O Repositório seguro da Veeam é a solução nativa da Veeam para fornecer imutabilidade confiável para backups do Veeam Backup & Replication em um servidor Linux. Ao oferecer suporte a servidores Linux genéricos, a Veeam garante que os clientes sempre tenham opções sobre seu hardware, sem se prender ao fornecedor. A Veeam também permite que os clientes usem suas distribuições Linux confiáveis (Ubuntu, Red Hat, SUSE) em vez de serem forçados a usar um “Veeam Linux personalizado”.
Os repositórios seguros garantem a imutabilidade dos backups da Veeam, cumprindo a regra 3-2-1. Eles combinam repositórios seguros com outras opções imutáveis, como o bloqueio de objetos em storage de objetos ou fitas WORM, oferecendo uma camada adicional de segurança para os dados. Esta postagem de blog vai orientar sobre como selecionar e preparar o ambiente para um servidor físico, que será utilizado posteriormente como Repositório seguro. Postagens futuras do blog vão abordar temas como preparação e planejamento, segurança de sistemas Linux e integração com o Veeam Backup & Replication
Para aqueles que estão impacientes, use servidores (de alta densidade) com discos internos. Essa abordagem cresce de maneira linear, pois a cada novo nó de repositório seguro adicionado, há um aumento proporcional no desempenho de CPU, RAM, RAID, rede, espaço em disco e desempenho de I/O. Um rack cheio de servidores de alta densidade oferece cerca de 8 PB de capacidade nativa. Com a redução de dados nativa da Veeam e a economia de espaço do XFS (clonagem de bloco), os dados lógicos podem ser de até 100 PB em um rack, com uma velocidade de backup de até 420 TiB/h.
Se você tem um ambiente pequeno, não se preocupe. Comece com duas unidades de rack, 12 discos de dados e dois discos para o sistema operacional.
A rede
A rede é um fator importante para garantir que o repositório seguro possa ajudar a atingir objetivos de ponto de recuperação (RPO, quantos dados podem ser perdidos no máximo) e objetivos de tempo de recuperação (RTO, quanto tempo levaria uma restauração). Em um mundo de backups “incrementais para sempre”, a rede às vezes é esquecida, por causa dos baixos requisitos de largura de banda da abordagem “incremental para sempre”. A recomendação é projetar para um cenário de “restauração completa”. Use sua ferramenta de cálculo preferida para estimar a largura de banda combinando-a com seus requisitos de restauração.
Veja alguns exemplos do tempo necessário para copiar 10 TB de dados em diferentes velocidades de rede:
1 Gbit/s 22h 45 min
10 Gbit/s 2h 15 min
20 Gbit/s 1h 8 min
40 Gbit/s 34 min
100 Gbit/s menos de 14 min
100 Gbit/s é, realisticamente, a velocidade mais rápida que os clientes atualmente conseguem provisionar em um servidor. A HPE mostrou em 2021, com seu servidor Apollo 4510, que essas velocidades são alcançáveis com um único servidor.
Mas não é só largura de banda. Também se trata de redundância. Se houver apenas um cabo de rede para a infraestrutura do switch, isso significa um único ponto de falha. Recomenda-se ter uma conexão de rede redundante para o Repositório Seguro. Dependendo dos recursos de rede que você tiver, podem ser links ativos/ativos com balanceamento de carga (por exemplo, LACP/802.3ad) ou um cenário ativo/passivo simples.
Embora o Linux possa ser facilmente configurado com tags VLAN, o princípio KISS sugere o uso de switchports não marcados. Ou seja, configura-se os endereços IP diretamente, sem VLANs no Linux. A menor configuração redundante para hoje seria conexões de 2X 10 Gbit/s para dois switches/uma pilha de switches (dependendo do nosso ambiente de rede).
Para receber atualizações de segurança do Linux, é necessário que haja acesso aos servidores de atualização de segurança da distribuição Linux.
