Haute disponibilité pour la VoIP : stratégies de basculement

Une seule panne de signalisation sur un réseau vocal chargé ne passe pas inaperçue. Les enregistrements expirent par cycles, la tonalité disparait pour des milliers d’utilisateurs simultanément, et la file d’attente du support se remplit avant même que quiconque ait eu le temps de consulter un tableau de bord. La voix est l’un des services les plus exigeants de la pile à exploiter, car chaque défaillance est ressentie par un humain en cours d’appel.

C’est pourquoi la haute disponibilité VoIP est si importante lors de l’évaluation des fonctionnalités. C’est une discipline composée de quatre volets : détecter la panne, rediriger le trafic, préserver autant d’état d’appel que possible et reprendre proprement lorsque le nœud défaillant revient en ligne. Dans cet article, nous détaillons les mécanismes de basculement et de redondance SBC tels qu’ils sont réellement déployés, ainsi que les stratégies entre lesquelles les architectes VoIP choisissent en production. Ce guide est particulièrement utile pour ceux qui décident du type de HA dont leur réseau vocal a besoin.

Ce que signifie la haute disponibilité pour la voix en temps réel

Dans un protocole à état comme SIP, « le serveur est en ligne » n’est pas une définition utile de la disponibilité. Un Session Border Controller (SBC) qui a redémarré en moins de trente secondes a tout de même effacé chaque appel actif et chaque enregistrement qu’il portait. Pour la voix en temps réel, la haute disponibilité signifie trois choses simultanément : les appels en cours survivent (ou, au minimum, échouent de manière prévisible), les enregistrements restent valides pendant l’événement, et les nouveaux INVITE arrivent sur un nœud fonctionnel dans un délai serré.

Cette discipline tire ses exigences d’une ère antérieure. Les réseaux vocaux des opérateurs étaient conçus pour un objectif de disponibilité « cinq neuf » en TDM, et les normes SIP qui les ont remplacés (notamment la RFC 3261) ont perpétué ces exigences. TelcoBridges possède plus de vingt ans d’expérience en déploiement SIP de production derrière ProSBC, et chaque décision de conception HA dans cet article est façonnée par cette même exigence des cinq neuf.

Trois termes sont confondus assez souvent pour mériter d’être distingués d’emblée. La haute disponibilité couvre la redondance au niveau des composants au sein d’un site unique ou d’une paire couplée, avec un basculement mesuré en secondes. La reprise après sinistre s’applique à la perte d’un site entier et se mesure en minutes ou en heures. La répartition de charge distribue le trafic entre plusieurs nœuds sains pour la capacité, pas pour la redondance. Une bonne conception utilise ces trois approches délibérément, et non de manière interchangeable.

Comment un SBC détecte une panne (la partie qui définit réellement le RTO)

La détection est le levier le plus important sur le temps de reprise. Une paire HA peut être configurée parfaitement et nécessiter tout de même quarante-cinq secondes pour basculer parce que l’intervalle de heartbeat était réglé de manière trop conservatrice. Trois mécanismes assurent l’essentiel du travail dans les déploiements SBC modernes, et la plupart des environnements de production utilisent une combinaison de ceux-ci.

VRRP et IP virtuelles partagées gèrent le basculement IP en moins d’une seconde entre nœuds appariés sur le même segment Layer 2. Le nœud en veille prend la propriété de l’IP virtuelle en quelques millisecondes dès qu’il détecte le silence du primaire sur le heartbeat multicast. C’est le mécanisme le plus rapide disponible, mais il ne fonctionne que lorsque les deux nœuds partagent un segment réseau, ce qui le limite aux paires HA locales.

Bidirectional Forwarding Detection (BFD) couvre la détection de défaillance de chemin au niveau de la couche de routage pour les déploiements plus importants ou routés. BFD échange des paquets heartbeat très courts entre deux points (des intervalles de 50 ms sont typiques, avec un multiplicateur de 3 pour le dead-timer), et une session tombe en environ 150 ms lorsque le pair cesse de répondre. Le protocole est spécifié dans la RFC 5880 et est largement utilisé pour piloter le basculement BGP next-hop lorsqu’un SBC se trouve derrière une infrastructure de routage.

SIP OPTIONS keepalives couvrent la vérification de la vivacité au niveau applicatif envers les opérateurs en amont et les PBX ou clusters IP-PBX en aval. Le SBC envoie une requête OPTIONS périodique à chaque pair enregistré ; une réponse manquée (ou une série de réponses manquées) signale ce pair comme hors service et déclenche le reroutage sur les groupes de trunks concernés. Les intervalles OPTIONS se mesurent généralement en dizaines de secondes plutôt qu’en millisecondes, car la requête traverse l’internet public ou un réseau d’opérateur, et des intervalles agressifs génèrent une charge de signalisation que le côté amont n’apprécie pas.

Le compromis de réglage est le même pour les trois mécanismes : des intervalles agressifs détectent les pannes rapidement mais produisent des faux positifs lors de congestions transitoires, tandis que des intervalles conservateurs sont stables mais allongent le RTO. Les opérateurs commencent presque toujours de manière trop conservatrice au premier déploiement et resserrent les dead-timers après que la première vraie panne révèle la lenteur réelle de la détection.

Actif-passif vs actif-actif

Deux modèles de redondance dominent l’architecture SBC, et ils impliquent des compromis très différents.

