Soluzione di backup per lo storage condiviso SAN con Bacula Enterprise

Principale > Backup dei dati corporativo > Strumenti di backup dei dati aziendali > Soluzione di backup della libreria condivisa SAN di Bacula Systems

Una SAN (Storage Area Network) collega i server direttamente all’archivio su nastro tramite canali dedicati e a bassa latenza, alleggerendo così il traffico di backup dalla rete locale. Detto questo, dato che un ambiente SAN condiviso consente a più server di accedere alle unità a nastro, le organizzazioni rischiano di causare confusione e danneggiare il nastro, poiché un’unità a nastro può ricevere istruzioni di scrittura da un solo server alla volta.

Il plugin shstore, modulo SAN dedicato di Bacula Enterprise, utilizza il protocollo SCSI SPC-3 per prevenire il danneggiamento accidentale dei volumi su nastro, compartimentando i processi del daemon di archiviazione in modo da evitare tali sovrapposizioni. Quando un daemon di archiviazione di Bacula avvia un processo, applica un blocco hardware esclusivo sull’unità a nastro, e qualsiasi altro server che ne richieda l’accesso deve attendere in coda fino al completamento del processo e al rilascio del blocco.

Grazie a questo meccanismo, la vostra organizzazione può condividere la costosa infrastruttura a nastro tra più server e massimizzare le velocità di backup su un fabric SAN, evitando al contempo i conflitti di scrittura che causano il danneggiamento dei dati.

Scarica la prova gratuita Visualizza la scheda tecnica delle soluzioni di backup SAN/NAS

Vantaggi del modulo SAN Shared Tape Library di Bacula

Maggiore utilizzo della libreria nastri e dell’autoloader – I daemon di archiviazione presenti nell’intero ambiente possono condividere la stessa libreria nastri o lo stesso autoloader. Ciò, a sua volta, riduce il tempo in cui le unità rimangono inattive al di fuori della finestra di backup di un determinato server e consente ad altri processi di backup di utilizzarle.
Finestre di backup più brevi – I demoni di archiviazione inviano i dati su nastro tramite la SAN anziché la LAN. Di conseguenza, questo processo riduce la competizione per la larghezza di banda di rete con il traffico delle applicazioni e degli utenti e può accorciare i tempi di backup.

Riservazioni che sopravvivono agli errori di percorso – Le riservazioni persistenti SPC-3 consentono alla riservazione dello Storage Daemon su un’unità a nastro condivisa di sopravvivere a un reset di recupero dagli errori della SAN, purché tale tipo di reset sia supportato. Ciò contribuisce a mantenere l’accesso esclusivo all’unità durante un failover multipath, quando il traffico viene commutato su un percorso alternativo.
Rilascio automatico del blocco tra i lavori – Il modulo rilascia l’unità a nastro non appena un lavoro viene completato. Il successivo Storage Daemon può quindi richiedere l’unità senza che sia necessario che un amministratore rilasci manualmente il blocco.

Caratteristiche principali del modulo SAN Shared Tape Library di Bacula

Meccanismi di blocco e tracciamento delle unità

Condivisione dei dispositivi tra più server – Più demoni di archiviazione Bacula possono accedere alla stessa libreria nastrata fisica senza che si verifichino sovrapposizioni nelle operazioni di scrittura. Il plugin Shared Storage utilizza prenotazioni persistenti per garantire che un’unità a nastro sia accessibile in modo esclusivo da un solo demone di archiviazione alla volta. Poiché tale regola si applica per singola unità, demoni di archiviazione diversi possono utilizzare unità diverse contemporaneamente, quando la configurazione dell’archiviazione Bacula e dell’autochanger lo consente.
Blocco delle unità SPC-3 – Il modulo utilizza il protocollo di prenotazione persistente SCSI SPC-3 per gestire quale server possa scrivere su un’unità a nastro in un dato momento.
Chiavi di prenotazione per singolo demone – Ogni demone di archiviazione si registra con una chiave univoca nel file storage-ctl.conf, il che consente di ricondurre una prenotazione su un’unità a nastro al demone di archiviazione specifico che la detiene.

