Backup off-site. Gdzie trzymać drugą
kopię danych firmy?

Serwer działa poprawnie. Backup wykonuje się każdej nocy. Kopie znajdują się na osobnym NAS-ie. Wszystkie zadania świecą się na zielono.

Czy dane firmy są bezpieczne? Niekoniecznie.

Jeżeli serwer produkcyjny i wszystkie kopie zapasowe znajdują się w tej samej lokalizacji, jeden poważniejszy incydent może pozbawić firmę wszystkiego jednocześnie.

Dlatego skuteczna strategia ochrony danych nie kończy się na lokalnym backupie. Potrzebna jest również kopia off-site, czyli przechowywana poza główną lokalizacją infrastruktury.

Nie wystarczy jednak wysłać danych "gdzieś do chmury". Trzeba wiedzieć, gdzie trafiają, kto może je usunąć, jak długo są przechowywane i przede wszystkim, ile potrwa ich odzyskanie.

Czym jest backup off-site?

Backup off-site to kopia danych przechowywana poza lokalizacją, w której działają podstawowe systemy firmy.

Jeżeli serwery produkcyjne znajdują się w biurze w Szczecinie, kopia off-site może znajdować się:

Najważniejsze jest jedno: awaria podstawowej lokalizacji nie może jednocześnie pozbawić firmy danych produkcyjnych i wszystkich kopii zapasowych.

Off-site jest więc warstwą ochrony przed zdarzeniami, które dotyczą całej lokalizacji albo całego podstawowego środowiska.

Lokalny backup i off-site rozwiązują różne problemy

Lokalna kopia zapasowa nadal jest bardzo potrzebna. Jeżeli użytkownik przypadkowo usunie katalog albo trzeba odtworzyć maszynę wirtualną, lokalny backup zazwyczaj będzie najszybszym źródłem danych.

Przykładowo Proxmox Backup Server znajdujący się w tej samej serwerowni może pozwolić na szybkie odtworzenie maszyny bez pobierania setek gigabajtów przez Internet. Problem zaczyna się wtedy, gdy lokalny backup jest jedyną kopią.

Najlepsza strategia wykorzystuje oba rozwiązania jednocześnie.

Reguła 3-2-1-1-0

Dobrym punktem wyjścia do projektowania backupu jest zasada 3-2-1-1-0.

W praktyce może to wyglądać tak:

1. 1 Dane produkcyjne na serwerze.
2. 2 Lokalny backup na Proxmox Backup Server lub Veeam.
3. 3 Kopia synchronizowana do drugiego Data Center.
4. 4 Część danych dodatkowo chroniona mechanizmem immutability.
5. 5 Regularne testy restore.

Sam fakt posiadania trzech kopii nie jest jeszcze wystarczający. Jeżeli wszystkie trzy można usunąć z jednego konta administratora, nadal mamy poważny problem.

Gdzie przechowywać backup off-site?

Nie istnieje jedno rozwiązanie najlepsze dla każdej firmy. W praktyce najczęściej wybiera się jeden z kilku modeli.

1. Chmura obiektowa

Dla wielu małych i średnich firm jest to najprostszy sposób wdrożenia kopii zewnętrznej. Popularne rozwiązania obejmują między innymi Backblaze B2, Wasabi, Amazon S3, Microsoft Azure Blob Storage oraz inne usługi zgodne z protokołem S3. Backup jest automatycznie wysyłany przez Internet do zewnętrznego repozytorium.

Chmura jest szczególnie dobrym rozwiązaniem dla danych, których przyrost jest stosunkowo niewielki i które można skutecznie deduplikować lub kompresować.

2. Drugi Proxmox Backup Server

Jeżeli firma korzysta z Proxmox VE, bardzo dobrym modelem może być drugi Proxmox Backup Server znajdujący się w innej lokalizacji: w biurze Proxmox VE z lokalnym PBS, a w Data Center drugi PBS, między którymi działa automatyczna synchronizacja. Daje to kilka korzyści:

Takie rozwiązanie szczególnie dobrze sprawdza się w środowiskach z większą liczbą maszyn wirtualnych. Więcej o samym PBS piszemy w artykule Proxmox Backup Server - czy naprawdę warto wdrożyć PBS.

