SAN-Shared-Storage-Backup-Lösung von Bacula Enterprise

Home > SAN Shared Tape Library Sicherungs- und Wiederherstellungslösungen

Ein SAN (Storage Area Network) verbindet Server über dedizierte Kanäle mit geringer Latenz direkt mit dem Bandspeicher und entlastet so Ihr lokales Netzwerk vom hohen Backup-Datenverkehr. Da jedoch in einer gemeinsam genutzten SAN-Umgebung mehrere Server auf Bandlaufwerke zugreifen können, besteht für Unternehmen das Risiko, dass es zu Überschneidungen und Beschädigungen der Bänder kommt, da ein Bandlaufwerk jeweils nur Schreibbefehle von einem Server entgegennehmen kann.

Das dedizierte SAN-Modul-Plugin „shstore“ von Bacula Enterprise nutzt das SPC-3-SCSI-Protokoll, um eine versehentliche Beschädigung von Bandvolumes zu verhindern, indem es die Aufgaben des Speicher-Daemons so aufteilt, dass solche Überschneidungen vermieden werden. Wenn ein Bacula-Speicher-Daemon einen Auftrag startet, legt er eine exklusive Hardware-Sperre auf das Bandlaufwerk, und jeder andere Server, der Zugriff darauf anfordert, muss sich in die Warteschlange einreihen, bis der Auftrag abgeschlossen ist und die Sperre aufgehoben wird.

Durch diesen Mechanismus kann Ihr Unternehmen die teure Bandinfrastruktur auf mehrere Server verteilen, die Backup-Geschwindigkeiten über eine SAN-Struktur maximieren und gleichzeitig Schreibkonflikte verhindern, die zu Datenbeschädigungen führen.

Testversion herunterladen Datenblatt zu SAN/NAS-Sicherungslösungen anzeigen

Vorteile des Moduls „SAN Shared Tape Library“ von Bacula

Höhere Auslastung von Bandbibliotheken und Autoloadern – Storage Daemons in der gesamten Umgebung können dieselbe Bandbibliothek oder denselben Autoloader gemeinsam nutzen. Dies verringert wiederum die Zeit, in der Laufwerke außerhalb des Sicherungsfensters eines bestimmten Servers ungenutzt bleiben, und ermöglicht es anderen Sicherungsaufträgen, diese zu nutzen.
Kürzere Sicherungsfenster – Storage Daemons übertragen Daten über das SAN statt über das LAN auf Band. Dadurch wird der Wettbewerb um die Netzwerkbandbreite mit dem Anwendungs- und Benutzerverkehr verringert, was zu kürzeren Sicherungszeiten führen kann.

Reservierungen, die Pfadausfälle überstehen – SPC-3-Persistent-Reservierungen ermöglichen es, dass die Reservierung des Storage-Daemons auf einem gemeinsam genutzten Bandlaufwerk einen Reset im Rahmen der SAN-Fehlerbehebung übersteht, sofern diese Art von Reset unterstützt wird. Dies trägt dazu bei, den exklusiven Zugriff auf das Laufwerk während eines Multipath-Failovers aufrechtzuerhalten, wenn der Datenverkehr auf einen alternativen Pfad umgeschaltet wird.
Automatische Freigabe der Sperre zwischen Aufträgen – Das Modul gibt das Bandlaufwerk frei, sobald ein Auftrag abgeschlossen ist. Der nächste Storage Daemon kann das Laufwerk dann beanspruchen, ohne dass ein Administrator die Sperre manuell aufheben muss.

