Solução de backup para armazenamento compartilhado SAN da Bacula Enterprise

Home > Backup de dados corporativos > Ferramentas de Backup de Dados Corporativos > A Solução de Biblioteca de Fitas Compartilhadas SAN da Bacula Systems

Uma SAN (Storage Area Network) conecta servidores diretamente ao armazenamento em fita por meio de canais dedicados e de baixa latência, aliviando assim o tráfego intenso de backup da sua rede local. Dito isso, como um ambiente SAN compartilhado permite que vários servidores acessem unidades de fita, as organizações correm o risco de causar confusão e corromper a fita, pois uma unidade de fita só pode receber instruções de gravação de um servidor por vez.

O plug-in “shstore”, módulo SAN dedicado do Bacula Enterprise, utiliza o protocolo SCSI SPC-3 para evitar a corrupção acidental de volumes de fita, compartimentando as tarefas do daemon de armazenamento para impedir essas sobreposições. Quando um daemon de armazenamento do Bacula inicia uma tarefa, ele aplica um bloqueio de hardware exclusivo na unidade de fita, e qualquer outro servidor que solicite acesso a ela precisa aguardar na fila até que a tarefa seja concluída e o bloqueio seja liberado.

Por meio desse mecanismo, sua organização pode compartilhar uma infraestrutura de fita cara entre vários servidores e maximizar as velocidades de backup em uma malha SAN, além de evitar os conflitos de gravação que causam corrupção de dados

Download do julgamento VEJA A FICHA TÉCNICA DE SOLUÇÕES DE BACKUP PARA SAN/NAS

Benefícios do módulo de biblioteca de fitas compartilhada SAN do Bacula

Maior utilização da biblioteca de fitas e do carregador automático – Os daemons de armazenamento em todo o ambiente podem compartilhar a mesma biblioteca de fitas ou o mesmo carregador automático. Isso, por sua vez, reduz o tempo em que as unidades ficam ociosas fora da janela de backup de um servidor específico e permite que outras tarefas de backup as utilizem.
Janelas de backup mais curtas – Os daemons de armazenamento enviam dados para a fita pela SAN, em vez de pela LAN. Como resultado, esse processo reduz a disputa pela largura de banda da rede com o tráfego de aplicativos e usuários e pode encurtar os tempos de backup.

Reservas que sobrevivem a falhas de caminho – As reservas persistentes do SPC-3 permitem que a reserva do Storage Daemon em uma unidade de fita compartilhada sobreviva a uma reinicialização de recuperação de erros da SAN, desde que esse tipo de reinicialização seja compatível. Isso ajuda a manter o acesso exclusivo à unidade durante um failover de múltiplos caminhos, quando o tráfego é redirecionado para um caminho alternativo.
Liberação automática do bloqueio entre tarefas – O módulo libera a unidade de fita assim que uma tarefa é concluída. O próximo Storage Daemon pode então reivindicar a unidade sem que seja necessário que um administrador libere o bloqueio manualmente.

Principais recursos do módulo de biblioteca de fitas compartilhada SAN do Bacula

Mecânica de bloqueio e rastreamento de unidades

Compartilhamento de dispositivos entre vários servidores — Vários daemons de armazenamento do Bacula podem acessar a mesma biblioteca de fitas física sem sobreposição de gravações. O plug-in de armazenamento compartilhado utiliza reservas persistentes para garantir que uma unidade de fita seja acessada exclusivamente por apenas um daemon de armazenamento por vez. Como essa regra se aplica por unidade, diferentes daemons de armazenamento podem usar unidades diferentes simultaneamente, quando a configuração de armazenamento e do trocador automático do Bacula permitir.
Bloqueio de unidades SPC-3 — O módulo utiliza o protocolo de reserva persistente SCSI SPC-3 para gerenciar qual servidor pode gravar em uma unidade de fita a qualquer momento.
Chaves de reserva por daemon — Cada daemon de armazenamento se registra com uma chave exclusiva no arquivo storage-ctl.conf, o que permite rastrear uma reserva em uma unidade de fita até o daemon de armazenamento específico que a detém.