Comandi per la gestione delle prenotazioni

Visibilità integrata delle prenotazioni – Gli amministratori possono utilizzare il comando `status` di Bacula per visualizzare lo stato delle prenotazioni delle unità a nastro condivise, compreso quale Storage Daemon o quale processo sta utilizzando o è in attesa di un’unità. Ulteriori utilità diagnostiche, quali `storage-ctl query`, `regkeys` e `wholocked`, sono disponibili per indagare su prenotazioni persistenti o orfane, quando necessario.
Comandi di recupero manuale per blocchi obsoleti – Lo script storage-ctl mette a disposizione i comandi query, clear, regkeys e wholocked. Se uno Storage Daemon termina in modo anomalo e lascia un blocco obsoleto, un amministratore può utilizzare questi stessi comandi per ispezionare la prenotazione e cancellarla forzatamente, al fine di liberare l’unità affinché possa essere utilizzata da un altro Storage Daemon.
Riserve di unità per i ripristini – Impostando AutoSelect su «no» per un’unità specifica, questa viene esclusa dal normale pool di selezione di un autochanger. L’unità rimane quindi riservata ai processi di ripristino, invece di competere con i backup per il suo utilizzo.

Supporto per piattaforme e versioni

Sistemi operativi supportati – Il pacchetto shstore si installa su RedHat Enterprise, Ubuntu LTS e Debian tramite rpm, dpkg o il repository apt o yum già presente sul sito. Da notare che un pacchetto per Solaris potrebbe essere disponibile su richiesta, ma al momento non è ancora stato implementato.
Requisito SPC-3 – La libreria nastri richiede il supporto del protocollo SPC-3. La riserva SCSI legacy SPC-2 non funziona più con questo modulo.

Dipendenza sg3_utils – Ogni macchina su cui è in esecuzione uno Storage Daemon deve avere installato il pacchetto sg3_utils. Esso fornisce sg_persist, lo strumento sottostante su cui si basa storage-ctl per effettuare e cancellare le prenotazioni SPC-3.

In che modo Bacula protegge i dati di backup dalle minacce informatiche in un ambiente SAN?

Per contrastare i criminali informatici e proteggere le organizzazioni dal ransomware, Bacula Enterprise mette in sicurezza le librerie nastro condivise SAN integrandosi direttamente con destinazioni di archiviazione immutabili e conformi allo standard WORM, in modo da impedire a un malintenzionato in possesso delle credenziali di modificare, rietichettare o, peggio ancora, cancellare i dati fino alla scadenza del periodo di conservazione configurato.

Architettura e controllo degli accessi

Architettura isolata a cinque moduli – Nell’architettura a cinque moduli di Bacula, in cui il File Daemon (client), il Director, lo Storage Daemon, la Console e il database del Catalogo operano in modo indipendente, la compromissione di un singolo componente non può raggiungere né infettare i restanti quattro.
Privilegi limitati del File Daemon (client) – Gli amministratori possono limitare con precisione le directory da cui un client può eseguire il backup, in cui può eseguire il ripristino e in cui può eseguire script, tramite le direttive AllowedBackupDirectories, AllowedRestoreDirectories e AllowedScriptDirectories. Il File Daemon può inoltre funzionare in modalità di sola lettura, al fine di impedire qualsiasi modifica non autorizzata da quel sistema.
Controllo degli accessi basato sui ruoli – Bacula supporta un controllo granulare degli accessi basato sui ruoli (RBAC) tramite elenchi di controllo degli accessi (ACL) specializzati che limitano con precisione ciò che un utente della console può visualizzare e modificare. Questa sicurezza viene applicata a tutti i livelli di controllo JobACL, CommandACL, PoolACL e ScheduleACL.
Autenticazione a più fattori – L’accesso alla console supporta l’autenticazione a più fattori (MFA) basata su TOTP ed è conforme alla specifica RFC 6238, oltre all’autenticazione standard tramite password e TLS. L’accesso all’interfaccia grafica web supporta separatamente l’autenticazione tramite password monouso, che include anche opzioni di verifica biometrica tramite smartphone.