Wichtigste Funktionen des Moduls „SAN Shared Tape Library“ von Bacula

Mechanismen zur Laufwerkssperrung und -verfolgung

Gemeinsame Nutzung von Geräten durch mehrere Server – Mehrere Bacula-Speicher-Daemons können auf dieselbe physische Bandbibliothek zugreifen, ohne dass es zu überschneidenden Schreibvorgängen kommt. Das „Shared Storage“-Plugin nutzt dauerhafte Reservierungen, um sicherzustellen, dass ein Bandlaufwerk jeweils nur von einem einzigen Speicher-Daemon exklusiv genutzt wird. Da diese Regel pro Laufwerk gilt, können verschiedene Speicher-Daemons gleichzeitig unterschiedliche Laufwerke nutzen, sofern die Konfiguration von Bacula für Speicher und Autoloader dies zulässt.
SPC-3-Laufwerkssperrung – Das Modul nutzt das SPC-3-SCSI-Protokoll für dauerhafte Reservierungen, um zu verwalten, welcher Server zu einem bestimmten Zeitpunkt auf ein Bandlaufwerk schreiben darf.
Reservierungsschlüssel pro Daemon – Jeder Speicher-Daemon registriert sich mit einem eindeutigen Schlüssel in der Datei storage-ctl.conf, wodurch eine Reservierung auf einem Bandlaufwerk auf den spezifischen Speicher-Daemon zurückverfolgt werden kann, der sie hält.

Befehle zur Reservierungsverwaltung

Integrierte Reservierungsanzeige – Administratoren können den Bacula-Befehl „status“ verwenden, um den Reservierungsstatus gemeinsam genutzter Bandlaufwerke anzuzeigen, einschließlich der Information, welcher Storage-Daemon oder welcher Job ein Laufwerk nutzt oder darauf wartet. Bei Bedarf stehen zusätzliche Diagnosetools – „storage-ctl query“, „regkeys“ und „wholocked“ – zur Untersuchung persistenter oder verwaister Reservierungen zur Verfügung.
Befehle zur manuellen Wiederherstellung bei veralteten Sperren – Das Skript storage-ctl stellt die Befehle query, clear, regkeys und wholocked zur Verfügung. Wenn ein Storage-Daemon unregelmäßig beendet wird und eine veraltete Sperre hinterlässt, kann ein Administrator dieselben Befehle verwenden, um die Reservierung zu überprüfen und sie zwangsweise aufzuheben, damit das Laufwerk für einen anderen Storage-Daemon freigegeben wird.
Laufwerksreservierung für Wiederherstellungen – Durch Setzen von AutoSelect auf „no“ für ein bestimmtes Laufwerk wird dieses aus dem normalen Auswahlpool eines Autochangers ausgeschlossen. Dieses Laufwerk bleibt dann für Wiederherstellungsaufträge reserviert, anstatt mit Backups um dessen Nutzung zu konkurrieren.

Unterstützte Plattformen und Versionen

Unterstützte Betriebssysteme – Das shstore-Paket lässt sich unter Red Hat Enterprise, Ubuntu LTS und Debian über rpm, dpkg oder das vorhandene apt- bzw. yum-Repository einer Website installieren. Ein Solaris-Paket ist auf Anfrage möglicherweise erhältlich, ist jedoch derzeit noch nicht implementiert.
SPC-3-Anforderung – Die Bandbibliothek erfordert Unterstützung des SPC-3-Protokolls. Die veraltete SPC-2-SCSI-Reserve funktioniert mit diesem Modul nicht mehr.

Abhängigkeit von sg3_utils – Auf jedem Rechner, auf dem ein Storage-Daemon läuft, muss das Paket sg3_utils installiert sein. Es stellt sg_persist bereit, das zugrunde liegende Tool, auf das storage-ctl zurückgreift, um SPC-3-Reservierungen vorzunehmen und aufzuheben.

Wie schützt Bacula Backup-Daten in einer SAN-Umgebung vor Cyberbedrohungen?

Um Cyberkriminelle zu bekämpfen und Unternehmen vor Ransomware zu schützen, sichert Bacula Enterprise gemeinsam genutzte SAN-Bandbibliotheken durch die direkte Integration mit WORM-konformen und unveränderlichen Speicherzielen. So wird verhindert, dass ein Angreifer, der über Zugangsdaten verfügt, Daten verändert, umbenennt oder – schlimmer noch – löscht, bis die konfigurierte Aufbewahrungsfrist abgelaufen ist.

