异地灾备系统建设方案

1、灾备系统整体架构说明

首先在系统的生产系统中架设存储设备。生产系统中各个服务器实时的将所产生的业务数据（结构化和非结构化数据）保存到存储所规划的目录中，各服务器本地不再长久保留业务数据。

同时在灾备点架设1:1的灾备系统，并在其中也架设存储设备。将灾备点的各个服务器的数据存储目录设定为与主系统相同，同时应保证他们有相同的读写权限。

生产系统与灾备系统的存储设备之间，根据运营商的不同，可以选择不同的同步方案进行数据同步。数据主要采用增量同步的方式，时间间隔设定为10分钟，同时定期进行全量备份。同时保证可根据业务和运营商能力随时进行调整。

2、灾备数据定义

生产系统的各个服务器及其上所承载的应用所产生侧业务数据和日志，包括结构化和非结构化两种。这些数据均应保存到存储设备中，而非存储在内存中。

3、灾备数据同步要求

在正常状态下，生产系统应通过网络链路（通常是vpn）与灾备系统的存储设备进行数据同步。数据传输所使用的带宽应保证足够使用，所产生的延时应在可接受范围内。

当决定启用灾备系统后，灾备系统各服务器可按照事先设定好的存储路径，在灾备点存储设备上对数据进行读写操作。生产系统恢复后，可通过数据回切操作将灾备系统数据同步回生产系统。

4、灾备系统部署流程

灾备系统建议按照生产系统1:1的方式建立，主要包括服务器配置、应用配置以及数据同步（接口方式）。

服务器配置和应用配置，除IP地址等特殊参数以外，均与生产系统相同，其部署方式也与生产系统相同。

数据同步利用灾备系统的运维服务器（简称灾备前置机），通过VPN分别连接生产系统和灾备系统，作为数据的传输中转站，以提高整个系统的安全性和稳定性。

在生产系统中，首先是结构化数据方面，组建主从结构的数据库集群，主数据库负责对外提供服务，从数据库负责定时导出灾备数据，可最大限度的减少数据备份对系统造成的性能影响。其次是非结构化数据方面，也是采用同样的设计，将主Web服务器上的非结构化数据同步到从Web服务器上后，再从从Web用服务器上将数据导出至灾备系统。

在灾备前置机中，配置拉取生产系统灾备数据的定时任务。灾备数据在灾备前置机暂存后，通过另一定时任务分发到灾备系统相应的服务器上备用。

在灾备系统各服务器上，配置定时任务，用来清除过期的备份数据，防止因数据量过多导致影响服务器启动的情况发生。

当灾难发生的时候，管理员获得切换灾备系统的指令后，运行事先准备好的脚本依次启动灾备系统的各服务，将域名解析切换到灾备系统对外IP，即可完成灾难转移。

当灾难因素消除、生产系统恢复服务能力后，管理员收到回切指令后，应先将域名暂停解析，防止数据发生变化，然后将灾备系统数据手动部署回生产系统并启动相关的服务，再将域名指向生产系统，即完成了回切操作。

4.1服务器配置和应用配置

略

4.2数据同步

4.2.1数据同步实施拓扑

4.2.2数据同步实施拓扑及步骤如下

应用服务器将数据通过数据同步工具（如rsync）定时推送到文件服务器，再由灾备前置机通过vpn隧道链路，将数据定时拉取到本地。

主数据库通过同步服务（如AlwaysOn），将数据同步到从服务器，从服务器设置定时备份任务，每10min备份一次数据库，再由灾备前置机通过vpn隧道链路，将备份数据定时拉取到本地。

灾备前置机将拉取到的数据传输到灾备系统各服务器上。

4.3风险和应对措施

4.3.1、风险

1. 灾备系统的搭建涉及到生产系统，需要运维窗口期。搭建过程中会关闭系统服务，用户无法访问。
2. 搭建过程中会涉及到生产系统服务器的系统配置、应用配置、数据存储，存在数据丢失的风险。

4.3.2、应对措施

1. 选择合适的时间进行灾备系统的搭建并提前向用户发送通知。
2. 对生产系统服务器的系统配置、应用配置以及数据提前做好备份。

5、灾备系统启动操作流程

正常情况下，系统用户通过域名对系统进行访问。而域名是绑定生产系统IP地址才使得这种访问模式成为可能。当决定进行灾备系统切换操作时，管理员应关闭灾备系统存储设备接收生产系统数据的同步策略，防止在生产系统维修期间产生意外的数据同步导致数据混乱的情况发生。然后将域名所绑定的生产系统IP地址替换为灾备系统的IP地址，实现网络访问路径的切换。

在确定生产系统恢复服务能力之后，应先关闭生产系统存储设备的备份策略，并将灾备系统存储设备的备份策略激活，使生产系统可以获得灾备系统在对外服务期间所接收到的最新数据。

6、生产系统回切操作流程

当决定进行生产系统回切操作时，应首先发布公告打开运维窗口。在该窗口内，管理员应先将域名与灾备系统IP进行解绑，并将灾备系统IP地址禁用，保证系统用户在该时间段内不会再在系统中产生新的业务数据。之后将灾备系统存储设备内的数据同步至生产系统的存储设备内。

当数据同步完成后，可以先利用生产系统的IP地址进行访问测试。确认系统没有问题的情况下，停用灾备系统存储设备与生产系统存储设备之间的同步策略，启动生产系统存储设备到灾备系统存储设备的同步策略，将域名与生产系统IP地址进行绑定，最后发布公告退出运维窗口，回切操作完成。

附件一：灾备数据定义