Para simplificar, permitimos a saída de acesso à Internet HTTP no firewall para obter atualizações de segurança. Permitimos conexões apenas com os servidores de atualização da distribuição Linux de sua escolha, e não com toda a Internet. A alternativa seria configurar um espelho da sua distribuição Linux preferida, permitindo que os updates e softwares sejam obtidos diretamente dele.
Encontrando o fornecedor e o modelo de servidor certos
Do lado da Veeam, a recomendação é utilizar um servidor com discos internos como repositório seguro. Discos internos são recomendados porque isso elimina o risco de um invasor conseguir acessar o sistema de storage e excluir todos os dados armazenados. Os fornecedores de servidores às vezes têm modelos de “servidor de backup da Veeam”. Esses modelos de servidor são otimizados para os requisitos de desempenho de backup e seguir as recomendações do fornecedor é uma boa ideia.
Se você tem uma distribuição Linux preferida, então faz sentido escolher um modelo que seja certificado para essa distribuição Linux. Configurações pré-testadas economizam muito tempo ao trabalhar com Linux. As grandes marcas costumam ter servidores, que são compatíveis com as principais distribuições Linux, como Ubuntu, Red Hat (RHEL) e SUSE (SLES).
Como mencionei antes, a Cisco tem “designs validados pela Cisco” para a Veeam para suas séries S3260 e C240. Tecnicamente, a Veeam oferece suporte a todos os fornecedores de servidores, desde que esses requisitos essenciais sejam atendidos:
Controlador RAID com cache write-back alimentado por bateria (ou tecnologia similar)
Controladores RAID com análise preditiva de falhas são altamente recomendados
Com muitos discos (50+), vários controladores RAID geralmente fazem sentido, por causa dos limites de velocidade da controladora RAID (geralmente limitados em torno de 2GByte/s)
Discos separados para sistema operacional e dados
SSDs fortemente recomendados para sistema operacional
Fonte de alimentação redundante
Rede redundante com velocidade de link necessária (veja acima)
A velocidade da CPU é relativamente irrelevante porque a Veeam usa a compactação LZ4 muito rápida por padrão. Aceitar tudo o que o fornecedor de servidores oferece pode funcionar bem em muitos casos. Muitos núcleos de CPU ajudam a executar muitas tarefas em paralelo. 4 GB de RAM por núcleo de CPU é a recomendação de melhores práticas. Se você optar por 2 CPUs de 16 núcleos, então 128 GB de RAM seria a combinação ideal. Embora esse tipo de dimensionamento possa parecer “mais simplificado”, ele tem funcionado bem por anos em nossos testes e em ambientes de produção.
Configuração básica do servidor
Antes de instalar o sistema operacional Linux, é necessário ajustar algumas configurações. Como mencionado anteriormente, os sistemas operacionais e os dados são separados em discos diferentes. Em diferentes conjuntos RAID, para ser preciso.
Para o sistema operacional Linux, um RAID 1 dedicado é usado. 100 GB são mais do que suficientes. Para os discos de dados, a maioria dos clientes escolhe o RAID 6/60, pois oferece uma melhor relação custo/benefício em comparação com o RAID 10. RAID 5/50 ou qualquer outra opção de paridade única não é recomendado devido a questões de segurança. O RAID 6/60 deve ser configurado com pelo menos um disco sobressalente em “configuração de roaming”. Isso significa que o disco sobressalente pode substituir qualquer disco com falha e se tornar um disco de produção.
Como o servidor está equipado com uma controladora RAID adequada com cache write-back, os caches de disco internos precisam ser configurados como “desativados”. Em alguns casos, o tamanho recomendado da faixa RAID é fornecido pelo fornecedor do servidor. Se nenhuma informação estiver disponível, então 128 ou 256 KB são bons valores.
Habilite a inicialização segura UEFI para impedir que módulos do kernel Linux não assinados sejam carregados.
Como ser notificado sobre discos quebrados?
Um dos maiores desafios na proteção de um servidor/sistema Linux é como receber notificações sobre discos com falha. Todo servidor moderno tem um geranciamento “fora de banda” (HPE iLO, Cisco CIMC, Dell iDRAC, Lenovo XCC, etc.). Eles mostram o status do disco e RAID e podem notificar por e-mail sobre discos com falha. Esse tipo de notificação tem a vantagem de que nada precisa ser configurado no Linux posteriormente. Se a interface de geranciamento permitir configurar a autenticação multifator, isso é bom e deve ser usado.