Architektur und Zugriffskontrolle

Isolierte Architektur mit fünf Modulen – In der aus fünf Modulen bestehenden Architektur von Bacula, in der der Dateidaemon (Client), der Director, der Speicher-Daemon, die Konsole und die Katalogdatenbank unabhängig voneinander arbeiten, kann die Kompromittierung einer einzelnen Komponente die übrigen vier nicht erreichen und infizieren.
Eingeschränkte Berechtigungen des Dateidaemons (Clients) – Administratoren können über die Direktiven AllowedBackupDirectories, AllowedRestoreDirectories und AllowedScriptDirectories genau festlegen, aus welchen Verzeichnissen ein Client Backups erstellen, in welche er Daten wiederherstellen und in welchen er Skripte ausführen darf. Der Dateidaemon kann zudem im schreibgeschützten Modus ausgeführt werden, um unbefugte Änderungen von diesem System aus zu verhindern.
Rollenbasierte Zugriffskontrolle – Bacula unterstützt eine detaillierte rollenbasierte Zugriffskontrolle (RBAC) durch spezielle Zugriffskontrolllisten (ACLs), die genau festlegen, was ein Konsolenbenutzer sehen und ändern darf. Diese Sicherheit wird über die Steuerungsebenen JobACL, CommandACL, PoolACL und ScheduleACL hinweg durchgesetzt.
Multi-Faktor-Authentifizierung – Der Konsolenzugriff unterstützt TOTP-basierte MFA und entspricht RFC 6238, zusätzlich zur Standard-Passwort- und TLS-Authentifizierung. Der Zugriff über die Web-GUI unterstützt separat die Einmalpasswort-Authentifizierung, die auch biometrische Validierungsoptionen per Smartphone umfasst.

Unveränderlichkeit und Datenintegrität

„Append-Only“- und unveränderliche Volumes – Bacula weist dateibasierten Volumes beim ersten Sicherungsauftrag das Attribut „Append-Only“ zu, um Datenverluste durch Überschreiben zu verhindern. Sobald ein Volume als „voll“ markiert ist, kann ein Unveränderlichkeits-Flag verhindern, dass es neu beschriftet oder wiederverwendet wird, bis seine Schutzfrist abgelaufen ist.
Integration von Unveränderlichkeitsfunktionen für Unternehmensspeicher – Bacula lässt sich in die Unveränderlichkeitsfunktionen von NetApp SnapLock, DataDomain RetentionLock und HPE StoreOnce sowie in native WORM-Band- und Objekt-Lock-Funktionen von AWS S3, Azure und Google Cloud Storage integrieren.
Jobüberprüfung und hashbasierte Integritätsprüfung – Bacula kann unbemerkte Beschädigungen oder unbefugte Änderungen erkennen, indem es MD5-, SHA1-, SHA256- oder SHA512-Signaturen von Dateidaten berechnet und den aktuellen Zustand eines Volumes mit seinem Katalogdatensatz vergleicht.
Die Registrierung gewährt keinen Zugriff – Ein Speicher-Daemon registriert seinen Schlüssel bei einem Bandlaufwerk, ohne dass diese Registrierung ihm Schreibzugriff gewährt. Nur der eine Schlüssel, der derzeit die Reservierung hält, kann auf das Gerät schreiben, selbst wenn andere Schlüssel registriert und dem Gerät bekannt sind.
Die Sperrung verwendet den strengsten SPC-3-Reservierungstyp – Die Reservierung, die Bacula auf einem Bandlaufwerk vornimmt, ist vom Typ „Exclusive Access“ (Exklusivzugriff), was direkt in der Statusausgabe des Moduls bestätigt wird. SPC-3 definiert mehrere Reservierungstypen mit unterschiedlichen Regeln für die gemeinsame Nutzung, und „Exclusive Access“ gewährt jeweils einem registrierten Schlüssel die alleinige Nutzung des Geräts.

