Cuca Fresca IT

A garantia de portabilidade de cargas de trabalho entre diferentes plataformas de virtualização resolve apenas uma etapa da resiliência corporativa. A sustentação desse modelo depende diretamente da camada de transporte, da segregação dos repositórios e da integração com a infraestrutura de armazenamento corporativo.

Historicamente, o dimensionamento de uma infraestrutura de backup envolvia concessões operacionais relevantes. De um lado, a manutenção de sistemas operacionais de uso geral para servidores de gerenciamento e proxies trazia sobrecarga de licenciamento, ciclos contínuos de aplicação de patches e ampliação da superfície de ataque. De outro, a proteção de bancos de dados específicos e ativos de infraestrutura frequentemente dependia de rotinas manuais que exportavam arquivos para compartilhamentos de rede sem políticas de retenção imutável.

No Veeam Data Platform v13.1, a plataforma amplia a estratégia baseada em appliances Linux dedicados, integrando transporte de dados LAN-free e repositórios com imutabilidade nativa.

A Consolidação dos Appliances Linux: VSA, VIA e Observabilidade Integrada

O ecossistema de appliances atinge maior maturidade na versão 13.1 com a padronização sobre o Veeam JeOS 9.6. Essa estrutura organiza a infraestrutura Linux em níveis funcionais complementares:

Na base está o Veeam JeOS 9.6, um sistema operacional Linux minimalista (Just Enough OS) ajustado diretamente no kernel para transferências de alto volume de dados e controle de segurança. Sobre ele opera o Veeam Infrastructure Appliance (VIA), que abstrai a gestão do sistema operacional para a equipe de TI e permite o provisionamento dos papéis de infraestrutura. O VIA pode assumir o perfil de Infrastructure Server (atuando como proxy dedicado a transporte LAN-free e Direct SAN) ou o perfil de Hardened Repository (destinado ao armazenamento imutável de dados).

Na rotina operacional, três aprimoramentos técnicos estruturam esse modelo:

Primeiro, a expansão de armazenamento dinâmico agora permite adicionar discos a implantações existentes de VSA e VIA após a instalação. Essa capacidade viabiliza a ampliação de repositórios locais e a expansão de capacidade em Scale-Out Backup Repositories (SOBR) sem reconstrução do appliance.

Segundo, a camada de observabilidade passa a ser nativa no Veeam JeOS 9.6, que expõe métricas de hardware e sistema via Node Exporter para coleta por plataformas compatíveis com Prometheus e exibição em painéis Grafana. Complementarmente, o encaminhamento de eventos operacionais e logs do sistema via Syslog viabiliza a integração direta com ferramentas de SIEM.

Terceiro, a autenticação multifator (MFA) foi integrada à interface web de gerenciamento do host (Host Management Console). O processo de implantação do VSA e do VIA permite agora dispensar a exigência imediata de MFA para as contas de serviço veeamadmin e veeamso durante o setup inicial, viabilizando rotinas automatizadas de provisionamento antes da ativação do controle em produção.

Application Backup Repository (ABR): Imutabilidade para Cargas Sem Agente

Um desafio constante na gestão de infraestrutura consiste em proteger dados gerados externamente às imagens convencionais de máquinas virtuais, tais como dumps de switches, firewalls, dispositivos IoT e rotinas de exportação de bancos de dados. Em muitos ambientes corporativos, esses arquivos residem em compartilhamentos SMB ou NFS de produção desprovidos de bloqueio de escrita, ficando vulneráveis a incidentes de segurança.

O Veeam Backup & Replication v13.1 resolve essa demanda por meio do Application Backup Repository (ABR), recurso integrado ao perfil VIA em modo Hardened Repository. O repositório particiona o armazenamento de blocos local em volumes virtuais dedicados e os publica como pontos de montagem NFS para consumo direto por sistemas externos. A proteção imutável é imposta na camada do sistema de arquivos subjacente via bloqueio de snapshots (snapshot lock), sem exigir que o cliente NFS execute chamadas de API da Veeam.

