VMware Fault Tolerance (FT) gewährleistet eine kontinuierliche Verfügbarkeit virtueller Maschinen, indem eine aktive sekundäre Instanz aufrechterhalten wird. Dadurch wird der Ausfall eines Hosts ohne Unterbrechung abgesichert. Diese Funktion nutzt die synchrone Aufzeichnung und Wiedergabe, um die Ausführung der virtuellen Maschine zu spiegeln. Für CPU, Netzwerk und Speicher ist eine sorgfältige Konfiguration erforderlich. Dieser Leitfaden führt vom Grundlegenden bis hin zu detaillierten technischen Aspekten und behandelt Voraussetzungen, Funktionsweise, Einrichtung, Tests, Überwachung sowie Vor- und Nachteile im Vergleich zur Hochverfügbarkeit (HA).
Was ist VMware Fault Tolerance?
VMware Fault Tolerance gewährleistet eine Ausfallzeit von null, indem eine sekundäre VM synchron zur primären VM ausgeführt wird. Dabei werden nichtdeterministische Ereignisse auf der primären VM erfasst und vor ihrer Ausführung auf die sekundäre VM übertragen. Die sekundäre VM bleibt bei externen E/A-Vorgängen passiv, ist jedoch aktiv an der Wiedergabe beteiligt. Fällt der primäre Host aus, übernimmt die sekundäre VM sofort die Aufgaben. FT nutzt die vLockstep-Technologie zur Replikation von CPU- und Speicherzuständen auf Befehlsebene. Dadurch wird ein Datenverlust von null sichergestellt und ein durchgängiger Betrieb gewährleistet.
So funktioniert VMware Fault Tolerance
FT basiert auf einer synchronen Zustandsreplikation auf Befehlsebene. Auf dem Primärserver werden CPU-Register, Speicheraktualisierungen sowie nichtdeterministische Eingaben wie Interrupts und Netzwerkpakete protokolliert. Diese Aufzeichnungen werden über ein dediziertes FT-Protokollnetzwerk an den Sekundärserver übertragen. Der Sekundärserver spielt die Befehle schrittweise nach, blockiert jedoch jegliche externe Ein-/Ausgabe, bis zum Failover. Nur der Primärserver führt Speicherschreibvorgänge oder Netzwerkübertragungen aus. Dadurch wird ein Split-Brain vermieden, da stets nur eine aktive Ein-/Ausgabequelle vorhanden ist. FT verwendet atomare Sperren (z. B. SCSI-3 Persistent Reservations) auf gemeinsam genutztem Speicher, um das Failover zu koordinieren, sodass nach einem Ausfall ausschließlich eine Instanz als Primärinstanz ausgeführt wird.
FT verwendet einen VMkernel-FT-Logging-Adapter. Die Primärinstanz erfasst Ereignisse und sendet sie vor der Ausführung der Anweisung an die Sekundärinstanz. Die Sekundärinstanz spielt diese Ereignisse in derselben Reihenfolge wieder ab. Netzwerk- und Speicher-I/O werden ausschließlich auf der Primärinstanz abgeschlossen; die Sekundärinstanz wartet. Falls der Primärhost ausfällt (Stromausfall, PSOD, Isolation des Management-Netzwerks über den Zeitlimit hinaus oder Absturz des vmx-Prozesses), bricht der Heartbeat ab. Die Sekundärinstanz übernimmt sofort die Rolle der Primärinstanz unter Verwendung ihres wiedergegebenen Zustands. Automatisch wird eine neue Sekundärinstanz auf einem anderen Host gestartet. FT vermeidet Datenlücken durch atomare Speichersperren und synchrone Zustandssynchronisation.
⚫vLockstep- und nichtdeterministische Ereignisse
vLockstep erfasst Ereignisse, die den Ausführungspfad verändern können: Unterbrechungen, Abschluss von E/A-Operationen und zeitbasierte Anweisungen (z. B. RDTSC). Diese Ereignisse werden auf dem Primärsystem protokolliert und über das FT-Protokoll an das Sekundärsystem gesendet. Sie werden in die Ausführung des Sekundärsystems eingefügt, bevor die entsprechenden Anweisungen ausgeführt werden. Dadurch stellen beide VMs identische Eingaben fest. Die Aufzeichnung ausschließlich nichtdeterministischer Eingaben hält die Protokolldaten im Vergleich zu vollständigen Zustandsdumps klein. Das Sekundärsystem spielt den CPU- und Speicherzustand synchron ab, wartet jedoch bei externen E/A-Operationen bis zum Übernahmemoment.