Verschlüsselung

Verschlüsselte Kommunikation – Zwischen den Bacula-Daemons wird die CRAM-MD5-Authentifizierung verwendet, während für die Netzwerkkommunikation in der gesamten Umgebung eine TLS-Verschlüsselung aktiviert werden kann.
FIPS 140-3-Konformität – Bacula Enterprise unterstützt die FIPS 140-3-Konformität durch sein kryptografisches Modul, das OpenSSL-FIPS nutzt und plattformübergreifend zertifiziert ist. Das Modul kann in allen Bacula-Komponenten eingesetzt werden.
Verschlüsselung ruhender Daten – Der Speicher-Daemon kann ein gesamtes Speicherziel auf einmal verschlüsseln, unabhängig von der Datenquelle. Administratoren können die Verschlüsselung auch separat für einzelne Clients konfigurieren.

Erkennung von Bedrohungen

BGuardian Ransomware Detection – Baculas automatisiertes Sicherheitsanalysemodul, BGuardian, überprüft die Konfigurationssicherheit, die Verwendung von Verschlüsselung, Muster für Backup-Poisoning und Dutzende weiterer Indikatoren für die Systemabsicherung in der gesamten Umgebung und erstellt Berichte sowie dauerhafte Warnmeldungen, sobald Probleme erkannt werden.
Malware- und Antiviren-Scans – Bacula bietet automatisierten Schutz vor Bedrohungen durch die Integration eines Antiviren-Plugins mit ClamAV, um gesicherte Dateien während der Verifizierungsaufträge nach der Sicherung auf Viren zu überprüfen.

Was bietet Ihnen der Einsatz von Bacula Enterprise?

Jede Bacula Enterprise-Implementierung bietet Ihnen die folgenden Funktionen in den Bereichen Wiederherstellung, Sicherung, Preisgestaltung und Plattformverwaltung.

Effiziente Backup-Funktionen

Adaptive Komprimierung – Komprimierungsalgorithmen lassen sich pro Auftrag konfigurieren, sodass Administratoren die Komprimierung je nach Datentyp und verfügbaren Ressourcen optimieren können.
Voll-, Differenz- und inkrementelle Backups – Bacula unterstützt die Backup-Stufen „Voll“, „Differenz“ und „Inkrementell“. Eine typische Strategie beginnt mit einem Voll-Backup, gefolgt von inkrementellen Backups, wodurch vermieden wird, dass wiederholt umfangreiche Voll-Backups nach einem festen Zeitplan durchgeführt werden müssen.
Progressive virtuelle Vollsicherungen – Bacula kann eine vorhandene Vollsicherung mit den darauf folgenden inkrementellen Sicherungen kombinieren, um eine neue synthetische Vollsicherung zu erstellen, ohne den Client erneut anzusprechen. Stattdessen liest der Prozess die Daten aus dem vorhandenen Sicherungsspeicher. Die Anweisung „Backups To Keep“ kann diese Konsolidierung fortlaufend wiederholen.
Spooling auf Festplatte vor dem Schreiben auf Band – Bacula kann Sicherungsdaten zunächst in einen Festplatten-Spool schreiben, bevor sie als kontinuierlicher Datenstrom auf Band übertragen werden. Dies hilft dabei, das ständige Anhalten und Starten des Bandlaufwerks zu vermeiden, das auftreten kann, wenn Daten zu langsam eintreffen, um das Laufwerk kontinuierlich schreiben zu lassen. Das Problem tritt besonders häufig bei inkrementellen und differentiellen Backups auf, die tendenziell kleinere und weniger konsistente Datenströme erzeugen als Vollsicherungen.
Bandbreitenbewusste Übertragungen – Nach der ersten Sicherung werden nur geänderte Daten über das Netzwerk übertragen. Dies hält den Netzwerkverkehr gering, ohne dass eine manuelle Bandbreitendrosselung oder Umgehungslösungen bei der Planung erforderlich sind.
Häufige Sicherungsplanung – Sicherungsaufträge können alle paar Minuten statt einmal täglich ausgeführt werden, wodurch sich das potenzielle Zeitfenster für Datenverluste von Stunden auf Minuten verkürzt.
Kontinuierlicher Datenschutz – Die Anwendung cdp-client überwacht Dateien auf Änderungen und kopiert diese sofort in ein Spool-Verzeichnis. Der FileDaemon sendet diese Daten dann in festgelegten Intervallen an einen regulären Bacula-Sicherungsauftrag, sodass Änderungen innerhalb von Sekunden oder Minuten erfasst werden können, anstatt auf die nächste geplante Sicherung zu warten.

