Veeam Cloud Connect Backup - Anleitung für den Kunden

Changelog:

21.11.2017 erste Version

Vorwort

Nachfolgend beschreibe ich wie man sich als Kunde mit dem Gateway für Veeam Cloud Connect Backup für Service Provider verbindet und einen Backup Copy dafür einrichtet.

Voraussetzungen

Diese Anleitung geht davon aus das bereits ein Veeam Backup & Replication vorhanden ist.
Außerdem sind auf diesen bereits Backup Jobs einrichtet und sichern auf lokale Repositories.

Vorgehensweise

Für die Anbindung werden folgende Schritte durchgeführt:

Installation WAN-Accelerator
Hinzufügen des Service Providers
Einrichtung eines Backup Copy Auftrages mit einer VM als Test

Installation WAN Accelerator

Auch wenn nur eine Enterprise-Lizenz vorhanden ist dürfen für Backp Copy Aufträge ein WAN Accelerator genutzt werden.

Hinweis: Die Standard-Lizenz erlaubt keine Installation und Nutzung des WAN-Accelerator

Kurz beschrieben reduziert dieser die zu übertragene Datenmenge auf Kosten von Cache-Speicher (möglichst SSD) und Rechenleistung (CPU). In der Praxis erhöht er die maximale Datenrate bis zu dem faktor 50 (Aussage von Veeam selbst). Wer diesen mal in Aktion gesehen hat wird geneigt sein dies zu glauben.

Hier geben wir nun den Speicherort und die Größe des Cache an. Beachtet das dieser Speicherplatz irgendwann ganz genutzt wird - es entsteht eine Datei in der Größe des Caches:

Warnung: Der genutzte Speicherplatz für den Cache des Accelerators kann den hier festgelegten Speicherplatz sogar deutlich übersteigen! Bei meinem Testsystem hatte ich 10GB festgelegt, belegt wurden dann trotzdem 30GB. Legt den Cache deshalb am besten auf eine eigene Festplatte oder eine Festplatte mit genügend Reserven

Hinzufügen des Service Providers

Vom Service Provider braucht man die folgenden Daten:

IP oder DNS-Name des Cloud Gateways
ggf. Thumbprint bei selbst signierten Zertifikaten
Benutzername
Passwort

So wird der Cloud-Speicher hinzugefügt:

Dazu geben wir den DNS-Namen oder die IP-Adresse des Cloud Gateways an, in diesem Beispiel veeamcloud.znil.net

Wenn der Haken bei Allow this Veeam Backup & Replication installation to be managed by the service provider gesetzt ist kann sich der Service Provider später mit der Veeam Console oder per RDP mit der Kundenseite verbinden. Er braucht aber trotzdem Windows Anmeldedaten für das Kundensystem.
Im nächsten Dialog geht es um das Zertifikat und die Anmeldedaten:

Wenn (!) man das selbstsignierte Zertifikat mittel dem Thumprint überprüfen will so fügt man diesen hier ein und klickt auf Verify. Muss aber nicht machen.
Wir fügen dann die Zugangsdaten hinzu:

In den Backup Repositories steht ab nun auch der Cloud-Speicher zur Verfügung:

Dieser kann nun bei allen Backup Job oder Backup Copy Aufträgen als Ziel ausgewählt werden.
Die Empfehlung ist den Cloud Speicher nur bei Backup Copy Jobs zu verwenden. Gerade das Übertragen der ersten Kopie kann viel Zeit in Anspruch nehmen.
Kommt es dabei zu einer Unterbrechung der Netzwerkverbindung wird ein Backup Job' abgebrochen. Ein Backup Copy meckert zwar ggf. auch, kann aber das kopieren da fortsetzen wo er aufgehört hat.

Einrichtung eines Backup Copy Auftrages

Optimal lässt sich der Cloud Backup Speicher per Backup Copy nutzen. Dieser nutzt die Daten vorhandener Backup Jobs und kopiert immer den letzten Stand.
In diesem Beispiel habe ich 3 Backup Jobs:

Für den ersten Test werden wir nun eine(!) VM aus diesen Aufträgen kopieren.
Dazu wählen wir die Option Backup Copy:

Wir geben den Auftrag einen Namen und wählen aus ab wann dieser mit dem kopieren beginnen kann. Neu hinzugefügte VMs wird er trotzdem sofort kopieren - Veeam hat erkannt wie ungeduldig die Menschen sind.