⚫ Synchrone Replikation des Zustands
FT repliziert CPU-Register und Speicherzustand auf Instruktionsebene. Dies ist keine Blockebenen-Replikation. Sie stellt sicher, dass der interne Zustand der Sekundärinstanz an jedem Instruktionspunkt mit dem der Primärinstanz übereinstimmt. Das FT-Logging-Netzwerk muss Aufzeichnungen mit minimaler Latenz übertragen. Jede Verzögerung kann virtuelle Maschinen lahmlegen, falls die Puffer voll werden. Daher sind dedizierte Bandbreite und Wege mit geringer Latenz entscheidend. Der FT-Logging-Datenverkehr kann bei CPU-intensiven virtuellen Maschinen mehrere hundert Mbit/s erreichen.
⚫ E/A-Verarbeitung und Aufteilungs-Brain-Prävention
Nur die primäre VM führt externe E/A-Vorgänge aus: Schreibvorgänge auf die Festplatte und Versand von Netzwerkpaketen. Die sekundäre VM ist für E/A passiv, bis ein Failover erfolgt. Dadurch werden zwei aktive E/A-Quellen vermieden. Bei gemeinsam genutztem Speicher wird atomares Dateilocking – häufig über SCSI-3-Persistent-Reservations – eingesetzt, um zu verhindern, dass beide VMs nach einem Ausfall gleichzeitig als primär auf die Festplatten zugreifen. Bei einem Failover übernimmt die sekundäre VM die Reservierung und setzt den Betrieb fort. Die ursprünglich primäre VM startet bei Wiederkehr eine neue sekundäre VM, anstatt ihre Rolle als primäre VM wieder aufzunehmen.
⚫ Failover-Auslöser
Der FT-Failover wird ausgelöst, wenn der primäre Host nicht mehr erreichbar ist oder ausfällt. Zu den Auslösebedingungen zählen Stromausfall des Hosts, ein PSOD (Purple Screen of Death), Absturz des vmx-Prozesses (z. B. durch „esxcli“ beendet) oder Isolation des Management-Netzwerks über die HA-Timeout-Zeit hinaus. FT überwacht den Heartbeat über den FT-Protokollkanal. Sobald der Heartbeat aussetzt, übernimmt der sekundäre Host sofort die primäre Rolle. vCenter protokolliert das Ereignis. Ein neuer sekundärer Host wird automatisch auf einem kompatiblen Host platziert.
So richten Sie die Fehlertoleranz in VMware ein und verwenden sie
Dieser Abschnitt führt Sie durch die Voraussetzungen, das Aktivieren der Fehlertoleranz (FT), das Testen des Failovers sowie die Wartung. Vorausgesetzt wird, dass Sie mit vSphere-Konzepten wie EVC, DRS und HA vertraut sind.
Voraussetzungen und Konfiguration
Erfüllen Sie die CPU-Kompatibilitätsanforderungen, indem Sie EVC vor der Aktivierung von FT aktivieren. Stellen Sie sicher, dass die Hosts eine gemeinsame EVC-Basisstufe verwenden, die alle von den virtuellen Maschinen genutzten CPU-Befehle abdeckt. Falls Sie die EVC-Stufe später erhöhen müssen, deaktivieren Sie FT zunächst für die betroffenen virtuellen Maschinen. Verwenden Sie CPUs, die Hardware-Virtualisierung unterstützen (Intel EPT oder AMD RVI), beispielsweise Intel Sandy Bridge oder neuer sowie AMD Bulldozer oder neuer.
Konfigurieren Sie das Netzwerk mit geringer Latenz. Verwenden Sie ein dediziertes FT-Protokollierungsnetzwerk, vorzugsweise 10-GbE oder höher. VMware empfiehlt eine Round-Trip-Zeit (RTT) unter 10 ms, idealerweise unter 1 ms, um Wiederholungsverzögerungen und Unterbrechungen zu vermeiden. Trennen Sie den FT-Datenverkehr mittels separater physischer Netzwerkkarten (NICs) oder VLANs. Aktivieren Sie Jumbo Frames (MTU 9000) end-to-end, falls unterstützt. Stellen Sie dedizierte Bandbreite bereit, um eine Sättigung des Protokollierungskanals zu verhindern.
