Quando un secondo server è ridondanza vera e quando è uno spreco

Un secondo server è ridondanza vera quando è acceso, aggiornato come il primo, riceve una copia dei dati con una frequenza decisa e ha una procedura di subentro scritta e provata almeno due volte l'anno; è uno spreco quando sta spento in un armadio «per ogni evenienza», perché al momento del guasto servono ore o giorni per renderlo utilizzabile. Per la maggior parte delle aziende da 10-20 postazioni la scelta giusta sta in mezzo: un dispositivo di riserva modesto, con il sistema di base installato e i backup pronti da ripristinare, che riduce il fermo a mezza giornata senza il costo di un cluster. La decisione dipende da due numeri, il tempo di fermo tollerabile (RTO) e la quantità di dati che si accetta di perdere (RPO).

Quando un secondo server è ridondanza vera: i quattro livelli

La ridondanza di un server non è sì o no: esistono quattro livelli, con tempi di ripristino e costi di gestione crescenti.

Cold standby: la riserva spenta

Il secondo server esiste, è compatibile con il primo, ma è spento e senza dati. Al guasto va acceso, aggiornato, ripristinato dal backup. Tempo di ripristino: da mezza giornata a più giorni, in funzione del volume dei dati e di quanto è vecchio il sistema installato. Costo di gestione: quasi nullo, ed è il motivo per cui degrada in spreco se nessuno lo accende mai.

Warm standby: la riserva pronta

Il secondo server è acceso o acceso a intervalli, ha sistema operativo e applicativi installati e aggiornati, riceve i backup o una replica dei dati ogni notte o ogni poche ore. Al guasto si avvia l'ultima copia e si reindirizzano le postazioni. Tempo di ripristino: da un'ora a mezza giornata. È il livello che rende di più per una PMI.

Hot standby: la replica continua

Il secondo server replica i dati del primo quasi in tempo reale (replica di Hyper-V, replica del database, Storage Replica) e può subentrare in minuti, spesso con un intervento manuale di pochi passaggi. Richiede licenze per entrambi i server, banda fra le due macchine e verifiche periodiche che la replica sia sana.

Cluster: il subentro automatico

Due o più server condividono lo storage o lo replicano e un servizio di cluster sposta le macchine virtuali o i servizi sul nodo sano senza intervento. Tempo di ripristino: secondi o minuti. Richiede storage condiviso o Storage Spaces Direct (edizione Datacenter), rete dedicata e competenze da amministratore di sistema: è raro che si giustifichi sotto le 50 postazioni.

Come si decide: RTO e RPO in due domande

Il livello giusto si sceglie rispondendo a due domande, prima di guardare l'hardware.

1. Quante ore di fermo del server possiamo sopportare in orario di lavoro? È l'RTO (Recovery Time Objective). Una giornata: basta un backup testato e un piano scritto. Mezza giornata: warm standby. Un'ora: hot standby. Minuti: cluster.
2. Quante ore di lavoro possiamo perdere? È l'RPO (Recovery Point Objective). Una giornata: backup notturno. Poche ore: replica programmata. Minuti: replica continua.

Le due risposte, moltiplicate per il costo orario del fermo (persone ferme, ordini persi, penali), danno il budget massimo sensato per la ridondanza. Il piano che mette per iscritto queste risposte è descritto nella guida disaster recovery essenziale per una piccola azienda.

Cosa serve perché il secondo server sia davvero pronto

Un secondo server è pronto quando supera questa lista, non quando è stato comprato.

• Stesso sistema operativo e stessi aggiornamenti del primo, applicati nella stessa finestra: la guida sulle patch di sicurezza sul server vale per entrambe le macchine.
• Licenze regolari per entrambi: Windows Server richiede la licenza su ogni server fisico che esegue il sistema, con il minimo di 16 core, come spiegato nella guida Windows Server Standard o Datacenter; un server di riserva spento e mai usato non la richiede finché non esegue Windows Server, ma al momento del subentro deve averla.
• Replica o backup con frequenza decisa e con verifica automatica dell'esito.
• Procedura di subentro scritta: chi la avvia, in quale ordine, come si reindirizzano le postazioni (DNS, mappature, stampanti), come si torna indietro.
• Prova semestrale: si simula il guasto, si cronometra il ripristino, si annota cosa non ha funzionato.
• Alimentazione e rete indipendenti: presa e UPS separati, come descritto nella guida sull'alimentazione ridondante nel server; se il secondo server condivide UPS e switch del primo, un guasto elettrico li ferma insieme.
• Monitoraggio anche sul secondo: un disco guasto sulla riserva si scopre solo con un allarme, guida monitoraggio remoto del server.

La via di mezzo che funziona: la riserva che lavora

Il modo più affidabile per tenere pronto un secondo server è dargli un compito quotidiano non critico: ambiente di test, server dei backup, seconda copia del file server, controller di dominio secondario. Una macchina usata ogni giorno riceve aggiornamenti e attenzione; una macchina spenta viene dimenticata. Con Windows Server un secondo controller di dominio è la forma minima e più utile di ridondanza per un ufficio con dominio: se il primo si ferma, gli utenti continuano ad accedere.

Quando basta un backup e un piano di ripristino

Un backup testato con un piano scritto basta quando l'RTO è di una giornata e il costo del fermo è sopportabile: studi professionali, uffici amministrativi con gestionale in cloud, negozi. In questi casi il denaro va speso in un backup fatto bene, secondo la strategia di backup 3-2-1, in un UPS e in un contratto di assistenza con tempi di intervento, non in un secondo server. Un NAS a due baie tenuto pronto con i backup e un'immagine del server è la riserva più economica: la guida differenza fra NAS e server vero spiega cosa può e non può fare al momento del bisogno.

Quale livello per quale azienda

Quanto costa un secondo server di riserva

Le fasce vengono dal catalogo initpc; il prezzo più basso di ogni riga dei server corrisponde ad accessori e ricambi con il nome della famiglia, quindi per una macchina completa vale il prezzo tipico.

Prezzi del catalogo initpc rilevati a settembre 2026, solo prodotti disponibili; i listini cambiano nel tempo.

Un warm standby non richiede un server identico al principale: un microserver o un tower a un processore con dischi sufficienti regge il carico per i giorni del ripristino. A far salire il costo sono le licenze doppie dell'hot standby e lo storage del cluster, più il tempo di chi mantiene la replica; la fascia bassa (disco esterno e UPS) è il livello «backup più piano» che copre gli studi piccoli. Un ricondizionato è adatto proprio a questo ruolo, con i controlli della guida server usato o ricondizionato.

Errori da evitare

• Comprare due server identici e lasciare il secondo spento senza replica né procedura.
• Replicare i dati ma non gli aggiornamenti: al subentro il gestionale non parte per una versione diversa.
• Non provare mai il subentro: la prima prova non deve essere l'emergenza.
• Mettere i due server sullo stesso UPS e sullo stesso switch.
• Considerare la replica un backup: un file cancellato o cifrato viene replicato uguale.
• Dimenticare le licenze del secondo server e scoprirlo il giorno del subentro.

La scelta in pratica

Un ufficio da 10-20 postazioni con gestionale in sede sceglie il warm standby: un secondo server modesto acceso, aggiornato, con replica notturna e secondo controller di dominio, più una prova di subentro ogni sei mesi; chi tollera una giornata di fermo spende invece in backup, UPS e assistenza. Il quadro generale è in server per una piccola azienda: quando conviene rispetto al cloud. Le macchine adatte alla riserva, dal microserver al tower a un processore, sono nella categoria Server dello shop.