Proxmox Backup Server 4.2 — Sách hướng dẫn toàn tập

Proxmox Backup Server (PBS) là giải pháp backup enterprise-class theo mô hình client–server, dùng để sao lưu máy ảo (VM), container và physical host. Được tối ưu đặc biệt cho nền tảng Proxmox Virtual Environment (PVE), cho phép sao lưu an toàn kể cả giữa các site từ xa, quản trị dễ dàng qua web interface. Hỗ trợ deduplication, compression và authenticated encryption (AE). Phần lớn được viết bằng Rust để đạt hiệu năng cao, dùng ít tài nguyên, mã nguồn an toàn & chất lượng. Mọi giao tiếp client–server đều qua TLS; dữ liệu có thể được mã hóa phía client trước khi gửi đi → an toàn ngay cả với target không đáng tin.

Mô hình client–server

Lý do phải backup dữ liệu

• Mục đích chính: chống mất dữ liệu do hỏng phần cứng hoặc lỗi con người (xóa nhầm file/VM — ảo hóa khiến việc xóa cả VM dễ như bấm nút).
• Là bộ công cụ hữu ích để lưu tạm dữ liệu; thông lệ: full backup trước khi cài update lớn → có sự cố thì rollback.
• Yêu cầu pháp lý: một số dữ liệu (đặc biệt hồ sơ doanh nghiệp) phải lưu an toàn trong nhiều năm.
• Mất dữ liệu rất tốn kém → backup định kỳ VÀ chạy restore test thường xuyên.

Software Stack

Khuyến nghị dùng phần cứng server chất lượng cao khi chạy production. Để giảm rủi ro khi một host hỏng, có thể thiết lập đồng bộ datastore incremental định kỳ giữa các PBS instance với nhau.

Trình duyệt hỗ trợ web GUI: Firefox (bản trong năm hoặc ESR mới nhất), Chrome (bản trong năm), Microsoft Edge (bản đang hỗ trợ), Safari (bản trong năm).

Tải ISO tại https://www.proxmox.com/downloads. ISO là hybrid image: vừa ghi ra DVD, vừa copy ra USB (khuyến nghị — nhanh & sẵn có). USB cần ≥ 2 GB.

# Tìm đúng tên thiết bị USB:
lsblk   # chạy trước & sau khi cắm USB
# Hoặc so sánh output dmesg

# Ghi ISO ra USB (cần quyền root):
dd bs=1M conv=fdatasync \
   if=./proxmox-backup-server_*.iso \
   of=/dev/XYZ

# Convert ISO → DMG:
hdiutil convert proxmox-*.iso \
  -format UDRW -o proxmox.dmg

diskutil list        # tìm /dev/diskX
diskutil unmountDisk /dev/diskX
sudo dd if=proxmox.dmg bs=1M \
   of=/dev/rdiskX

ISO gồm: installer (phân vùng đĩa với ext4/xfs/ZFS + cài OS), Debian Linux 64-bit, Proxmox kernel có ZFS, toàn bộ toolset & web GUI. Dữ liệu trên đĩa đích sẽ bị ghi đè; installer không thêm menu boot cho OS khác.

Menu boot của bộ cài

8 bước trong wizard

Cấu hình trong /etc/apt/sources.list hoặc file .list/.sources trong /etc/apt/sources.list.d/. Hai định dạng: single-line (file .list) và deb822 (file .sources, nhiều stanza). Debian Trixie khuyến nghị dùng deb822 — hiện đại hóa bằng apt modernize-sources.

