten ist.
Deshalb ist der zu vermeidende Ausdruck bei Geräten dieser Klasse nahtlose Ausfallsicherung. Nahtlos ist die Verfügbarkeit eines Weges. Sitzungen werden nicht darüber getragen, und daran ändert keine Zeiteinstellung etwas.
Wie lange die Umschaltung tatsächlich dauert
Der sichtbare Teil ist die Rechnung der Gesundheitsprüfung – das Intervall mal der Zahl geduldeter Fehlversuche. Der unsichtbare Teil kommt davor: Die Leitung kann fast ein ganzes Intervall lang tot sein, bevor die erste Prüfung es überhaupt bemerkt, denn die eben noch gelungene Prüfung lief einen Moment vor dem Ausfall.
schlimmster Fall = Intervall × (Fehlversuche + 1)
üblich = Intervall × (Fehlversuche + 0,5)
Intervall 5 s, 3 Fehlversuche
bester Fall 15 s
üblich 17,5 s
schlimmster 20 s
dazu die Zeit, die Anwendungen brauchen, um den Verlust zu bemerken -
bei einer TCP-Zeitüberschreitung weit mehr als alles ObigeDie letzte Zeile entscheidet darüber, was ein Mensch erlebt. Der Router ist nach fünfzehn Sekunden zurück; ein Download, der noch nicht gemerkt hat, dass seine Verbindung tot ist, sitzt erheblich länger in einer Übertragungswiederholung, und ein Browserreiter sieht die ganze Zeit eingefroren aus.
Was übersteht und was nicht
| Verkehr | Übersteht es? | Warum |
|---|---|---|
| SSH, Datenbankverbindungen | nein | langlebiges TCP, an das Adresspaar gebunden |
| Downloads über HTTP/1.1 und HTTP/2 | nein | TCP; beginnt ohne Bereichsanfragen von vorn |
| HTTP/3 (QUIC) | oft | eine Verbindungskennung bezeichnet die Sitzung, nicht die Adresse |
| Ein laufendes Gespräch | nein | der Medienstrom ist an die alte öffentliche Adresse gerichtet |
| DNS-Abfragen | ja | einzelne Pakete, die ohnehin wiederholt werden |
| Ein VPN-Tunnel | kurz weg | bemerkt es und baut sich neu auf, samt der Sitzungen darin |
Die QUIC-Zeile ist die echte Ausnahme und lohnt sich zu kennen, weil sie still zum Regelfall wird: Eine Verbindungskennung, die nicht an der Adresse hängt, ist genau die Eigenschaft, die einen Wegwechsel überstehbar macht – und beide Seiten müssen sie unterstützen.
Die VPN-Zeile weist auf die eine Anordnung hin, die in der Praxis hilft. Ein Tunnel, der sich selbst neu aufbaut, macht aus einer Umschaltung eine Neuverbindung, und alles innerhalb des Tunnels sieht eine kurze Pause statt einer toten Verbindung – denn innerhalb des Tunnels haben sich die Adressen nie geändert.
Die Rückschaltung kostet dasselbe noch einmal
Der Wechsel zurück auf die Hauptleitung ist eine zweite Umschaltung, mit einer zweiten Runde toter Sitzungen. Das ist der Grund, warum die beiden Zeiten nicht symmetrisch sein sollten: schnell umschalten begrenzt den Ausfall, langsam zurückschalten vermeidet, den Preis zweimal für eine Leitung zu zahlen, die noch nicht stabil ist.
Eine flatternde Leitung mit gleichen Zeiten ist der schlimmste Fall des ganzen Themas. Jedes Flattern kostet zwei Runden zerrissener Sitzungen, und eine Leitung, die alle paar Minuten flattert, ist spürbar schlechter als eine, die schlicht weg ist – denn eine weggefallene schaltet einmal um und bleibt dann liegen.
Was sich dagegen tun lässt
Am Router wenig, und das gehört klar gesagt, statt an Einstellungen zu drehen in der Hoffnung, eine davon sei der Trick. Drei Dinge helfen.