Immutabilità e integrità dei dati

Volumi di sola aggiunta e immutabili – Bacula imposta un attributo di sola aggiunta sui volumi basati su file durante il loro primo processo di backup, al fine di prevenire la perdita di dati dovuta alla sovrascrittura. Una volta che un volume viene contrassegnato come “Pieno”, un flag di immutabilità può impedire che venga riclassificato o riutilizzato fino alla scadenza del suo periodo di protezione.
Integrazione con le funzionalità di immutabilità dello storage aziendale – Bacula si integra con le funzionalità di immutabilità di NetApp SnapLock, DataDomain RetentionLock e HPE StoreOnce, nonché con i nastri WORM nativi e le funzionalità di blocco degli oggetti su AWS S3, Azure e Google Cloud Storage.
Verifica dei processi e controllo di integrità basato su hash – Bacula è in grado di rilevare corruzioni silenziose o modifiche non autorizzate calcolando le firme MD5, SHA1, SHA256 o SHA512 dei dati dei file e confrontando lo stato attuale di un volume con la relativa voce nel catalogo.
La registrazione non garantisce l’accesso – Un demone di archiviazione registra la propria chiave su un’unità a nastro senza che tale registrazione gli conceda alcun accesso in scrittura. Solo la chiave che detiene attualmente la prenotazione può scrivere sul dispositivo, anche se altre chiavi risultano registrate e note al dispositivo.
Il blocco utilizza il tipo di prenotazione SPC-3 più rigoroso – La prenotazione che Bacula imposta su un’unità a nastro è di tipo “Accesso esclusivo”, come confermato direttamente dall’output di stato del modulo stesso. Lo standard SPC-3 definisce diversi tipi di prenotazione con regole di condivisione differenti, e l’accesso esclusivo garantisce l’uso esclusivo del dispositivo a una sola chiave registrata alla volta.

Crittografia

Comunicazioni crittografate – Tra i daemon di Bacula viene utilizzata l’autenticazione CRAM-MD5, mentre la crittografia TLS può essere abilitata per le comunicazioni di rete all’interno dell’ambiente.
Conformità allo standard FIPS 140-3 – Bacula Enterprise garantisce la conformità allo standard FIPS 140-3 tramite il proprio modulo crittografico, che utilizza OpenSSL-FIPS ed è certificato su diverse piattaforme. Il modulo può essere utilizzato in tutti i componenti di Bacula.
Crittografia dei dati inattivi – Il demone di archiviazione è in grado di crittografare un’intera destinazione di archiviazione in una sola volta, indipendentemente dalla fonte dei dati. Gli amministratori possono inoltre configurare la crittografia separatamente per i singoli client.

Rilevamento delle minacce

BGuardian Ransomware Detection – Il modulo di analisi automatizzata della sicurezza di Bacula, BGuardian, verifica la solidità della configurazione, l’utilizzo della crittografia, i modelli di manomissione dei backup e decine di altri indicatori di rafforzamento della sicurezza in tutto l’ambiente, generando report e avvisi persistenti non appena vengono rilevati dei problemi.
Scansione antivirus e alla ricerca di malware – Bacula fornisce una difesa automatizzata dalle minacce integrando un plugin antivirus basato su ClamAV per eseguire la scansione dei file di backup alla ricerca di virus durante i processi di verifica post-backup.

Cosa si ottiene implementando Bacula Enterprise?

Ogni implementazione di Bacula Enterprise offre le seguenti funzionalità relative al ripristino, al backup, ai prezzi e all’amministrazione della piattaforma.

