Recovery Site, Topoloji ve Bağımlı Altyapılar

Ön koşul: senaryo bazlı BIA, MTD/MTPD, RTO/RPO, minimum iş hizmeti, declaration ve recovery dalgalarını çıkarabilmelisin. Bu dersin sonunda backup/restore, pilot light, warm standby ve active-active yaklaşımlarını ürün etiketi yerine hazır tutulan state, recovery işi, maliyet ve riskle ayıracak; recovery site’ın coğrafi, tesis, platform, identity ve yönetim sınırlarını doğrulayacak; network, DNS, key, security, observability ve dış servis bağımlılıklarını topolojiye yerleştirecek; normal ve adverse kapasite zarfı kuracak; Arven için varsayım, test, risk, TBD ve koşul taşıyan recovery topolojisi önerebileceksin.

DR stratejisi RTO/RPO etiketinden ürün seçmeye sıçramaz. Her yaklaşım hangi data, configuration, infrastructure ve application state’inin önceden hazır olduğunu; olay anında hangi işin kaldığını; hangi insan, kontrol düzlemi ve tedarikçiye bağımlı olduğunu açıklar. Aynı kuruluş farklı hizmetler için farklı yaklaşım kullanabilir. Bir desen diğerinden mutlak üstün değildir; iş etkisi, senaryo, güven sınırı, test sonucu ve maliyetle eşleşir. Backup and restore en az sürekli çalışma kaynağı tutabilir; alternatif ortam, configuration ve application olayda kurulup data geri getirilir. Maliyet düşük olabilir, fakat media recall, provisioning, configuration drift ve veri hacmi RTO’yu uzatır. Pilot light kritik data ve temel çekirdeği sürekli hazır tutar; application katmanının bir bölümü olayda ölçeklenir. Warm standby, azaltılmış fakat çalışan uçtan uca ortamı büyütür ve trafiğe açar. Active-active birden fazla site/region’ın aynı anda hizmet vermesini hedefler; data consistency, trafik, hata izolasyonu ve operasyon karmaşıklığı artar. İsimler kesin mimari değildir. Bir ekip “warm” derken yalnız çalışan database’i, diğeri az kapasitede tüm zinciri kastedebilir. Bu nedenle compute instance, image/IaC, network, data replica, identity, key, DNS, security policy, monitoring, licence, external allowlist ve personel hazırlığı bileşen bazında kaydedilir. Normal zamanda ne çalışır, declaration sonrası ne oluşturulur veya büyütülür, ne kadar sürer ve hangi kanıtla doğrulanır sorulur. RTO kısaldıkça önceden hazır state ve otomasyon genellikle artar; maliyet kadar değişiklik senkronizasyonu ve yanlış failover riski de büyür. RPO veri replication/backup mekanizması ile consistency modeline bağlıdır. Active-active etiketi sıfır RPO/RTO garantisi değildir; ortak identity, DNS, control plane veya hatalı değişiklik iki tarafı da etkileyebilir. Strateji, hedef dışında kalan senaryoları ve residual riski de yazar.

Recovery site bağımsızlığı kilometre ile tek başına ölçülmez. Aynı floodplain, deprem/yangın bölgesi, enerji şebekesi, telecom santrali, metro fiberi, bina erişimi, personel havuzu veya tedarik zinciri iki lokasyonu birlikte etkileyebilir. Çok uzak site ise latency, data sovereignty, operasyon, maliyet ve personel erişimi riski getirebilir. Tehdit ve BIA senaryosu hangi korelasyonun kabul edilemez olduğunu belirler. Cloud availability zone veya region da otomatik bağımsızlık garantisi değildir. Account/tenant, organization policy, identity provider, DNS zone, key vault, CI/CD, image registry, observability, support ve quota ortak control/trust domain olabilir. Tek privileged credential iki ortamı değiştirebiliyorsa fiziksel ayrılık cyber bağımsızlık sağlamaz. Provider dokümanı hizmet sınırını açıklayabilir; müşteri configuration ve shared responsibility’si ayrıca kanıtlanır. Network topolojisi data replication, yönetim, kullanıcı erişimi ve dış entegrasyon yollarını ayırır. İki site aynı carrier, last-mile, firewall manager veya route controller’a bağlı olabilir. DR anında bandwidth yalnız steady replication’ı değil backlog catch-up, restore, image/config dağıtımı ve kullanıcı trafiğini birlikte taşımalıdır. DNS TTL tek başına trafik geçiş süresi değildir; resolver cache, health decision, certificate, load balancer, route advertisement, WAF ve external allowlist zinciri ölçülür. Data yazma otoritesi ve partition davranışı açık olmalıdır. Synchronous yaklaşım latency ve ortak kesinti riski; asynchronous yaklaşım lag ve veri kaybı riski taşır. İki taraf bağlantıyı kaybettiğinde hangisi yazabilir, quorum/witness nerede, split-brain nasıl engellenir, geri birleşmede hangi kaynak doğru kabul edilir? Cyber senaryoda bozukluk veya silme replike olabilir. Replication, bağımsız backup ve temiz point stratejisinin yerine geçmez.

