Вскоре после полуночи 10 марта 2021 года в кампусе дата-центров в Страсбурге сработала пожарная тревога. За несколько часов одно из четырёх зданий площадки — SBG2, пятиэтажный бетонный зал, набитый серверами, — уже горело без всякого контроля. Пожарные со всего региона боролись с огнём всю ночь. К рассвету SBG2 был руиной.

Это был не какой-то хостер-однодневка. Это был OVHcloud — один из крупнейших облачных провайдеров Европы, с миллионами клиентов. Основатель компании Октав Клаба всю ночь писал обновления в Twitter, потому что ни один пресс-релиз не успевал за происходящим. Он предупреждал клиентов без обиняков: активируйте планы аварийного восстановления. К утру миллионы сайтов лежали — государственные сервисы, игровые серверы, малый бизнес, личные проекты. А у немалого числа клиентов случилось кое-что похуже: их данные просто исчезли. Не «временно недоступны». Исчезли.

ВИДЕО · 29 СЕКУНД

Почти у каждого есть секрет. И почти ни у кого нет безопасного места для него.

Посмотрите, как Everkeep хранит ваши самые личные данные вне сети — пронумерованные, опечатанные, под наблюдением.

Начать защиту — $199/год

Облако, как выяснилось, — не облако. Это здание. А здания горят.

Облако — это здание

Мы говорим «облако», будто это погода — рассеянное, повсеместное, неуязвимое для локальных катастроф. Метафора тихо работает на индустрию: она внушает, что то, чего нельзя потрогать, нельзя и сломать. Но каждый файл, который вы «кладёте в облако», лежит на вращающемся диске или флеш-чипе в конкретной комнате, в конкретном здании, на конкретной улице. У этого здания есть крыша, ввод электричества, аккумуляторная — и, как показал Страсбург, пожарная нагрузка.

Дата-центры защищены от огня с чрезвычайной тщательностью: газовое пожаротушение, противопожарные отсеки, резервные пути питания, батареи, которые держат нагрузку при отказе сети. Кампус OVH исключением не был — это был современный, грамотно управляемый объект. И всё же пожар начался, всё же распространился, всё же целое здание было потеряно. Следователи месяцами разбирались в причине, сосредоточившись на электросистемах здания: те самые системы, что держат серверы живыми, в плохой час могут их и убить. Эта ирония не уникальна для OVH. Каждый дата-центр концентрирует в одном месте колоссальную электрическую энергию — потому что именно этого требует вычислительная мощность в масштабе. Концентрация — это бизнес-модель. Концентрация — это и риск.

Что сгорело — и что не вернулось

Вот часть, которую понимают неправильно: клиенты, потерявшие данные навсегда, потеряли их не потому, что OVH был небрежен. Многие потеряли их потому, что их резервные копии находились в том же здании.

Резервная копия, которая живёт в том же помещении, что и оригинал, — не резервная копия. Это второй экземпляр, который ждёт того же пожара. Когда SBG2 сгорел, клиенты, чья избыточность сводилась к «ещё одной стойке в SBG2», обнаружили, что избыточность и дублирование — не одно и то же. Настоящее дублирование означает разделение: другое здание, другая электросеть, другой сценарий отказа. Немалое число клиентов OVH никогда не делали этого разделения, потому что провайдер сделал всё, чтобы о нём не нужно было думать. Всё в одной панели, в одном счёте, в одном месте. Удобство тихо подменило собой устойчивость.

Неудобная правда инцидента в том, что для большинства людей техника сработала ровно так, как было задумано. SBG3 и SBG4 на том же кампусе превентивно отключили и позже восстановили. Клиенты с внешними копиями всё выстроили заново. Те, кто потерял всё, потеряли это из-за допущения, а не из-за бага: допущения, что профессиональный объект сам по себе — гарантия.

Это не так. Гарантия — это процесс, а не место.