Por determinação de arquitetura, os volumes geridos pelo ABR devem residir obrigatoriamente em armazenamento local diretamente conectado ao host (Direct-Attached Storage – DAS, SAS ou JBOD dedicado). Esse requisito assegura o controle estrito dos bloqueios do sistema de arquivos e a previsibilidade de desempenho de escrita.

A recuperação é atendida pelas funções de Instant Restore e Instant Export. O Instant Restore permite reverter um compartilhamento NFS completo para qualquer snapshot íntegro anterior sem reconstrução manual. O Instant Export expõe um snapshot em modo somente leitura em um caminho alternativo de rede, viabilizando auditorias e validações de dados sem interrupção da ingestão primária.

No caso de bancos de dados relacionais, o ABR fornece suporte à estratégia de Oracle RMAN Incremental Merge. A equipe de TI pode direcionar o script RMAN para fundir blocos alterados diretamente na cópia de imagem no NFS, enquanto o repositório mantém retenções imutáveis por snapshots e permite o envio secundário desses dados para disco ou fita através de tarefas de Backup Copy no formato VBK/VIB.

Conectividade Direct SAN e Transporte por Porta Única

A transferência de blocos e o controle de fluxo de rede receberam atualizações para cenários corporativos de alto desempenho:

O perfil de proxy do VIA passa a suportar modo Direct SAN sobre Fibre Channel e iSCSI, além de processamento de tarefas de Backup from Storage Snapshots (BOSS) sobre redes NVMe/FC. Essa topologia permite que o appliance leia blocos diretamente dos volumes de armazenamento corporativo primário sem transitar dados pela rede de produção e sem sobrecarregar os nós de hypervisor.

Em ambientes com microssegmentação de rede, a movimentação de dados anteriormente exigia a liberação da faixa dinâmica de portas TCP 2500 a 3300 entre servidores, proxies e repositórios. Na versão 13.1, a comunicação de transporte de dados foi consolidada em um modelo de porta única estática (Single-Port Transport), o que elimina a necessidade de faixas dinâmicas, reduz a exposição do perímetro e simplifica a manutenção de tabelas de regras em firewalls corporativos.

Integração com Armazenamento Secundário e Appliances de Deduplicação

Para ambientes que mantêm sistemas dedicados de desduplicação física, a versão 13.1 adiciona recursos operacionais específicos:

• Suporte ao Dell Data Domain Managed File Replication (MFR): tarefas de Backup Copy com DDBoost realizam a replicação entre appliances Data Domain diretamente na controladora de armazenamento, sem transferência intermediária através de um servidor gateway.
• Otimização de leitura no Data Domain: redução do número padrão de conexões simultâneas de DDBoost para 1 durante restaurações completas de VMs, o que permite à controladora otimizar o read-ahead cache e melhora a taxa de transferência em até 30%.
• Atribuição automática de portas TCP: repositórios ExaGrid, Quantum DXi, Infinidat Infiniguard e Fujitsu Eternus CS800 agora recebem a definição automática das portas de transporte na console, dispensando configuração manual de portas estáticas adicionais.
• Gerenciamento de múltiplos repositórios por Catalyst Store: a criação e o rescan de múltiplos repositórios compartilhando uma única Catalyst Store da HPE mediante subpastas agora é gerenciada diretamente na interface gráfica, sem necessidade de execução de scripts de automação

Cenário: Repositório Imutável e Conectividade SAN

Considere uma instituição financeira que mantém instâncias de bancos de dados corporativos (Oracle e PostgreSQL) associadas a múltiplos equipamentos de borda que geram exportações diárias de configuração. Os requisitos de segurança determinam a eliminação de nós Windows na camada de movimentação de dados de backup, a garantia de imutabilidade estrita e o isolamento total do tráfego de cópia fora da rede local de produção. 

