Capacidad N-1 en clústeres: prueba de failover

Alta disponibilidad configurada no equivale a capacidad comprobada

Un clúster puede detectar la caída de un nodo y no disponer de recursos suficientes para reiniciar todas las cargas necesarias. El análisis N-1 pregunta si el diseño tolera la pérdida de una unidad de fallo concreta: un host, un enlace, una fuente de alimentación o, si la arquitectura lo exige, un rack. Declara esa unidad; no mezcles escenarios distintos bajo la etiqueta “redundante”.

En vSphere, Admission Control relaciona la política de fallos tolerados con los recursos de CPU y memoria que deben reservarse. Broadcom documenta que reservas de máquinas virtuales, reglas de afinidad y capacidad libre influyen en que una política de failover pueda cumplirse; consulta su nota de resolución de falta de recursos de HA. La configuración del hipervisor no sustituye una prueba del servicio completo.

Hoja de cálculo del escenario

• Unidad que falla: identifica host, rack, switch o componente y justifica el supuesto.
• Carga que permanece: estima demanda de CPU y memoria bajo carga real, no solo capacidad instalada.
• Restricciones: incluye reservas, reglas de colocación, licencias, afinidad y ventanas de mantenimiento.
• Almacenamiento: verifica rutas, IOPS, latencia, replicación y capacidad de escritura en el escenario degradado.
• Red: revisa ancho de banda, VLAN, rutas, balanceadores y accesos a dependencias externas.
• Prioridad de servicio: define qué debe reiniciarse primero y qué puede permanecer degradado.
• Resultado aceptable: fija límites de tiempo, errores y transacciones de negocio que se comprobarán.

Ensayo controlado

Simula la pérdida acordada en un entorno no productivo o en una ventana aprobada. Mide el tiempo de detección, recolocación, inicio de aplicaciones y recuperación de transacciones; valida también alarmas, quórum y retorno a operación normal. Registra cargas que no pudieron reiniciarse y acciones para ampliar capacidad o ajustar reservas. No desactives Admission Control como respuesta rutinaria: podrías quitar la garantía que el diseño pretendía proteger.

Este análisis complementa el artículo de clúster HA con Corosync y Pacemaker y la guía para proteger el plano de gestión BMC/Redfish.