Comandos de gerenciamento de reservas

Visibilidade integrada das reservas — Os administradores podem usar o comando `status` do Bacula para visualizar o estado das reservas das unidades de fita compartilhadas, incluindo qual Daemon de Armazenamento ou tarefa está usando ou aguardando uma unidade. Utilitários de diagnóstico adicionais, como `storage-ctl query`, `regkeys` e `wholocked`, estão disponíveis para investigar reservas persistentes ou órfãs quando necessário.
Comandos de recuperação manual para bloqueios obsoletos — O script storage-ctl disponibiliza os comandos query, clear, regkeys e wholocked. Se um Daemon de Armazenamento encerrar de forma anômala e deixar um bloqueio obsoleto, um administrador pode usar esses mesmos comandos para inspecionar a reserva e liberá-la à força, a fim de liberar a unidade para uso por outro Daemon de Armazenamento.
Reserva de unidade para restaurações — Ao definir AutoSelect como “no” em uma unidade específica, ela é excluída do conjunto de seleção normal de um trocador automático. Essa unidade permanece então reservada para tarefas de restauração, em vez de competir com os backups por ela.

Suporte a plataformas e versões

Sistemas operacionais compatíveis — O pacote shstore pode ser instalado no RedHat Enterprise, Ubuntu LTS e Debian por meio do rpm, dpkg ou do repositório apt ou yum já existente no site. Vale destacar que um pacote para Solaris pode estar disponível mediante solicitação, mas ainda não está implementado.
Requisito SPC-3 — A biblioteca de fitas requer suporte ao protocolo SPC-3. A reserva SCSI SPC-2 legada não funciona mais com este módulo.

Dependência do sg3_utils – Toda máquina que execute um Storage Daemon precisa ter o pacote sg3_utils instalado. Ele fornece o sg_persist, a ferramenta subjacente da qual o storage-ctl depende para criar e liberar reservas SPC-3.

Como o Bacula protege os dados de backup contra ameaças cibernéticas em um ambiente SAN?

Para combater os cibercriminosos e proteger as organizações contra ransomware, o Bacula Enterprise protege as bibliotecas de fita compartilhadas em SAN por meio da integração direta com destinos de armazenamento imutáveis e em conformidade com o padrão WORM, de modo a impedir que um invasor com acesso às credenciais modifique, reetiquete ou, pior ainda, apague os dados até que o período de retenção configurado expire.

Arquitetura e Controle de Acesso

Arquitetura isolada de cinco módulos — Na arquitetura de cinco módulos do Bacula, na qual o Daemon de Arquivos (cliente), o Director, o Daemon de Armazenamento, o Console e o banco de dados do Catálogo operam de forma independente, a violação de segurança de um único componente não pode afetar nem infectar os quatro restantes.
Privilégios restritos do Daemon de Arquivos (Cliente) — Os administradores podem limitar exatamente de quais diretórios um cliente pode fazer backup, para quais pode restaurar e em quais pode executar scripts, por meio das diretivas AllowedBackupDirectories, AllowedRestoreDirectories e AllowedScriptDirectories. O Daemon de Arquivos também pode ser executado no modo somente leitura, a fim de impedir qualquer modificação não autorizada a partir desse sistema.
Controle de Acesso Baseado em Função — O Bacula oferece suporte a um Controle de Acesso Baseado em Função (RBAC) granular por meio de Listas de Controle de Acesso (ACLs) especializadas que restringem com precisão o que um usuário do console pode visualizar e modificar. Essa segurança é aplicada nas camadas de controle JobACL, CommandACL, PoolACL e ScheduleACL.
Autenticação multifatorial — O acesso ao console suporta autenticação multifatorial (MFA) baseada em TOTP e está em conformidade com a RFC 6238, além da autenticação padrão por senha e TLS. O acesso à interface gráfica da Web (GUI) suporta separadamente a autenticação por senha de uso único, que também inclui opções de validação biométrica por smartphone.

