Bước 1 Tạo VM trong vSphere Client

Bước 2 Boot VIA ISO — Cài Đặt Tự Động

Mount VIA ISO vào VM (download từ Veeam ISO Repository). Boot VM và chờ GRUB menu xuất hiện:

┌─────────────────────────────────────────────────────┐
│         VEEAM INFRASTRUCTURE APPLIANCE v13          │
│                                                     │
│  [1] Veeam Infrastructure Appliance    ← CHỌN CÁI NÀY
│  [2] Veeam Hardened Repository         ← Dùng cho Repo
│  [3] Boot from local disk                           │
│                                                     │
│  (*) Tự động cài trong 5-7 phút, không cần internet │
│  (*) Rocky Linux 9, UEFI required                   │
│  (*) Disk 1 sẽ được partition/format tự động        │
└─────────────────────────────────────────────────────┘

Sau khi chọn [1]:
→ Kernel loading...
→ Anaconda installer chạy tự động (không cần tương tác)
→ Rocky Linux 9 được cài trên /dev/sda
→ Veeam agent, certificates tự động provisioned
→ System reboot sau ~6 phút
→ Console hiện: "Veeam Infrastructure Appliance ready"
            

Bước 3 Initial Configuration Wizard (qua HTTPS:10443)

Truy cập https://<dhcp-ip>:10443 từ máy quản trị, chấp nhận self-signed certificate, hoàn thành wizard:

Bước 4 Thêm vào VBR — Certificate-Based Authentication (v13 Mới)

# Quy trình trong VBR Console:
VBR Console
  → Backup Infrastructure
    → Managed Servers
      → Add Server
        → Linux Server

# Điền thông tin:
DNS Name: veeam-proxy-01.domain.local   ← FQDN (không dùng IP)
Port: 10443

# Authentication: ← PHẦN THAY ĐỔI TRONG v13
  [×] SSH credentials (v12 cũ)
  [✓] Certificate-based authentication  ← CHỌN CÁI NÀY

# Veeam sẽ fetch certificate từ appliance và hiển thị fingerprint:
Certificate Details:
  Subject: CN=veeam-proxy-01.domain.local
  Thumbprint: AA:BB:CC:DD:EE:FF:...
  Valid until: 2026-05-03 (auto-renews)

# XÁC NHẬN fingerprint khớp với hiển thị trên Host Management UI:
  → Trên proxy: https://veeam-proxy-01.domain.local:10443
    → About → Certificate Fingerprint: AA:BB:CC:DD:EE:FF

# Nếu fingerprint khớp → Click "Connect"
# Connection established automatically ← không cần nhập password
            

Bước 5 Gán Backup Proxy Role & Cấu Hình Transport Mode

VBR Console
  → Backup Infrastructure
    → Backup Proxies
      → Add VMware Backup Proxy

# Wizard settings:
Server: veeam-proxy-01.domain.local (đã add ở Bước 4)

Transport mode: Virtual appliance (HotAdd)
  ← Proxy đọc data trực tiếp từ datastore, bypass network
  ← Yêu cầu proxy và VM cùng cluster hoặc shared datastore

Max concurrent tasks: 8
  ← Bằng số vCPU (1 task = 1 vCPU optimally utilized)
  ← Tăng lên 12-16 nếu vCPU = 16, nhưng monitor CPU/RAM trước

[✓] Failover to network mode if HotAdd unavailable
  ← Safety net: nếu HotAdd fail (VM không trên cùng datastore),
     proxy tự động dùng network mode thay vì fail backup job
  ← Log warning khi failover xảy ra → kiểm tra placement issue

Connected datastores:
  ← VBR tự động scan và list datastores proxy có thể access
  ← Verify: tất cả production datastores phải xuất hiện ở đây
            

Thực hiện đúng 5 bước như Phần 1, chỉ thay đổi các thông số sau:

Bước 1 Tạo VM trong vSphere Client

Công thức tổng quát:
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
Data Disk Size = (daily_change_GB × retention_days × 1.2)
               + full_backup_GB
               + 20% overhead cho block generation

Ví dụ thực tế (môi trường 200 VMs):
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
  Full backup tổng cộng : 5,000 GB (5 TB)
  Daily change rate     :   500 GB (10% của 5TB — typical cho production)
  Retention period      :    30 ngày

  = (500 × 30 × 1.2) + 5,000
  = 18,000 + 5,000
  = 23,000 GB

  + 20% block generation overhead:
  = 23,000 × 1.20 = 27,600 GB ≈ 27.6 TB

Kết luận: Provision ≥ 28 TB data disk cho scenario này.

