Test- und Notfall-VMs sind zwei verschiedene Dinge, die im Alltag oft dasselbe Icon haben. Die Testmaschine ist eine Kopie oder ein Restore, an dem jemand eine Änderung probiert. Die Notfallmaschine ist der Stand, der laufen soll, wenn der Produktivhost ausfällt. Beide dürfen nicht neben dem Original im selben Netz starten: gleicher Name, gleiche IP, dieselbe Datenbank, zwei Buchungen. Ein isoliertes Netz ist keine Sonderausstattung, sondern die Bedingung, unter der eine Kopie überhaupt eingeschaltet werden darf.

Warum eine zweite laufende Kopie bucht und zerstört

Der häufigste Fehler im Test ist das angebundene Restore. Die zurückgespielte VM holt sich eine Adresse, der Domaincontroller sieht einen zweiten Rechner mit demselben Namen, und eine Anwendung schreibt in einen Datenbestand, den alle für das Übungssystem hielten. Umgekehrt ist ein Notfallstand, der seit Monaten nicht aktualisiert wurde, ein falsches Sicherheitsgefühl. Er startet, kennt aber weder die Daten vom Vortag noch das Kennwort, das letzte Woche geändert wurde. Notfalltauglich ist nur ein Weg, dessen Alter und dessen letzte Probe man nennen kann.

Die Startreihenfolge im Notfall ist kurz und konkret: Netz und Firewall, dann der überlebende oder wiederhergestellte Directory-Dienst, dann Dateidienst, dann Datenbank, dann Anwendung, dann die Arbeitsplätze. Jede Stufe hat eine Person, die sie für brauchbar erklärt, und eine Vorgabe, wie alt die Daten höchstens sein dürfen. Diese Vorgabe kommt aus dem Betrieb, nicht aus einem Prospekt. Ein Host, der alle VMs gleichzeitig einschaltet, erzeugt genau die Abhängigkeitsfehler, die im Normalbetrieb der Autostart schon gezeigt hat.

Isoliertes Netz, Startreihenfolge und ein geprobter Schwenk

  1. Netz. Übung und Restore laufen in einem virtuellen Netz ohne Produktions-DNS, ohne produktiven DHCP und ohne die Drucker und Schnittstellen des Echtbetriebs.
  2. Reihenfolge. Der Notfallstart nennt die Maschinen in der Abhängigkeitsfolge und eine Person pro Stufe. Autostart am Host folgt derselben Folge, nicht „alles gleichzeitig“.
  3. Alter. Für jede wichtige Anwendung ist festgelegt, wie alt der Notfallstand höchstens sein darf. Ein älterer Kaltstand wird als unbrauchbar gekennzeichnet, nicht als Reserve geführt.
  4. Probe. Ein Restore wird im isolierten Netz geöffnet, ein Vorgang oder eine Datei geprüft, das Ergebnis mit Datum abgelegt. Danach wird die Übungsmaschine entfernt.
  5. Abstand. Dauerhafte Testsysteme haben einen eigenen Auftrag und liegen nicht unbemerkt auf dem Produktivhost. Sie kommen nicht ins produktive Backup, solange niemand sie haben will.

Test-VMs gehören nach der Probe wieder aus, nicht in den Dauerbetrieb auf dem Produktivhost. Sie verbrauchen RAM, sie geraten versehentlich ins Backup, und sie veralten. Wer ein dauerhaftes Testsystem braucht, bekommt ein eigenes Netz und einen eigenen Auftrag, inklusive der Frage, ob Echtdaten dort überhaupt liegen dürfen. Ein Restore-Test mit Echtdaten im isolierten Netz wird nach der Prüfung gelöscht, nicht als inoffizielle zweite Produktion weitergeführt.

Woran Projekte in der Praxis scheitern

  • Eine zurückgespielte VM im Produktionsnetz starten, weil das Testnetz noch nicht fertig ist.
  • Einen monatealten Klon als Notfallserver behalten und nicht mehr sichern.
  • Alle Maschinen nach einem Host-Ausfall gleichzeitig einschalten.
  • Echtdaten in einer Test-VM liegen lassen, die keine Sicherung und keinen Besitzer hat.

Beispiel aus dem Betriebsalltag

Bei einem Handelsbetrieb in Linz, den wir remote betreuen, wurde ein Restore der Warenwirtschaft zum Test in das Produktionsnetz gestellt, weil das isolierte VLAN noch nicht angelegt war. Die Kopie sprach den Etikettendrucker an und zog einen Nummernkreis, den die echte Anwendung am selben Nachmittag ebenfalls zog. Wir haben die Kopie sofort vom Netz genommen, den Nummernkreis mit der Fachabteilung bereinigt und danach ein isoliertes Netz eingerichtet, in dem der nächste Restore ohne Drucker und ohne produktives DNS startete. Für den Notfall steht seither die Reihenfolge Firewall, Verzeichnis, Datenbank, Anwendung auf einer Seite im Passworttresor und als Ausdruck bei der Geschäftsführung. Der Kaltstand auf einem alten Notebook wurde abgeschaltet, weil er sechs Monate hinter dem Backup lag und nur Sicherheit suggeriert hat.

Kurze Entscheidungshilfe

  • Gibt es ein isoliertes Netz, in dem ein Restore starten darf?
  • Ist die Startreihenfolge außerhalb des Hosts lesbar?
  • Können Sie das Datum der letzten Probe und das Alter des Notfallstands nennen?
  • Wird eine Test-VM nach der Übung wieder entfernt?

Wenn Test- und Notfall-VMs bei Ihnen ansteht, klären wir den Umfang unverbindlich: Virtualisierung. VM-Backup und Anwendungsbackup Alternativ direkt Kontakt aufnehmen oder die häufigen Fragen lesen.