3. Serwer backupowy w Data Center

Alternatywą jest własny serwer przechowywany w zewnętrznym Data Center. Może działać na nim Proxmox Backup Server, Veeam repository, BorgBackup, Restic, własne repozytorium S3 lub inne rozwiązanie backupowe.

Firma zachowuje kontrolę nad sprzętem i sposobem przechowywania danych, ale nie musi utrzymywać drugiej fizycznej serwerowni. To dobre rozwiązanie szczególnie wtedy, gdy ilość danych jest duża i stałe opłaty za storage public cloud zaczynają być wysokie.

4. Drugi oddział firmy

Jeżeli przedsiębiorstwo posiada kilka lokalizacji, można wykorzystać jedną z nich jako miejsce przechowywania kopii - przykładowo produkcja działa w Szczecinie, a kopia trafia do oddziału w Poznaniu. To rozwiązanie może być bardzo ekonomiczne, jeżeli firma posiada odpowiednie łącza.

Trzeba jednak uważać na jeden problem: druga lokalizacja powinna być rzeczywiście niezależna. Jeżeli oba biura korzystają z tego samego dostawcy usług, tych samych kont administracyjnych i jednej domeny z pełnymi uprawnieniami do backupu, niezależność może być mniejsza, niż wygląda na pierwszy rzut oka.

5. Taśmy lub nośniki offline

Taśmy nadal mają swoje miejsce w profesjonalnych systemach backupowych. Ich ogromną zaletą jest możliwość całkowitego odłączenia kopii od środowiska produkcyjnego. Po wyjęciu taśmy z biblioteki ransomware nie może jej zaszyfrować przez sieć.

Taśmy sprawdzają się szczególnie przy dużych ilościach danych, długiej retencji, archiwizacji oraz wymaganiach dotyczących fizycznie odłączonej kopii. Ich największą wadą jest logistyka - trzeba wymieniać nośniki, transportować je, odpowiednio przechowywać, prowadzić ewidencję i regularnie testować odczyt.

W mniejszych firmach często prostsza jest automatyczna kopia do chmury albo drugiego Data Center.

Czy kopia off-site powinna być immutable?

Jeżeli jest to możliwe, tak. Sama lokalizacja geograficzna nie wystarczy do ochrony przed każdym zagrożeniem. Wyobraźmy sobie sytuację:

Technicznie firma posiadała backup w dwóch lokalizacjach. Praktycznie obie kopie były kontrolowane przez ten sam zestaw uprawnień.

Dlatego przynajmniej jedna warstwa powinna być trudna lub niemożliwa do usunięcia przez określony czas. Można wykorzystać:

Szerzej o mechanizmach niezmienności piszemy w artykule immutable backup - moda czy konieczny element ochrony danych.

Oddzielne dane dostępowe są równie ważne jak druga lokalizacja

To jeden z najczęściej pomijanych elementów. Backup off-site powinien posiadać oddzielny model administracyjny. Nie powinno być tak, że konto Domain Admin automatycznie pozwala:

Przejęcie jednego konta oznaczałoby wtedy przejęcie całej strategii ochrony danych. Dobrą praktyką jest stosowanie:

Szyfrowanie backupu

Kopia opuszczająca siedzibę firmy powinna być szyfrowana. Dotyczy to zarówno transmisji, jak i danych przechowywanych w repozytorium. W zależności od rozwiązania możliwe jest szyfrowanie:

• › Po stronie klienta przed wysłaniem danych
• › Podczas transmisji
• › Po stronie storage
• › Na kilku warstwach jednocześnie

Trzeba jednak pamiętać o kluczach. Backup zaszyfrowany kluczem, którego nikt nie potrafi odnaleźć podczas awarii, jest równie użyteczny jak brak backupu.

Informacja o sposobie odzyskania kluczy powinna znajdować się w procedurze Disaster Recovery.

RPO. Jak często wysyłać dane off-site?

Nie każda firma potrzebuje replikacji co pięć minut. Częstotliwość powinna wynikać z RPO, czyli Recovery Point Objective, które określa maksymalną akceptowalną ilość utraconych danych.

Nie ma sensu wykonywać kopii ERP raz dziennie, jeżeli biznes deklaruje, że może stracić maksymalnie 15 minut danych.