Điều chỉnh theo môi trường:
  - Change rate cao (>15%): nhân thêm hệ số 1.3 thay vì 1.2
  - Dùng dedup: nhân với 0.7 (dedup ratio ~1.5:1 cho VMDKs)
  - Retention 14 ngày: (500×14×1.2)+5,000 = 13,400 GB ≈ 14 TB
                

Bước 2 Boot VIA ISO → Chọn "Veeam Hardened Repository"

# Tại GRUB menu, chọn option [2] — KHÁC với proxy:
┌─────────────────────────────────────────────────────┐
│         VEEAM INFRASTRUCTURE APPLIANCE v13          │
│                                                     │
│  [1] Veeam Infrastructure Appliance                 │
│  [2] Veeam Hardened Repository         ← CHỌN CÁI NÀY
│  [3] Boot from local disk                           │
└─────────────────────────────────────────────────────┘

# Option [2] sẽ:
  → Cài Rocky Linux với hardened kernel parameters
  → Disable unnecessary services (NetworkManager, firewalld modified)
  → Enable XFS tools và Veeam Immutability module
  → Tạo veeamadmin user với sudo restricted
  → Expose management port 10443 ONLY

# QUAN TRỌNG: Data disk KHÔNG được format trong quá trình cài.
# Bạn sẽ format thủ công ở Bước 3 để đảm bảo reflink=1 được bật.
            

Bước 3 — CRITICAL Format Data Disk as XFS với Reflink (Bắt Buộc)

# Bước 3.1 — Xác định data disk (KHÔNG phải system disk)
# SSH tạm thời hoặc qua Host Management → Terminal
lsblk

# Output mong đợi:
# NAME   MAJ:MIN RM  SIZE RO TYPE MOUNTPOINT
# sda      8:0   0  120G  0 disk            ← System disk (OS)
#   sda1   8:1   0  100G  0 part /
#   sda2   8:2   0   20G  0 part /var
# sdb      8:16  0   28T  0 disk            ← DATA DISK ← DÙNG CÁI NÀY
#   ← CHƯA có partition, chưa có mountpoint → đây là disk cần format

# Bước 3.2 — Tạo GPT partition table và partition
parted /dev/sdb mklabel gpt
parted /dev/sdb mkpart primary xfs 0% 100%
# Confirm với 'y' khi được hỏi

# Bước 3.3 — Format XFS với reflink ENABLED (CRITICAL)
mkfs.xfs -m reflink=1 -b size=4096 /dev/sdb1
# Tham số giải thích:
#   -m reflink=1  → Enable reflink copy-on-write (BẮT BUỘC cho block generation)
#   -b size=4096  → 4KB block size (recommended cho Veeam workloads)

# Output mong đợi khi format thành công:
# meta-data=/dev/sdb1  isize=512    agcount=8, ...
# data     =           bsize=4096   blocks=..., imaxpct=25
# naming   =version 2  bsize=4096   ascii-ci=0, ftype=1
# log      =internal log bsize=4096
# realtime =none       extsz=4096

# Bước 3.4 — Xác minh reflink đã được bật (QUAN TRỌNG)
xfs_info /dev/sdb1 | grep reflink
# KẾT QUẢ MONG ĐỢI (phải có reflink=1):
# ftype=1,reflink=1,rmapbt=1,bigtime=1,inobtcount=1,nrext64=0

# Nếu output hiển thị reflink=0 hoặc reflink không có → DỪNG LẠI
# Format lại: mkfs.xfs -f -m reflink=1 -b size=4096 /dev/sdb1

# Bước 3.5 — Mount vĩnh viễn
mkdir -p /backups
echo "/dev/sdb1 /backups xfs defaults 0 0" >> /etc/fstab
mount -a

# Bước 3.6 — Xác minh mount
df -h /backups
# Output: /dev/sdb1    28T   200M   28T   1% /backups
            

Bước 4 Thêm vào VBR as Hardened Repository

VBR Console
  → Backup Infrastructure
    → Backup Repositories
      → Add Backup Repository

# Step 1 — Chọn loại repository:
  [×] Direct attached storage       ← Không chọn
  [×] Network attached storage      ← Không chọn
  [✓] Hardened Repository           ← CHỌN CÁI NÀY (không phải "Linux")

# QUAN TRỌNG: Phải chọn "Hardened Repository", không phải "Linux Server"
# Nếu chọn "Linux Server", Veeam sẽ không kích hoạt
# immutability features và xattr locking.