Imutabilidade e Integridade dos Dados

Volumes Somente para Adição e Imutáveis — O Bacula define um atributo “Somente para Adição” em volumes baseados em arquivos durante sua primeira tarefa de backup, a fim de evitar a perda de dados por sobrescrita. Uma vez que um volume seja marcado como “Cheio”, um sinalizador de imutabilidade pode impedir que ele seja reclassificado ou reutilizado até que seu período de proteção expire.
Integração com imutabilidade de armazenamento corporativo — O Bacula se integra aos recursos de imutabilidade do NetApp SnapLock, DataDomain RetentionLock e HPE StoreOnce, bem como aos recursos nativos de fita WORM e bloqueio de objetos no AWS S3, Azure e Google Cloud Storage.
Verificação de tarefas e checagem de integridade baseada em hash — O Bacula pode detectar corrupção silenciosa ou modificações não autorizadas calculando assinaturas MD5, SHA1, SHA256 ou SHA512 dos dados dos arquivos e comparando o estado atual de um volume com seu registro no Catálogo.
O registro não concede acesso — Um daemon de armazenamento registra sua chave em uma unidade de fita, mas esse registro não lhe concede nenhum acesso de gravação. Apenas a chave que detém a reserva no momento pode gravar no dispositivo, mesmo que outras chaves estejam registradas e sejam conhecidas por ele.
O bloqueio utiliza o tipo de reserva mais restrito do SPC-3 — A reserva que o Bacula estabelece em uma unidade de fita é do tipo “Acesso Exclusivo”, confirmado diretamente na saída de status do próprio módulo. O SPC-3 define vários tipos de reserva com diferentes regras de compartilhamento, e o “Acesso Exclusivo” concede o uso exclusivo do dispositivo a uma única chave registrada por vez.

Criptografia

Comunicações criptografadas – A autenticação CRAM-MD5 é utilizada entre os daemons do Bacula, enquanto a criptografia TLS pode ser ativada para as comunicações de rede em todo o ambiente.
Conformidade com a norma FIPS 140-3 – O Bacula Enterprise oferece suporte à conformidade com a norma FIPS 140-3 por meio de seu Módulo Criptográfico, que utiliza o OpenSSL-FIPS e é certificado em diversas plataformas. O módulo pode ser utilizado em todos os componentes do Bacula.
Criptografia de dados em repouso – O Daemon de Armazenamento pode criptografar um destino de armazenamento inteiro de uma só vez, independentemente da fonte dos dados. Os administradores também podem configurar a criptografia separadamente para clientes individuais.

Detecção de ameaças

Detecção de ransomware pelo Guardian — O módulo de análise de segurança automatizada do Bacula, o BGuardian, verifica a solidez da configuração, o uso de criptografia, padrões de adulteração de backups e dezenas de outros indicadores de fortalecimento de segurança em todo o ambiente, gerando relatórios e alertas persistentes à medida que os problemas são detectados.
Verificação de malware e antivírus — O Bacula oferece defesa automatizada contra ameaças ao integrar um plug-in antivírus com o ClamAV para verificar se há vírus nos arquivos copiados durante as tarefas de verificação pós-backup.

O que você ganha ao implantar o Bacula Enterprise?

Cada implantação do Bacula Enterprise oferece os seguintes recursos nas áreas de recuperação, backup, preços e administração da plataforma.

