Come configuro un Veeam hardened repository su un server Linux noleggiato?

Da cosa protegge un hardened repository?

Un repository hardened rende i file di backup immutabili per un periodo che scegli tu. Durante quel periodo, Veeam afferma che i file non possono essere spostati, modificati o eliminati, ma possono essere copiati.

Due servizi fanno il lavoro. Veeam Data Mover comunica con il backup server sulla porta 6162 e viene eseguito come utente non-root. Il Veeam Immutability Service, il suo processo figlio con privilegi di root, imposta e rimuove l'attributo immutabile e controlla i file ogni 20 minuti. Le credenziali usate per installarli non vengono memorizzate, quindi un backup server compromesso non può più effettuare l'accesso.

L'immutabilità protegge i file da un backup server rubato; non protegge il repository dalla perdita della macchina stessa.

Come preparo i dischi e il file system?

Veeam consiglia RAID 1 su SSD per il sistema e RAID 6 o 60 con write-back cache per i dati di backup. Su un hold Basalthold il sistema è già su SSD. Il sistema operativo risiede su un SSD dedicato (due SSD in mirror sulle configurazioni più grandi); i dischi dati arrivano vuoti e non partizionati, così puoi creare ZFS, un array mdadm o un insieme di dischi indipendenti. Se vuoi che il team prepari un array RAID 6 o RAID 10 prima della consegna, segnalalo al supporto prima che il server venga assegnato.

Basalthold non promette alcun controller RAID hardware, quindi crea il RAID 6 in software con mdadm. Offre la stessa tolleranza di due dischi, senza write-back cache. Solo 4 venditori di storage server su 23 Basalthold verificati il 2 November 2026 dichiarano un controller RAID hardware su un piano storage. I compromessi della parità sono su RAID 6 o RAID 10 per uno storage server a noleggio.

Poi formatta con la stringa di Veeam. Il fast clone richiede XFS con reflink e checksum attivi, e una dimensione dei blocchi da 1 a 4 KB.

mdadm --create /dev/md0 --level=6 --raid-devices=10 /dev/sd[b-k]
mkfs.xfs -b size=4096 -m reflink=1,crc=1 /dev/md0
mkdir /backups
blkid /dev/md0          # copy the UUID
# /etc/fstab
UUID=<UUID>  /backups  xfs  defaults  0  0

Come aggiungo il server con credenziali monouso?

Veeam richiede un account non-root con una home directory, usato una sola volta via SSH per distribuire Veeam Data Mover. La directory di backup deve appartenere a quell'account e al suo gruppo, con mode 0700 e senza sticky bit.

useradd -m -s /bin/bash veeamrepo
passwd veeamrepo
mkdir -p /backups/veeam
chown veeamrepo:veeamrepo /backups/veeam
chmod 0700 /backups/veeam
usermod -aG sudo veeamrepo      # temporary, for the deployment only

Cosa cambia quando il server è a noleggio, non nel tuo rack?

Tre cose: la console, l'orologio e il contratto.

• Console. Veeam suggerisce di disattivare SSH per l'intero server se puoi lavorare dalla console. Non c'è accesso IPMI o KVM-over-IP per i clienti; i riavvii e le reinstallazioni che richiedi nella dashboard vengono eseguiti dal team. Quindi tieni root su SSH solo con una chiave, limitato dal firewall al tuo indirizzo di admin. Apri 6162 e da 2500 a 3300 solo ai tuoi server Veeam.
• Orologio. L'Immutability Service blocca la retention se l'orologio salta di più di 24 ore, o se il repository resta spento per quel tempo. Tieni NTP in esecuzione.
• Contratto. Ogni server viene pagato in anticipo dal tuo saldo in criptovalute, per 30 giorni, 3 mesi, 6 mesi o 12 mesi come scelto al checkout. Il rinnovo automatico addebita di nuovo la stessa durata al prezzo con cui hai iniziato, a meno che tu non imposti un'altra durata per il rinnovo successivo nella dashboard; quando il saldo non basta, il server si ferma alla fine del suo periodo, i suoi dischi vengono conservati per 7 giorni e poi cancellati. Bloccati o no, i dischi se ne vanno.

Un flag immutabile dura quanto il noleggio: paga il termine oltre la fine del lock. Hold 100 costa $3,167.22 per 12 mesi, contro $377,05/30 giorni. Cosa succede ai dischi dopo una scadenza è su i dati dopo la cancellazione di uno storage server a noleggio.

Per quanto tempo i backup restano immutabili, e quanto spazio occupano?

Ogni backup a livello immagine resta immutabile per il periodo che imposti, contato dall'ultimo restore point della catena attiva. Veeam estende l'intera catena attiva a ogni nuovo restore point. I backup full GFS restano bloccati per la loro retention quando è più lunga.

L'immutabilità ha la precedenza sulla retention dei job: un file viene eliminato solo quando il suo lock scade. Pianifica la capacità per il lock più lungo, non per la retention più breve. Il fast clone mantiene economici i full sintetici su XFS, quindi lo spazio extra è in gran parte blocchi modificati.

Se crittografi anche i job, Veeam crittografa alla fonte, e le chiavi dati restano fuori dal repository. Per la crittografia a livello di disco, vedi sbloccare da remoto un server a noleggio crittografato con LUKS. I prezzi per ogni termine sono su il listino degli hold. Altri metodi di locking sono su backup immutabili sul tuo server.