# Step 2 — Server details:
  Server: veeam-repo-01.domain.local   ← FQDN
  Port: 10443

# Step 3 — Authentication:
  [✓] Certificate-based (tự động detect vì đây là JeOS appliance)

# Step 4 — Repository settings:
  Path: /backups                      ← Mountpoint từ Bước 3
  Max concurrent tasks: 8             ← Tùy thuộc vào backup jobs

# Step 5 — Immutability settings:
  [✓] Make recent backups immutable for: 30 days
                                      ← Minimum recommended. Tăng lên
                                         theo chính sách bảo mật (60/90 ngày)
  [✓] Protect recent backups from deletion by data locking service

# Finish wizard → VBR kết nối và verify XFS capabilities
# VBR sẽ log: "Repository supports immutability (XFS with reflink)"
            

Bước 5 Xác Minh Immutability Hoạt Động

# Sau khi backup job đầu tiên chạy xong:

# Phương pháp 1: Thử xóa backup file (via Host Management Terminal)
# Enable SSH tạm thời: Host Management → Security → SSH → Enable (30 phút)
ssh [email protected]

# Kiểm tra FS flags trên backup file:
lsattr /backups/Jobs/Job-01/2026-05-03T0300/Job-01D2026-05-03T0300.vbk
# Output mong đợi: ----i--------e-- /backups/...vbk
#                      ^ "i" = immutable flag set

# Thử xóa (phải FAIL):
rm /backups/Jobs/Job-01/2026-05-03T0300/Job-01D2026-05-03T0300.vbk
# Kết quả mong đợi:
# rm: cannot remove '...vbk': Operation not permitted  ✅

# Thử thay đổi content (phải FAIL):
echo "test" >> /backups/Jobs/Job-01/2026-05-03T0300/Job-01D2026-05-03T0300.vbk
# Kết quả mong đợi:
# bash: .../Job-01D2026-05-03T0300.vbk: Operation not permitted  ✅

# Phương pháp 2: VBR Console
VBR Console → Backups → Disk → [right-click job] → Properties
# Tab "Storage": hiển thị "Immutability: Active (expires: 2026-06-02)"
            

Thực hiện đúng 5 bước như Phần 3, với các thay đổi sau:

Proxy Load Balancing — Tự Động

VBR tự động chọn proxy tốt nhất cho mỗi backup job. Không cần cấu hình thủ công. Thuật toán selection:

Khi backup job được trigger:
1. VBR scan danh sách proxies available (không đang chạy full load)
2. Ưu tiên proxy cùng ESXi host với VM (HotAdd direct)
3. Nếu không có: proxy cùng cluster (HotAdd qua shared datastore)
4. Nếu không có: proxy với least current tasks (load balancing)
5. Nếu tất cả proxies full: job queue và chờ

Monitoring load balancing:
VBR Console → Home → Last 24 Hours → Jobs
  → Click job → Statistics → Proxy column
  → Xem proxy nào được assign cho từng VM
            

Repository Task Limits — Công Thức

Backup Infrastructure Lock — Enable Sau Khi Xong Phase 03

VBR Console
  → Menu → Configuration
    → Security
      → Backup Infrastructure Protection
        → [✓] Enable Backup Infrastructure Protection
        → Require Security Officer approval for:
            [✓] Adding backup repositories
            [✓] Adding backup proxies
            [✓] Removing managed servers
            [✓] Modifying credentials
        → Save

# Sau khi bật, mọi thay đổi sẽ hiện notification:
# "Requires Security Officer approval (veeamadmin@secoff-repo01)"
            

Checklist Phase 03 Hoàn Thành

Risk Assessment & Mitigation