Recursos eficientes de backup

Compressão adaptativa – Os algoritmos de compressão são configuráveis por tarefa, permitindo que os administradores ajustem a compressão com base no tipo de dados e nos recursos disponíveis.
Backups completos, diferenciais e incrementais – O Bacula oferece suporte aos níveis de backup completo, diferencial e incremental. Uma estratégia típica começa com um backup completo, seguido por backups incrementais, o que evita a execução repetida de grandes backups completos em um cronograma fixo.
Backups completos virtuais progressivos – O Bacula pode combinar um backup completo existente com seus incrementais subsequentes para criar um novo backup completo sintético sem entrar em contato com o cliente novamente. Em vez disso, o processo lê os dados do armazenamento de backup existente. A diretiva Backups To Keep pode repetir essa consolidação de forma contínua.
Spooling em disco antes da gravação em fita – O Bacula pode gravar os dados de backup em um spool de disco antes de enviá-los para a fita como um fluxo contínuo. Isso ajuda a evitar o movimento de partida e parada da fita que pode ocorrer quando os dados chegam muito lentamente para manter a unidade gravando continuamente. O problema é particularmente comum em backups incrementais e diferenciais, que tendem a produzir fluxos de dados menores e menos consistentes do que os backups completos.
Transferências com atenção à largura de banda – Apenas os dados alterados são transferidos pela rede após o backup inicial. Isso mantém o tráfego de rede mais baixo, sem exigir limitação manual da largura de banda ou soluções alternativas de agendamento.
Agendamento frequente de backups – As tarefas de backup podem ser executadas a cada poucos minutos, em vez de uma vez por dia, reduzindo a janela de perda potencial de dados de horas para minutos.
Proteção contínua de dados – O aplicativo cdp-client monitora as alterações nos arquivos e os copia para um diretório de spool à medida que elas ocorrem. O FileDaemon então envia esses dados para uma tarefa regular de backup do Bacula em intervalos definidos, de modo que as alterações possam ser capturadas em segundos ou minutos, em vez de esperar pelo próximo backup agendado.

Recursos de recuperação ultrarrápida

Restauração completa do sistema (Bare-Metal) – O Bacula Enterprise pode recuperar um servidor inteiro, incluindo o sistema operacional, os aplicativos, a configuração e os dados, sem a necessidade de uma instalação manual prévia do sistema operacional.
Recuperação de dados multiplataforma – Os dados de backup podem ser recuperados em um sistema operacional diferente do original. Isso oferece às equipes mais flexibilidade durante substituições de hardware, migrações ou outros cenários de recuperação.
Validação automatizada da restauração – Testes automatizados podem verificar se os dados de backup são recuperáveis sem que um administrador precise executar um processo de validação separado.
Replicação geográfica de backup – O Bacula mantém uma única cópia de backup por padrão. Para criar cópias adicionais em outros locais, os administradores podem configurar tarefas de cópia ou migração. Uma configuração típica pode manter a cópia primária no armazenamento local, criar uma segunda cópia em outro tipo de mídia, como armazenamento em nuvem, e, em seguida, enviar uma terceira cópia para um local externo ou isolado. Essa configuração ajuda a garantir que uma interrupção em todo o site não elimine todas as cópias de recuperação disponíveis.

Segurança e conformidade

Auditoria completa de atividades – Cada backup, restauração e alteração de configuração é registrada com a identidade do usuário e o carimbo de data/hora. As equipes de conformidade e segurança obtêm uma trilha de auditoria completa e ininterrupta.
Suporte à estrutura regulatória – Os controles da plataforma atendem aos requisitos do GDPR, HIPAA e SOC 2 por meio de criptografia, políticas de retenção configuráveis e registros de auditoria detalhados.
Arquiteturas que preservam a privacidade – A implantação com conhecimento zero criptografa os dados de forma que nem mesmo o administrador que executa o backup consiga lê-los. Ele pode gerenciar o backup, mas não consegue visualizar os arquivos propriamente ditos.