RTO. Jak szybko musimy odzyskać dane?

Drugi kluczowy parametr to RTO, czyli Recovery Time Objective. Określa, jak długo firma może czekać na przywrócenie systemu. To bardzo ważne przy wyborze miejsca przechowywania kopii.

Załóżmy, że firma posiada 8 TB danych, backup znajduje się w chmurze, a łącze internetowe pozwala pobierać dane ze średnią prędkością 300 Mb/s. Pełne odtworzenie może trwać wiele godzin, a nawet dni. Jeżeli biznes oczekuje powrotu do pracy w dwie godziny, samo przechowywanie danych w chmurze może nie wystarczyć.

Off-site nie musi oznaczać szybkiego restore

To również ważne. Kopia zewnętrzna jest przede wszystkim ochroną na najgorszy scenariusz. Codzienne odtwarzanie powinno zwykle odbywać się z lokalnego repozytorium. Dzięki temu:

• › Pojedynczy plik odzyskujemy szybko lokalnie
• › Maszynę wirtualną odtwarzamy z PBS
• › Kopię off-site wykorzystujemy dopiero wtedy, gdy lokalne środowisko jest niedostępne

Takie podejście daje dobry kompromis pomiędzy szybkością, bezpieczeństwem i kosztem.

Jak długo przechowywać kopie?

Nie istnieje jedna uniwersalna polityka retencji. Popularny model może wyglądać następująco:

• › Kopie dzienne przez 14 lub 30 dni
• › Kopie tygodniowe przez kilka miesięcy
• › Kopie miesięczne przez rok
• › Wybrane kopie roczne zgodnie z wymaganiami biznesowymi

Retencja powinna wynikać z:

Zbyt krótka retencja może sprawić, że po wykryciu problemu wszystkie dostępne kopie zawierają już uszkodzone dane. Zbyt długa retencja nie zawsze jest lepsza - zwiększa koszty i może być sprzeczna z zasadami dotyczącymi okresu przechowywania danych.

Backup off-site trzeba monitorować

Jednym z największych błędów jest założenie, że skoro lokalny backup jest zielony, to off-site też działa.

Niekoniecznie. Może działać lokalna kopia, ale od dwóch tygodni nie wykonywać się synchronizacja do zewnętrznej lokalizacji. Dlatego osobno monitorujemy:

Backup powinien wygenerować alert również wtedy, gdy zadanie w ogóle się nie uruchomiło.

Szerzej o metrykach i alertach piszemy w artykule jak monitorować backupy, aby wykryć problem przed awarią.

Test odtworzenia z off-site

Sam fakt, że dane znajdują się w drugiej lokalizacji, nie odpowiada jeszcze na najważniejsze pytanie: czy potrafimy z nich odbudować firmę?

Test powinien okresowo obejmować:

1. 1 Pobranie danych z repozytorium off-site.
2. 2 Odtworzenie maszyny lub bazy.
3. 3 Weryfikację integralności.
4. 4 Uruchomienie aplikacji.
5. 5 Sprawdzenie podstawowych procesów biznesowych.
6. 6 Zmierzenie rzeczywistego czasu restore.

Dzięki temu można porównać rzeczywisty wynik z założonym RTO.

Najczęstsze błędy przy backupie off-site

Podczas audytów warto zwrócić szczególną uwagę na kilka problemów.

Przykładowe architektury

Jak wybrać najlepszy wariant?

Zanim wybierzemy konkretną technologię, trzeba odpowiedzieć na kilka pytań:

Dopiero później warto wybierać pomiędzy Backblaze, Wasabi, drugim PBS, własnym serwerem czy innym rozwiązaniem. Technologia powinna wynikać z RPO, RTO i ryzyka biznesowego, a nie odwrotnie.

FAQ - backup off-site

Podsumowanie

Backup off-site nie polega wyłącznie na wysłaniu dodatkowej kopii danych poza firmę. Dobrze zaprojektowane rozwiązanie powinno zapewniać:

Lokalny backup pozwala szybko odzyskać dane po typowej awarii. Off-site daje firmie szansę na odzyskanie środowiska wtedy, gdy lokalnego backupu również już nie ma.

I właśnie dlatego oba elementy powinny działać razem.