Bagaimana cara menyiapkan Veeam hardened repository di server Linux sewaan?

Apa yang dilindungi oleh hardened repository?

Repositori yang dikeraskan membuat file cadangan menjadi immutable untuk periode yang Anda tetapkan. Selama periode itu, Veeam menyatakan file tidak dapat dipindahkan, diubah, atau dihapus, tetapi dapat disalin.

Dua layanan yang menjalankan tugasnya. Veeam Data Mover berkomunikasi dengan server cadangan pada port 6162 dan berjalan sebagai pengguna non-root. Veeam Immutability Service, proses anaknya dengan hak root, menetapkan dan mencabut atribut immutable serta memeriksa file setiap 20 menit. Kredensial yang digunakan untuk memasangnya tidak disimpan, sehingga server cadangan yang diretas tidak dapat login kembali.

Immutability melindungi file dari server cadangan yang dicuri; immutability tidak melindungi repositori dari kehilangan mesin itu sendiri.

Bagaimana cara menyiapkan drive dan sistem file?

Veeam merekomendasikan RAID 1 pada SSD untuk sistem dan RAID 6 atau 60 dengan write-back cache untuk data cadangan. Pada Basalthold hold, sistem sudah berada di SSD. Sistem operasi berada di SSD-nya sendiri (dua SSD yang dimirror pada paket yang lebih besar); drive data datang kosong dan tanpa partisi, jadi Anda bisa membangun ZFS, array mdadm, atau sekumpulan disk independen. Jika Anda ingin tim menyiapkan array RAID 6 atau RAID 10 sebelum pengiriman, beri tahu support sebelum server diserahkan.

Basalthold menjanjikan tidak ada pengontrol RAID hardware, jadi bangun RAID 6 secara software dengan mdadm. Ini memberikan toleransi dua drive yang sama, tanpa write-back cache. Hanya 4 dari 23 penjual storage server Basalthold yang diperiksa pada 2 November 2026 yang menyatakan pengontrol RAID hardware pada paket storage. Pertimbangan trade-off paritas ada di RAID 6 atau RAID 10 untuk storage server sewaan.

Lalu format dengan string milik Veeam sendiri. Fast clone membutuhkan XFS dengan reflink dan checksum aktif, serta ukuran blok 1 hingga 4 KB.

mdadm --create /dev/md0 --level=6 --raid-devices=10 /dev/sd[b-k]
mkfs.xfs -b size=4096 -m reflink=1,crc=1 /dev/md0
mkdir /backups
blkid /dev/md0          # copy the UUID
# /etc/fstab
UUID=<UUID>  /backups  xfs  defaults  0  0

Bagaimana cara menambahkan server dengan kredensial sekali pakai?

Veeam meminta akun non-root dengan direktori home, digunakan sekali melalui SSH untuk men-deploy Veeam Data Mover. Direktori cadangan harus dimiliki oleh akun tersebut dan grupnya, dengan mode 0700 dan tanpa sticky bit.

useradd -m -s /bin/bash veeamrepo
passwd veeamrepo
mkdir -p /backups/veeam
chown veeamrepo:veeamrepo /backups/veeam
chmod 0700 /backups/veeam
usermod -aG sudo veeamrepo      # temporary, for the deployment only

Apa yang berubah saat server disewa, bukan di rak Anda?

Tiga hal: konsol, jam, dan kontrak.

• Konsol. Veeam menyarankan menonaktifkan SSH untuk seluruh server jika Anda dapat bekerja dari konsol. Tidak ada akses IPMI atau KVM-over-IP untuk pelanggan; reboot dan reinstall yang Anda minta di dashboard dilakukan oleh tim. Jadi pertahankan root di SSH hanya dengan key, dibatasi firewall ke alamat admin Anda. Buka 6162 dan 2500 hingga 3300 hanya untuk server Veeam Anda.
• Jam. Immutability Service memblokir retensi jika jam melonjak lebih dari 24 jam, atau repositori mati selama itu. Jalankan NTP terus.
• Kontrak. Setiap server dibayar di muka dari saldo kripto Anda, untuk 30 hari, 3 bulan, 6 bulan, atau 12 bulan sesuai pilihan saat checkout. Perpanjangan otomatis menagih durasi yang sama lagi dengan harga awal Anda, kecuali Anda mengatur durasi lain untuk perpanjangan berikutnya di dashboard; jika saldo tidak cukup, server berhenti pada akhir masa berlakunya, drive-nya disimpan selama 7 hari lalu dihapus. Terkunci atau tidak, drive-nya pergi.

Atribut immutable bertahan selama masa sewa: bayar jangka waktu melewati akhir kunci. Hold 100 berbiaya $3,167.22 untuk 12 bulan, dibandingkan $377.05/30 hari. Apa yang terjadi pada drive setelah masa berlaku habis ada di data setelah membatalkan storage server sewaan.

Berapa lama cadangan tetap immutable, dan berapa banyak ruang yang dibutuhkan?

Setiap cadangan tingkat image tetap immutable selama periode yang Anda tetapkan, dihitung dari titik pemulihan terakhir rantai aktif. Veeam memperpanjang seluruh rantai aktif pada setiap titik pemulihan baru. Cadangan penuh GFS tetap terkunci selama retensinya sendiri bila lebih lama.

Immutability menimpa retensi job: file dihapus hanya setelah kuncinya kedaluwarsa. Rencanakan kapasitas untuk kunci terlama, bukan retensi terpendek. Fast clone menjaga synthetic full tetap murah di XFS, sehingga ruang tambahan sebagian besar berupa blok yang berubah.

Jika Anda juga mengenkripsi job, Veeam mengenkripsi di sumber, dan key data tidak berada di repositori. Untuk enkripsi tingkat drive, lihat membuka kunci server sewaan terenkripsi LUKS dari jarak jauh. Harga untuk setiap jangka waktu ada di daftar harga hold. Metode penguncian lain ada di backup immutable di server Anda sendiri.