Hoe stel ik een Veeam hardened repository in op een gehuurde Linux-server?

Waartegen beschermt een hardened repository?

Een gehard repository maakt back-upbestanden onveranderlijk voor een periode die je zelf instelt. Tijdens die periode kunnen de bestanden volgens Veeam niet worden verplaatst, gewijzigd of verwijderd, maar wel worden gekopieerd.

Twee services doen het werk. Veeam Data Mover communiceert met de back-upserver op poort 6162 en draait als een non-root gebruiker. De Veeam Immutability Service, het child-proces met root-rechten, stelt het onveranderlijke attribuut in en heft het op en controleert bestanden elke 20 minuten. De inloggegevens die voor de installatie zijn gebruikt, worden niet opgeslagen, dus een gecompromitteerde back-upserver kan niet opnieuw inloggen.

Onveranderlijkheid beschermt de bestanden tegen een gestolen back-upserver; het beschermt het repository niet tegen het verlies van de machine zelf.

Hoe bereid ik de schijven en het bestandssysteem voor?

Veeam raadt RAID 1 op SSD's aan voor het systeem en RAID 6 of 60 met write-back cache voor back-updata. Op een Basalthold hold staat het systeem al op SSD. Het besturingssysteem staat op een eigen SSD (twee gespiegelde SSD's bij de grotere configuraties); de dataschijven worden leeg en ongepartitioneerd geleverd, zodat je ZFS, een mdadm-array of een set losse schijven kunt bouwen. Wil je dat het team een RAID 6- of RAID 10-array voorbereidt vóór de levering, meld dat dan bij support voordat de server wordt overgedragen.

Basalthold belooft geen hardware-RAID-controller, dus bouw RAID 6 in software met mdadm. Dat geeft dezelfde tolerantie voor twee schijven, zonder write-back cache. Slechts 4 van de 23 verkopers van storage-servers die Basalthold op 2 November 2026 hebben gecontroleerd, noemen een hardware-RAID-controller bij een storage-abonnement. De afwegingen rond parity staan op RAID 6 of RAID 10 voor een gehuurde storage-server.

Formatteer daarna met de string van Veeam zelf. Fast clone vereist XFS met reflink en checksums aan, en een blokgrootte van 1 tot 4 KB.

mdadm --create /dev/md0 --level=6 --raid-devices=10 /dev/sd[b-k]
mkfs.xfs -b size=4096 -m reflink=1,crc=1 /dev/md0
mkdir /backups
blkid /dev/md0          # copy the UUID
# /etc/fstab
UUID=<UUID>  /backups  xfs  defaults  0  0

Hoe voeg ik de server toe met eenmalige inloggegevens?

Veeam vraagt om een non-root account met een homedirectory, eenmalig gebruikt via SSH om Veeam Data Mover te implementeren. De back-updirectory moet toebehoren aan dat account en zijn groep, met mode 0700 en zonder sticky bit.

useradd -m -s /bin/bash veeamrepo
passwd veeamrepo
mkdir -p /backups/veeam
chown veeamrepo:veeamrepo /backups/veeam
chmod 0700 /backups/veeam
usermod -aG sudo veeamrepo      # temporary, for the deployment only

Wat verandert er als de server gehuurd is en niet in je rack staat?

Drie dingen: de console, de klok en het contract.

• Console. Veeam stelt voor om SSH voor de hele server uit te schakelen als je vanaf de console kunt werken. Er is geen IPMI- of KVM-over-IP-toegang voor klanten; reboots en herinstallaties die je in het dashboard aanvraagt, worden door het team uitgevoerd. Houd root dus alleen op SSH met een sleutel, beperkt door de firewall tot je beheerdersadres. Open 6162 en 2500 tot 3300 alleen voor je Veeam-servers.
• Klok. De Immutability Service blokkeert retentie als de klok meer dan 24 uur verspringt, of als het repository zo lang uit staat. Houd NTP actief.
• Contract. Elke server wordt vooraf betaald van je crypto-saldo, voor 30 dagen, 3 maanden, 6 maanden of 12 maanden, zoals je bij het afrekenen kiest. Auto-renew rekent opnieuw dezelfde looptijd af tegen de prijs waarmee je bent begonnen, tenzij je in het dashboard een andere looptijd instelt voor de volgende verlenging; als het saldo niet toereikend is, stopt de server aan het einde van de looptijd, blijven de schijven 7 dagen bewaard en worden ze daarna gewist. Vergrendeld of niet, de schijven gaan weg.

Een onveranderlijkheidsflag duurt zo lang als de huur: betaal de termijn tot voorbij het einde van de lock. Hold 100 kost $3,167.22 voor 12 maanden, tegenover $377.05/30 dagen. Wat er met de schijven gebeurt na een afloop staat op data na het opzeggen van een gehuurde storage-server.

Hoe lang blijven back-ups onveranderlijk, en hoeveel ruimte kost het?

Elke back-up op image-niveau blijft onveranderlijk voor de periode die je instelt, gerekend vanaf het laatste herstelpunt van de actieve keten. Veeam verlengt de hele actieve keten bij elk nieuw herstelpunt. GFS volledige back-ups blijven vergrendeld voor hun eigen retentie als die langer is.

Onveranderlijkheid gaat vóór job-retentie: een bestand wordt pas verwijderd als de lock verloopt. Plan capaciteit voor de langste lock, niet de kortste retentie. Fast clone houdt synthetische volledige back-ups goedkoop op XFS, dus de extra ruimte bestaat vooral uit gewijzigde blokken.

Als je de jobs ook versleutelt, versleutelt Veeam aan de bron, en de dat-sleutels blijven buiten het repository. Voor versleuteling op schijfnniveau, zie een LUKS-versleutelde gehuurde server op afstand ontgrendelen. Prijzen voor elke termijn staan op de hold-prijslijst. Andere vergrendelingsmethoden staan op onveranderlijke back-ups op je eigen server.