18.15 Ausfallsicherheit bei Servern 

Werden mehrere Server in einer Domäne eingesetzt und besitzen diese Server unterschiedliche Funktionen, so stellt sich permanent die Frage, ob und welche Serverfunktionen redundant ausgelegt werden sollen und ob ein sinnvolles Arbeiten überhaupt möglich ist, wenn einer der Server ausgefallen ist. Holen Sie sich den Rat von drei unabhängigen Beratern zur Verteilung der Serverfunktionen und zur Absicherung der Server ein, und Sie werden mit großer Wahrscheinlichkeit drei verschiedene Konzepte als Lösungsvorschläge erhalten. Die Ursache ist nicht unbedingt ein unterschiedliches Wissen der Experten oder der Wunsch, Ihnen als neuem Kunden einen möglichst großen Auftragswert zu entlocken. Es gibt schlichtweg keine allgemein gültigen Konzepte, die auch in Bezug auf Kosten und Nutzen auf jedes Unternehmen nach »Schema F« anwendbar sind. Ebenso ist es sehr schwierig, das in der IT-Abteilung vorhandene Know-how treffend zu bewerten, das notwendig ist, um in Problemsituationen richtig vorzugehen, den Schaden gering zu halten und den aufgetretenen Fehler sachkundig zu analysieren und zu beheben.

Gibt es mehrere Standorte, an denen Server dezentral aufgestellt werden müssen, so wächst die Komplexität des Systems nicht linear, sondern eher exponentiell an. Sofort stellt sich die Frage, ob dezentrale Systemadministratoren auf ausreichend hohem Niveau geschult werden können, um mit Problemsituationen sachkundig umgehen zu können, oder ob es nicht kostengünstiger und bezüglich einer über die Standorte hinweg gleich bleibenden Qualität besser ist, fehlendes Know-how durch teure Anfangsinvestitionen zu kompensieren.

Gleichfalls schwer zu treffen sind quantifizierbare Aussagen darüber, wie kritisch die Verfügbarkeit der IT-Systeme für den Geschäftsprozess des Unternehmens ist: Welchen Schaden erleidet z.B. ein Unternehmen, wenn die IT-Dienste mehrere Stunden oder mehrere Tage nicht verfügbar sind? Was kostet der Produktionsausfall? Mit welchen Regressansprüchen seitens der Kunden muss eventuell gerechnet werden, wenn aufgrund des IT-Ausfalls Fertigstellungs- oder Liefertermine nicht eingehalten werden können? Wie groß ist der Image-Schaden für die IT-Abteilung gegenüber der Geschäftsleitung, wie groß ist der Image-Schaden des Unternehmens gegenüber den Kunden?

Eine mögliche Lösung: das Clustern von Servern

Das Clustern von Windows-Servern ist nicht mehr so teuer und kompliziert wie in den Anfangstagen dieser Technologie. Inzwischen bieten Server-Hersteller preiswerte Clusterlösungen »out of the box« an. Besteht Ihr Unternehmen aus vielen Filialen mit Benutzerzahlen, bei denen der Ausfall des Systems geschäftskritisch ist, das Aufstellen und Managen von Ausfallservern jedoch andererseits zu teuer und zu aufwändig erscheint, so sollten Sie einmal ein Angebot über einen Clusterserver einholen und Aufwand und Kosten mit ausfallsicheren Lösungen vergleichen, bei denen die Last und die Dienste auf mehrere Server pro Standort verteilt werden. Wie die Verkaufszahlen des Small Business Servers beweisen, ist es durchaus möglich, bis zu 75 Anwender mit einem Server zu bedienen und alle wichtigen Dienste wie DNS, DHCP, WINS, globaler Katalog, RIS, Datei- und Druckserver, Exchange Server, ja sogar SQL-Server und SMS-Server auf diesem Server unterzubringen, wenn an der Hardware-Ausstattung des Servers nicht gespart wird.

