您如何设计备份和灾难恢复策略?

Question

您如何设计备份和灾难恢复策略?

Accepted Answer

备份和灾难恢复(DR)策略回答以下问题:**如果我们丢失数据或整个区域，我们最多能丢失多少数据，我们能多快恢复，我们真的能恢复吗?** 它基于 **3-2-1法则**、明确的 **RPO/RTO** 目标，以及——至关重要的是——**定期测试的恢复**。

## 3-2-1法则

```text
3 copies of the data
2 different media / storage types
1 copy offsite (different region or provider)
→ no single failure (disk, host, datacenter, ransomware) destroys every copy
```

备份应该是 **自动化的**(无需人工记得运行)，并且 **异地存储**，以便区域灾难不会连备份一并摧毁主系统。

## RPO和RTO

这两个目标驱动每一个设计决策:

- **RPO(恢复点目标)** — 可以容忍的数据丢失量，以时间衡量。RPO为1小时意味着最多丢失最后一小时的写入，这决定了备份/复制的频率。
- **RTO(恢复时间目标)** — 恢复可能需要多长时间。RTO为30分钟意味着系统必须在30分钟内恢复并开始服务，这决定了DR架构。

```text
frequent backups / replication → smaller RPO (less data lost)
hotter standby infrastructure  → smaller RTO (faster recovery)
both cost money → pick targets per business criticality
```

## DR层级(成本与RTO)

```text
Backup & restore  → cheapest; restore from backups on demand   (RTO: hours)
Pilot light       → minimal core running, scale up on disaster  (RTO: tens of min)
Warm standby      → scaled-down live copy, scale up to take over (RTO: minutes)
Multi-site active → full live copies serving traffic            (RTO: ~seconds)
```

## 测试您的恢复

**一个您从未恢复过的备份不是备份——它只是希望。** 定期安排恢复演习:实际上从备份重建到干净的环境中，并验证完整性。这会在真正灾难发生 *之前* 捕获损坏的备份、丢失的部分和损坏的runbooks。

## 为什么这很重要

数据丢失和区域中断是考验公司生存能力的时刻。3-2-1确保副本在任何单点故障中幸存; RPO/RTO将模糊的