HA와 DR을 위한 다중 리전(multi-region) DB를 어떻게 설계하시겠습니까?

Question

IT Interview Practice · Accepted Answer

데이터베이스를 여러 리전에 복제하고 필요에 따라 토폴로지를 선택하십시오: 단순성과 강한 일관성을 위한 **active-passive**(하나의 writer, failover 시 넘겨받는 warm standby), 또는 conflict 해결을 대가로 낮은 write latency를 위한 **active-active**(여러 writer) — 그다음 내구성과 latency를 맞바꾸기 위해 **sync vs async 복제**를 고르고, failover를 이끄는 명시적 **RPO/RTO** 목표를 정의하십시오.

```text
        ┌──────────── Region A (primary) ────────────┐
writes ─▶ app ─▶ DB primary ──┐
                              │ replication
        ┌─────────────────────┼── async (RPO>0) ─────┐
        │                     └── sync (RPO=0, slow)  │
        ▼                                             ▼
   Region B standby                            (failover promotes standby)
        │
   health check ──▶ on primary loss: promote + repoint DNS/traffic
```

## Active-passive vs active-active

**Active-passive**는 write를 처리하는 하나의 primary와 read만 하는 standby를 가지며, 장애 시 standby를 **승격(promote)**합니다. 단순하고 write conflict를 피하지만, passive 용량이 놀고 failover에 간극이 있습니다. **Active-active**는 모든 리전이 로컬 latency를 위해 write를 받게 하고 failover 승격이 없지만 — 두 리전이 같은 row를 동시에 편집할 수 있으므로 conflict를 *반드시* 해결해야 합니다(last-write-wins, CRDT, 또는 앱 수준 병합). 대부분의 팀은 active-passive로 시작하며, active-active는 달리 도저히 맞출 수 없는 전역 write latency를 위한 것입니다.

## Sync vs async 복제

이것이 핵심 내구성/latency 트레이드오프입니다. **동기(Synchronous):** primary가 커밋 전에 원격 replica의 ack를 기다립니다 — **RPO = 0**(failover 시 데이터 손실 없음)이지만 모든 write가 교차 리전 왕복 latency(약 수십 ms)를 치르고, replica가 도달 불가하면 write가 멈춥니다. **비동기(Asynchronous):** primary가 로컬로 커밋하고 이후 변경을 실어 보냅니다 — 빠른 write이지만 리전 손실이 마지막 몇 초를 잃을 수 있습니다(**RPO > 0**). 교차 리전 sync는 흔히 너무 느려서 많은 팀이 async로 운영하고 작은 RPO를 받아들입니다.

## Failover, RPO & RTO

- **RPO(Recovery Point Objective):** 잃을 수 있는 데이터량 — sync vs async로 결정됩니다.
- **RTO(Recovery Time Objective):** 복귀까지 걸리는 시간 — 장애를 얼마나 빨리 감지하고 승격하는지로 결정됩니다.
- Failover = 감지(health check) → standby 승격 → 트래픽 재지정(DNS/global LB). 자동화하되, quorum/fencing token으로 **split-brain**(두 리전이 모두 자기가 primary라고 생각)을 방지하십시오.

## 면접 관점

파고드는 지점: HA/DR이 "그냥 replica 추가"가 아니라 **일관성, latency, 데이터 손실 사이의 트레이드오프**임을 이해하는지. 좋은 답변: standby를 갖춘 active-passive. 훌륭한 답변: RPO/RTO, sync-vs-async 함의, split-brain 위험을 명시합니다. 함정: async가 데이터 손실 제로를 준다고 주장하거나, failover가 즉각적이고 무손실이라고 가정하는 것.

## 트레이드오프 및 실패 모드

- **Split-brain:** 네트워크 파티션이 두 primary를 승격 → 갈라진 데이터. quorum, fencing, 또는 witness 리전을 쓰십시오.
- **Failback이 어렵다:** 옛 primary가 돌아온 뒤 갈라진 write를 조정하는 것은 수동적이고 오류가 나기 쉽습니다.
- **비용:** 진정한 다중 리전은 인프라를 대략 두 배로 하고 교차 리전 egress 대역폭 비용을 더합니다.
- **테스트되지 않은 failover는 실패한다:** 한 번도 훈련하지 않은 DR은 실제 장애에서 작동하지 않습니다 — game-day를 실시하십시오.

Active-passive vs active-active

Sync vs async 복제

Failover, RPO & RTO

면접 관점

트레이드오프 및 실패 모드

관련 질문