Recovery ortamı yalnız application compute ve data’dan oluşmaz. Network address plan, subnet/VLAN, route, firewall/WAF, load balancer, DNS, DHCP/IPAM; identity, PKI, certificate, key/secrets, privileged workstation; time, logging, SIEM/EDR, monitoring, alerting; image/artifact registry, CI/CD, configuration/IaC, licence ve external provider bağlantıları ilk sınıf DR bileşenidir. Her birinin data/config kaynağı, RPO/RTO’su, bootstrap sırası, sahibi ve test yöntemi bulunur. Configuration parity kör kopyalama değildir. İkincil ortam planlı olarak daha küçük veya farklı endpoint’li olabilir; farklar kod/IaC ve karar kaydında yönetilir. Manuel değişiklik drift üretir. IaC yeniden kurmayı hızlandırabilir fakat state, secret, provider quota, image erişimi ve hatalı kod ortak nedeni devam eder. Artefact ve configuration sürümü recovery point ile uyumlu olmalıdır; eski database ile yeni schema veya yeni certificate ile eski hostname hizmeti bozabilir. Kapasite minimum iş hizmeti üzerinden base ve adverse modellenir. Compute/RAM, storage capacity/IOPS/throughput, network, load balancer, database connection, queue, key/DNS request, logging ingest ve external limitler aynı senaryoda ele alınır. Ay sonu tepesinde failover, replication backlog ve restore aynı kaynakları kullanabilir. Birden çok hizmet ortak DR ortamına geçerse resource contention ve portföy recovery sırası görünür olmalıdır. Warm veya active ortamın boş kapasitesi normal kullanım metriğinden çıkarılmaz. Bir node/AZ/network yolu kaybı, bakım, rebuild, data convergence ve güvenlik taraması sırasında hizmet eşiği korunmalıdır. Cloud quota ve capacity reservation, on-prem tedarik lead time, licence entitlement ve support erişimi önceden doğrulanır. Observability DR tarafında hazır değilse performans ve güvenlik kabulü yapılamaz. Sağlamlık, dashboard yeşilinden iş işlemi ve adverse test sonucuna kadar kanıtlanır.

Arven üç yaklaşımı karşılaştırır. A Ankara’da backup/restore ile altyapıyı IaC’den kurar; düşük sürekli maliyet karşılığında provisioning, restore ve doğrulama üç saatlik hedefi zorlayabilir. B Ankara’da minimum sipariş zincirini warm standby tutar; database replica, identity/DNS recovery yolu, güvenlik ve observability sürekli çalışır, declaration sonrası application kapasitesi büyür. C iki lokasyonda active-active hizmet sunar; kısa geçiş potansiyeline karşı data consistency, global traffic, ortak değişiklik ve split-brain karmaşıklığı taşır. BIA minimum sipariş hizmeti için üç saat RTO ve senaryoya göre 15 dakika RPO hedeflemiştir. Ön elemede A’nın son testteki media recall, provisioning ve 12 TB restore süresi hedefi aşar; ancak düşük öncelikli raporlama için uygundur. C, sipariş uygulamasının tek-writer database ve dış ödeme sağlayıcısı nedeniyle büyük yeniden tasarım ister. B mevcut uygulama sınırlarıyla daha uygulanabilir görünür; yine de karar POC ve dependency kanıtına bağlıdır. Warm topoloji iki siteyi fiziksel ve network olarak ayırır; ayrı recovery admin/break-glass yolu, Ankara’da DNS resolver/authoritative değişim yolu, identity/key bootstrap, EDR/SIEM ve monitoring tutar. Asynchronous replication lag’i gerçek transaction zamanı ile izlenir; bağımsız backup temiz point sağlar. Ankara minimum kapasitesi yoğun saatte siparişin yüzde 60’ını, replication catch-up ve log ingest’i bir altyapı yolu kaybında taşımalıdır. Raporlama sonraki dalgaya bırakılır. POC İstanbul control plane erişilemezken başlar. Declaration, Ankara yönetim erişimi, write authority fencing, data consistency, application scale-out, DNS/traffic, external allowlist, security ve sipariş işlemi zamanlanır. Risk register ortak registrar, identity compromise, quota, replication lag, configuration drift, licence ve personel açığını izler. Koşullu öneri ancak üç senaryonun kabul ölçüleri ve adverse kapasitesi geçtiğinde karar olur.