Funzionalità di backup efficienti

Compressione adattiva – Gli algoritmi di compressione sono configurabili per ogni processo, in modo che gli amministratori possano ottimizzare la compressione in base al tipo di dati e alle risorse disponibili.
Backup completi, differenziali e incrementali – Bacula supporta i livelli di backup completo, differenziale e incrementale. Una strategia tipica prevede l’esecuzione iniziale di un backup completo, seguito da backup incrementali, il che evita di eseguire ripetutamente backup completi di grandi dimensioni secondo una pianificazione fissa.
Backup completi virtuali progressivi – Bacula può combinare un backup completo esistente con i successivi incrementali per creare un nuovo backup completo sintetico senza ricontattare il client. Il processo legge invece i dati dall’archivio di backup esistente. La direttiva Backups To Keep può ripetere questo consolidamento su base continuativa.
Spooling su disco prima della scrittura su nastro – Bacula può scrivere i dati di backup su uno spool su disco prima di inviarli al nastro come flusso continuo. Ciò aiuta a evitare i movimenti di avvio e arresto del nastro che possono verificarsi quando i dati arrivano troppo lentamente per mantenere la scrittura continua dell’unità. Il problema è particolarmente comune con i backup incrementali e differenziali, che tendono a produrre flussi di dati più piccoli e meno costanti rispetto ai backup completi.
Trasferimenti attenti alla larghezza di banda – Dopo il backup iniziale, vengono trasferiti in rete solo i dati modificati. Ciò mantiene basso il traffico di rete senza richiedere limitazioni manuali della larghezza di banda o soluzioni alternative di pianificazione.
Pianificazione frequente dei backup – I processi di backup possono essere eseguiti ogni pochi minuti anziché una volta al giorno, riducendo la finestra di potenziale perdita di dati da ore a minuti.
Protezione continua dei dati – L’applicazione cdp-client monitora le modifiche ai file e li copia in una directory di spool man mano che si verificano. FileDaemon invia quindi tali dati a un normale processo di backup di Bacula a intervalli prestabiliti, in modo che le modifiche possano essere acquisite in pochi secondi o minuti anziché attendere il successivo backup pianificato.

Funzionalità di ripristino ultraveloci

Ripristino bare-metal a livello di sistema – Bacula Enterprise è in grado di ripristinare un intero server, compresi il sistema operativo, le applicazioni, la configurazione e i dati, senza richiedere una previa installazione manuale del sistema operativo.
Ripristino dei dati multipiattaforma – I dati di backup possono essere ripristinati su un sistema operativo diverso da quello originale. Ciò offre ai team maggiore flessibilità durante la sostituzione dell’hardware, le migrazioni o altri scenari di ripristino.
Validazione automatica del ripristino – I test automatici verificano che i dati di backup siano recuperabili senza che un amministratore debba eseguire un processo di validazione separato.
Replica geografica dei backup – Per impostazione predefinita, Bacula conserva una singola copia di backup. Per creare copie aggiuntive in altre posizioni, gli amministratori possono configurare processi di copia o migrazione. Una configurazione tipica potrebbe prevedere la conservazione della copia primaria su un supporto di archiviazione locale, la creazione di una seconda copia su un altro tipo di supporto, come l’archiviazione cloud, e l’invio di una terza copia in una sede remota o in un luogo isolato (air-gapped). Questa configurazione contribuisce a garantire che un’interruzione a livello di sito non comprometta tutte le copie di ripristino disponibili.

Sicurezza e conformità

Audit completo delle attività – Ogni operazione di backup, ripristino e modifica della configurazione viene registrata con l’identità dell’utente e il timestamp. I team di conformità e sicurezza ottengono una traccia di audit completa e ininterrotta.
Supporto del quadro normativo – I controlli della piattaforma sono allineati ai requisiti del GDPR, dell’HIPAA e dello standard SOC 2 attraverso la crittografia, politiche di conservazione configurabili e registri di audit dettagliati.
Architetture a tutela della privacy – L’implementazione a conoscenza zero crittografa i dati in modo che nemmeno l’amministratore che esegue il backup possa leggerli. Può gestire il backup, ma non può vedere i file stessi.

