Coğrafi Yedekleme Çözümleri: Bölgeler Arası Dayanıklılık Mimarisi

Coğrafi yedekleme, kritik sistemlerin ve verilerin birbirinden fiziksel olarak ayrı konumlarda bulundurulmasıyla bölgesel kesintilere karşı direnç sağlayan tasarım yaklaşımıdır. Aynı tesis içindeki yedeklilik, sunucu arızasına veya disk kaybına karşı koruma sağlar; ancak deprem, sel, yaygın elektrik kesintisi, fiber güzergâh hasarı veya tesisin tamamen erişilemez hâle gelmesi durumunda yetersiz kalır. Coğrafi ayrım bu senaryoları hedefler.

Türkiye gibi deprem riski taşıyan ve enerji altyapısında bölgesel kesinti ihtimali bulunan coğrafyalarda, kritik iş yükleri için tek tesis bağımlılığı kabul edilebilir bir risk seviyesi oluşturmaz. Bu nedenle coğrafi yedeklilik, düzenlemeye tabi sektörlerin ötesinde giderek daha geniş bir kurum grubunun gündeminde yer alır.

Mesafe, Gecikme ve Replikasyon İlişkisi

Coğrafi yedeklilik tasarımının temel kısıtı fizik kaynaklıdır. Işığın fiber ortamdaki yayılım hızı nedeniyle her 100 kilometrelik mesafe, gidiş-dönüş için yaklaşık bir milisaniyelik ek gecikme üretir. Ara aktif cihazlar ve yönlendirme mesafesi dikkate alındığında gerçek değer bunun üzerine çıkar.

Bu kısıt, replikasyon yöntemini doğrudan belirler:

Senkron replikasyon, yazma işleminin her iki tesiste de onaylanmasını bekler. Uygun şekilde uygulandığında RPO ≈ 0 hedeflenebilir. Ancak her yazma işlemine eklenen gecikme uygulama performansına doğrudan yansır. Yoğun yazma yapan veritabanı iş yüklerinde tesisler arası mesafe ürün, RTT, storage ve uygulamaya bağlıdır.

Asenkron replikasyon, yazmayı birincil tarafta onaylar ve değişiklikleri ikincil tesise gecikmeli aktarır. Senkron replikasyona göre mesafe toleransı artar, karşılığında kesinti anında son aktarılan noktadan sonraki veri kaybedilir.

Buradan doğan tasarım kalıbı, üç bölgeli yaklaşımdır: yakın mesafedeki ikinci tesis senkron replikasyonla sıfıra yakın veri kaybı sağlar, uzak mesafedeki üçüncü tesis asenkron replikasyonla bölgesel felakete karşı koruma sunar. Böylece iki farklı risk sınıfı ayrı ayrı ele alınmış olur.

Topoloji Seçenekleri

Aktif-pasif yapı

Üretim trafiği tek tesiste işlenir, ikincil tesis hazır durumda bekletilir. Yönetimi görece basittir, veri tutarlılığı yönetimi kolaydır. Devreye alma süresi, hazırlık seviyesine göre dakikalardan saatlere kadar değişir. İkincil tesisteki kaynakların çoğu zaman atıl kalması, maliyet açısından temel eleştiri noktasıdır.

Aktif-aktif yapı

Her iki tesis de eş zamanlı olarak üretim trafiği taşır. Kaynak kullanımı verimlidir ve tesis kaybında geçiş süresi minimuma iner. Buna karşılık veri tutarlılığı yönetimi karmaşıklaşır: aynı kaydın iki tesiste eş zamanlı güncellenmesi durumunda çakışma çözümleme mantığının uygulama katmanında tanımlanmış olması gerekir.

Genişletilmiş küme ve bölünme sorunu

Tesisler arasında genişletilmiş küme kurulduğunda, iki tesis arasındaki bağlantının kopması hâlinde her iki tarafın da kendisini birincil ilan etmesi riski doğar. Bölünmüş beyin (split-brain) olarak adlandırılan bu durum, veri bozulmasına yol açar.

