Neuer Server für Windows Server 2019 VMs

[Jay.]

Hallo zusammen,

erst einmal möchte ich mich für dieses tolle Forum bedanken! Ich habe in der Vergangenheit schon viel durch lesen der Threads selbst lösen können.

Nun stehe ich vor der Herausforderung, zwei Windows Server 2019 VMs (einer davon ist der DC der andere RDS), auf neue Hardware zu migrieren da die alte zu langsam geworden ist bzw. auf dem alten Server als Hypervisor der Windows Server 2012 läuft. Der alte Server soll dann für PBS eingesetzt werden und den neuen Server sichern.

Ich habe hier schon diverse Threads gefunden die sich damit beschäftigen, wie man eine VHDX in Proxmox zum laufen bringt, aber da die teils nicht mehr so aktuell waren, wollte ich nachfragen was jetzt genau "best practice" ist.

Hier die neuen Server Specs:

1x AMD EPYC 7402P
4x 64GB Samsung M386A8K40BM1-CRC ECC RAM
2x 1,92TB Samsung PM9A3 NVME (Für VMs)
2x 1,92TB Samsung PM893 SSD (Für Daten)
2x 240GB Samsung PM893 SSD (Für Proxmox)

Mein bisheriger Plan:

Die Festplatten würde ich jeweils mit ZFS im RAID 1 Verbund laufen lassen.
Verschlüsselung via LUKS auf HV-Ebene wäre nice, da auf VM-Ebene (z.B. Bitlocker) kein inkrementelles Backup über PBS möglich wäre und ZFS Native Encryption noch Bugs hat. Anschließend die VMs nach unten verlinkter Anleitung migrieren.

Folgendes Fragen stellen sich mir zudem:

1. Habt ihr einen besseren Vorschlag bezüglich der Festplattennutzung/Verteilung und ZFS im RAID1?
2. Welche Verschlüsselungstrategie würdet ihr empfehlen?
3. Kann ich noch nach folgender Anleitung für die Migration der HyperV VMs vorgehen?
https://forum.proxmox.com/threads/migrating-hyper-v-to-proxmox-what-i-learned.137664/

Gibt es sonst noch etwas zu beachten?

Vielen Dank schon mal im Voraus und sorry dass manche Fragen immer wieder auftauchen, obwohl sie sicher schon mehrfach hier beantwortet wurden.

VG,
Jay

 

[Falk R.]

Die Festplatten würde ich jeweils mit ZFS im RAID 1 Verbund laufen lassen.
Verschlüsselung via LUKS auf HV-Ebene wäre nice, da auf VM-Ebene (z.B. Bitlocker) kein inkrementelles Backup über PBS möglich wäre

Wie kommst du denn da drauf? Für Bitlocker wird seitens Microsoft vTPM empfohlen, was auch gut funktioniert. Dann aber bitte unbedingt die TPM Schlüssel exportieren und gut weglegen.
Den PBS interessiert gar nicht ob da etwas verschlüsselt ist. Nur ein Filerestore über den PBS ist dann nicht möglich, aber das ist ja by Design.
Es könnte sein, dass die Dedup Effizienz beim PBS ein wenig leidet wenn du Bitlocker benutzt, aber das sollte sich im verschmerzbaren Rahmen bewegen.

und ZFS Native Encryption noch Bugs hat. Anschließend die VMs nach unten verlinkter Anleitung migrieren.

Folgendes Fragen stellen sich mir zudem:

1. Habt ihr einen besseren Vorschlag bezüglich der Festplattennutzung/Verteilung und ZFS im RAID1?
2. Welche Verschlüsselungstrategie würdet ihr empfehlen?
3. Kann ich noch nach folgender Anleitung für die Migration der HyperV VMs vorgehen?
https://forum.proxmox.com/threads/migrating-hyper-v-to-proxmox-what-i-learned.137664/

Ich persönlich finde die Anleitung nicht ganz Perfekt, aber das ist ja Geschmackssache.
Ich gebe den Ordner der VMs im Windows ganz normal frei.
Mounte den CIFS Share im PVE Host.
Neue VM Hülle bauen.
Original VM herunter fahren.
Per qm importdisk die vhdx an die neue VM hängen und dabei auf das Zeilstorage migrieren.
VM Starten und virtio Treiber installieren. (boot von IDE oder SATA), wenn die VM nur eine Disk hat, eine zweite Dummydisk per SCSI einhängen, denn nur wenn Windows im laufenden System einmal eine virtio SCSI Disk gesehen hat, wird der Treiber so installiert, dass man davon booten kann.
Dann VM aus, Dummydisk löschen, bootdisk auf SCSI und Bootreihenfolge anpassen nicht vergessen.

