Load Balancing

Mit den Standardwerten verbreiteter Dienste dauert das bis zu etwa eine Minute: Die Prüfung läuft alle 30 Sekunden, und erst zwei aufeinanderfolgende Fehlschläge nehmen den Server aus dem Verkehr; das Zeitlimit je Prüfung beträgt 5 Sekunden, der einstellbare Abstand reicht von 5 bis 300 Sekunden. In dieser Minute laufen Anfragen weiter auf die ausgefallene Maschine und enden mit einer Fehlerseite.

So viel, dass die verbleibenden Server die gesamte Last allein tragen: Bei zwei Servern darf jeder im Normalbetrieb höchstens die Hälfte seiner Kapazität nutzen, bei drei höchstens zwei Drittel. Die Rechnung lautet Last geteilt durch die Zahl der Server minus eins. Wer zwei Maschinen zu je 80 Prozent auslastet, hat keine Verteilung mit Reserve gebaut, sondern zwei Server, die beim Ausfall des einen gemeinsam überlaufen.

Nicht mehr im Protokoll des Webservers: Der sieht nur die Adresse des Load Balancers und schreibt sie in jede Zeile. Die Herkunft steht dann allein im Kopffeld X-Forwarded-For, das die Anwendung ausdrücklich auswerten muss. Die Referenzdokumentation warnt, dass dieses Feld für sicherheitsrelevante Zwecke – Zugriffssperren, Begrenzung der Anfragezahl – nur dann brauchbar ist, wenn der Server nicht auch direkt aus dem Internet erreichbar bleibt.

Ein Auslieferungsnetz legt Kopien statischer Dateien in Rechenzentren nahe beim Besucher ab und verkürzt damit den Weg; Load Balancing verteilt Anfragen auf mehrere gleichwertige Server am selben Ort. Für dynamische Seiten, Anmeldungen und Formulare hilft das Auslieferungsnetz nicht – diese Anfragen landen weiter beim Ursprung. Fällt dort der einzige Server aus, liefert das Netz allenfalls noch veraltete Kopien; die Anwendung selbst ist nicht erreichbar.

Es schützt nicht vor dem Ausfall dieser Datenbank. Steht sie still, antworten alle verteilten Server gleichzeitig mit einem Fehler – die Verdopplung der Webserver hat die Verfügbarkeit dann nicht erhöht, sondern nur die Zahl der Stellen, die auf denselben Engpass warten. Wer Ausfallsicherheit als Ziel nennt, prüft deshalb jede gemeinsam genutzte Komponente einzeln: Datenbank, Dateispeicher, Zwischenspeicher, Namensauflösung. Verteilt ist ein System erst, wenn kein Bestandteil davon einzeln bleibt.