Çözüm, üçüncü bir konumda tanık (witness) veya karar verici (quorum) bileşeni konumlandırmaktır. Bu bileşen hangi tarafın hizmeti sürdüreceğine karar verir. Tanık düğümünün iki tesisten de bağımsız bir konumda ve bağımsız bağlantı yolları üzerinden erişilebilir olması, tasarımın geçerliliği açısından belirleyicidir.

Veri Katmanında Coğrafi Dayanıklılık

Veritabanı seviyesinde replikasyon, işlem tutarlılığı açısından en güçlü garantileri sunar. İlişkisel veritabanlarında birincil-ikincil yapılar, kayıt tabanlı gönderim ve okuma kopyaları yaygın kullanılan mekanizmalardır. Dağıtık veritabanı sistemlerinde ise veri, tanımlanan çoğaltma faktörüne göre farklı bölgelere dağıtılır ve okuma-yazma çoğunluk kuralları üzerinden tutarlılık sağlanır.

Nesne depolama sistemlerinde bölgeler arası çoğaltma, kova seviyesinde politika olarak tanımlanabilir. Yedek, arşiv ve statik içerik gibi veri kümeleri için bu model, operasyonel yükü düşük bir coğrafi dayanıklılık katmanı oluşturur.

Birden fazla veritabanının aynı iş sürecini beslediği durumlarda, her birinin bağımsız replikasyonu yeterli değildir. Kurtarma anında tutarlı bir noktaya dönülebilmesi için tutarlılık gruplarının tanımlanması ve replikasyonun bu gruplar üzerinden yönetilmesi gerekir.

Ağ Katmanı Tasarımı

Coğrafi yedekliliğin işlevsel olabilmesi, kullanıcı ve entegrasyon trafiğinin ikinci tesise yönlendirilebilmesine bağlıdır.

Veri merkezleri arası bağlantı (DCI), replikasyon trafiğini taşıyan omurgadır. Bu bağlantının kapasitesi, değişim hacmine göre boyutlandırılmalı ve fiziksel olarak ayrı güzergâhlardan yedeklenmelidir. Aynı fiber güzergâhını kullanan iki devre, güzergâh hasarında birlikte kesilir; bu nedenle güzergâh ayrımı sözleşme aşamasında teyit edilmelidir.

EVPN-VXLAN mimarisi, katman 2 alanlarının tesisler arasında kontrollü biçimde uzatılmasına imkân verir. Yayın trafiğinin sınırlandırılması ve alan genişliğinin kontrol altında tutulması, bu tasarımın kritik ayrıntılarıdır.

Trafik yönlendirmesinde DNS tabanlı küresel dengeleme, sağlık durumuna göre istemcileri uygun tesise yönlendirir. BGP ve anycast kullanımı ise yönlendirme seviyesinde daha hızlı geçiş sağlar. Her iki yöntemde de geçiş sürelerinin önceden ölçülmesi, kurtarma süresi hedefinin gerçekçiliğini doğrular.

Yedeklerin Coğrafi Ayrımı

Replikasyon, mantıksal hatalara karşı koruma sağlamaz. Silinen bir veri kümesi veya şifrelenen bir dosya sistemi, replikasyon yoluyla ikincil tesise de yansır. Bu nedenle coğrafi yedeklilik tasarımı, yedek kopyalarının ayrı konumda saklanmasıyla tamamlanmalıdır.

Yaygın olarak kullanılan yaklaşım, verinin en az üç kopyasının bulunması, bu kopyaların en az iki farklı ortam türünde tutulması, en az birinin farklı bir konumda saklanması, en az birinin değiştirilemez veya çevrimdışı olması ve geri dönüş testlerinin hatasız tamamlanmış olmasıdır. Son madde uygulamada en sık atlanan noktadır; doğrulanmamış yedek, kurtarma planında güvenilir bir bileşen sayılamaz.

Yedek altyapısının kimlik yönetiminin üretim ortamından ayrıştırılması da önemlidir. Üretim yönetici hesaplarının ele geçirilmesi durumunda yedek sistemlerine erişimin aynı kimlikle sağlanamaması, kurtarma kabiliyetini korur.