 

[Jay.]

@Falk R. sorry dass ich mich jetzt erst melde - ich war im Urlaub. Danke für deine Antwort! Am Freitag soll die Migration des Servers durchgeführt werden. Ich werde bis dahin versuchen, die beste Vorgehensweise herauszufinden indem ich alles mal in einer Testumgebung durchspiele.

Falls jemand noch Tipps und Ideen hat, wäre ich für weitere Vorschläge dankbar!

MfG,
Jay

 

[Jay.]

Kurze Zwischenfrage. Auf meinen zwei PM9A3 NVME Festplatten (ZFS Mirror) welche ich für die VMs nutze, habe ich eine Windows Server 2019 VM erstellt. Nun möchte ich die anderen beiden PM893 SSDs an Windows via Passthrough durchreichen und als NTFS Datenlaufwerk nutzen. Kann PBS auch Backups von den durchgereichten SSDs erstellen? Was für alternativen gibt es bzw. würdet ihr empfehlen?

Vielen Dank schon einmal im Voraus!

Jay

 

[Falk R.]

Kurze Zwischenfrage. Auf meinen zwei PM9A3 NVME Festplatten (ZFS Mirror) welche ich für die VMs nutze, habe ich eine Windows Server 2019 VM erstellt. Nun möchte ich die anderen beiden PM893 SSDs an Windows via Passthrough durchreichen und als NTFS Datenlaufwerk nutzen. Kann PBS auch Backups von den durchgereichten SSDs erstellen? Was für alternativen gibt es bzw. würdet ihr empfehlen?

Vielen Dank schon einmal im Voraus!

Jay

Hi, wenn du eine Disk durchreichst, macht der PBS natürlich auch Backups davon, solange du den Haken für Backup drin lässt.

 

[Jay.]

Danke für die schnelle Antwort! Mir ist gerade eingefallen, dass ich die beiden PM893 SSDs welche ich an Windows durchreichen möchte, natürlich auch als RAID1 bzw. Mirror Verbund laufen lassen möchte. Kann ich ein ZFS Mirror erstellen und den irgendwie an Windows durchreichen um da dann eine NTFS Datenpartition zu erstellen und als Laufwerk einzubinden?

 

[Falk R.]

Dann kannst du nur mit einem ZFS Pool arbeiten bei ZFS oder jede andere Linux Raid Lösung nutzen und dann eine virtuelle Disk.

Wenn ich mir das so überlege, könntest du ein mdraid machen und versuchen das Raid Device an eine VM zu geben. Habe ich aber noch nie probiert.

 

[Jay.]

Die virtuelle Disk kann dann auch in Windows wie ein Laufwerk eingebunden und als NTFS formatiert werden? Gibt es diesbezüglich Nachteile bzw. Fallstricke die man kennen sollte?

 

[Falk R.]

Eine virtuelle Disk ist immer flexibler. Einziger Nachteil, du hast die Disk nicht Exklusiv, was bei einer VM auch keinen unterschied macht.

 

[Jay.]

Okay danke, ich lese mich mal ein und versuche es gleich mal.

 

[Jay.]

Wie kommst du denn da drauf?

Ich habe eben wieder den Thread gefunden wodurch ich darauf kam: HIER

Dort schreibt Fabian, dass es zu hohem Platzverbrauch kommen kann, wenn man mit Bitlocker verschlüsselte Backups via PBS macht.

 

[Falk R.]

Das dein Backup stärker wächst bei verschlüsselten VM Disks ist vollkommen normal. Wie die VM ihre Disk eingebunden hat spielt da keine Rolle.

Das Problem beim Backup (nicht nur PBS) ist, dass die Backupsoftware nicht mehr identische Blöcke findet. Durch die Verschlüsselung funktioniert im PBS auch kein Dedup.