# /etc/apt/sources.list.d/pbs-enterprise.sources
Types: deb
URIs: https://enterprise.proxmox.com/debian/pbs
Suites: trixie
Components: pbs-enterprise
Signed-By: /usr/share/keyrings/proxmox-archive-keyring.gpg

# /etc/apt/sources.list.d/proxmox.sources
Types: deb
URIs: http://download.proxmox.com/debian/pbs
Suites: trixie
Components: pbs-no-subscription
Signed-By: /usr/share/keyrings/proxmox-archive-keyring.gpg

# thêm stanza vào proxmox.sources
Types: deb
URIs: http://download.proxmox.com/debian/pbs
Suites: trixie
Components: pbs-test
Signed-By: /usr/share/keyrings/proxmox-archive-keyring.gpg

# Debian 13 Trixie — /etc/apt/sources.list.d/pbs-client.sources
Types: deb
URIs: http://download.proxmox.com/debian/pbs-client
Suites: trixie
Components: main
Signed-By: /usr/share/keyrings/proxmox-archive-keyring.gpg
# Debian 12/11/10 (single-line .list):
# deb http://download.proxmox.com/debian/pbs-client bookworm main

SecureApt — cài verification key (khi cài trên Debian)

# Tải & cài key cho bản Proxmox nền Trixie:
wget https://enterprise.proxmox.com/debian/proxmox-archive-keyring-trixie.gpg \
  -O /usr/share/keyrings/proxmox-archive-keyring.gpg

# Kiểm tra checksum:
sha256sum /usr/share/keyrings/proxmox-archive-keyring.gpg
# = 136673be77aba35dcce385b28737689ad64fd785a797e57897589aed08db6e45
md5sum /usr/share/keyrings/proxmox-archive-keyring.gpg
# = 77c8b1166d15ce8350102ab1bca2fcbf

Cài từ ISO thì key có sẵn. Path phải khớp dòng Signed-By: trong stanza. Sau khi gói proxmox-archive-keyring quản lý file này, checksum có thể thay đổi (bình thường — đừng sửa tay).

Backup Content — các loại nội dung trong 1 backup

GUI xây trên ExtJS 6.x, chạy trên TLS, hỗ trợ nhiều realm xác thực & đa ngôn ngữ. Đăng nhập tại https://<ip>:8007. Có thể bật Consent Banner (văn bản cảnh báo trước đăng nhập) tại Configuration → Other → General → Consent Text (lưu base64 trong /etc/proxmox-backup/node.cfg).

11.1 Quản lý đĩa

# Liệt kê đĩa & xem SMART:
proxmox-backup-manager disk list
proxmox-backup-manager disk smart-attributes sdX

# Khởi tạo GPT:
proxmox-backup-manager disk initialize sdX

# Tạo filesystem ext4 + thêm luôn thành datastore:
proxmox-backup-manager disk fs create store1 --disk sdX \
  --filesystem ext4 --add-datastore true

# Tạo ZFS pool (mirror):
proxmox-backup-manager disk zpool create zpool1 \
  --devices sdX,sdY --raidlevel mirror

11.2 Datastore

Datastore là nơi lưu backup, cấu hình tại /etc/proxmox-backup/datastore.cfg. Bên trong có file .lock và thư mục .chunks/ (các thư mục hex 0000–ffff chứa chunk). Filesystem phải chịu được ≥ 65.538 thư mục con (2¹⁶ chunk namespace + . & ..).

# Tạo datastore (GUI: Datastore → Add Datastore):
proxmox-backup-manager datastore create store1 /backup/disk1/store1
proxmox-backup-manager datastore list
proxmox-backup-manager datastore show store1

# Đặt lịch Garbage Collection:
proxmox-backup-manager datastore update store1 --gc-schedule 'Tue 04:27'

# mount tại /mnt/datastore/<name>
proxmox-backup-manager datastore \
  unmount store1

... s3 endpoint create my-s3-ep \
  --access-key '...' --secret-key '...' \
  --region eu-central-1
... datastore create my-s3 /mnt/.../cache \
  --backend type=s3,client=my-s3-ep,bucket=...