Test, Doğrulama ve Operasyonel Süreklilik

Coğrafi yedeklilik mimarisinin geçerliliği, düzenli tatbikatlarla ölçülür. Test kapsamı yalnızca sunucuların ikincil tesiste açılmasını değil; kimlik doğrulama, isim çözümleme, sertifika geçerliliği, entegrasyon uç noktaları ve toplu iş süreçlerinin çalışabilirliğini de kapsamalıdır.

Geri dönüş (failback) süreci genellikle devreye alma kadar planlanmaz. Birincil tesis yeniden hizmete alındığında, ikincil tesiste oluşan verinin geri aktarılması ve rollerin güvenli biçimde değiştirilmesi ayrı bir prosedür gerektirir.

Tatbikat sonuçlarının ölçülmesi ve gerçekleşen sürelerin hedeflerle karşılaştırılması, planın gerçekçiliğini gösteren tek yöntemdir. Hedefe ulaşılamadığı durumlarda ya mimari güçlendirilir ya hedef revize edilir; ölçülmemiş bir kurtarma süresi taahhüdü, plan üzerinde yazılı olsa dahi geçerli sayılamaz.

Uyum ve Veri Egemenliği

Düzenlemeye tabi sektörlerde, iş sürekliliği, bilgi güvenliği, veri yerleşimi ve ikincil sistemlerin bağımsızlığına ilişkin sektörel yükümlülükler bulunabilir. Bu gereksinimler sektör, yetkilendirme tipi ve ilgili düzenlemelere göre farklılık gösterdiğinden, coğrafi mesafe tek başına bir mevzuat kriteri olarak değerlendirilmemelidir.

Hibrit ve Bulut Tabanlı Coğrafi Yedeklilik

İkinci bir fiziksel tesis kurmak yerine bulut bölgelerinin ikincil konum olarak kullanılması, coğrafi yedeklilik yatırımını önemli ölçüde değiştiren bir seçenektir. Bu modelde kapasite yalnızca ihtiyaç anında ölçeklendiği için atıl donanım yatırımı oluşmaz; replikasyon hedefi olarak düşük maliyetli depolama katmanları kullanılabilir.

Modelin uygulanabilirliği birkaç koşula bağlıdır. Kurum ile bulut bölgesi arasındaki bağlantının, replikasyon hacmini karşılayacak kapasitede ve öngörülebilir gecikmede olması gerekir; internet üzerinden yapılan bağlantılar yerine özel bağlantı hizmetleri tercih edilir. Kimlik altyapısının her iki ortamda da çalışabilir olması, devreye alma senaryosunun ilk adımını oluşturur.

Kişisel veri işleyen sistemlerde bulut bölgesinin konumu, KVKK kapsamında ayrıca değerlendirilmelidir. Düzenlemeye tabi sektörlerde ikincil sistemin yurt içinde bulundurulmasına ilişkin yükümlülükler, bölge seçimini doğrudan belirler.

Hibrit tasarımda dikkat edilmesi gereken bir diğer nokta, veri çıkış maliyetleridir. Bulut ortamından kurum içine geri dönüş sırasında oluşan aktarım ücretleri, kurtarma senaryosunun maliyet hesabına dâhil edilmediğinde beklenmedik kalem oluşturur.

Bant Genişliği ve Maliyet Planlaması

Replikasyon bağlantısının boyutlandırılması, günlük değişim hacmine göre yapılır. Toplam veri büyüklüğü değil, birim zamandaki değişim miktarı belirleyicidir. Ölçüm yapılmadan tahmine dayalı seçilen kapasite, replikasyon gecikmesinin birikmesine ve kurtarma noktası hedefinin sessizce kaybedilmesine yol açar.

Zirve dönemlerin dikkate alınması gerekir. Ay sonu kapanışları, toplu iş süreçleri ve veritabanı bakım işlemleri değişim hacmini geçici olarak birkaç kat artırabilir. Bağlantı kapasitesi ortalama değil bu zirve değerlere göre planlanmalı, ayrıca replikasyon trafiğine hizmet kalitesi politikalarıyla öncelik tanımlanmalıdır.