Stellen Sie sicher, dass der gemeinsam genutzte Speicher die Latenzanforderungen erfüllt. Die durchschnittliche Speicher-I/O-Latenz sollte für eine reibungslose FT-Synchronisation kontinuierlich unter etwa 15 ms liegen. Verwenden Sie Fibre-Channel-, iSCSI- oder vSAN-Lösungen mit konsistenter Leistung. Vermeiden Sie Lastspitzen, die die Bestätigung von I/O-Vorgängen auf dem primären System verzögern können. Eine niedrige Speicherlatenz verringert das Risiko einer Divergenz. Überwachen Sie die Latenzmetriken des Datastores, um Probleme frühzeitig zu erkennen.
Konfigurieren Sie das vMotion-Netzwerk separat. Das vMotion-Netzwerk übernimmt die anfängliche Platzierung der sekundären VM sowie Migrationen während Wartungsarbeiten. Stellen Sie sicher, dass die vMotion-Verbindungen über ausreichende Bandbreite und geringe Latenz verfügen. FT-Protokollierung ersetzt keinen vMotion-Datenverkehr; beide benötigen zuverlässige Netzwerke. Verwenden Sie DRS, um die sekundäre VM auf einem geeigneten Host zu platzieren. Ressourcen-Pools dürfen FT-VMs keine Ressourcen vorenthalten. Vermeiden Sie Beschränkungen oder konkurrierende Reservierungen, die die Wiedergabe oder Protokollierung beeinträchtigen könnten. Reservieren Sie CPU und Arbeitsspeicher auf den Hosts für FT-Arbeitslasten.
Einrichten von VMkernel-Adaptern: einer für die Verwaltung, einer für vMotion und einer ausschließlich für das FT-Logging. Weisen Sie den VMkernel-Adapter für das FT-Logging einer physischen Netzwerkkarte mit minimaler Konkurrenz zu. Stellen Sie sicher, dass die Netzwerkpfade zwischen den Hosts möglichst wenige Hops verwenden. Konfigurieren Sie die HA-Einstellungen sorgfältig, um Netzwerkpartitionen zu behandeln; vermeiden Sie die Isolierung von Hosts, auf denen FT-VMs ausgeführt werden.
1. Aktivierung der Fehlerresistenz für eine virtuelle Maschine
Bevor Sie die Fehlerresistenz (FT) aktivieren, stellen Sie sicher, dass sowohl auf dem primären als auch auf möglichen sekundären Hosts ausreichend Ressourcen verfügbar sind. Prüfen Sie CPU, Arbeitsspeicher und Netzwerkbandbreite. Klicken Sie im vSphere-Client mit der rechten Maustaste auf die VM und wählen Sie Turn On Fault Tolerance. Das System erstellt eine Vorlage für die sekundäre VM, die hinsichtlich CPU, Arbeitsspeicher und Festplatteneinstellungen mit der primären VM übereinstimmt. Die FT-Protokollierung beginnt zwischen beiden VMs. Achten Sie auf den Statusindikator: Dieser muss den Zustand Protected anzeigen. Falls nicht, überprüfen Sie Netzwerk, EVC oder Ressourcenbeschränkungen. FT kann DRS für diese VM deaktivieren; planen Sie dies entsprechend ein.
Stellen Sie sicher, dass das Gastbetriebssystem und die Versionen der virtuellen Hardware unterstützt werden. Entfernen Sie nicht unterstützte Geräte: Vermeiden Sie Snapshots, verwenden Sie keine paravirtualisierten SCSI-/Netzwerkadapter, keine NPIV-Unterstützung und keinen RDMA-Passthrough. Prüfen Sie den VMware-Kompatibilitätsleitfaden. Stellen Sie sicher, dass die Lizenzierung Fault Tolerance (FT) für die gewünschte Anzahl an vCPUs unterstützt. Übliche Grenzwerte: vSphere 8 Enterprise Plus ermöglicht möglicherweise bis zu 2 vCPUs; überprüfen Sie die aktuellen Dokumentationen für genaue Werte.
