W ostatnim czasie miałem kilka dyskusji czy dla wersji VBR v13 wybrać instalacje na Windowsie czy Linuxie. Przyjrzyjmy się zatem wszystkim plusom i minusom każdego wariantu. Skupię się tu głównie na różnicach pomiędzy takimi instalacjami.
Windows
Wersja VBRa Windowsowa istnieje od samego początku. Oparta jest o biblioteki .NETa i przez te kilkanaście lat jest to już wygrzana/dojrzała wersja Veeama, w której dawno pozbyliśmy się błędów wieku dziecięcego.
Zalety VBRa na Windowsie:
- aktualizacja z v12 (i wcześniejszych wersji) – najmniej inwazyjna opcja podniesienia się do v13, jeżeli mamy już infrastrukturę backupową i nie chcemy jej za bardzo zmieniać.
- dwie opcje baz danych – MS SQL (SQL Express był domyślną bazą do v11) i Postgres (domyślna od v12). Oba warianty pozwalają na instalację bazy lokalnie na backup serwerze lub na zdalnej maszynie (np. na centralnym MS SQLu zarządzanym przez bazodanowców). Jeżeli ktoś historycznie ma jeszcze bazę opartą o SQL Expressa to warto rozważyć migracje do Postgresa – pozbywamy się ograniczeń darmowego SQLa (np. maksymalny rozmiar bazy 10GB) – szczegóły migracji opisane są tutaj
- licencjonowanie na procesory – tak – Windowsowy VBR jest jedyną opcją, jeżeli chcemy używać licencji procesorowej (również niższych edycji Standard lub Enterprise). Wersja linuxowa obsługuje tylko licencje VUL.
- dojrzała architektura – najmniej ograniczeń i obejść. Najłatwiej przyswajalna dla adminów Windowsowych. Pracują z produktem, którego podstawą jest znana od lat platforma i cały ekosystem (AD, GPO, Windows update’y, …). Każdy ją zna i wie czego się po nie spodziewać.
- łatwa nauka środowiska
- pełna integracja z:
- pluginami storage (np. do backupów z macierzowych snapshotów) – Nasz appliance linuxowy może jeszcze nie mieć wszystkich pluginów do integracji z macierzami. Development tych pluginów jest niezależny od Veeam’a – to vendorzy macierzowi przygotowują te pluginy, więc to od nich zależy czy i kiedy będzie wersja linuxowa ich pluginu.
- narzędziami firm trzecich – antywirusy, monitoring, inne
- wersja Community istnieje tylko w wersji Windowsowej
Wady VBRa w wersji Windowsowej:
- słabsze bezpieczeństwo „out of the box” – w Windowsach brakuje wielu natywnych rozwiązań typu immutability, wiele opcji obniżających bezpieczeństwo jest też domyślnie aktywna w wielu instalacjach np. aktywne RDP czy wyłączony wbudowany firewall. Samemu trzeba zadbać o hardening takiego serwera. Na pewno pomocą może tu być artykuł KB4525 Często taki serwer ma też instalowane dodatkowe role które zwiększają podatność na ataki.
- częstsze CVE dla komponentów systemowych
- wymagana dodatkowa licencja na Windowsa
- częstsze patche i restarty
Linux
VBR na Linuxie - już sam ten zwrot jest pewnego rodzaju skrótem myślowym – bo tak naprawdę jest to appliance softwarowy – Veeam Software Appliance (VSA), więc trzeba trochę zmienić podejście i nie traktować go jak „klasyczny serwer”. Nie dostajemy paczek RPMów czy DEBów do instalacji. Typ systemu operacyjnego nie ma tu znaczenia – podobnie jak nie interesuje nas jaki OS obsługuje entertainment na pokładzie samochodu – można powiedzieć, że to Just Enough OS - JeOS. A wracając do samego Linuxa to w ramach appliance’a użyty jest Rocky Linux – więc appliance może być również instalowany jako fizyczny serwer – który jest na liście kompatybilności sprzętowej RedHata. W procesie instalacji VSA jest kilka prostych pytań typu nazwa hosta, ustawienia sieciowe, serwer czasu, hasła administratora i security oficera.