Maliyet tarafında bağlantı devresi, ikincil tesis kaynakları, replikasyon ve yedekleme lisansları ile test faaliyetlerinin operasyonel yükü ayrı kalemler olarak hesaplanır. Uygulamaların kritiklik sınıflarına göre farklı coğrafi yedeklilik seviyelerine atanması, toplam yatırımı gerçekçi seviyede tutan temel yöntemdir.

Sık Sorulan Sorular

Coğrafi yedeklilik ile felaket kurtarma aynı şey midir?

Aynı değildir. Felaket kurtarma, kesinti sonrasında hizmetin yeniden ayağa kaldırılmasına yönelik plan ve süreçlerin bütünüdür. Coğrafi yedeklilik ise bu planı mümkün kılan mimari yaklaşımdır; verinin ve kaynakların ayrı konumlarda bulundurulmasını ifade eder.

İki tesis arasında kaç kilometre mesafe yeterlidir?

Tek bir sayı verilemez. Belirleyici olan, iki tesisin aynı risk bölgesinde bulunmamasıdır: aynı fay hattı, aynı sel havzası, aynı enerji dağıtım bölgesi ve aynı fiber güzergâhı paylaşılmamalıdır. Senkron replikasyon hedefleniyorsa mesafe gecikme nedeniyle ayrıca sınırlanır.

Aktif-aktif mimari her uygulama için uygulanabilir mi?

Uygulanamaz. Durum bilgisini yerel olarak tutan ve eş zamanlı yazma işlemlerinde çakışma çözümleme mantığı bulunmayan uygulamalar bu modele uygun değildir. Bu tür sistemlerde aktif-pasif yapı tercih edilir; aktif-aktif model ise uygulama katmanında tasarım değişikliği gerektirir.

Coğrafi yedeklilik yedeklemeyi gereksiz kılar mı?

Kılmaz. Replikasyon, silme ve şifreleme gibi mantıksal olayları da ikincil tesise yansıtır. Zaman içinde geriye dönüş imkânı yalnızca yedeklemeyle sağlanır; iki mekanizma birlikte konumlandırılmalıdır.

Tatbikatlar hangi sıklıkla yapılmalıdır?

Tam kapsamlı devreye alma testinin yılda en az bir kez yapılması yaygın uygulamadır. Kısmi testler, uygulama grubu bazında daha sık planlanabilir. Mimaride değişiklik yapıldığında ilgili senaryonun tekrar test edilmesi gerekir.

Tanık düğümü nerede konumlandırılmalıdır?

Tanık bileşeni, iki üretim tesisinden de bağımsız üçüncü bir konumda bulunmalı ve her iki tesise ayrı bağlantı yolları üzerinden erişilebilmelidir. Tanığın tesislerden biriyle aynı konumda veya aynı bağlantı güzergâhında olması, bölünmüş beyin korumasının amacını ortadan kaldırır.

Coğrafi Yedeklilik Tasarımında Sekom Yaklaşımı

Bu projelerde belirleyici olan ürün seçimi değil, mesafe ile gecikme arasındaki dengenin doğru kurulmasıdır. Sekom, çalışmaya mevcut değişim hacminin ölçülmesi ve uygulama bazında kurtarma hedeflerinin netleştirilmesiyle başlar; topoloji kararı, replikasyon yöntemi ve bağlantı kapasitesi bu ölçüm sonrasında belirlenir.

SAN, NAS, HCI ve SDS mimarilerini kapsayan depolama yetkinliği, senkron ve asenkron katmanların aynı tasarım içinde birlikte konumlandırılmasına imkân verir. Ağ tarafında tesisler arası bağlantı, güzergâh ayrımı ve trafik yönlendirme mimarisi aynı proje kapsamında ele alınır; böylece veri replikasyonu ile devreye alma anındaki yönlendirme senaryosu birbirinden kopuk kalmaz. Clarity gözlemlenebilirlik platformu, her iki tesisin durumunu tek düzlemden göstererek replikasyon gecikmesinin ve kapasite kullanımının sürekli izlenmesini destekler.

Mevcut mimarinizin coğrafi risk profilini değerlendirmek ve iki ya da üç tesisli bir tasarımın kurumunuza uygunluğunu görüşmek için sekom.com.tr üzerinden Sekom ekibine ulaşabilirsiniz.