Lembre-se de que a autenticação multifator não protege contra os muitos problemas de segurança que os sistemas de geranciamento fora de banda tinham no passado. Os clientes muitas vezes evitam usá-los por razões de segurança. Se um invasor se tornar um administrador no geranciamento fora de banda, ele poderá excluir tudo do Repositório Seguro sem tocar no sistema operacional. Uma alternativa pode ser colocar um firewall na frente da porta de gerenciamento, permitindo apenas a comunicação de saída. Isso permitirá enviar notificações por e-mail se um disco falhar. Mas um invasor não pode atacar/fazer logon na interface de geranciamento porque o firewall bloqueia todas as conexões de entrada.
O design pode se parecer com o exemplo abaixo:
Se você decidir desconectar completamente a porta de geranciamento fora de banda, as notificações sobre discos com falha poderão ser configuradas com software em execução sobre o sistema operacional Linux. Os fornecedores de servidores geralmente oferecem pacotes para visualizar o status ou até mesmo configurar o RAID diretamente do sistema operacional (por exemplo, http://downloads.linux.hpe.com/). Essas ferramentas geralmente podem enviar e-mails diretamente, ou é possível configurar isso com um script. A criação de scripts e a configuração de ferramentas específicas do fornecedor estão além do escopo deste artigo.
Outra opção é a vigilância física ou por câmeras. Se você estiver trocando fitas todos os dias e puder verificar fisicamente os LEDs de status do Servidor de Repositório Seguro, então isso pode ser uma solução alternativa. Também ouvi falar de clientes que instalaram câmeras apontando para o Servidor de Repositório Seguro. O cliente então verifica regularmente os LEDs dos discos através da câmera.
Conclusão
Armazenar backups da Veeam em storage imutável e em conformidade com WORM é uma tarefa simples. Selecionar o hardware do servidor pode ser um desafio porque há muitos fornecedores e opções. Pode-se limitar as escolhas e acelerar a decisão seguindo estes passos:
- Calcular o espaço em disco que você precisa no repositório
- Selecione sua distribuição Linux preferida (e suportada pela Veeam) (Ubuntu e RHEL são as mais populares entre os clientes da Veeam)
- Verifique a lista de compatibilidade de hardware da distribuição Linux para encontrar alguns fornecedores/modelos de servidor
- Entre em contato com o fornecedor do servidor para obter uma solução que atenda às suas necessidades específicas.
Se não houver orientação por parte do fornecedor do servidor, siga os seguintes pontos:
- Se você usa SSDs, então IOPS não são problema. Se você estiver utilizando discos rígidos, leve em consideração os limites de I/O, além do espaço de armazenamento disponível. Não existe uma regra rígida de como calcular a velocidade que um disco pode entregar, pois isso depende do padrão de acesso (seqüencial vs. aleatório) Os cálculos conservadores situam-se entre 10 e 50 MByte/s por disco num RAID 60. Com leituras sequenciais, um disco NL-SAS de 7k pode fornecer 80 MByte/s ou até mais (isso inclui toda a sobrecarga RAID)
- Placa de rede dupla com a velocidade de link mencionada acima
- Para CPU e RAM, há fórmulas disponíveis no guia de melhores práticas. Na maioria dos casos, pode-se economizar tempo adquirindo duas CPUs com 16-24 núcleos cada e 128 GB de RAM. Para servidores de alta densidade, com cerca de 60 ou mais discos, a maioria dos fornecedores recomenda de 192 a 256 GB de RAM.
Mantenha a simplicidade: Use servidores com discos internos. Essa abordagem cresce de maneira linear, pois a cada novo nó de repositório seguro adicionado, há um aumento proporcional no desempenho de CPU, RAM, RAID, rede, espaço em disco e desempenho de I/O. É um design simples e comprovado.