Làm thế nào để thiết lập một Veeam hardened repository trên server Linux thuê?

Một hardened repository bảo vệ chống lại điều gì?

Một kho lưu trữ được gia cố khiến các tệp sao lưu trở nên bất biến trong một khoảng thời gian do bạn đặt. Trong thời gian đó, Veeam cho biết các tệp không thể bị di chuyển, sửa đổi hay xóa, nhưng có thể được sao chép.

Hai dịch vụ đảm nhận công việc này. Veeam Data Mover giao tiếp với máy chủ sao lưu qua cổng 6162 và chạy dưới một người dùng không phải root. Veeam Immutability Service, tiến trình con của nó có quyền root, đặt và gỡ thuộc tính bất biến, đồng thời kiểm tra các tệp mỗi 20 phút. Thông tin xác thực dùng để cài đặt chúng không được lưu lại, nên một máy chủ sao lưu bị xâm phạm không thể đăng nhập lại.

Tính bất biến bảo vệ các tệp khỏi một máy chủ sao lưu bị đánh cắp; nó không bảo vệ kho lưu trữ khỏi việc mất chính cỗ máy.

Tôi chuẩn bị ổ đĩa và hệ thống tệp như thế nào?

Veeam khuyến nghị RAID 1 trên SSD cho hệ thống và RAID 6 hoặc 60 với bộ nhớ đệm write-back cho dữ liệu sao lưu. Trên một hold Basalthold, hệ thống vốn đã nằm trên SSD. Hệ điều hành nằm trên SSD riêng (hai SSD mirror trên các gói lớn hơn); các ổ đĩa dữ liệu được giao ở dạng trống và chưa phân vùng, để bạn có thể dựng ZFS, một mảng mdadm hoặc một bộ đĩa độc lập. Nếu bạn muốn đội ngũ chuẩn bị sẵn một mảng RAID 6 hoặc RAID 10 trước khi bàn giao, hãy báo bộ phận hỗ trợ trước khi server được giao.

Basalthold cam kết không có bộ điều khiển RAID phần cứng, nên hãy dựng RAID 6 bằng phần mềm với mdadm. Nó cho khả năng chịu lỗi hai ổ như nhau, mà không có bộ nhớ đệm write-back. Chỉ 4 trong 23 nhà bán máy chủ lưu trữ Basalthold đã kiểm tra vào 2 November 2026 nêu rõ có bộ điều khiển RAID phần cứng trên gói lưu trữ. Các đánh đổi về parity có ở RAID 6 hay RAID 10 cho một máy chủ lưu trữ thuê.

Sau đó định dạng bằng chuỗi của chính Veeam. Fast clone cần XFS với reflink và checksum được bật, cùng kích thước block từ 1 đến 4 KB.

mdadm --create /dev/md0 --level=6 --raid-devices=10 /dev/sd[b-k]
mkfs.xfs -b size=4096 -m reflink=1,crc=1 /dev/md0
mkdir /backups
blkid /dev/md0          # copy the UUID
# /etc/fstab
UUID=<UUID>  /backups  xfs  defaults  0  0

Tôi thêm máy chủ với thông tin xác thực dùng một lần như thế nào?

Veeam yêu cầu một tài khoản không phải root có thư mục home, được dùng một lần qua SSH để triển khai Veeam Data Mover. Thư mục sao lưu phải thuộc về tài khoản đó và nhóm của nó, với quyền 0700 và không có sticky bit.

useradd -m -s /bin/bash veeamrepo
passwd veeamrepo
mkdir -p /backups/veeam
chown veeamrepo:veeamrepo /backups/veeam
chmod 0700 /backups/veeam
usermod -aG sudo veeamrepo      # temporary, for the deployment only

Điều gì thay đổi khi máy chủ được thuê chứ không nằm trong rack của bạn?

Ba điều: bảng điều khiển, đồng hồ và hợp đồng.

• Bảng điều khiển. Veeam gợi ý tắt SSH cho toàn bộ máy chủ nếu bạn có thể làm việc từ bảng điều khiển. Không có quyền truy cập IPMI hoặc KVM-over-IP cho khách hàng; các yêu cầu reboot và cài lại bạn gửi trong dashboard sẽ do đội ngũ thực hiện. Vậy hãy giữ root trên SSH chỉ với khóa, giới hạn bằng tường lửa cho địa chỉ quản trị của bạn. Chỉ mở 6162 và 2500 đến 3300 cho các máy chủ Veeam của bạn.
• Đồng hồ. Immutability Service chặn lưu giữ nếu đồng hồ nhảy quá 24 giờ, hoặc kho lưu trữ tắt lâu đến vậy. Hãy giữ NTP chạy.
• Hợp đồng. Mỗi server được thanh toán trước từ số dư crypto của bạn, cho 30 ngày, 3 tháng, 6 tháng hoặc 12 tháng tùy bạn chọn khi thanh toán. Gia hạn tự động sẽ tính lại đúng khoảng thời gian đó với mức giá ban đầu của bạn, trừ khi bạn đặt khoảng thời gian khác cho lần gia hạn tiếp theo trong dashboard; khi số dư không đủ, server sẽ dừng vào cuối kỳ hạn, các ổ đĩa được giữ trong 7 ngày rồi bị xóa. Dù có khóa hay không, các ổ đĩa vẫn đi.

Cờ bất biến tồn tại chừng nào hợp đồng thuê còn: hãy trả cho kỳ hạn vượt quá thời điểm kết thúc khóa. Gói 100 tốn $3,167.22 cho 12 tháng, so với $377.05/30 ngày. Điều gì xảy ra với các ổ đĩa sau khi hết hạn có ở dữ liệu sau khi hủy một máy chủ lưu trữ thuê.

Sao lưu bất biến trong bao lâu, và tốn bao nhiêu dung lượng?

Mỗi bản sao lưu cấp độ image giữ bất biến trong khoảng thời gian bạn đặt, tính từ điểm khôi phục cuối cùng của chuỗi đang hoạt động. Veeam gia hạn cả chuỗi đang hoạt động tại mỗi điểm khôi phục mới. Các bản sao lưu full GFS vẫn bị khóa theo thời gian lưu giữ riêng của chúng khi thời gian đó dài hơn.

Tính bất biến ghi đè lên thời gian lưu giữ của job: một tệp chỉ bị xóa khi khóa của nó hết hạn. Hãy lên kế hoạch dung lượng cho khóa dài nhất, chứ không phải thời gian lưu giữ ngắn nhất. Fast clone giữ các bản full tổng hợp rẻ trên XFS, nên dung lượng thêm vào chủ yếu là các block bị thay đổi.

Nếu bạn cũng mã hóa các job, Veeam mã hóa tại nguồn, và các khóa dữ liệu không nằm trên kho lưu trữ. Về mã hóa ở cấp ổ đĩa, xem mở khóa từ xa một máy chủ thuê được mã hóa LUKS. Giá cho mọi kỳ hạn có ở bảng giá hold. Các phương pháp khóa khác có ở sao lưu bất biến trên máy chủ của riêng bạn.