Ultraschnelle Wiederherstellungsfunktionen

Bare-Metal-Wiederherstellung auf Systemebene – Bacula Enterprise kann einen gesamten Server einschließlich Betriebssystem, Anwendungen, Konfiguration und Daten wiederherstellen, ohne dass zuvor eine manuelle Betriebssysteminstallation erforderlich ist.
Plattformübergreifende Datenwiederherstellung – Backup-Daten können auf einem anderen Betriebssystem als dem ursprünglichen wiederhergestellt werden. Dies bietet Teams mehr Flexibilität bei Hardware-Austausch, Migrationen oder anderen Wiederherstellungsszenarien.
Automatische Wiederherstellungsvalidierung – Automatisierte Tests können überprüfen, ob Backup-Daten wiederherstellbar sind, ohne dass ein Administrator einen separaten Validierungsprozess ausführen muss.
Geografische Backup-Replikation – Bacula behält standardmäßig eine einzige Backup-Kopie. Um zusätzliche Kopien an anderen Standorten zu erstellen, können Administratoren Kopier- oder Migrationsaufträge konfigurieren. Eine typische Konfiguration könnte darin bestehen, die primäre Kopie auf einem lokalen Speicher zu behalten, eine zweite Kopie auf einem anderen Medientyp wie beispielsweise Cloud-Speicher zu erstellen und anschließend eine dritte Kopie an einen externen oder luftisolierten Standort zu senden. Diese Konfiguration trägt dazu bei, sicherzustellen, dass ein standortweiter Ausfall nicht alle verfügbaren Wiederherstellungskopien unzugänglich macht.

Sicherheit und Compliance

Umfassende Aktivitätsprotokollierung – Jede Sicherung, Wiederherstellung und Konfigurationsänderung wird mit Benutzeridentität und Zeitstempel protokolliert. Compliance- und Sicherheitsteams erhalten einen vollständigen, lückenlosen Prüfpfad.
Unterstützung regulatorischer Rahmenbedingungen – Die Plattformkontrollen entsprechen den Anforderungen der DSGVO, HIPAA und SOC 2 durch Verschlüsselung, konfigurierbare Aufbewahrungsrichtlinien und detaillierte Audit-Protokolle.
Datenschutzorientierte Architekturen – Bei einer Zero-Knowledge-Bereitstellung werden die Daten so verschlüsselt, dass selbst der Administrator, der die Sicherung durchführt, sie nicht lesen kann. Er kann die Sicherung verwalten, hat jedoch keinen Einblick in die Dateien selbst.

Kostenkontrolle und vorhersehbare Backup-Lizenzierung

Deduplizierung auf Blockebene – Doppelte Datenblöcke werden im Backup-Katalog nur einmal gespeichert, was den Speicherbedarf senkt, ohne dass Änderungen an Backup-Richtlinien oder -Zeitplänen erforderlich sind.
Workflows für mehrstufige Speicherung – Backup-Daten können je nach Alter automatisch zwischen verschiedenen Speicherebenen verschoben werden. Aktuelle Wiederherstellungspunkte können auf schnellerem Speicher verbleiben, während ältere Backups auf kostengünstigere Speicherorte verschoben werden.
Volumenunabhängige Lizenzierung – Die Lizenzkosten steigen nicht mit zunehmendem Datenvolumen. Teams können ihre Backup-Umgebung erweitern, ohne höhere Lizenzgebühren zahlen zu müssen.
Vorhersehbare Kosten – Feste Preise erleichtern die Planung von Infrastrukturbudgets, da keine variablen Lizenzgebühren an Speicherwachstum oder Änderungen der Workloads gebunden sind.
Workload-unabhängige Preisgestaltung – Die Größe von Datenbanken, die Anzahl der Server und die Menge des geschützten Speichers haben keinen Einfluss auf die Lizenzkosten.
Geringere Kosten bei skalierbarer Nutzung – Große oder schnell wachsende SAN-Umgebungen können geschützte Daten hinzufügen, ohne dass sich die Lizenzgebühren erhöhen. Im Vergleich zu kapazitätsbasierten Lizenzierungsmodellen können die Einsparungen mit steigendem Datenvolumen noch deutlicher ausfallen.