Ausfallszenarien

Zur Veranschaulichung skizzieren wir eine Beispieldomäne: Sie besteht aus zwei Domänencontrollern, damit sich die Mitarbeiter bei einem Ausfall des ersten Domänencontrollers über den zweiten weiter anmelden können. Liegen die servergespeicherten Profile (Roaming Profiles), die Basisverzeichnisse (Home Directories) der Anwender oder die Gruppenablagen auf dem ausgefallenen Server, so wird die Arbeit trotz geglückter Anmeldung über den zweiten Domänencontroller stark beeinträchtigt. Man wird einwerfen, dass die Mitarbeiter bis zur Wiederverfügbarkeit des ersten Domänencontrollers zumindest Microsoft Office starten und neue Dokumente erstellen können, die sie dann auf der lokalen Festplatte zwischenspeichern können. Liegen jedoch die Vorlageverzeichnisse mit den Vorlagen für Geschäftsbriefe und Berichte ebenfalls auf dem ausgefallenen Server, so können auch keine Briefe oder Berichte verfasst werden. Könnten diese Dokumente denn ausgedruckt werden? Nicht, wenn der Ausdruck auf Netzdruckern erfolgen muss und die Warteschlangen der Netzdrucker auf dem ausgefallenen Server liegen.

In einer derartigen Stresssituation ist es andererseits für den Administrator kaum zumutbar, beim Lösen seines Serverproblems ständig durch die Anrufe von Mitarbeitern gestört zu werden, die zwar Word, Excel oder den Internet Explorer starten können, jedoch die Dokumentvorlagen nicht finden, nicht wissen, wohin sie ein neues Dokument speichern sollen, da doch der auf den ausgefallenen Server umgeleitete Ordner Eigene Dateien plötzlich ins Nichts verweist, oder deren Internet Explorer plötzlich keine Favoriten mehr anzeigt, weil das Favoriten-Verzeichnis ebenfalls auf den ausgefallenen Server umgelegt wurde.

Zweifelhaft ist es, ob die Mitarbeiter besser bedient sind, wenn sie während des Ausfalls des Servers weiterhin Dokumente erstellen und lokal auf den Festplatten abspeichern können. Ist der ausgefallene Server wieder betriebsbereit und melden die Mitarbeiter sich erneut an, so besteht die Gefahr, dass sie die lokal gespeicherten Dokumente nicht wieder finden oder aber nicht auf den Server verschieben und weitere Dokumente lokal speichern. Diese würden dann jedoch nicht in die tägliche Sicherung einfließen und bei einem Ausfall der lokalen Festplatte endgültig verloren gehen. Der Supportaufwand wird wahrscheinlich unverhältnismäßig hochgetrieben. Ein Konzept, das Datenhaltung aus Datenschutz- und Datensicherheitsgründen ausschließlich auf dem Server vorsieht, wird ausgehöhlt, wenn bei Ausfall eines Servers mit den lokal zwischengespeicherten Profilen weitergearbeitet werden darf.

Was nützt es andererseits, wenn der Domänencontroller zwecks Ausfallsicherheit doppelt ausgelegt wurde, jedoch der Datenbankserver ausfällt, der das Backend zur kaufmännischen Anwendung ist? Wenn z.B. SAP die geschäftskritische Anwendung ist und der SAP-Datenbankserver ausfällt oder die Leitung zum SAP-Host unterbrochen ist, können sich die Mitarbeiter zwar an der Domäne anmelden und vielleicht die Zeit mit Surfen im Internet überbrücken, der betriebliche Schaden wird dadurch jedoch kaum gemildert.

Und wie wichtig ist die Ausfallsicherheit des Exchange Server als Kommunikationsplattform zwischen den Mitarbeitern des Unternehmens und den Kunden? Wenn alle Kunden- und Lieferantenadressen als externe Kontakte auf dem Exchange Server gepflegt werden und die gesamte Korrespondenz mit Kunden und Lieferanten sowie geschäftskritischer Workflow über die öffentlichen Ordner des Exchange Server abgewickelt wird, nützt es recht wenig, wenn der Exchange Server wegen fehlender Redundanz komplett ausfällt, dass die Domänencontroller, Dateiserver und Datenbankserver redundant ausgelegt sind und sauber ihre Dienste bereitstellen. Das Geschäft liegt dann danieder.

In Kapitel 24, Serverdienste und Ausfallfallsicherheit, wird auf die redundante Auslegung von Servern mit bestimmten Diensten ausführlich eingegangen.