Hyper-V VMs bei Stromausfall automatisch herunterfahren

Die automatische Stoppaktion: Speichern, Herunterfahren oder Ausschalten

Jede VM hat in Hyper-V eine automatische Stoppaktion (AutomaticStopAction). Sie legt fest, was mit der VM passiert, wenn der Host-Server heruntergefahren wird. Es gibt drei Möglichkeiten, und die Voreinstellung ist Speichern:

Welche Einstellung Ihre VMs haben, zeigt und ändert PowerShell auf dem Host:

Get-VM | Select-Object Name, State, AutomaticStopAction
Set-VM -Name "SQL01" -AutomaticStopAction ShutDown

Wichtig: Die Stoppaktion greift erst, wenn der Host heruntergefahren wird. Sie ist eine sinnvolle Rückfallebene, aber kein Schutz vor Stromausfall. Ohne einen Auslöser läuft der Host weiter, bis der Akku der USV leer ist, und dann gehen Host und VMs gleichzeitig hart aus.

Warum die Stoppaktion allein nicht reicht

1. Es fehlt der Auslöser
   Der Host weiß nichts von der USV. Irgendetwas muss den Batteriebetrieb erkennen, die Restlaufzeit bewerten und das Herunterfahren anstoßen, per USB-Kabel an einem einzelnen Server oder per Netzwerk über SNMP oder NUT.
2. Die Zeit ist begrenzt
   Beim Herunterfahren wartet Windows auf die Stoppaktionen aller VMs. Wie lange das dauert, hängt von Anzahl, Arbeitsspeicher und Plattengeschwindigkeit ab. Wird zu spät ausgelöst, ist der Akku leer, bevor alle VMs gespeichert oder heruntergefahren sind.
3. Keine Reihenfolge
   Die Stoppaktion läuft für alle VMs eines Hosts ungefähr gleichzeitig. Abhängigkeiten wie „Anwendungsserver vor der Datenbank, Domain Controller zuletzt“ lassen sich damit nicht abbilden, über mehrere Hosts hinweg schon gar nicht.
4. Mehrere Hosts, eine USV
   Hängen mehrere Hyper-V-Hosts an einer USV, braucht jeder einen Auslöser. Eine Software pro Host arbeitet unabhängig: Jeder Host entscheidet für sich, niemand koordiniert.
5. Der Strom kommt zurück
   Kurze Ausfälle sind häufiger als lange. Wer beim ersten Batterie-Signal sofort alles abschaltet, fährt die Umgebung auch bei einem Aussetzer von zwanzig Sekunden herunter. Sinnvoll sind Schwellwerte, mehrere Bestätigungen und ein Abbruchfenster.

In welcher Reihenfolge VMs heruntergefahren werden sollten

Die Grundregel: Zuerst die VMs, von denen nichts anderes abhängt, zuletzt die, die andere brauchen. Eine bewährte Reihenfolge für typische Windows-Umgebungen:

1. Terminal- und Anwendungsserver — Remotedesktop, Warenwirtschaft, Webserver. Sie schreiben in Datenbanken und Dateifreigaben und sollten ihre Verbindungen sauber schließen, solange die Gegenstellen noch laufen.
2. Datenbank- und Mailserver — SQL Server, Exchange. Beide sind absturzsicher, fahren aber schneller wieder hoch, wenn sie sauber beendet wurden. Details im Ratgeber SQL Server & Exchange auf Hyper-V.
3. Datei- und Druckserver
4. Domain Controller zuletzt — damit Anmeldung und DNS für die übrigen VMs bis zum Schluss funktionieren. Warum ein hart abgeschalteter DC trotzdem meist kein Drama ist, steht im Ratgeber Active Directory & USV-Ausfall.
5. Zum Schluss der Host selbst — erst wenn alle VMs aus oder gespeichert sind.

Beim Wiederanlauf gilt die umgekehrte Reihenfolge. Hyper-V bietet dafür die automatische Startaktion mit einer Verzögerung in Sekunden: Der Domain Controller startet sofort, alle anderen VMs ein paar Minuten später.

Wichtig ist der Wert Start. Der Standardwert StartIfRunning („Automatisch starten, wenn sie beim Beenden des Dienstes ausgeführt wurde“) startet nur VMs, die noch liefen, als der Host herunterfuhr. Fährt ein Werkzeug die VMs vorher einzeln herunter, bleiben sie danach aus.