L’actif-passif (également appelé 1+1) est le modèle utilisé par la plupart des déploiements SBC d’entreprise et d’accès. Un nœud transporte tout le trafic de production ; le second reste à chaud, synchronise l’état et prend le relais lorsque le primaire tombe. Le modèle est simple à appréhender, le comportement de basculement est prévisible, et le dimensionnement est facile car chaque nœud doit être calibré pour supporter seul la charge de production complète. Le coût est que la moitié de la capacité sous licence reste inutilisée en régime permanent.

L’actif-actif (parfois N+1 ou en cluster) répartit le trafic sur tous les nœuds du cluster. Chaque nœud porte une part de la charge de production, et lors d’une panne d’un seul nœud, les nœuds survivants absorbent le trafic orphelin. L’utilisation matérielle est bien meilleure, mais la distribution d’état est plus complexe, car chaque nœud a besoin d’une vue cohérente des enregistrements, des dialogues et (pour le traitement média à état) du contexte média. Les scénarios de split-brain deviennent de véritables modes de défaillance, en particulier sur des liens à latence élevée.

L’adéquation de chaque modèle dépend du rôle du déploiement. Les SBC d’accès placés devant un IP-PBX ou un centre de contact fonctionnent presque toujours en 1+1 car la simplicité compte plus que la capacité inutilisée. Les SBC de peering à la périphérie de l’opérateur fonctionnent souvent en actif-actif sur plusieurs nœuds car les volumes de trafic justifient la complexité opérationnelle. Les déploiements Microsoft Teams Direct Routing et les services managés multi-tenant adoptent l’un ou l’autre modèle selon que les locataires partagent l’infrastructure ou disposent chacun de leur propre paire.

Géo-redondance : quand une paire locale ne suffit pas

Une paire 1+1 installée dans le même rack ne sert à rien si le centre de données perd l’alimentation, si le refroidissement tombe en panne ou si une maintenance réseau met tout le site hors ligne. La géo-redondance est un problème distinct de la HA locale, et elle se résout avec des outils différents. Les SBC déployés dans le cloud ont rendu les conceptions géo-redondantes plus accessibles en permettant au second site de résider dans une région cloud différente plutôt que dans un second centre de données physique, mais les modèles architecturaux sont les mêmes.

Deux modèles sont courants. L’actif/passif inter-sites fait tourner la production sur un site avec un site de secours prêt à prendre le relais via DNS, retrait BGP anycast ou routage de basculement côté opérateur. Le basculement de site est généralement orchestré plutôt qu’instantané, et le RTO se mesure en minutes plutôt qu’en secondes. La simplicité opérationnelle est réelle, et de nombreux déploiements d’entreprise s’arrêtent là.

L’actif/actif inter-sites fait tourner du trafic en simultané sur deux régions, souvent avec une répartition de charge côté opérateur répartissant les appels par indicatif régional, par locataire ou simplement par DNS pondéré selon la santé. Le basculement est plus rapide, mais la cohérence du chemin média devient plus complexe, car la latence entre sites affecte la qualité vocale, les choix de codec doivent être cohérents entre les deux régions, et les obligations d’interception légale peuvent différer selon la juridiction. La prévention du split-brain devient également plus difficile, et la plupart des conceptions actif/actif inter-sites incluent un mécanisme de témoin ou de quorum (parfois un arbitrage côté opérateur) pour gérer la défaillance du lien inter-sites lui-même.

Il convient de noter que pour certains modes de défaillance, la réponse la plus propre ne se situe pas du tout au niveau du SBC. Disposer de plusieurs SIP trunks avec un routage par priorité protège contre les pannes côté opérateur aussi bien que contre les pannes SBC, et le moteur de routage interne du SBC gère le basculement sans qu’aucun événement HA ne soit impliqué. La redondance SIP trunk et la HA du SBC sont complémentaires, pas substituables.

Planification pratique du basculement

Trois détails opérationnels distinguent les conceptions HA qui fonctionnent de celles qui ont belle allure sur une présentation.

La capacité de basculement exige de dimensionner le nœud survivant pour absorber le trafic du nœud défaillant. Une paire où chaque nœud fonctionne à 80 % de sa capacité en régime permanent ne peut pas survivre à la perte d’un nœud, car le survivant devrait supporter 160 % sur la limite d’appels par seconde, le plafond de sessions concurrentes et le pool de transcodage média. Un dimensionnement utile cible chaque nœud à 50 % maximum de son maximum nominal en conditions normales.

Le comportement de failback concerne ce qui se passe lorsque le nœud défaillant se rétablit. Le failback manuel laisse l’opérateur décider du moment du retour du trafic, ce qui évite le mode de défaillance où un nœud se rétablit, reprend le trafic, retombe en panne et oscille. Le failback automatique est pratique mais se transforme en véritable panne si la condition de santé sous-jacente est intermittente.

Les exercices de basculement sont la partie que la plupart des opérateurs omettent jusqu’à ce qu’une panne les mette dans l’embarras. Une HA jamais testée est une HA non prouvée. Des exercices de basculement forcé trimestriels (et au moins un exercice complet de reprise après sinistre de site par an) permettent à l’architecte de vérifier que la configuration correspond au design et que le runbook fonctionne toujours.

FAQ

Conclusion

La haute disponibilité VoIP est un empilement de décisions, pas une fonctionnalité unique. Le mécanisme de détection définit le RTO ; le modèle de redondance (actif-passif ou actif-actif) définit le compromis entre capacité et état ; le niveau de survie détermine quels appels survivent réellement à un basculement ; et la géo-redondance est sa propre couche située au-dessus de la HA locale. Une HA non testée est une HA théorique, et les opérateurs qui exploitent des réseaux vocaux fiables sont ceux qui exercent leurs chemins de basculement selon un calendrier établi.