So vermeidet Amazon Route 53 Failover-Probleme

Die von Amazon Route 53 implementierten Failover-Algorithmen dienen nicht nur dazu, Datenverkehr an funktionsfähige Endpunkte weiterzuleiten, sondern auch eine Eskalation von Notfällen aufgrund falsch konfigurierter Zustandsprüfungen und Anwendungen, überlasteter Endpunkte und ausgefallener Partitionen zu verhindern.

So vermeidet Amazon Route 53 kaskadierende Fehler

Als erste Verteidigung gegen Cascading-Ausfälle verfügt jeder Routingalgorithmus für Anforderungen (z. B. gewichtet und Failover) über einen Modus, der als letztes Mittel aktiviert wird. Wenn in diesem speziellen Modus alle Datensätze als fehlerhaft betrachtet werden, setzt der Route 53-Algorithmus den Zustand aller Datensätze auf fehlerfrei zurück.

Wenn beispielsweise alle Instances einer Anwendung auf mehreren Hosts Anforderungen für Zustandsprüfungen ablehnen, wählen die Route 53-Server trotzdem eine Antwort aus und geben sie zurück, anstatt keine DNS-Antwort oder eine NXDOMAIN-Antwort (nicht vorhandene Domäne) zurückzugeben. Eine Anwendung kann Benutzern zwar antworten, aber die Zustandsprüfungen dennoch nicht bestehen, und bietet damit Schutz gegen eine falsche Konfiguration.

Wenn eine Anwendung überlastet ist und einer von drei Endpunkten bei den Zustandsprüfungen fehlschlägt und von den Route 53-DNS-Antworten ausgeschlossen wird, verteilt Route 53 Antworten zwischen den beiden verbleibenden Endpunkten. Wenn die verbleibenden Endpunkte die zusätzliche Last nicht verarbeiten können und fehlschlagen, verteilt Route 53 die Antworten wieder auf alle drei Endpunkte.

So verarbeitet Amazon Route 53 Internetpartitionen

Obwohl es ungewöhnlich ist, gibt es gelegentlich erhebliche Internetpartitionen. Das bedeutet, dass große geografische Regionen nicht mehr über das Internet miteinander kommunizieren können. Während dieser Partitionen können Route 53-Standorte unterschiedliche Schlussfolgerungen über den Zustand eines Endpunkts ziehen, der sich von dem von CloudWatch gemeldeten Zustand unterscheidet. Die Route 53-Zustandsprüfungen in jeder AWS-Region senden ständig Status von Zustandsprüfungen an alle -Standorte. Während der Internetpartitionen haben die einzelnen Route 53-Standorte möglicherweise nur Zugriff auf eine Teilmenge dieser Status, in der Regel von den Status ihrer am nächsten gelegenen Regionen.

Während einer Internetpartition, die sich auf die Konnektivität zu und von DNS-Servern in Südamerika auswirkt, können die Route 53-DNS-Server in der Region Südamerika (São Paulo) guten Zugriff auf Endpunkte für Zustandsprüfungen in der AWS-Region , aber schlechten Zugriff auf Endpunkte an anderen Standorten haben. Gleichzeitig kann Route 53 in USA Ost (Ohio) einen unzureichenden Zugriff auf Endpunkte für Zustandsprüfungen in der Region Südamerika (São Paulo) haben und daraus schließen, dass die entsprechenden Datensätze fehlerhaft sind.

Partitionen wie diese können Situationen hervorrufen, in denen Route 53-Standorte basierend auf der lokalen Sichtbarkeit dieser Endpunkte unterschiedliche Schlussfolgerungen über den Zustand von Endpunkten ziehen. Dies ist der Grund, warum jeder Route 53-Standort einen Endpunkt als fehlerfrei betrachtet, wenn er nur von einem Teil der erreichbaren Zustandsprüfungen als fehlerfrei betrachtet wird.