2. Test der Fehlertoleranz
Führen Sie Tests zur Fehlertoleranz durch, um Vertrauen in die Funktionsfähigkeit zu gewinnen. Verwenden Sie sichere Methoden, die über das einfache Abschalten des Hosts hinausgehen. Beispiele hierfür sind: Beenden des vmx-Prozesses auf dem primären Host mithilfe von esxcli system process kill -t force -p <vmx-pid>; Simulation einer Netzwerkpartition, um den Host zu isolieren; oder Beenden eines kritischen Prozesses innerhalb der Gastumgebung, um die Anwendungskontinuität zu testen. Stellen Sie sicher, dass die sekundäre Instanz ohne Unterbrechung des Dienstes weiterläuft.
Failover mittels PowerCLI überprüfen: Führen Sie Get-VM | Select Name, FaultToleranceState aus. Achten Sie auf Statusänderungen als Hinweis auf die Übernahme. Prüfen Sie die vCenter-Ereignisse auf Einträge zum FT-Failover. Verwenden Sie die Protokollierung in Anwendungen, um die Persistenz der Sitzung und die Kontinuität der Dienste zu bestätigen. Nach dem Failover prüfen Sie, ob vSphere eine neue Sekundärinstanz erstellt hat: Stellen Sie sicher, dass der Status Protected angezeigt wird. Der Test gilt erst dann als abgeschlossen, wenn eine neue Sekundärinstanz synchronisiert wurde.
Überprüfen Sie die Netzwerkverbindungen: Stellen Sie sicher, dass TCP-Sitzungen – wenn möglich – erhalten bleiben. Einige Anwendungen erfordern ein ausfallsicheres Failover mit Sitzungserkennung. Überprüfen Sie anwendungsspezifische Gesundheitsprüfungen. Dokumentieren Sie die Testergebnisse. Nutzen Sie geplante Wartungsfenster, falls Tests in der Produktionsumgebung durchgeführt werden.
3. Überwachung und Wartung
Überwachen Sie kontinuierlich den FT-Status. Prüfen Sie das FT-Protokollierungs-Datenverkehrsvolumen (MBps), die Latenz und Paketverluste an den FT-VMkernel-Ports. Verwenden Sie vSphere-Leistungsdiagramme oder PowerCLI (Get-VM | Get-FaultToleranceVM), um Heartbeat- und Catchup-Status anzuzeigen. Achten Sie auf wiederholte Stun-Zustände oder Pufferüberläufe, die auf Netzwerkprobleme hindeuten.
Richten Sie Alarme für FT-bezogene Ereignisse ein. Erhalten Sie Benachrichtigungen bei Deaktivierung der FT-Funktion oder wiederholten Failover-Auslösungen. Prüfen Sie Änderungen zur Host-Kompatibilität: Bei der Hinzufügung neuer Hosts oder beim Firmware-Update stellen Sie sicher, dass diese die FT-EVC- und Hardware-Anforderungen erfüllen.
Beim Patchen von Hosts folgen Sie dieser Vorgehensweise: Versetzen Sie den FT-geschützten Host in den Wartungsmodus. DRS migriert die anderen virtuellen Maschinen ab. Die FT-Sekundärinstanz wird mittels vMotion vor dem Betreten des Wartungsmodus auf einen anderen kompatiblen Host migriert. Patchen und starten Sie den Host neu. Verlassen Sie den Wartungsmodus. vSphere migriert die Sekundärinstanz möglicherweise automatisch zurück oder erstellt eine neue Sekundärinstanz. Dies setzt voraus, dass DRS und HA aktiviert sind. Stellen Sie sicher, dass die Synchronisation wieder aufgenommen wird.
Stellen Sie konsistente Firmware- und Treiberversionen auf allen Hosts sicher. Passen Sie die CPU-Microcode-Versionen an, um EVC-Drift zu vermeiden. Halten Sie Storage-Multipathing und Netzwerkpfade einheitlich. Testen Sie Änderungen nach Möglichkeit im Labor. Dokumentieren Sie alle FT-Konfigurationen.
