So,
nachdem ich jetzt einige Wochen Erfahrung mit Proxmox VE und PBS sammeln konnte, wird es Zeit das Thema Backup zu konsolidieren und auf eine dauerhafte Lösung umzustellen. Ich bitte um Review und Kommentare zu meinem Plan:
In den Backup sollen:
Für die VMs und CTs des Clusters kommt natürlich die in PVE integrierte Backup-Funktion zum Einsatz.
Die File-Backups der anderen Hosts werden über den proxmox-backup-client realisiert, für die Raspberry Pi gibt es keine offizielle Version für arm-CPUs, aber mindestens eine vorkompilierte von Dritten.
Da die Backups extern gelagert werden und mindestens ein Server im Internet steht, kommt Verschlüsselung zum Einsatz. Jede physische Node bekommt einen Encryption Key und der Cluster bekommt einen. So können im Fall einer Kompromittierung eines Servers die Backups zwar gelöscht, aber nicht verändert oder entschlüsselt werden.
Der Backup über den Proxmox Backup Client mache ich (wie jetzt schon) über Cron mit folgendem Script:
/etc/pve/local/pve-backup.env sieht in etwa so aus:
und in /etc/pve/pve-backup.json liegt der Encryption Key.
Verteilung des Scripts und der zugehörigen Daten geschieht über Konfigurationsmanagement (ansible), d.h. die Pfade (die aktuell noch auch PVE ausgerichtet sind) können sich ändern. Auch die Liste der Excludes / Includes werde ich dynamisieren, je nach OS und ob der Host ein Docker Host ist oder nicht.
Für den Restore benötige ich dann:
Lieben Dank
Maxim
nachdem ich jetzt einige Wochen Erfahrung mit Proxmox VE und PBS sammeln konnte, wird es Zeit das Thema Backup zu konsolidieren und auf eine dauerhafte Lösung umzustellen. Ich bitte um Review und Kommentare zu meinem Plan:
In den Backup sollen:
- VMs und CTs eines Proxmox VE Clusters (Voll-Backup)
- die Nodes des Clusters (File-Backup)
- ein weiterer x86 Linux Server (File-Backup)
- drei weitere Raspberry Pi Linux Server (File Backup)
Für die VMs und CTs des Clusters kommt natürlich die in PVE integrierte Backup-Funktion zum Einsatz.
Die File-Backups der anderen Hosts werden über den proxmox-backup-client realisiert, für die Raspberry Pi gibt es keine offizielle Version für arm-CPUs, aber mindestens eine vorkompilierte von Dritten.
Da die Backups extern gelagert werden und mindestens ein Server im Internet steht, kommt Verschlüsselung zum Einsatz. Jede physische Node bekommt einen Encryption Key und der Cluster bekommt einen. So können im Fall einer Kompromittierung eines Servers die Backups zwar gelöscht, aber nicht verändert oder entschlüsselt werden.
Der Backup über den Proxmox Backup Client mache ich (wie jetzt schon) über Cron mit folgendem Script:
Bash:
#!/bin/bash
if [ -f /etc/pve/local/pve-backup.env ] ; then
source /etc/pve/local/pve-backup.env
else
exit "File /etc/pve/local/pve-backup.env missing"
fi
/usr/bin/proxmox-backup-client backup root.pxar:/ \
--crypt-mode encrypt \
--keyfile /etc/pve/pve-backup.json \
--exclude /bin \
--exclude /boot \
--exclude /dev \
--exclude /lib \
--exclude /lib64 \
--exclude /local-zfs \
--exclude /lost+found \
--exclude /mnt \
--exclude /opt \
--exclude /proc \
--exclude /run \
--exclude /sbin \
--exclude /sys \
--exclude /tmp \
--exclude /usr \
--exclude /var/lib/lxcfs \
--include-dev /etc/pve \
--backup-type host \
--skip-lost-and-found/etc/pve/local/pve-backup.env sieht in etwa so aus:
Bash:
export PBS_REPOSITORY=...
export PBS_PASSWORD=...
export PBS_FINGERPRINT=...und in /etc/pve/pve-backup.json liegt der Encryption Key.
Verteilung des Scripts und der zugehörigen Daten geschieht über Konfigurationsmanagement (ansible), d.h. die Pfade (die aktuell noch auch PVE ausgerichtet sind) können sich ändern. Auch die Liste der Excludes / Includes werde ich dynamisieren, je nach OS und ob der Host ein Docker Host ist oder nicht.
Für den Restore benötige ich dann:
- den proxmox-backup-client bzw. den aufgesetzten, neuen Cluster
- den Encryption Key des Clients oder Clusters
- die Zugangsdaten des PDB Datastores
- grobe Fehler entdeckt?
- wurde was vergessen?
- bringt der Einsatz von Namespaces zusätzliche Sicherheit, in der Art dass die Backups der Server voneinander abgeschottet sind?
Lieben Dank
Maxim
Technisch ist es kein Problem verschiedene Tokens mit unterschiedlichen Permissions für den gleichen User anzulegen