Правило 3-2-1 — и та самая «1», которую не делает никто

У индустрии хранения есть мантра ровно для этого сценария. Она называется 3-2-1: три копии данных, на двух разных типах носителей, одна копия — вне площадки. Каждый в деле может её процитировать. Почти ни один частный человек ей на самом деле не следует.

Первые две части лёгкие. Три копии, два типа носителей — это жёсткий диск и облачная синхронизация, либо NAS и внешний диск. До этого люди дотягивают. А вот финальная «1» — внешняя копия, физически отделённая, в идеале офлайн, — тихо пропускается. Пропускается потому, что это единственная часть правила, требующая постоянных усилий: второе место, рутина, кто-то, кто присматривает за копией, когда вы о ней не думаете.

Именно эту пропущенную «1» Страсбург и наказал. Клиенты, у которых она была, восстановились за дни. У которых не было — не восстановились. Правилу всё равно, что за угроза: пожар, наводнение, шифровальщик или ковш экскаватора, порвавший оптоволокно. Ему важно только одно — делят ли ваши копии одну судьбу.

«Но мой провайдер всё делает сам»

Самое частое возражение, которое мы слышим, звучит так: серьёзный провайдер наверняка реплицирует данные между регионами, так что думать об этом не нужно. Иногда это правда — если вы за это заплатили, это настроили и это проверили. Но многие сидят на тарифе по умолчанию, где репликация означает «внутри кампуса», а кампус, как мы установили, — это здание.

Есть и более глубокая проблема — полностью переложить мышление на других. Когда провайдер делает всё, вы перестаёте задавать вопросы: какая версия где лежит, насколько свежа внешняя копия, тестировал ли кто-нибудь восстановление в этом году. Панель провайдера зелёная — значит, всё в порядке. Панели зелёные, пока не перестанут. После пожара некоторые клиенты OVH обнаружили, что их «геоизбыточная» конфигурация никогда не была тем, чем они её считали. Зазор между тем, во что люди верят про свою конфигурацию, и тем, что она делает на самом деле, — вот где умирают данные.

Поэтому старые руки в деле хранения столь занудны в вопросах проверки. Доверяйте зданию провайдера; проверяйте собственные копии. Ремесленная версия правила: если вы лично не подтвердили, что где-то существует копия, до которой не доберётся один-единственный пожар, у вас нет резервной копии. У вас есть надежда.

Кто-то должен быть тем, кто помнит

Сенека писал, что несчастье следует ожидать и к нему готовиться — не из пессимизма, а потому что именно подготовка превращает катастрофу из конца в перерыв. Пожар OVH — учебный пример этого различия. Для клиентов с настоящей внешней копией 10 марта было ужасной неделей — а потом всё закончилось. Для клиентов без неё это был конец.

Урок не в том, чтобы «не пользоваться облаком». Облако — хороший инструмент для доступа и совместной работы. Урок в том, что всё, что вы не можете позволить себе потерять, нуждается в копии, которая не делит судьбу с оригиналом, — другое здание, другая сеть, другая модель угроз — и в рутине, которая держит эту копию живой: регулярная проверка и замена до того, как носитель состарится.

Почти никто не делает эту рутину сам, потому что весь смысл резервной копии — перестать о ней думать. В этом парадокс, и именно поэтому хранение существует как работа. Не панель, не клиент синхронизации — а человек, в здании, где вы никогда не были, чья единственная работа — неприметный уход: нумеровать, пломбировать, фотографировать, дважды в год осматривать пломбы, вести журнал — а сам носитель проверять, только когда его владелец попросит об этом письменно. Та самая «1» из 3-2-1, сделанная тем, кто не делает ничего другого.

Огонь научил клиентов из Страсбурга тому, что старые руки знали всегда. Облако — это здание. Здания горят. Планируйте исходя из этого.

Everkeep — офлайн-хранение зашифрованных дисков, которые принадлежат вам и зашифрованы вами. Каждый слот включает проверки состояния дважды в год: пломбы осматриваются, фотографируются и заносятся в журнал; ваш диск никогда не включается, если вы не попросите об этом письменно. Две копии в двух отдельных местах. $199 в год за слот.