Namespaces & Tuning options

# Di chuyển group / namespace giữa các namespace:
proxmox-backup-client group move <type>/<id> --ns <src> --target-ns <dst> --repository <repo>

# Tuning datastore (hiệu năng/an toàn ghi):
proxmox-backup-manager datastore update store1 \
  --tuning 'sync-level=filesystem,chunk-order=inode'

• Access management chặt: mỗi host/cluster dùng API token riêng, cấp quyền tối thiểu (vd chỉ trên /datastore/tank/pve-abc-cluster). Sync job cấu hình không xóa snapshot khi nguồn biến mất.
• Ransomware Detection: restore test định kỳ + verify job kiểm tra checksum SHA-256.
• Best practices: cập nhật firmware/phần mềm (vá Spectre/Meltdown); mạng an toàn (logging, monitoring, VLAN); giữ backup dài hạn (nhiều tuần/tháng) để tránh ransomware ngủ đông chỉ còn bản đã nhiễm.

User lưu tại /etc/proxmox-backup/user.cfg. Superuser mặc định là root@pam. Có 5 realm: pam, pbs (Proxmox Backup auth server), openid, ldap, ad (Active Directory).

# Tạo user & API token:
proxmox-backup-manager user create john@pbs --email [email protected]
proxmox-backup-manager user generate-token john@pbs client1
# → tạo token id  john@pbs!client1 ; SECRET chỉ hiện MỘT LẦN, lưu ngay!

# Gán quyền (ACL) & xem quyền hiệu lực:
proxmox-backup-manager acl update /datastore/store1 DatastoreBackup --auth-id john@pbs
proxmox-backup-manager acl list
proxmox-backup-manager user permissions john@pbs

Access Roles (14 vai trò dựng sẵn)

14.1 Repository & biến môi trường

Định dạng repo: [[user@]server[:port]:]datastore (vd root@[email protected]:8007:store1). Đặt sẵn để khỏi gõ lại:

export PBS_REPOSITORY="root@[email protected]:store1"
export PBS_PASSWORD="..."              # mật khẩu / secret token
export PBS_FINGERPRINT="64:d3:ff:..."    # vân tay cert server
export PBS_ENCRYPTION_PASSWORD="..."    # mật khẩu key mã hóa

14.2 Tạo backup · loại trừ · mã hóa

# Backup thư mục thành file archive (.pxar) — kiểu host:
proxmox-backup-client backup root.pxar:/ --repository store1

# Backup ổ đĩa dạng block (.img) & nhiều archive cùng lúc:
proxmox-backup-client backup data.img:/dev/sdb etc.pxar:/etc

# Loại trừ file/thư mục: dùng .pxarexclude hoặc --exclude
# .pxarexclude hỗ trợ glob: *  **  ?  []  ! (phủ định)  / (neo thư mục)

# Change Detection Mode (backup file): legacy | data | metadata
#   metadata: chỉ đọc lại file có metadata đổi → nhanh nhất (tách mpxar/ppxar)

# Mã hóa phía client AES-256-GCM — tạo key rồi backup có --keyfile:
proxmox-backup-client key create ./enc.key
# key mặc định: ~/.config/proxmox-backup/encryption-key.json
proxmox-backup-client backup root.pxar:/ --keyfile ./enc.key --crypt-mode encrypt

# Master key (RSA) — thu hồi/khôi phục key mã hóa; in paperkey (QR) để cất giữ:
proxmox-backup-client key create-master-key
proxmox-backup-client key paperkey ./enc.key --output-format text

14.3 Khôi phục · mount · quản lý

# Liệt kê snapshot & restore:
proxmox-backup-client snapshot list
proxmox-backup-client restore host/mymachine/2024-01-01T00:00:00Z root.pxar /target/
# restore ra stdout dùng dấu -   (vd đổ vào ổ đĩa)

# Restore tương tác (catalog shell): cd, ls, find, restore-selected, restore --pattern
proxmox-backup-client catalog shell <snapshot> root.pxar

# Mount archive qua FUSE (đọc trực tiếp không cần restore hết):
proxmox-backup-client mount <snapshot> root.pxar /mnt/xxx

# Prune (giữ theo chính sách) · GC · benchmark · đổi chủ sở hữu:
proxmox-backup-client prune host/mymachine --keep-daily 7 --keep-weekly 4 --dry-run
proxmox-backup-client garbage-collect
proxmox-backup-client benchmark
proxmox-backup-client change-owner host/mymachine john@pbs

pvesm add pbs my-pbs \
  --server 192.168.1.10 \
  --datastore store1 \
  --username root@pam \
  --password \
  --fingerprint 64:d3:ff:...

