Veeam強化リポジトリのためのハードウェアの選択と環境の設定
Veeam強化リポジトリは、Veeamのネイティブソリューションであり、Linuxサーバー上のVeeam Backup & Replicationのバックアップに信頼できるイミュータビリティを提供します。汎用Linuxサーバーをサポートすることで、Veeamはベンダーロックインなしに常にハードウェアの選択肢を提供します。また、Veeamでは、顧客は信頼できるLinuxディストリビューション（Ubuntu、Red Hat、SUSE）を使用でき、「カスタムVeeam Linux」の使用を無理強いされることはありません。
強化リポジトリは、3-2-1ルールに準拠し、強化リポジトリをオブジェクトストレージのオブジェクトロックやWORMテープなどの他の書き換え不能オプションと組み合わせながら、Veeamバックアップのイミュータビリティを確保するのに役立ちます。このブログ記事では、後から強化リポジトリとして使用する物理サーバーの環境を選択して準備する方法を説明します。今後のブログ記事では、準備と計画、Linuxシステムの保護、Veeam Backup & Replicationへの統合といったトピックを取り上げていく予定です
せっかちな場合は、内部ディスクを備えた（高密度の）サーバーを使用してください。このアプローチでは、新しい強化リポジトリノードごとに、CPU、RAM、RAID、ネットワーク、ディスク容量、I/Oパフォーマンスが増えるため、直線的に拡張できます。高密度のサーバーを満載したラックでは、約8 PBのネイティブ容量が得られます。Veeamのネイティブデータ削減とXFSスペース削減（ブロッククローニング）により、1つのラックで最大100PBの論理データが節約され、バックアップ速度は最大で420TiB/hです。
小規模な環境でも心配はいりません。2つのラック ユニット、12のデータ ディスク、オペレーティング システム用の2つのディスクから開始します。
ネットワーク
ネットワークは、強化リポジトリが目標復旧時点（RPO、消失可能な最大データ量）と目標復旧時間（RTO、リストアにかかる時間）の達成を支援する上で重要な要素です。「永久増分」バックアップの世界では、「永久増分」アプローチの低帯域幅要件のために、ネットワークが忘れ去られることがあります。「完全リストア」シナリオを想定して設計することをお勧めします。好みの計算ツールを使用し、復元要件に合わせることにより、帯域幅を見積もります。
さまざまなネットワーク速度で、10 TBのデータをコピーするのに要する時間の例を以下にいくつか示します。
1 Gbit/秒 22時間45分
10 Gbit/秒 2時間15分
20 Gbit/秒 1時間8分
40 Gbit/秒 34分
100 Gbit/s 14分未満
100 Gbit/sは、現実的には、今日の顧客がリポジトリ・サーバーに置く最速の速度です。HPEは 2021年にApollo 4510 サーバーで、このような速度が単一のサーバーで達成できることを示しました。
しかし、それは帯域幅だけではありません。また、冗長性も重要です。スイッチ・インフラストラクチャへのネットワーク・ケーブルが1本しかない場合は、単一障害点を意味します。強化リポジトリには冗長なネットワーク接続を使用することをお勧めします。お使いのネットワーク機能により、それが負荷分散を備えたアクティブ/アクティブ リンク （LACP/802.3adなど）となる場合もあれば、単純なアクティブ/パッシブシナリオとなる場合もあります。
LinuxはVLANタグを使用して簡単に設定できますが、KISS原則ではタグなしのスイッチポートの使用が必須となります。つまり、LinuxでVLANを使用せずにIPアドレスを直接設定するということです。現在のところ最小の冗長構成となるのが、2つのスイッチ/スイッチスタックへの2つの10 Gbit/s接続です（ネットワーク環境によって異なります）。
Linuxセキュリティアップデートを受信するには、Linuxディストリビューションのセキュリティアップデートサーバーにアクセスできる必要があります。
シンプルにするため、ファイアウォール外部への送信用のHTTPインターネットアクセスを許可します。インターネット全体ではなく、選択したLinuxディストリビューションの更新サーバーへの接続のみが許可されます。これに代替する手段として、ご希望のLinuxディストリビューションのミラーを設定して、そこからアップデートとソフトウェアを取得することもできます。
適切なサーバーベンダーとモデルを見つける
Veeamでは、強化リポジトリとして内部ディスクを備えたサーバーを使用することをお勧めします。内部ディスクを推奨するのは、攻撃者がストレージシステムにアクセスしてストレージ側の全てを削除できるリスクを排除できるからです。サーバー・ベンダーによっては、「Veeamバックアップ・サーバー」モデルを採用している場合があります。これらのサーバー・モデルは、バックアップ・パフォーマンス要件に合わせて最適化されており、ベンダーの推奨事項に従うのも良い考えです。
ご希望のLinuxディストリビューションがある場合は、そのLinuxディストリビューションで認定されているモデルを選択するのが理にかなっています。事前検証済みの設定により、Linuxを操作する時間を大幅に節約できます。大手ブランドには通常、Ubuntu、Red Hat（RHEL）、SUSE（SLES）など、主要なLinuxディストリビューションと互換性のあるサーバーがあります。
以前、HPEについて言及したように、CiscoにはS3260シリーズおよびC240シリーズのVeeamを対象とした「シスコ検証済み設計」があります。Veeamとしては、以下の必須要件を満たしてさえいれば、どのサーバーベンダーでも技術的には問題ありません。
バッテリ駆動のライトバックキャッシュ（または同様の技術）を搭載したRAIDコントローラ
障害予測分析機能を備えたRAIDコントローラーを強く推奨
ディスクが多数（50個以上）存在する場合、RAIDコントローラの速度制限（多くの場合、約2GByte/秒）があるため、通常は複数のRAIDコントローラーが有効