Zalety VSA:
- projektowany jako „secure by default” – mamy tu między innymi wbudowane repozytorium typu immutability, zablokowane SSH, Security Oficer potwierdzający krytyczne operacje, wymuszone MFA i wiele innych
- administrator backupu nie jest adminem Linuxa - root nie jest mu potrzebny
- wiele funkcji bezpieczeństwa zostało zaimplementowanych zgodnie z DISA STIG – mamy zatem gotowy hardening serwera
- brak licencji na system operacyjny
- wszystkimi aktualizacjami (komponenty Veeam, system operacyjny, pozostałe aplikacje wspierające) zajmuje się Veeam - schodzi nam z głowy ogrom prac przy ogarnianiu updateów
- klaster HA parujący dwa appliance - ta opcja jest tylko na VSA
Wady VSA:
- błędy „wieku dziecięcego” – na pewno przez jakiś czas będzie co optymalizować pod kątem wydajnościowym
- mniej opcji konfigurowalnych z poziomu systemu operacyjnego - bo nie mamy do niego klasycznego dostępu
- czasami może być wymagana znajomość Linuxa – chociaż sam koncept appliance’a i zaimplementowane opcje Veeamowe minimalizują konieczność posiadania wiedzy Linuxowej do minimum, to jednak z skrajnych sytuacjach, np podczas troubleshoutingu, trzeba zajrzeć do shella
- brak wsparcia dla licencji procesorowej - Jeżeli ktoś chce pozostać przy licencji procesorowej to musi pozostać przy Windowsowym VBRze
- skomplikowana migracja z poprzednich (Windowsowych) wersji Veeama do VSA. Można się zarejestrować do takiej migracji tutaj. Wymaga to udziału supportu. Prościej stworzyć wszystkie joby od zera.
- brak niektórych pluginów
- macierzowych – trochę zajmie zanim vendorzy macierzowi dopiszą linuxowe wersje pluginów
- integrujących z dodatkowymi technologiami – np. w v13.0.1 nie ma jeszcze pluginu integrującego z Veeam Backup for Google albo z KVM oVirtowym. Pluginy te pojawią się, lecz w późniejszym czasie.
- brak możliwości doinstalowania dodatkowych aplikacji (monitoring, antywirusy, security, …) – monitoring jest możliwy tylko poprzez Veeam ONE’a i poprzez narzędzia typu out-of-band server management (np. iLO, iDRAC, …)
- brak uprawnień roota powoduje, że role backpowe wymagające tego uprawnienia (np. tape serwer lub proxy serwer SANowe lub HotAddowe) muszą być instalowane na dodatkowej maszynie.
Podsumowując każdy znajdzie swoje argumenty za jedną lub drugą platformą. Myślę, że dla nowych instalacji VSA będzie ciekawszym wyborem ze względu na wyższe bezpieczeństwo. Jeżeli ktoś się boi Linuxa lub chce pozostać przy licencjach procesorowych Windowsowy VBR będzie właściwym wyborem. Pamiętajmy też, że backup serwer to nie wszystko. Mamy też inne role (proxy, repozytoria, tape serwer, mount serwer, …). Tu kombinacja Windowsów i Linuxów jest dowolna. VSA może używać Windowsowych proxy, repozytoria i odwrotnie, Windowsowy VBR może używać Linuxowych proxy i repozytoria. Wszystkie role są dostępne na obu platformach: Windows i Linux.
Pewną niedogodnością Linuxowego backup serwera może być też Windowsowa konsola, którą musimy użyć aby skonfigurować wszystkie dostępne funkcje. A wszystko do czasu aż webowa konsola nie uzyska wszystkich funkcji obecnych w .NETowej konsoli.