Lấy fingerprint trên PBS: proxmox-backup-manager cert info | grep Fingerprint hoặc Dashboard → Show Fingerprint.

pxar tạo & thao tác archive định dạng Proxmox File Archive (độc lập, không cần server).

# Tạo archive (loại trừ theo pattern kiểu gitignore):
pxar create archive.pxar /source --exclude '*.tmp'

# Giải nén (có thể chỉ 1 phần với --pattern / --files-from):
pxar extract archive.pxar /target --pattern 'etc/**'

# Liệt kê nội dung & mount:
pxar list archive.pxar
pxar mount archive.pxar /mnt/point

Chuẩn LTO (Ultrium): bền ~30 năm, ~12 TB/cartridge, media "nguội" cất off-site được, có sẵn engine mã hóa AES-GCM phần cứng. Hỗ trợ LTO-5 trở lên (LTO-4 best-effort). PBS dùng driver tape riêng viết bằng Rust — không dùng driver tape của kernel Linux. LTO-8 đọc/ghi tới ~360 MB/s (đầy 1 tape 12TB tối thiểu ~9 giờ). Dữ liệu PBS đã nén nên không bật nén của tape.

Quick Start & cấu hình

# 1) Cấu hình phần cứng (changer nếu có library, rồi drive):
proxmox-tape changer scan
proxmox-tape changer create sl3 --path /dev/tape/by-id/scsi-CC2C52
proxmox-tape drive scan
proxmox-tape drive create mydrive --path /dev/tape/by-id/scsi-12345-sg
proxmox-tape drive update mydrive --changer sl3 --changer-drivenum 0

# 2) Tạo media pool (allocation + retention):
proxmox-tape pool create daily
proxmox-tape pool update daily --allocation daily --retention 7days

# 3) Dán nhãn tape (standalone hoặc cả library):
proxmox-tape label --changer-id <label> --pool daily
proxmox-tape barcode-label --pool daily

# 4) Tạo & chạy backup job:
proxmox-tape backup-job create job2 --store vmstore1 --pool daily --drive mydrive --schedule daily
proxmox-tape backup-job run job2

Mã hóa · Restore · Disaster Recovery

# Tạo/khôi phục key mã hóa tape (mật khẩu → khôi phục được key):
proxmox-tape key create --hint "tape pw 2020"
proxmox-tape key restore            # nạp lại key từ tape

# Xem nội dung & restore cả media set (hoặc 1 snapshot):
proxmox-tape media content
proxmox-tape restore <media-set-uuid> mystore
# Restore catalog từ tape khi mất DB:  proxmox-tape catalog

Remote = một PBS khác + user; lưu tại /etc/proxmox-backup/remote.cfg. Sync Job mặc định kéo (pull) nội dung remote về local (có thể đẩy — push). Chỉ truyền delta → hiệu quả cho offsite (chuẩn 3-2-1).

# Thêm remote (lấy fingerprint từ remote trước):
proxmox-backup-manager cert info | grep Fingerprint   # chạy trên remote
proxmox-backup-manager remote create pbs2 --host pbs2.mydomain.example \
  --auth-id sync@pam --password 'SECRET' --fingerprint 64:d3:ff:...