Backup-Management und -Administration

Dual Interface – BWeb bietet eine grafische Konsole für die tägliche Verwaltung und Überwachung von Jobs. Bconsole (User Agent) ermöglicht Betreibern die vollständige Steuerung über die Befehlszeile für Skripterstellung, Automatisierung und erweiterte Konfiguration.
Unbegrenzte Skalierbarkeit – Die gleiche Plattformarchitektur verwaltet Umgebungen von einer Handvoll Servern bis hin zu Tausenden von Servern – alles unter einer einzigen Verwaltungsebene.
Automatische Ressourcenerkennung – Die Plattform scannt die Infrastruktur, um Backup-Ziele automatisch zu identifizieren und zu katalogisieren. Der Schutzumfang bleibt auch bei wachsender Umgebung stets auf dem neuesten Stand.
Detaillierte Berichterstellung – Geplante Berichte erfassen in festgelegten Intervallen die Job-Ergebnisse, Kapazitätstrends, den Compliance-Status und die Betriebsleistung.
Integration externer Systeme – Bacula lässt sich ohne zwingende kundenspezifische Entwicklungen mit Überwachungstools, IT-Ticketing-Systemen und Verzeichnisdiensten verbinden.

Häufig gestellte Fragen

1) Was ist ein SAN?

SAN steht für „Storage Area Network“. Es handelt sich um ein dediziertes Netzwerk, das Speicherbefehle auf Blockebene zwischen Servern und Speicherhardware wie Festplatten-Arrays und Bandbibliotheken überträgt. Für einen Server funktioniert ein SAN-Gerät ähnlich wie ein direkt daran angeschlossenes Laufwerk und nicht wie ein gemeinsam genutzter Ordner, auf den über ein Standardnetzwerk zugegriffen wird.

2) Kann Bacula Enterprise eine über ein SAN gemeinsam genutzte Bandbibliothek sichern und wiederherstellen?

Ja. Das „SAN Shared Storage“-Modul von Bacula Enterprise, das das shstore-Plugin nutzt, ermöglicht es zwei oder mehr Storage-Daemons, sich eine einzige physische Bandbibliothek oder einen Autowechsler zu teilen. Es verwendet persistente SPC-3-SCSI-Reservierungen, um jedes Laufwerk jeweils an einen Storage-Daemon zu binden. Dadurch können mehrere Server dieselbe Bandhardware nutzen, ohne sich gegenseitig bei ihren Jobs zu stören.

3) Können zwei Server gleichzeitig auf dasselbe Bandlaufwerk schreiben?

Nein. SPC-3-Persistent-Reservierungen erlauben es nur einem Storage-Daemon, zu einem bestimmten Zeitpunkt eine Sperre für ein Laufwerk zu halten. Wenn ein anderer Storage-Daemon dasselbe Laufwerk anfordert, wartet er, bis der aktuelle Auftrag abgeschlossen ist und die Sperre freigegeben wird.

4) Was passiert, wenn ein Storage-Daemon abstürzt, während er eine Bandsperre hält?

In den meisten Fällen wird die Sperre automatisch freigegeben, wenn die Bacula-Komponente beendet wird. Eine Ausnahme bildet eine abrupte Beendigung, wie beispielsweise durch „kill -9“ oder einen Betriebssystemabsturz. In diesen Fällen kann die Sperre bestehen bleiben. Ein Administrator kann sie dann manuell mit dem Befehl „clear“ im Skript „storage-ctl“ aufheben.

5) Welche Betriebssysteme unterstützt das SAN-Shared-Tape-Library-Modul von Bacula?

Das Modul unterstützt derzeit Red Hat Enterprise Linux und Ubuntu LTS. Ein Solaris-Paket ist auf Anfrage möglicherweise erhältlich, die Unterstützung für Solaris wurde jedoch noch nicht implementiert.