Controllo dei costi e licenze di backup prevedibili

Deduplicazione a livello di blocco – I blocchi di dati ripetuti vengono archiviati una sola volta nel catalogo dei backup, riducendo così il consumo di spazio di archiviazione senza richiedere modifiche alle politiche o alle pianificazioni di backup.
Flussi di lavoro di archiviazione a più livelli – I dati di backup possono spostarsi automaticamente tra i diversi livelli di archiviazione man mano che invecchiano. I punti di ripristino recenti possono rimanere su supporti di archiviazione più veloci, mentre i backup più vecchi vengono spostati su destinazioni a costo inferiore.
Licenze indipendenti dal volume – I costi di licenza non aumentano con la crescita dei dati protetti. I team possono espandere il proprio ambiente di backup senza dover sostenere costi di licenza più elevati.
Costi prevedibili – I prezzi fissi rendono più semplice la pianificazione dei budget per l’infrastruttura, senza costi di licenza variabili legati alla crescita dello spazio di archiviazione o alle variazioni del carico di lavoro.
Prezzi indipendenti dal carico di lavoro – Le dimensioni dei database, il numero di server e la quantità di spazio di archiviazione protetto non influiscono sui costi di licenza.
Costi inferiori su larga scala – Gli ambienti SAN di grandi dimensioni o in rapida crescita possono aggiungere dati protetti senza aumentare i costi di licenza. I risparmi possono diventare più significativi con l’aumentare dei volumi di dati rispetto ai modelli di licenza basati sulla capacità.

Gestione e amministrazione dei backup

Doppia interfaccia – BWeb offre una console grafica per la gestione e il monitoraggio quotidiani dei processi. Bconsole (user agent) fornisce agli operatori il pieno controllo tramite riga di comando per la creazione di script, l’automazione e la configurazione avanzata.
Scalabilità senza limiti – La stessa architettura di piattaforma gestisce ambienti che vanno da pochi server a implementazioni che contano migliaia di server, il tutto sotto un unico piano di gestione.
Rilevamento automatico delle risorse – La piattaforma esegue una scansione dell’infrastruttura per identificare e catalogare automaticamente le destinazioni di backup. La copertura di protezione rimane aggiornata man mano che l’ambiente cresce.
Reportistica dettagliata – I report programmati coprono i risultati dei processi, l’andamento della capacità, lo stato di conformità e le prestazioni operative con cadenza definita.
Integrazione con sistemi esterni – Bacula si collega a strumenti di monitoraggio, sistemi di ticketing IT e servizi di directory, senza richiedere alcuno sviluppo personalizzato obbligatorio.

Domande frequenti

1) Che cos’è una SAN?

SAN è l’acronimo di “Storage Area Network”. Si tratta di una rete dedicata che trasmette comandi di archiviazione a livello di blocco tra i server e l’hardware di archiviazione, come gli array di dischi e le librerie a nastro. Per un server, un dispositivo SAN funziona in modo molto simile a un’unità collegata direttamente ad esso, anziché a una cartella condivisa accessibile tramite una rete standard.

2) Bacula Enterprise è in grado di eseguire il backup e il ripristino di una libreria a nastro condivisa su SAN?

Sì. Il modulo SAN Shared Storage di Bacula Enterprise, che utilizza il plugin shstore, consente a due o più Storage Daemon di condividere una singola libreria a nastro fisica o un autocambia. Utilizza le riserve persistenti SCSI SPC-3 per bloccare ciascuna unità su un solo Storage Daemon alla volta. Ciò consente a più server di utilizzare lo stesso hardware a nastro senza interferire con i processi degli altri.

3) Due server possono scrivere contemporaneamente sulla stessa unità a nastro?

No. Le riserve persistenti SPC-3 consentono a un solo daemon di archiviazione di mantenere un blocco su un’unità in un dato momento. Se un altro daemon di archiviazione richiede la stessa unità, attende che il processo in corso termini e che il blocco venga rilasciato.

4) Cosa succede se un daemon di archiviazione si blocca mentre mantiene un blocco su un nastro?

Nella maggior parte dei casi, il blocco viene rilasciato automaticamente all’uscita del componente Bacula. L’eccezione è rappresentata da una chiusura improvvisa, come un comando `kill -9`, o da un crash del sistema operativo. In tali casi, il blocco potrebbe rimanere attivo. Un amministratore può quindi rimuoverlo manualmente con il comando `clear` nello script `storage-ctl`.

5) Quali sistemi operativi supporta il modulo SAN Shared Tape Library di Bacula?

Il modulo attualmente supporta Red Hat Enterprise Linux e Ubuntu LTS. Un pacchetto per Solaris potrebbe essere disponibile su richiesta, ma il supporto per Solaris non è ancora stato implementato.