Controle de custos e licenciamento previsível de backup

Desduplicação em nível de bloco – Blocos de dados repetidos são armazenados apenas uma vez no catálogo de backup, o que reduz o consumo de armazenamento sem exigir alterações nas políticas ou programações de backup.
Fluxos de trabalho de armazenamento em camadas – Os dados de backup podem ser movidos automaticamente entre camadas de armazenamento à medida que envelhecem. Pontos de recuperação recentes podem permanecer em armazenamento mais rápido, enquanto backups mais antigos são transferidos para destinos de menor custo.
Licenciamento independente de volume – Os custos de licenciamento não aumentam à medida que os dados protegidos crescem. As equipes podem expandir seu ambiente de backup sem arcar com taxas de licença mais altas.
Custos previsíveis – Os preços fixos facilitam o planejamento dos orçamentos de infraestrutura, sem cobranças variáveis de licenciamento vinculadas ao crescimento do armazenamento ou a mudanças na carga de trabalho.
Preços independentes da carga de trabalho – O tamanho dos bancos de dados, o número de servidores e a quantidade de armazenamento protegido não afetam os custos de licenciamento.
Custos mais baixos em escala – Ambientes SAN de grande porte ou em rápido crescimento podem adicionar dados protegidos sem aumentar as taxas de licença. A economia pode se tornar mais significativa à medida que os volumes de dados crescem, em comparação com modelos de licenciamento baseados em capacidade.

Gerenciamento e Administração de Backups

Interface Dupla – O BWeb oferece um console gráfico para o gerenciamento e monitoramento diários das tarefas. O Bconsole (agente de usuário) proporciona aos operadores controle total via linha de comando para a criação de scripts, automação e configuração avançada.
Escalabilidade sem Limites – A mesma arquitetura de plataforma gerencia ambientes que vão desde alguns poucos servidores até implantações com milhares de servidores, tudo sob um único plano de gerenciamento.
Descoberta automática de recursos – A plataforma varre a infraestrutura para identificar e catalogar destinos de backup automaticamente. A cobertura de proteção permanece atualizada à medida que o ambiente cresce.
Relatórios detalhados – Relatórios programados abrangem resultados de tarefas, tendências de capacidade, status de conformidade e desempenho operacional em uma cadência definida.
Integração com sistemas externos – O Bacula se conecta a ferramentas de monitoramento, sistemas de tickets de TI e serviços de diretório, sem a necessidade de desenvolvimento personalizado.

Perguntas Frequentes

1) O que é SAN?

SAN significa “Storage Area Network” (rede de área de armazenamento). É uma rede dedicada que transmite comandos de armazenamento em nível de bloco entre servidores e equipamentos de armazenamento, como matrizes de discos e bibliotecas de fitas. Para um servidor, um dispositivo SAN funciona de maneira muito semelhante a uma unidade conectada diretamente a ele, em vez de uma pasta compartilhada acessada por meio de uma rede padrão.

2) O Bacula Enterprise pode fazer backup e recuperar uma biblioteca de fitas compartilhada por SAN?

Sim. O módulo de Armazenamento Compartilhado em SAN do Bacula Enterprise, que utiliza o plug-in shstore, permite que dois ou mais Daemons de Armazenamento compartilhem uma única biblioteca de fitas física ou um trocador automático. Ele utiliza reservas persistentes SCSI SPC-3 para bloquear cada unidade para um único Daemon de Armazenamento por vez. Isso permite que vários servidores utilizem o mesmo hardware de fitas sem interferir nas tarefas uns dos outros.

3) Dois servidores podem gravar na mesma unidade de fita ao mesmo tempo?

Não. As reservas persistentes SPC-3 permitem que apenas um daemon de armazenamento mantenha um bloqueio em uma unidade a qualquer momento. Se outro daemon de armazenamento solicitar a mesma unidade, ele aguarda até que a tarefa atual seja concluída e o bloqueio seja liberado.

4) O que acontece se um daemon de armazenamento travar enquanto mantém um bloqueio de fita?

Na maioria dos casos, o bloqueio é liberado automaticamente quando o componente do Bacula é encerrado. A exceção é um encerramento abrupto, como um `kill -9` ou uma falha do sistema operacional. Nesses casos, o bloqueio pode permanecer ativo. Um administrador pode então liberá-lo manualmente com o comando `clear` no script `storage-ctl`.

5) Quais sistemas operacionais o módulo de Biblioteca de Fitas Compartilhada SAN do Bacula suporta?

Atualmente, o módulo suporta o Red Hat Enterprise Linux e o Ubuntu LTS. Um pacote para Solaris pode estar disponível mediante solicitação, mas o suporte ao Solaris ainda não foi implementado.