A execução dessa topologia com o Veeam Data Platform v13.1 organiza-se em etapas funcionais:

1. A equipe de TI provisiona servidores dedicados executando o Veeam Infrastructure Appliance (VIA) sobre Veeam JeOS 9.6.
2. O appliance com perfil de Proxy (Infrastructure Server), conectado aos switches Fibre Channel via adaptadores HBA, executa a leitura direta dos volumes no storage primário via Direct SAN ou BOSS sobre NVMe/FC, isolando o fluxo de dados dos links de rede das VMs de produção.
3. O appliance com perfil de Hardened Repository disponibiliza o serviço ABR via NFS gerenciado para scripts de rede e comandos do Oracle RMAN.
4. Os dados gravados no ABR recebem retenção imutável imediata na camada do sistema de arquivos local baseada em disco local dedicado (DAS/JBOD), impedindo alterações mesmo por credenciais com privilégios administrativos de sistema operacional.
5. O tráfego de controle e os fluxos de movimentação de dados entre o servidor central do Veeam Backup & Replication e os appliances VIA operam sob o modelo de porta única de transporte (Single-Port Transport), atendendo a regras restritivas de segmentação interna.

Nota do Arquiteto

A adoção dos recursos de infraestrutura da versão 13.1 exige conformidade com alguns critérios de projeto:

O ABR opera estritamente no modelo opt-in. A atualização para a v13.1 não ativa o Application Backup Repository de maneira automática sobre Hardened Repositories existentes. O serviço deve ser habilitado e configurado deliberadamente a partir do Host Management Console.

Há uma restrição mandatória quanto ao tipo de armazenamento para o ABR. Enquanto um Hardened Repository tradicional pode utilizar LUNs remotas via Fibre Channel ou iSCSI para armazenar cadeias convencionais (.vbk e .vib), o ABR exige armazenamento estritamente local (Direct-Attached Storage – DAS, controladoras SAS ou JBOD local) para assegurar o gerenciamento direto dos bloqueios e snapshots no sistema de arquivos do host.

O planejamento de janelas deve considerar a concorrência de I/O em rotinas de banco de dados. Em ambientes com Oracle Incremental Merge sobre ABR, os agendamentos de snapshots do repositório não devem colidir com a execução da consolidação do RMAN, evitando contenções de escrita no compartilhamento NFS.

A homologação prévia de multipathing é necessária no modo Direct SAN. Antes de ativar o perfil de Proxy em modo Direct SAN sobre Fibre Channel ou iSCSI, a equipe de TI deve validar a configuração de multipathing do storage junto ao kernel do Veeam JeOS 9.6 sob carga de trabalho simulada.

Por que Avaliar a Atualização para o Veeam Data Platform 13.1?

A atualização para o Veeam Data Platform v13.1 consolida a transição da infraestrutura de proteção de dados para um modelo baseado em appliances Linux especializados.

A integração de transporte Direct SAN em nós Linux, a comunicação unificada por porta única de transporte e a disponibilidade do Application Backup Repository para cargas desprovidas de agentes permitem que a equipe de TI elimine dependências de sistemas operacionais de uso geral na camada de dados. Essa abordagem assegura imutabilidade nativa desde o ponto de ingestão, simplifica as regras de rede corporativa e reduz a sobrecarga de manutenção da infraestrutura de backup.

Reflexão

• Os repositórios de dados da sua infraestrutura mantêm isolamento de credenciais e garantia de imutabilidade local, ou ainda dependem de sistemas operacionais de uso geral associados a domínios corporativos?
• As rotinas de exportação de bancos de dados e backups de equipamentos de rede possuem a mesma proteção imutável das máquinas virtuais, ou continuam gravadas em compartilhamentos de rede desprotegidos?

No Próximo Artigo

No próximo artigo da série, avançamos da camada de transporte e repositórios para o ativo mais visado em ataques corporativos: a infraestrutura de identidade.

Discutiremos como o Veeam Data Platform v13.1 transforma a recuperação de desastres no Active Directory e no Entra ID ao substituir runbooks manuais de mais de 40 etapas por fluxos totalmente automatizados de recomposição de floresta. Além disso, analisaremos a introdução de criptografia pós-quântica e os novos controles de governança e imutabilidade.

Fontes

https://www.veeam.com/veeam_backup_13_1_whats_new_wn.pdf

https://helpcenter.veeam.com/docs/vbr/userguide/deploy_abr.html?ver=