Der Intervall kann angepasst werden und sollte zum Backup Job passen. Ist dieser häufiger passiert aber nichts - er bemerkt das sich nicht geändert hat (=kein neuerer Restorepoint).
Im nächsten Dialog wählen wir - zum testen - eine kleinere VM aus:

Die Unterschiede sind wie folgt:

From infrastructure... wird sich Veeam den letzten Restorepoint der VM suchen und diesen kopieren - egal welcher in welchem Backup-Repository dieser liegt. Man kann auch ein Cluster oder einen Ordner auswählen. Die zu durchsuchenden Backup-Repositories lassen sich einschränken
From backups... lässt einen die VMs aus den Backupdaten wählen, auch ein ganzer Satz kann ausgewählt werden. Für die Suche nach dem letzten Restorepoint gilt das gleiche wie zuvor
From jobs... lässt einen einen Backup Job auswählen. Es werden alle VMs in diesem ausgewählt und die Daten werden aus dem von diesem Job erzeugten Restorepoints/Repository kopiert.

Eine genauere Beschreibung findet man in der Anleitung: https://helpcenter.veeam.com/docs/backup/vsphere/backup_copy_vms.html
Zum Testen nutzen wir die Option From backups..., ich wähle hier einen Windows Domänencontroller mit knapp 20GB aus:

Als nächstes wählen wir unseren Cloud-Speicher als Target aus:

Hinweis: Wer die Daten verschlüsselt beim Veam Cloud Connect Anbieter ablegen will sollte sich den Abschnitt Backup mit Password schützen ansehen!

Im Dialog Data Transfer aktivieren wir den WAN-Accelerator:

Ist diese Option ausgegraut so erlaubt der Service Provider dies nicht.
Als nächstes können wir die Zeitfenster bestimmen in denen kopiert werden darf. Für den Test lassen wir die Option auf Any time (continuously) damit er auch gleich loslegt.
Und das war auch schon alles:

Nun etwas Geduld! Es kann zwischen wenigen Sekunden bis 5 Minuten dauern bis er anfängt. Aber fängt irgendwann an.

Wie wir sehen hat er über eine 100MBit/s Verbindung trotzdem 46MByte/s kopieren können, von den 16,4GB VM-Daten musste er nur 7,2GB Übertragen - das ist die Magie der WAN-Acceleratoren!

Backup mit Passwort schützen

Die Backupdaten liegen unverschlüsselt bei dem Veeam Cloud Connect Anbieter. Das kann man durchaus als Vorteil betrachten - denn so kann dieser bei Bedarf die Daten auslesen und zum Beispiel woanders wiederherstellen.
Das kann er aber auch wenn die Daten verschlüsselt sind - es wird dann eben zusätzlich der Schlüssel benötigt.
In diesem Fall reden wir von einem Passwort welches wir in den Job-Einstellungen setzen - und auf fremden Systemen dann zunächst eingeben müssen.

Die Verschlüsselung wird in den Job-Einstellungen beim Target unter Advanced eingerichtet:

Eventuelle Warnungen wie das Loss protection disabled stehen dort wenn das Konfigurationsbackup des Veeam-Management-Servers nicht ebenfalls durch ein Passwort geschützt ist.
Details hierzu kann man in der Anleitung nachlesen: https://helpcenter.veeam.com/docs/backup/vsphere/encryption_backup_job.html?ver=95

Ist das Backup bereits einmal gelaufen so greift die Verschlüsselung erst beim nächsten Fullbackup - ggf. also nie. Also Richtet man die Verschlüsselung am besten gleich bei der Erstellung des Backup-Jobs ein.

Wie sieht das ganze nun auf der Seite des Veeam Cloud Connect Anbieters aus?
Die Daten liegen dort als ganz normale Dateien: