Como configuro um repositório hardened do Veeam em um servidor Linux alugado?

Contra o que um repositório hardened protege?

Um repositório hardened torna os arquivos de backup imutáveis por um período que você define. Durante esse período, segundo a Veeam, os arquivos não podem ser movidos, modificados ou excluídos, mas podem ser copiados.

Dois serviços fazem o trabalho. O Veeam Data Mover se comunica com o servidor de backup na porta 6162 e roda como um usuário não-root. O Veeam Immutability Service, seu processo filho com direitos de root, define e remove o atributo de imutabilidade e verifica os arquivos a cada 20 minutos. As credenciais usadas para instalá-los não são armazenadas, então um servidor de backup comprometido não consegue fazer login de volta.

A imutabilidade protege os arquivos de um servidor de backup roubado; ela não protege o repositório de perder a própria máquina.

Como preparo as unidades e o sistema de arquivos?

A Veeam recomenda RAID 1 em SSDs para o sistema e RAID 6 ou 60 com cache write-back para os dados de backup. Em um hold Basalthold, o sistema já fica em SSD. O sistema operacional fica em um SSD próprio (dois SSDs espelhados no modelo maior); os discos de dados chegam vazios e sem partição, para você montar ZFS, um array mdadm ou um conjunto de discos independentes. Se quiser que a equipe prepare um array RAID 6 ou RAID 10 antes da entrega, avise o suporte antes da entrega do servidor.

Basalthold promete nenhum controlador RAID de hardware, então monte o RAID 6 em software com mdadm. Ele dá a mesma tolerância a duas unidades, sem cache write-back. Apenas 4 de 23 vendedores de storage server Basalthold verificados em 2 November 2026 declaram um controlador RAID de hardware em um plano de storage. As trocas da paridade estão em RAID 6 ou RAID 10 para um storage server alugado.

Em seguida, formate com a string da própria Veeam. O fast clone precisa de XFS com reflink e checksums ativados, e um block size de 1 a 4 KB.

mdadm --create /dev/md0 --level=6 --raid-devices=10 /dev/sd[b-k]
mkfs.xfs -b size=4096 -m reflink=1,crc=1 /dev/md0
mkdir /backups
blkid /dev/md0          # copy the UUID
# /etc/fstab
UUID=<UUID>  /backups  xfs  defaults  0  0

Como adiciono o servidor com credenciais de uso único?

A Veeam pede uma conta não-root com diretório home, usada uma vez via SSH para implantar o Veeam Data Mover. O diretório de backup deve pertencer a essa conta e ao seu grupo, com modo 0700 e sem sticky bit.

useradd -m -s /bin/bash veeamrepo
passwd veeamrepo
mkdir -p /backups/veeam
chown veeamrepo:veeamrepo /backups/veeam
chmod 0700 /backups/veeam
usermod -aG sudo veeamrepo      # temporary, for the deployment only

O que muda quando o servidor é alugado, e não está no seu rack?

Três coisas: o console, o relógio e o contrato.

• Console. A Veeam sugere desativar o SSH para o servidor inteiro se você puder trabalhar pelo console. Não há acesso IPMI ou KVM-over-IP para clientes; reinicializações e reinstalações solicitadas no painel são executadas pela equipe. Então mantenha o root no SSH apenas com chave, limitado por firewall ao seu endereço de administração. Abra 6162 e 2500 a 3300 apenas para os seus servidores Veeam.
• Relógio. O Immutability Service bloqueia a retenção se o relógio saltar mais de 24 horas, ou se o repositório ficar desligado por esse tempo. Mantenha o NTP rodando.
• Contrato. Cada servidor é pago antecipadamente com o seu saldo em cripto, por 30 dias, 3 meses, 6 meses ou 12 meses, conforme a opção escolhida no checkout. A renovação automática cobra o mesmo período novamente pelo preço com que você começou, a menos que você defina outro período para a próxima renovação no painel; quando o saldo não é suficiente, o servidor para ao fim do prazo, os discos ficam retidos por 7 dias e depois são apagados. Travadas ou não, as unidades vão embora.

Uma flag de imutabilidade dura o tempo do aluguel: pague o prazo além do fim do bloqueio. Hold 100 custa $3,167.22 por 12 meses, contra $377.05/30 dias. O que acontece com as unidades após uma interrupção está em dados após cancelar um storage server alugado.

Por quanto tempo os backups ficam imutáveis, e quanto espaço isso ocupa?

Cada backup em nível de imagem permanece imutável pelo período que você define, contado a partir do último ponto de restauração da cadeia ativa. A Veeam estende a cadeia ativa inteira a cada novo ponto de restauração. Os backups full GFS permanecem bloqueados pela própria retenção quando ela é maior.

A imutabilidade se sobrepõe à retenção do job: um arquivo só é excluído quando o bloqueio expira. Planeje a capacidade para o bloqueio mais longo, não para a retenção mais curta. O fast clone mantém os fulls sintéticos baratos em XFS, então o espaço extra é basicamente de blocos alterados.

Se você também criptografar os jobs, a Veeam criptografa na origem, e as chaves de dados ficam fora do repositório. Para criptografia em nível de unidade, veja desbloquear remotamente um servidor alugado criptografado com LUKS. Os preços de cada prazo estão na lista de preços do hold. Outros métodos de bloqueio estão em backups imutáveis no seu próprio servidor.