Set-VM -Name "DC01"  -AutomaticStartAction Start -AutomaticStartDelay 0
Set-VM -Name "SQL01" -AutomaticStartAction Start -AutomaticStartDelay 120
Set-VM -Name "APP01" -AutomaticStartAction Start -AutomaticStartDelay 240

Bei Failover-Clustern kommen Quorum und Cluster Shared Volumes dazu, siehe Hyper-V Failover-Cluster bei Stromausfall.

Den richtigen Zeitpunkt berechnen

Der Schwellwert für das Auslösen muss die komplette Abschaltung abdecken, plus Reserve. Rechnen Sie rückwärts, mit gemessenen statt geschätzten Zeiten:

Die Reserve ist kein Luxus: Die Restlaufzeit, die eine USV meldet, ist eine Schätzung ihrer Firmware und wird mit alternder Batterie zunehmend optimistisch. Deshalb lohnt es sich, zusätzlich einen Mindestwert für die Akkuladung festzulegen, und beide Werte gelten: Was zuerst unterschritten wird, löst aus. Warum Datenblatt und Anzeige oft danebenliegen, erklärt der Ratgeber USV-Laufzeit richtig berechnen.

Automatisch, geordnet, ohne Agenten auf den Hosts

Der UPS Hyper-V Shutdown Monitor läuft als Windows-Dienst auf einem Rechner im Netz, fragt die USV per SNMP oder NUT ab und steuert die Hyper-V-Hosts per WinRM, ohne zusätzliche Software auf den Hosts:

1. Auslöser mit Schwellwerten — Akkuladung und Restlaufzeit, Voreinstellung 20 % bzw. 300 Sekunden, frei einstellbar. Ausgelöst wird erst nach drei aufeinanderfolgenden Bestätigungen (anpassbar), damit ein kurzer Aussetzer nichts abschaltet.
2. Reihenfolge über Hosts und VMs — Hosts und VMs bekommen eine Reihenfolge. VMs mit derselben Stufe fahren parallel herunter, die nächste Stufe beginnt erst, wenn die vorige fertig ist.
3. Herunterfahren oder Speichern je VM — pro VM wählbar: sauber herunterfahren (Stop-VM) oder den Zustand speichern (Save-VM). Reagiert eine VM nicht innerhalb des Zeitlimits (Voreinstellung 120 Sekunden je Host), wird sie ausgeschaltet, damit der Host sicher herunterfahren kann.
4. Ein Rechner koordiniert alle Hosts — auch zusätzliche physische Server ohne Hyper-V und auf Wunsch der eigene Rechner zum Schluss.
5. Abbruchfenster — kommt der Strom kurz nach dem Auslösen zurück, wird die Abschaltung abgebrochen (Voreinstellung 15 Sekunden).
6. Vorher testen — Bereitschaftsprüfung, Probelauf mit geschätzter Gesamtdauer und ein Testmodus, der den kompletten Ablauf protokolliert, ohne etwas abzuschalten.

Alle Punkte sind in jeder Edition enthalten. Mehrere USVs mit Host-Zuordnung und Live-Migration auf einen Host, der noch Strom hat, gibt es ab der Pro-Edition. Mehr in der Feature-Liste und der Einrichtungsanleitung.

Vor dem nächsten Stromausfall prüfen

1. Integrationsdienst „Herunterfahren“ aktiv — Get-VMIntegrationService -VMName <Name> zeigt ihn je VM (englisch „Shutdown“). Linux-Gäste brauchen die Hyper-V-Integration (hv_utils), bei aktuellen Distributionen ist sie enthalten.
2. Automatische Stoppaktion bewusst setzen — als Rückfallebene, falls der Host doch einmal ohne vorheriges Stoppen der VMs heruntergefahren wird. Bei „Speichern“ genug freien Plattenplatz einplanen.
3. Reihenfolge dokumentieren — welche VM hängt von welcher ab, welcher Domain Controller fährt zuletzt herunter und startet zuerst?
4. Zeiten messen statt schätzen — jede VM einmal im Wartungsfenster herunterfahren und die Dauer notieren. Daraus ergibt sich der Schwellwert (Abschnitt 04).
5. Startverzögerung setzen — Domain Controller ohne, abhängige VMs mit Verzögerung starten lassen.
6. Die Überwachung selbst absichern — der Rechner, der die USV überwacht und abschaltet, muss bis zum Schluss laufen: nicht als VM auf einem der Hosts, die er herunterfährt, oder zumindest als letzte Stufe.
7. Einmal testen — im Testmodus oder in einem Wartungsfenster. Der erste echte Stromausfall sollte nicht der erste Test sein.

Häufige Fragen