Ранбук переключения

Одна волна миграции — от двухнедельной заморозки до ретроспективы. Временные отметки ниже предполагают окно в выходные и волну из 10–30 стоек; более крупные волны разбиваются, а не растягиваются. Две вещи делают это ранбуком, а не планом: у каждого шага один названный ответственный, а критерии go/no-go решены за недели до ночи, когда никто не мыслит ясно.

T	Когда	Действие	Ответственный	Подробности
T-14d	За две недели	Изменение одобрено, волна заблокирована	Руководитель миграции	Запрос на изменение одобрен, состав волны заморожен. Всё, чего нет в списке на T-14, в эту волну не пойдёт — именно так чистая волна превращается в инцидент.
T-7d	За неделю	Целевое оборудование смонтировано, скоммутировано, запитано, доступно	Полевая инженерия	Сменное или принимающее оборудование стоит на целевой площадке, на нужных цепях, с доказанным доступом out-of-band извне корпоративной сети.
T-72h	Вторник	Пробный запуск скрипта валидации	Владельцы приложений	Прогнать проверки после переноса на текущем продуктивном контуре. Если проверка падает сейчас — это не отказ миграции в 2 часа ночи субботы, а сломанная проверка.
T-48h	Среда	TTL DNS снижены до 300 с	Сетевая инженерия	Снижены заблаговременно, чтобы все резолверы подхватили короткий TTL до переключения.
T-24h	Четверг	Выполнена полная резервная копия и проверена восстановимость	Команда резервного копирования	Проверена на восстанавливаемость, а не просто завершена. Резервная копия, которую никто не восстанавливал, — это убеждение, а не контроль.
T-4h	Пятница 17:00	Начинается заморозка изменений, открывается мост	Руководитель миграции	Все посторонние изменения по всей инфраструктуре остановлены. Открыт конференц-мост с инфраструктурой, сетью, владельцами приложений и командой на площадке.
T-0	Пятница 21:00	Go / no-go #1	Руководитель миграции + бизнес-спонсор	Критерии проверяются вслух: резервная копия подтверждена, целевая площадка доступна, вся команда на месте, нет активных P1 в другом месте. Любое одно «нет» — это «нет». Перенос стоит одних выходных; продолжение при шатком решении стоит квартала.
T+0:15	Пятница 21:15	Плавное отключение, финальная синхронизация дельты	Владельцы приложений	Приложения остановлены в порядке зависимостей, последняя дельта репликации сброшена, исходные системы переведены в режим «только чтение», чтобы ничто не писало в площадку, которая вот-вот опустеет.
T+1:00	Пятница 22:00	Демонтаж на исходной площадке, погрузка, перевозка	Полевая инженерия	Рельсы и кабели маркируются по мере извлечения. Фотографии передней и задней стороны каждого шкафа до того, как что-либо отключено, — самое быстрое подспорье для отката.
T+4:00	Суббота 01:00	Приёмка, монтаж в стойки, коммутация, включение	Полевая инженерия	Включать питание поэтапно, группами, а не всё разом, чтобы сработавший автомат выдал себя сам, а не положил весь ряд.
T+7:00	Суббота 04:00	Go / no-go #2 — часы отката	Руководитель миграции	Последняя точка, в которой откат ещё укладывается в окно. Если к этому фиксированному времени оборудование не запитано и не доступно — откат; решение принято на T-14, а не сейчас.
T+8:00	Суббота 05:00	Переключение сети, DNS перенацелен	Сетевая инженерия	Маршрутизация переведена, политика межсетевого экрана активирована, DNS-записи перенацелены. Мониторинг должен загореться зелёным с новой площадки до того, как кому-то скажут, что всё сработало.
T+10:00	Суббота 07:00	Прогон автоматизированной валидации	Владельцы приложений	Тот же скрипт, что в пробном прогоне, теперь на целевой площадке. Pass или fail, а не мнение.
T+14:00	Суббота 11:00	Бизнес-валидация и приёмка	Спонсор проекта	Названные пользователи выполняют реальные транзакции. Приёмка оформляется письменно, по каждому приложению, и принадлежит владельцу, а не команде миграции.
T+24:00	Воскресенье 21:00	Заморозка снята, начинается hypercare	Руководитель миграции	Заморозка снята, усиленная поддержка пять рабочих дней, исходная среда остаётся нетронутой до закрытия hypercare.
T+7d	Следующая пятница	Ретроспектива, ранбук обновлён	Руководитель миграции	Исправления вносятся в ранбук, пока детали свежи. Каждая следующая волна их наследует.

Критерии no-go

Согласованы при утверждении изменения, зачитываются вслух на каждом go/no-go. Любой один — это стоп. Смысл записать их заранее в том, что в 4 утра спор уже решён.

Резервная копия не проверена на восстанавливаемость
Целевой узел недостижим через канал управления (out-of-band)
Названный ответственный отсутствует на мосте
Активный инцидент P1 где-либо в инфраструктуре
Канал оператора связи не подтверждён как рабочий
Путь отката не проверялся после последнего изменения

Часы отката

Откат реален, только если укладывается в оставшееся окно. Засеките его на пилоте: сколько занимает повторный монтаж, повторная коммутация, включение и перенацеливание DNS на исходную площадку. Вычтите это из конца окна — и получите фиксированное время, второй go/no-go. Дойти до него без запитанной и доступной целевой площадки означает откат, как бы близко к финишу ни чувствовала себя команда. Команды, пропускающие этот шаг, откатов не избегают — они обнаруживают в 7 утра, что такой опции у них больше нет.

Что взять с собой в ночь переключения

Развёртки стоек и схемы кабельных соединений, распечатанные — сеть, с которой нужно свериться, может оказаться той, которую вы переносите
Фотографии передней и задней панели каждого шкафа, сделанные до отключения оборудования
Запасные оптические модули, патч-корды, рельсы, PDU и минимум одна запаска всего, что есть в единственном экземпляре
Учётные данные out-of-band, проверенные через мобильный интернет, а не офисную сеть
Дерево эскалации с мобильными номерами, включая стол remote hands оператора
Скрипт валидации, уже доказанный на продуктиве в пробном прогоне

Сначала план, потом ранбук

Переключение проходит хорошо только тогда, когда хорошо прошло выявление зависимостей. Сначала пройдите чек-лист миграции, смоделируйте программу в калькуляторе стоимости и составьте шорт-лист целевой площадки по каталогу объектов.

Предложения для целевой площадки

Укажите размер волны и рынок — мы вернём подходящие объекты и ориентиры по ценам.