 

[Jay.]

Wenn ich aber aus dem Gastsystem (Windows mit Bitlocker) heraus ein Backup erstelle (z.B. mit Windows Backup) dann wäre dem nicht so und normale inkrementelle Backups wären möglich. Oder wenn ich ZFS Encryption und kein Bitlocker im Gast nutze, dann sollte mein Host bzw. Proxmox die Daten vom Gast doch im Klartext sehen können und via PBS sichern oder verstehe ich etwas falsch?

 

[Jay.]

Ich habe gerade leider das Problem, dass ich beim Booten eine Fehlermeldung bekomme obwohl ich alles genau nach Anleitung durchgeführt habe.

Ich habe HIER dazu ein paar Screenshots gepostet. So wie ich die Fehlermeldung interpretiere, wird das Image nicht gefunden. Es ist aber definitiv am richtigen Ort vorhanden!

 

[Falk R.]

Die VM ist auch UEFI installiert?

Zum Thema Backup. Inkrementell geht natürlich. Bei verschlüsselten Laufwerken hat jede Software größere Inkrements, außer die Daten werden unverschlüsselt gebackupt. Das ist by Design so und ohne Entschlüsselung wird das niemand auf der Welt anders machen können.

 

[Jay.]

Die VM ist auch UEFI installiert?

Zum Thema Backup. Inkrementell geht natürlich. Bei verschlüsselten Laufwerken hat jede Software größere Inkrements, außer die Daten werden unverschlüsselt gebackupt. Das ist by Design so und ohne Entschlüsselung wird das niemand auf der Welt anders machen können.

Ja das BIOS habe ich eingebunden oder muss da noch etwas gemacht werden?

 

[Jay.]

Kann es daran liegen, dass die Windows Server 2019 VHDX die ich importiert habe, noch gen1 sind? So wie ich das verstanden habe sind hyper-v gen1 VMs alle noch mit MBR und erst ab gen2 GPT. Es gibt da ein Tool namens mbr2gpt von MS, womit man die VMs konvertieren kann. Bevor ich das aber versuche wollte ich hier fragen ob es tatsächlich daran liegen kann oder ich auf dem Holzweg bin.

 

[Falk R.]

Kann es daran liegen, dass die Windows Server 2019 VHDX die ich importiert habe, noch gen1 sind?

Wenn die HyperV Basis Gen1 war musst du BIOS Boot einstellen.

So wie ich das verstanden habe sind hyper-v gen1 VMs alle noch mit MBR und erst ab gen2 GPT. Es gibt da ein Tool namens mbr2gpt von MS, womit man die VMs konvertieren kann. Bevor ich das aber versuche wollte ich hier fragen ob es tatsächlich daran liegen kann oder ich auf dem Holzweg bin.

Der Wechsel von BIOS Boot auf UEFI geht theoretisch mit 3rd Party Tools, aber davon würde ich die Finger lassen.
Außerdem würde ich die CPU auf host stellen. Win2019 hat auf jeden Fall Probleme mit kvm64.

 

[Jay.]

Vielen Dank - ich habe BIOS Boot eingestellt und Windows bootet nun. Ich war also auch schon auf der richtigen Spur. Danke auch für den Tipp bei CPU auf Host umzustellen. Da ich ohnehin keine Live Migration bzw. Cluster brauche, ist das die Bessere Wahl.

 

[Jay.]

Mir ist eben noch aufgefallen, dass in Proxmox nur 24 Cores/vCores

Zum Thema Backup. Inkrementell geht natürlich. Bei verschlüsselten Laufwerken hat jede Software größere Inkrements, außer die Daten werden unverschlüsselt gebackupt. Das ist by Design so und ohne Entschlüsselung wird das niemand auf der Welt anders machen können.

Ich muss nochmal hierauf zurück kommen, da mein Verständnis bisher ein anderes war oder ist deine Aussage falsch verstehe. Wenn ich z.B. ZFS Encryption auf einem rpool aktiviere und dann mit PBS ein Backup mache, dann werden die Daten doch entschlüsselt abgegriffen und an den PBS Storage wiederum verschüsselt übertragen und mit neuem Schlüssel gespeichert oder? Somit wäre dann auch granular file recovery möglich?