VMware-Fehlerresistenz im Vergleich zur Hochverfügbarkeit
Sowohl die Fehlerresistenz (FT) als auch die Hochverfügbarkeit (HA) zielen darauf ab, Ausfallzeiten zu reduzieren, unterscheiden sich jedoch hinsichtlich der Wiederherstellungszeit (RTO), des Overheads und der Komplexität. Beide Technologien gewährleisten einen Wiederherstellungspunkt (RPO) von 0 für den Zustand einer virtuellen Maschine zum Zeitpunkt eines Ausfalls: Bei FT erfolgt eine kontinuierliche Zustandsreplikation, während HA virtuelle Maschinen zwar schnell neu starten kann, dabei aber möglicherweise den im Arbeitsspeicher gehaltenen Zustand verliert – allerdings kann es zu einem Datenverlust kommen, falls zum Zeitpunkt des Absturzes nicht auf die Festplatte geschrieben wurde. Der entscheidende Unterschied liegt in der Wiederherstellungszeit (RTO): FT bietet nahezu null RTO (Millisekunden), da die sekundäre Instanz sofort übernimmt; bei HA ist ein Neustart der virtuellen Maschine erforderlich, was mehrere Minuten Ausfallzeit bedeutet.
FT verursacht mehr Overhead: Es führt eine sekundäre VM im Wiedergabemodus aus, wobei der CPU-Verbrauch dem der primären VM entspricht. Dadurch verdoppeln sich effektiv die CPU-Zuweisungen. Der FT-Protokollverkehr kann bei CPU- und speicherintensiven VMs mehrere hundert Mbit/s erreichen. Die Netzwerklatenz muss niedrig bleiben. Der Speicher-I/O erfolgt ausschließlich auf der primären VM, doch das Protokollieren erzeugt zusätzlichen Overhead. FT eignet sich daher am besten für kleine VMs (1–2 vCPUs) oder äußerst kritische Workloads. HA verbraucht weniger Ressourcen: Sie startet VMs auf einem anderen Host neu, was zu einem kurzen Neustart führt. Verwenden Sie HA für größere oder weniger kritische VMs, bei denen eine Ausfallzeit von wenigen Minuten akzeptabel ist.
Berücksichtigen Sie die Komplexität: FT stellt strenge Anforderungen und erfordert eine sorgfältige Überwachung. HA benötigt gemeinsam genutzten Speicher und die Einrichtung eines HA-Clusters, ist jedoch einfacher. Planen Sie FT nur dann, wenn ein absoluter Ausfallvermeidung zwingend erforderlich ist und die Ressourcenkosten gerechtfertigt sind. Fragen Sie sich: Kann Ihre Anwendung einen kurzen Neustart verkraften? Falls ja, könnte HA ausreichend sein. Falls nein, könnte FT die zusätzlichen Kosten wert sein.
Sichern Sie VMware-VMs mit Vinchin
Fehlerresistenz schützt vor Ausfällen des Hosts. Sicherungskopien jedoch schützen Ihre Daten vor Beschädigung, menschlichen Fehlern oder Standortkatastrophen. Vinchin bietet eine Unternehmensklasse-VM-Sicherungslösung, die speziell für VMware-Umgebungen entwickelt wurde. Sie integriert sich nahtlos in vSphere und stellt sicher, dass Ihre VMs auch über den Schutz durch Fault Tolerance hinaus wiederherstellbar bleiben.
Vinchin Backup & Recovery ist eine professionelle, unternehmensfähige VM-Sicherungslösung, die VMware sowie über 15 weitere Plattformen wie Hyper-V, Proxmox, oVirt, OLVM, RHV, XCP-ng, XenServer und OpenStack, ZStack u. a. unterstützt. Sie bietet umfangreiche Funktionen.
Vinchin bietet fortlaufende inkrementelle Sicherung, um Zeit und Speicherplatz zu sparen. Es wendet Datendeduplizierung und Komprimierung an, um die Größe der Sicherungen zu reduzieren. V2V-Migration erleichtert das Verschieben virtueller Maschinen zwischen Hosts oder Plattformen. Die Unterstützung von CBT ermöglicht es, ausschließlich geänderte Datenblöcke zu erfassen. Für eine schnelle Wiederherstellung virtueller Maschinen steht sofortige Wiederherstellung zur Verfügung. Darüber hinaus umfasst Vinchin Datenverschlüsselung, Mehrfachthread-Übertragung, Sicherungsprüfung, feingranulare Wiederherstellung, Cloud-/Bandarchivierung, Drosselungsrichtlinien sowie GFS-Retention. Dies sind nur einige der zahlreichen Funktionen, die Vinchin bereitstellt.
