Jak skonfigurować Veeam hardened repository na wynajętym serwerze Linux?

Przed czym chroni hardened repository?

Zahartowane repozytorium czyni pliki kopii zapasowych niezmiennymi przez okres, który ustawisz. W tym czasie, jak podaje Veeam, plików nie można przenosić, modyfikować ani usuwać, ale można je kopiować.

Robota należy do dwóch usług. Veeam Data Mover komunikuje się z serwerem backupu na porcie 6162 i działa jako użytkownik inny niż root. Veeam Immutability Service, jego proces potomny z uprawnieniami roota, ustawia i zdejmuje atrybut niezmienności oraz sprawdza pliki co 20 minut. Poświadczenia użyte do ich instalacji nie są przechowywane, więc przejęty serwer backupu nie może się ponownie zalogować.

Niezmienność chroni pliki przed przejętym serwerem backupu; nie chroni repozytorium przed utratą samej maszyny.

Jak przygotować dyski i system plików?

Veeam zaleca RAID 1 na dyskach SSD dla systemu oraz RAID 6 lub 60 z pamięcią podręczną write-back dla danych kopii zapasowych. Na Basalthold system już siedzi na SSD. System operacyjny znajduje się na własnym SSD (dwa lustrzane SSD w większych pojemnościach); dyski danych są dostarczane puste i niepartycjonowane, więc możesz zbudować ZFS, macierz mdadm lub zestaw niezależnych dysków. Jeśli chcesz, aby zespół przygotował macierz RAID 6 lub RAID 10 przed dostawą, zgłoś to do supportu, zanim serwer zostanie przekazany.

Basalthold nie obiecuje sprzętowego kontrolera RAID, więc zbuduj RAID 6 programowo za pomocą mdadm. Daje to tę samą tolerancję dwóch dysków, bez pamięci podręcznej write-back. Tylko 4 z 23 sprzedawców serwerów storage Basalthold sprawdzonych 2 November 2026 podaje sprzętowy kontroler RAID w planie storage. Kompromisy związane z parity są na RAID 6 czy RAID 10 dla wynajętego serwera storage.

Następnie sformatuj własnym ciągiem Veeama. Fast clone wymaga XFS z włączonym reflink i sumami kontrolnymi oraz rozmiarem bloku od 1 do 4 KB.

mdadm --create /dev/md0 --level=6 --raid-devices=10 /dev/sd[b-k]
mkfs.xfs -b size=4096 -m reflink=1,crc=1 /dev/md0
mkdir /backups
blkid /dev/md0          # copy the UUID
# /etc/fstab
UUID=<UUID>  /backups  xfs  defaults  0  0

Jak dodać serwer z jednorazowymi poświadczeniami?

Veeam wymaga konta innego niż root z katalogiem domowym, użytego raz przez SSH do wdrożenia Veeam Data Mover. Katalog backupu musi należeć do tego konta i jego grupy, mieć tryb 0700 i bez bitu sticky.

useradd -m -s /bin/bash veeamrepo
passwd veeamrepo
mkdir -p /backups/veeam
chown veeamrepo:veeamrepo /backups/veeam
chmod 0700 /backups/veeam
usermod -aG sudo veeamrepo      # temporary, for the deployment only

Co się zmienia, gdy serwer jest wynajęty, a nie stoi w Twojej szafie?

Trzy rzeczy: konsola, zegar i umowa.

• Konsola. Veeam sugeruje wyłączenie SSH dla całego serwera, jeśli możesz pracować z konsoli. Klienci nie mają dostępu przez IPMI ani KVM-over-IP; restarty i reinstalacje, o które prosisz w panelu, wykonuje zespół. Więc zostaw roota na SSH tylko z kluczem, ograniczonego firewallem do Twojego adresu administracyjnego. Otwórz 6162 i 2500 do 3300 tylko dla swoich serwerów Veeama.
• Zegar. Immutability Service blokuje retencję, jeśli zegar przeskoczy o więcej niż 24 godziny albo repozytorium pozostaje wyłączone tak długo. Utrzymuj NTP w działaniu.
• Umowa. Każdy serwer jest opłacany z góry z Twojego salda kryptowalutowego, na 30 dni, 3 miesiące, 6 miesięcy lub 12 miesięcy, zgodnie z wyborem przy płatności. Automatyczne odnowienie pobiera ponownie tę samą długość po cenie, od której zacząłeś, chyba że w panelu ustawisz inną długość na kolejne odnowienie; gdy saldo nie wystarcza, serwer zatrzymuje się z końcem terminu, jego dyski są przechowywane przez 7 dni, a następnie czyszczone. Zablokowane czy nie, dyski przepadają.

Flaga niezmienności trwa tyle, ile wynajem: zapłać za okres wykraczający poza koniec blokady. Hold 100 kosztuje $3,167.22 za 12 miesięcy, wobec $377.05/30 dni. Co dzieje się z dyskami po wygaśnięciu, jest na dane po anulowaniu wynajętego serwera storage.

Jak długo kopie zapasowe pozostają niezmienne i ile zajmują miejsca?

Każda kopia zapasowa na poziomie obrazu pozostaje niezmienna przez ustawiony okres, liczony od ostatniego punktu przywracania aktywnego łańcucha. Veeam wydłuża cały aktywny łańcuch przy każdym nowym punkcie przywracania. Pełne kopie GFS pozostają zablokowane przez własną retencję, gdy jest dłuższa.

Niezmienność nadpisuje retencję zadań: plik jest usuwany dopiero po wygaśnięciu jego blokady. Planuj pojemność pod najdłuższą blokadę, a nie najkrótszą retencję. Fast clone utrzymuje tanie syntetyczne pełne kopie na XFS, więc dodatkowe miejsce to głównie zmienione bloki.

Jeśli dodatkowo szyfrujesz zadania, Veeam szyfruje u źródła, a klucze danych pozostają poza repozytorium. Szyfrowanie na poziomie dysku opisano w zdalne odblokowanie wynajętego serwera zaszyfrowanego LUKS. Ceny dla każdego okresu są na cenniku holdów. Inne metody blokowania są na niezmienne kopie zapasowe na własnym serwerze.