# Tạo & chạy sync job (pull):
proxmox-backup-manager sync-job create pbs2-local --remote pbs2 \
  --remote-store local --store local --schedule 'Wed 02:30'
proxmox-backup-manager sync-job run pbs2-local

# Xóa snapshot đã biến mất ở remote · giới hạn băng thông:
... sync-job update <id> --remove-vanished --rate-in 20MiB

19.1 Pruning (giữ lại theo chính sách)

Prune chỉ xóa metadata snapshot (chunk vẫn còn tới khi GC chạy). Các tùy chọn xử lý theo thứ tự:

19.2 Garbage Collection (giải phóng dung lượng)

GC theo cơ chế mark & sweep 2 pha: Mark đọc mọi index, cập nhật atime chunk đang dùng; Sweep xóa chunk có atime cũ hơn mốc (mốc = writer backup cũ nhất, hoặc 24h05m trước khi GC chạy). Grace period 24 giờ (do relatime). Khuyến nghị lịch hằng tuần.

proxmox-backup-manager garbage-collection start store1
proxmox-backup-manager garbage-collection status store1
# Đặt/huỷ lịch:
proxmox-backup-manager datastore update store1 --gc-schedule 'daily'
proxmox-backup-manager datastore update store1 --delete gc-schedule

proxmox-backup-manager verify store1 \
  --read-threads 1 --verify-threads 4 \
  --ignore-verified false

# read-only | offline
proxmox-backup-manager datastore \
  update store1 --maintenance-mode offline

PBS dựa trên Debian → mọi thao tác quản trị Debian đều áp dụng.

20.1 ZFS on Linux

# Tạo pool & dataset, xem trạng thái:
zpool create -f -o ashift=12 <pool> mirror /dev/sdX /dev/sdY
zpool status ; zfs create <pool>/data ; zfs set compression=lz4 <pool>

# Giới hạn ARC (RAM) — vd 8 GiB, đặt trong /etc/modprobe.d/zfs.conf:
options zfs zfs_arc_max=8589934592   # 8 * 2^30 = 8 GiB

Thêm cache/log device: zpool add <pool> log <ssd> / cache <ssd>. RAM nên có ~4GB + 1GB/1TB raw. HDD datastore rất nên có special device mirror chứa metadata.

# Đồng bộ ESP, quản lý kernel:
proxmox-boot-tool status
proxmox-boot-tool refresh
proxmox-boot-tool kernel list
proxmox-boot-tool kernel pin <ver>

# Mặc định self-signed; hoặc dùng ACME
# Configuration → Certificates → ACME
# challenge http-01 hoặc dns-01 (wildcard)
# tự động gia hạn; hoặc upload cert tùy chỉnh
proxmox-backup-manager cert info

20.4 Metrics & Daemons & CLI tools

External metric server: InfluxDB (HTTP & UDP plugin). Daemon: proxmox-backup-proxy (nghe TCP 8007) & proxmox-backup (nội bộ 127.0.0.1:82).

# Cấu hình interface/bond/VLAN/bridge (GUI hoặc CLI), rồi apply:
proxmox-backup-manager network create vmbr0 --type bridge ...
proxmox-backup-manager network changes    # xem thay đổi đang chờ
proxmox-backup-manager network reload      # áp dụng

# Traffic Control — giới hạn băng thông theo mạng & khung giờ (Token Bucket):
proxmox-backup-manager traffic-control create rule0 \
  --network 192.168.1.0/24 --rate-in 50MiB --rate-out 50MiB --timeframe 'mon..fri 8-17'

Đổi tên thiết bị mạng cố định: file systemd .link hoặc proxmox-network-interface-pinning generate.

Mô hình: Events → Matchers → Targets. Sự kiện (gc, prune, sync, verification, tape-backup, package-updates, acme...) khớp matcher (theo calendar / field / severity) rồi gửi tới target.

Datastore cấu trúc <root>/<type>/<id>/<time>/. Dữ liệu chia thành chunk, snapshot chỉ tham chiếu chunk (index) → nhiều snapshot dùng lại chunk giống nhau = deduplication.