Die Webkonsole ist intuitiv. Um eine VM zu sichern, folgen Sie diesen vier Schritten:
1. Wählen Sie die VMware-VM aus, die gesichert werden soll.
2. Wählen Sie den Sicherungsspeicherort.
3. Sichern Sie die Backup-Strategien.
4. Die Aufgabe einreichen.
Dieser einfache Ablauf hilft Administratoren dabei, ihre VMware-Workloads effizient zu schützen. Die weltweite Kundenbasis von Vinchin und die hohen Bewertungen spiegeln das Vertrauen in die Leistungsfähigkeit der Lösung wider. Nutzen Sie eine 60-tägige kostenlose Testversion mit vollem Funktionsumfang, um alle Funktionen in Ihrer Umgebung zu testen. Laden Sie das Installationsprogramm herunter und stellen Sie es noch heute einfach bereit, um Ihre virtuellen Maschinen zu sichern.
Häufig gestellte Fragen zu VMware Fault Tolerance
F1: Welche Einschränkungen gelten für VMware Fault Tolerance?
A1: Die Anzahl der vCPUs pro FT-VM hängt von der vSphere-Version und der Lizenz ab; beispielsweise erlaubt vSphere 7 bis zu 8 vCPUs, während vSphere 8 bei der Enterprise-Plus-Lizenz oft auf 2 vCPUs begrenzt ist; FT verbietet Snapshots, Storage vMotion, paravirtualisierte Geräte, NPIV und RDMA-Passthrough.
F2: Wie füge ich das FT-Logging-Netzwerk hinzu?
A2: Wählen Sie im vSphere-Client Host > Konfigurieren > Netzwerke > VMkernel adapters aus, klicken Sie auf Add Networking, wählen Sie Fault Tolerance Logging aus, weisen Sie einen Port zu, binden Sie ihn an eine dedizierte physische NIC (10 GbE oder besser) und aktivieren Sie Jumbo Frames, falls der Pfad MTU 9000 unterstützt.
F3: Wie wird die Wartung durchgeführt, ohne FT zu stören?
A3: Verwenden Sie DRS: Migrieren Sie nicht-FT-VMs weg, erlauben Sie dem FT-Sekundär, mittels vMotion zu einem anderen Host zu wechseln, patchen Sie den Host, verlassen Sie den Wartungsmodus und überprüfen Sie die Synchronisierung des neuen Sekundärs; stellen Sie sicher, dass DRS und HA für die Automatisierung aktiviert sind.
F4: Wie wirkt sich FT auf die VM-Leistung aus?
A4: FT fügt durch das Protokollieren des Datenverkehrs und das sekundäre Wiederausführen zusätzlichen Overhead hinzu; je nach Arbeitslast und Latenz ist mit einer Leistungseinbuße von 5–20 % auf dem Primärsystem zu rechnen; führen Sie Tests unter Last durch, um die Auswirkungen vor der Einführung in die Produktion zu überprüfen.
Fazit
VMware Fault Tolerance bietet einen Schutz ohne Ausfallzeit, indem eine passive sekundäre VM synchron mit der primären VM ausgeführt wird. Dafür sind präzise Voraussetzungen erforderlich: CPU-Kompatibilität über EVC, dedizierte Netzwerke mit geringer Latenz sowie geringe Speicherlatenz. Tests und Überwachung gewährleisten die Zuverlässigkeit, während die Abwägung zwischen Fault Tolerance und High Availability von den Anforderungen an die Wiederherstellungszeit (RTO) und den Ressourcenkosten abhängt.
Die Kombination von FT mit Vinchin-Sicherungen deckt sowohl Host-Ausfälle als auch Risiken auf Datenebene ab. Zu den fortschrittlichen Funktionen von Vinchin wie der „forever-incremental“-Sicherung und der Deduplizierung gehört eine erhöhte Ausfallsicherheit. Führen Sie FT regelmäßig zu Testzwecken durch, planen Sie Sicherungen zeitlich ein und überprüfen Sie die Kennzahlen, um eine robuste VMware-Umgebung aufrechtzuerhalten. Vertrauen Sie auf Vinchin für einen umfassenden VM-Schutz.