オペレーティング・システムとデータ用の分離されたディスク
オペレーティングシステムにはSSDを強く推奨
冗長電源
必要なリンク速度を持つ冗長ネットワーク（上記参照）
Veeamではデフォルトで非常に高速なLZ4圧縮が使用されるため、CPU速度はそれほど重要ではありません。サーバーベンダーが提供するどのようなサーバーでも問題ありません。多くのCPUコアは、多くのタスクを並行して実行するのに役立ちます。RAMは、CPUコアごとに4 GBがベストプラクティスでは推奨されています。16コアCPU×2個を選択した場合は、128 GBのRAMが最適です。このようなサイジングは「単純化しすぎている」ように聞こえるかもしれませんが、私たちのテストや本番環境では何年も問題なく機能しています。
基本的なサーバー設定
Linuxオペレーティングシステムをインストールする前に、いくつかの設定を行う必要があります。前述のように、オペレーティング・システムとデータは異なるディスク上で分離されています。正確には、異なるRAIDセット。
Linuxオペレーティング システムの場合、専用のRAID 1が使用されます。100 GBもあれば十分です。データディスクの場合、ほとんどの顧客がRAID 10よりも費用対効果の優れたRAID 6/60を選択します。RAID 5/50やその他のシングルパリティオプションは、安全上の理由から推奨されません。RAID 6/60は、少なくとも1つのスペア ディスクを「ローミング構成」で構成する必要があります。つまり、故障したディスクはスペアディスクで交換でき、本番ディスクになります。
サーバにはライトバックキャッシュ付きの適切なRAIDコントローラが装備されているため、内部ディスクキャッシュを「無効」に設定する必要があります。推奨されるRAIDストライプサイズは、サーバーベンダーによって文書化されている場合があります。情報が提供されていない場合は、128 KBまたは256 KBが適正な値となります。
UEFIセキュアブートを有効にして、署名されていないLinuxカーネルモジュールがロードされないようにします。
ディスクの破損について通知を受け取る方法は？
サーバー/Linuxシステムを強化する際の最大の課題の1つは、障害が発生したディスクに関する通知を受け取る方法です。最新のすべてのサーバーには、「帯域外」管理があります（HPE iLO、Cisco CIMC、Dell iDRAC、Lenovo XCCなど）。ディスクとRAIDのステータスを表示し、ディスクの障害について電子メールで通知できます。このタイプの通知には、後でLinuxで何も構成する必要がないという利点があります。管理インターフェイスで多要素認証を構成できる場合は、それを使用することをお勧めします。
マルチファクター認証は、帯域外管理システムが過去に抱えていた多くのセキュリティ問題を防御するものではないことを心に留めておいてください。顧客はセキュリティ上の理由から、帯域外管理システムの使用を避けることがよくあります。攻撃者が帯域外管理の管理者になった場合、オペレーティングシステムに触れることなく、強化リポジトリのすべてを削除できます。妥協案としては、管理ポートの前にファイアウォールを配置し、発信通信のみを許可することが考えられます。これにより、ディスクに障害が発生した場合に電子メール通知を送信できます。しかし、ファイアウォールはすべての着信接続をブロックするため、攻撃者は管理インターフェイスを攻撃/ログインできません。
デザインは次の例のようになります。
帯域外管理ポートを完全に取り外すことにした場合、障害が発生したディスクに関する通知は、Linuxオペレーティングシステム上で実行されているソフトウェアで構成できます。サーバーベンダーは、オペレーティングシステム内部からステータスを表示したり、RAIDを設定したりするためのパッケージを提供することがよくあります（例： http：//downloads.linux.hpe.com/ ）。これらのツールは通常、電子メールを直接送信できますが、スクリプトを使用して構成できます。ベンダー固有ツールのスクリプト作成と設定は、この記事の範囲外です。
もう一つの選択肢は、物理的またはカメラによる監視です。毎日テープを交換していて、強化リポジトリサーバーのステータスLEDを物理的に確認できる場合は、これを回避策にできます。また、強化リポジトリサーバーに向けるカメラを設置したお客様の声も聞いたことがあります。その後、お客様はカメラを介してディスクのLEDを定期的にチェックします。
まとめ
Veeamを使用すれば、イミュータブルなストレージや、WORM準拠ストレージへのVeeamバックアップの格納も簡単です。非常に多くのベンダーとオプションがあるため、サーバーハードウェアの選択は困難な場合があります。次の手順に従って、選択肢を制限し、決定をスピードアップできます。
リポジトリで必要なディスク容量を 計算します。ご希望の（かつVeeamがサポートしている）Linuxディストリビューションを選択します（Veeamのお客様の間では、UbuntuとRHELが最も人気があります）。Linuxディストリビューションのハードウェア互換性リストをチェックして、いくつかのベンダー/サーバーモデルを確認してくださいサーバーベンダーに相談して、要件に合ったソリューションを提供するように依頼しますサーバーベンダー側からのアドバイスがない場合は、次の点を確認してください。
SSDを使用する場合、IOPSは問題ありません。回転ディスクを使用する場合は、純粋なディスク領域だけでなく、I/O制限にも注意してください。ディスクが提供できる速度は、アクセスパターン（シーケンシャルかランダムか）に依存するため、厳密なルールはありません。控えめに計算すると、RAID 60ではディスクあたり10〜50 MByte/sです。シーケンシャルリードでは、7k NL-SASディスクは80 MByte/sまたはそれ以上の速度を実現できます（これにはすべてのRAIDオーバーヘッドが含まれます）上記で計算したリンク速度の2XネットワークカードCPUとRAMについては、Read more