Verschiedene Prüfziele auf den beiden Anschlüssen, damit eine Störung des Ziels nicht als Ausfall beider Leitungen missverstanden wird. Eine Rückschaltzeit, die ein Mehrfaches der Umschaltzeit beträgt, damit Flattern eine Umschaltung kostet statt zehn. Und für alles, was wirklich nicht abreißen darf, ein Tunnel, der den Wegwechsel übersteht und die Sitzungen in sich trägt.
Darüber hinaus besteht die ehrliche Haltung darin, mit der Unterbrechung zu planen statt sie zu bestreiten: zu wissen, dass die Gespräche abreißen, dass die Sicherung von vorn beginnt und dass die fünfzehn Sekunden in der Einstellung die kleinere Hälfte dessen sind, was der Ausfall tatsächlich kostet.
Fragen und Antworten
Warum bleibt ein IP-Telefon nach der Umschaltung auch für neue Anrufe unerreichbar?
Aus zwei Gründen, die beide länger wirken als die Umschaltung selbst.
- Die Registrierung. Das Telefon meldet sich beim Anbieter unter der öffentlichen Adresse an, mit der seine Pakete ankommen, und der Anbieter schickt eingehende Anrufe genau dorthin. Nach der Umschaltung steht dort noch die Adresse von WAN1, und das bleibt so, bis sich das Telefon neu registriert; wie lange das dauert, hängt vom eingestellten Intervall ab.
- Der Übersetzungszustand im Router. Telefone halten ihre Verbindung zum Anbieter mit regelmäßigen kleinen Paketen offen, und jedes dieser Pakete frischt den Eintrag auf, der sie über WAN1 hinausschickte. Ein Eintrag, der nie still wird, läuft nie ab. Je nach Router bleibt er deshalb an der ausgefallenen Leitung hängen, und die Pakete gehen weiter ins Leere, obwohl WAN2 längst bereitsteht.
Gegen den zweiten Grund bieten viele Router eine Einstellung, die beim Wechsel der Leitung die bestehenden Zustände löscht. Beim Ausfall kostet das nichts, was nicht ohnehin verloren wäre, denn diese Einträge zeigen auf eine Leitung, die ausgefallen ist. Die Wirkung des ersten Grundes begrenzt ein kürzeres Registrierungsintervall am Telefon, auf Kosten häufigerer Anmeldungen.
Lässt sich die Umschaltung mit einem kürzeren Prüfintervall beschleunigen?
Ja, nach derselben Formel: Bei einer Sekunde und drei Fehlversuchen dauert sie drei bis vier Sekunden statt fünfzehn bis zwanzig. Der Preis ist die Empfindlichkeit, denn drei verlorene Prüfpakete in Folge können auf einer voll ausgelasteten Leitung auch ohne Ausfall vorkommen, und jede Fehlumschaltung kostet dieselben zwei Runden abgerissener Sitzungen wie eine echte.
Hilft es, beide Leitungen gleichzeitig zu nutzen, statt eine nur als Reserve zu halten?
Teilweise. Eine übliche Lastverteilung ordnet jede Verbindung einer Leitung zu, nicht jedes Paket, denn sonst käme dieselbe Verbindung mit zwei Absenderadressen an. Fällt eine Leitung aus, sterben deshalb nur die Verbindungen, die gerade über sie liefen, und die übrigen laufen weiter. Die Umschaltung selbst bleibt so hart wie im Artikel beschrieben; sie trifft bloß weniger Sitzungen.
Dafür entsteht ein neues Problem im Normalbetrieb. Aufeinanderfolgende Verbindungen desselben Geräts können über verschiedene Leitungen hinausgehen, und ein Dienst, der eine Anmeldung an die Absenderadresse bindet, sieht plötzlich zwei Adressen und beendet die Sitzung. Router lösen das mit einer Einstellung, oft „Sticky Connections“ genannt, die alle Verbindungen eines inneren Geräts für eine Weile an dieselbe Leitung heftet. Die Last verteilt sich dann nach Geräten statt nach Verbindungen.
Passend dazu
