Die umgekehrte Pyramide des Untergangs

Das 3-2-1-Modell der Systemarchitektur ist heute äußerst verbreitet und fast immer genau das Gegenteil dessen, was ein Unternehmen braucht oder auch nur möchte, wenn es sich die Zeit nähme, seine Geschäftsziele aufzuschreiben, anstatt eine Architektur aus einer technikgetriebenen Perspektive heraus anzugehen. Der Entwurf einer Lösung erfordert, mit den Geschäftsanforderungen zu beginnen, andernfalls riskieren wir nicht nur, dass die Architektur für das Unternehmen unangemessen entworfen wird, sondern müssen geradezu damit rechnen.

Der Name bezieht sich auf drei (dies ist ein weicher Punkt, oft sind es zwei oder mehr) redundante Virtualisierungs-Hostserver, die mit zwei (oder möglicherweise mehr) redundanten Switches verbunden sind, welche wiederum mit einem einzelnen Speichergerät verbunden sind, normalerweise einem SAN (aber DAS oder NAS sind hier ebenfalls zulässig). Es ist eine umgekehrte Pyramide, weil der entscheidende Teil, die Virtualisierungs-Hosts, vollständig vom Netzwerk abhängt, das wiederum vollständig von dem einzelnen SAN oder alternativen Speichergerät abhängt. Alles ruht also auf einem Gerät mit einem einzigen Ausfallpunkt, und der gesamte Schutz und die gesamte Redundanz werden immer weiter auf diesem fragilen Fundament aufgebaut. Anders als bei einer echten Pyramide mit einer breiten, stabilen Basis und einer Spitze oben ist diese hier mit all ihrer Schwäche am Boden errichtet. (Oft kommt hier das ‘Einhornfürze’-Marketingmodell von “SANs sind magisch und können dank zweier Controller nicht ausfallen” zum Vorschein, wenn Menschen zu erklären versuchen, dass dies kein einzelner Ausfallpunkt sei, doch es ist in jeder Hinsicht ein einzelner Ausfallpunkt.)

Die Lösung, die oft als 3-2-1-Design bezeichnet wird, kann also auch “Die umgekehrte Pyramide des Untergangs” genannt werden, denn sie ist eine auf den Kopf gestellte Pyramide, die zu fragil für den Betrieb und extrem teuer ist für das, was sie liefert. Anders als viele andere fragile Modelle ist sie also sehr kostspielig, nicht sonderlich flexibel und nicht so zuverlässig, als würde man schlicht über einen einzelnen, hochwertigen Server hinaus gar nichts unternehmen.

Es gibt Situationen, in denen ein 3-2-1 sinnvoll ist, doch handelt es sich dabei meist um extreme Grenzfälle, in denen eine fragile Umgebung gewünscht ist und ein hohes Maß an gemeinsam genutztem Speicher mit enormen Verarbeitungskapazitäten benötigt wird – nichts, was man in der SMB-Welt sehen würde, und auch andernorts nur sehr selten.

Die umgekehrte Pyramide sieht für Menschen, die nicht mit der gesamten Architektur vertraut sind, etwa Führungskräfte und Geschäftsleute, großartig aus. Es gibt viele Kästen, viele Kabel, es gibt typischerweise Softwarekomponenten, die mit “HA” gekennzeichnet sind, was es für den außenstehenden Beobachter so klingen lässt, als müsse die gesamte Lösung hochzuverlässig sein. Umgekehrte Pyramiden sind beliebt, weil sie aus Marketingsicht “HA” bieten, wodurch alles wunderbar klingt, und weil sie die Gesamtkosten im Rahmen halten, sodass es fast wie ein Wunder erscheint – das Versprechen von Hochverfügbarkeit ohne die traditionellen Kosten. Die zusätzliche “Redundanz” einiger Komponenten ist großartig fürs Marketing. Da Zuverlässigkeit schwer zu messen ist, greifen Geschäftsleute wie Techniker gleichermaßen oft darauf zurück, von Redundanz statt von Zuverlässigkeit zu sprechen, da Redundanz leicht zu erkennen ist. Die umgekehrte Pyramide spricht diese Menschen gut an, da sie Redundanz ohne Zuverlässigkeit bietet. Die Redundanz befindet sich nicht dort, wo sie am wichtigsten ist. Es ist absolut entscheidend, sich daran zu erinnern, dass Redundanz weder ein Kontrollkästchen noch ein Ziel ist, sondern ein Werkzeug, das man einsetzt, um Verbesserungen der Zuverlässigkeit zu erzielen. Unsachgemäße Redundanz hat keinen Wert. Was nützt ein Auto mit einem redundanten Lenkrad im Kofferraum? Was nützt ein redundantes Flugzeug, wenn man stirbt, sobald das erste abstürzt? Was nützt ein redundanter Server, wenn Ihr Unternehmen stillsteht und Daten verloren sind, sobald das einzelne SAN in Rauch aufgeht?

Die umgekehrte Pyramide ist eines der offensichtlichsten und allgegenwärtigsten Beispiele für “Des Kaisers neue Kleider” im Technologievertrieb. Weil sie die Bedürfnisse der Wiederverkäufer und Anbieter erfüllt, indem sie margenstarke Verkäufe fördert und margenschwache minimiert, und weil nahezu jeder Anbieter sie aufgrund ihrer finanziellen Vorteile für den Verkäufer bewirbt, hat sie sich als großartige Lösung weithin durchgesetzt – gerade kompliziert und technisch genug, dass keine breite Ablehnung erfolgt, und durch den enormen Marktdruck der unzähligen Anbieter, die von der Architektur profitieren, ist sie zum Status quo geworden, und nur wenige halten inne und hinterfragen, ob die gesamte Architektur überhaupt einen Nutzen hat. Dies, kombiniert mit der Tatsache, dass alle heutigen Systeme im Vergleich zu Systemen von vor gerade einmal einem Jahrzehnt hochzuverlässig sind, wodurch Ausfälle selten genug sind, dass die Tatsache, dass sie häufiger auftreten, als sie sollten, und statistische Ausfallraten nicht zwischen SMBs geteilt werden, bedeutet, dass die Architektur gedeiht und zum De-facto-Lösungspaket für die meisten SMBs geworden ist.

Unter dem Strich ergibt der Ansatz der umgekehrten Pyramide keinen Sinn – er ist weitaus unzuverlässiger als einfachere Lösungen, selbst als ein einzelner, für sich allein stehender Server, während er ein Vielfaches mehr kostet. Ist die Kosten ein entscheidender Faktor, sollte er vollständig ausgeschlossen werden. Ist die Zuverlässigkeit ein entscheidender Faktor, sollte er vollständig ausgeschlossen werden. Nur wenn Kosten und Zuverlässigkeit weit hinter die Flexibilität zurücktreten, sollte er überhaupt in Betracht gezogen werden, und selbst dann ist es selten, dass eine kostengünstigere, zuverlässigere Lösung ihm innerhalb des erwarteten Flexibilitätsrahmens an Gesamtflexibilität nicht ebenbürtig ist. Am besten meidet man ihn gänzlich.

Ursprünglich in gekürzter Form auf Spiceworks veröffentlicht: http://community.spiceworks.com/topic/312493-the-inverted-pyramid-of-doom