EC2 und RDS

Amazon erklärt Ausfall seiner Cloud-Server

Ein Routingfehler im Rahmen eines Netzwerkupgrades ist für den Ausfall von Amazons Cloud-Servern verantwortlich. Der kleine Fehler führte zu einer Kettenreaktion, langen Ausfällen und bei einigen Kunden sogar zu Datenverlust.

Amazon hat den Ausfall seiner Cloud-Server in den USA am Osterwochenende ausführlich erläutert und erklärt, wie dies in Zukunft verhindert werden soll. Ausgangspunkt war ein Routingfehler im Rahmen eines Netzwerkupgrades für den Cloud-Speicherdienst Amazon Elastic Block Store (EBS). Dieser verfügt über zwei Netzwerke, ein primäres mit hoher Kapazität und ein sekundäres mit verringerter Kapazität. Darüber kommunizieren die einzelnen Cluster-Nodes einer EBS-Zone miteinander. Statt den Netzwerkverkehr für das Update auf einen redundanten Router des primäres Netzes umzuleiten, wurde der Traffic einiger Nodes des EBS-Clusters auf das sekundäre Netz geleitet, was dafür nicht ausgelegt ist. Dies setzte eine Kettenreaktion in Gang, die durch Mechanismen verstärkt wurde, die Datenverlust verhindern sollen.

Infolge des Routingfehlers war eine größere Zahl an EBS-Nodes komplett von den übrigen EBS-Nodes abgeschnitten, da sowohl das primäre als auch das sekundäre Netz wegfielen. Da die einzelnen Nodes ihre Daten immer auf andere Nodes replizieren, verloren die abgeschnittenen Nodes auch die Verbindung zu ihren Replikationspartnern. Nachdem der Rountingfehler korrigiert war, taten diese Nodes, was eigentlich Datenverlust verhindern soll: Sie suchten neue Replikationspartner mit freiem Speicherplatz. Was in einem normal funktionierenden Cluster nur einige Millisekunden dauert, nahm in diesem Fall aber viel Zeit in Anspruch, denn aufgrund der vielen Anfragen stand so schnell kein freier Speicherplatz im Cluster zur Verfügung. Dadurch blieben rund 13 Prozent der EBS-Nodes in dieser Zone hängen, beantworteten also weder Schreib- noch Leseanfragen.

Das EBS-Kontrollsystem wurde ebenfalls in Mitleidenschaft gezogen, so dass in dem Cluster keine neuen Volumes mehr angelegt werden konnten.

Verschlimmert wurde alles noch durch zwei weitere Faktoren: Die ausgefallenen Nodes hörten nicht auf, nach freiem Speicherplatz zu suchen und es trat eine Race-Condition im EBS-Code zutage, was zu weiteren Ausfällen von EBS-Nodes führte.

Amazons EC2-Server greifen auf EBS zu, um ihre Daten zu speichern und waren dadurch ebenfalls betroffen. Wenn ein Node seinen Replikationspartner wechselt, dann muss dies der zugehörigen EC2-Instanz gemeldet werden. Das sorgt für hohe Konsistenz der EBS-Volumes, in diesem Fall aber auch dafür, dass der dazugehörige Kontrolldienst unter hohe Last geriet, was den Anfragestau nochmals erhöhte und sich das auch auf andere Zonen auswirkte.

Auch Amazon Relational Database Service betroffen

Besonders hart traf der Ausfall allerdings Amazons Relational Database Service (RDS), der auf EBS zugreift, um dort Datenbanken und Logfiles zu speichern. Fällt nur ein EBS-Volume aus, bleibt die gesamte RDS-Instanz hängen. Da RDS-Instanzen in aller Regel auf mehrere EBS-Volumes zugreifen, waren in der betroffenen Zone bis zu 45 der RDS-Instanzen betroffen.

Um ähnliche Vorfälle in Zukunft zu vermeiden, will Amazon an mehreren Punkten ansetzen: Erstens sollen Veränderungen genauer geprüft und stärker automatisiert werden, so dass ein Rountingfehler, wie im aktuellen Fall, nicht mehr auftritt. Zweitens soll EBS fehlertoleranter werden. Amazon will zudem mehr freie Kapazitäten vorhalten, damit künftig auch bei solch großen Ausfällen ausreichend Ressourcen zur Verfügung stehen. Auch das Verhalten der Nodes in Fehlerfällen soll verändert werden, damit sich eine Kettenreaktion, wie im vorliegenden Fall, nicht wiederholen kann. Und auch die aufgetretene Race-Condition wurde identifiziert und eine Korrektur wird getestet.

Eine Sache können auch die Amazon-Kunden machen, um die Auswirkungen solcher Ausfälle auf ihr Geschäft zu verringern: Amazon bietet die Möglichkeit, Dienste über mehrere Verfügbarkeitszonen zu verteilen. Wer das getan hat, sollte im aktuellen Fall kaum Auswirkungen gespürt haben, da die Problematik weitgehend auf eine solche Verfügbarkeitszone beschränkt war. Allerdings ist die Nutzung mehrerer Verfügbarkeitszonen mit etwas Aufwand auf Applikationsseite verbunden. Das will Amazon künftig reduzieren, damit mehr Kunden ihre Angebote auf mehrere Zonen verteilen können.

Kunden, deren Server oder Datenbanken auf EBS-Volumes in der betroffenen Zone zugegriffen haben, gewährt Amazon zehn Tage kostenlose Nutzung, ganz gleich, ob ihre Server oder Datenbanken von den Problemen direkt betroffen waren oder nicht.