隔离恢复环境解决方案架构

隔离恢复环境解决方案架构使用带有 Veeam® 服务、网关群集和 Juniper® vSRX 选项的 VMware Cloud Foundation for Classic - Automated 实例。它们创建了一个独立于生产环境的空气屏蔽网络恢复环境。这种隔离的恢复环境由单独的网络恢复团队进行管理和访问。 Veeam 服务通过 Veeam Linux®加固存储库进行增强，以实现不可变存储。

该解决方案架构适合那些希望将关键数据副本从生产环境、备份系统和人员转移到需要单独安全凭证的环境中的客户。解决方案架构不排除任何 VCF for Classic - Automated 选项，如 Caveonix、Entrust 和 VMware Aria® Operations™。

隔离恢复环境解决方案架构* 隔离恢复环境解决方案" caption-side="bottom"}* {: caption="恢复环境解决方案架构

隔离恢复环境解决方案架构的关键要素包括

如果发生网络攻击，必须恢复的生产数据将通过网络恢复备份到网络恢复站点，并写入Linux加固存储库中的不可变存储。
网络恢复站点是隔离恢复环境所在的 IBM Cloud® 帐户、资源组和数据中心位置。如果生产环境位于 IBM Cloud 中，则建议在网络恢复环境中使用不同的 IBM Cloud 帐户，以启用分段。
解决方案架构仅支持在 VMware vSphere® 环境中托管的生产数据。它不支持物理服务器或其他管理程序。
隔离恢复环境中的 Veeam 服务可提供指定生产虚拟机 (VM) 的网络恢复备份。它会将备份数据写入隔离恢复环境中的Linux加固备份存储库。
隔离恢复环境中由 Veeam 服务管理的网络恢复备份代理需要托管在生产站点中。这些代理可以基于 Windows® 或 Linux，也可以是虚拟的或物理的。
该解决方案架构独立于现有的生产备份环境，除了生产vCenter和vSphere主机外，不与任何生产系统集成。
对于网络恢复任务，Veeam 服务可将网络恢复备份文件从Linux加固存储库以只读模式挂载到沙箱中。沙箱托管在 vSphere 服务器实例上。
例如，可以有很多沙盒：
- 其中一个可用于每天扫描网络恢复备份文件。
- 可根据网络恢复任务的需要使用一个或多个。
沙箱用于法证扫描、分析或其他网络恢复任务，如调查。沙箱不是用来运行生产工作负载的。要进行恢复，必须使用 Veeam 恢复方法将客户虚拟机移回生产环境或客户指定的其他环境。
所有设备都重新配置为使用 ADDNS 服务器发送 DNS 和 NTP 请求。
隔离恢复环境的大小取决于备份足迹的最大大小。此外，还取决于所需的沙箱数量，以及任何时候都要实例化的已恢复虚拟机数量。

生产环境

生产环境是托管生产数据的 vSphere 环境。生产环境可以在 IBM Cloud 中，也可以在其他地方。该网站的主机：

生产数据特指在生产环境中运行的虚拟机的虚拟机映像（VMDK）。
生产备份基础设施是用于保护生产数据的现有备份应用程序和基础设施。隔离恢复环境解决方案架构独立于生产备份基础设施，不与之连接或接口。
备份管理员是负责生产备份的现有团队。为实现职责分离，团队成员必须与网络恢复管理团队成员不同。
IaaS 管理员是负责维护基础设施的现有团队。为实现职责分离，团队成员必须与网络恢复管理团队成员不同。
生产 vCenter 管理生产 vSphere 主机。 Veeam BUR 服务器需要访问生产 vCenter。
生产 ESXi 承载生产数据，并由生产 vCenter 管理。 Veeam BUR 服务器需要访问生产 vSphere 主机。
网络恢复备份是将生产数据备份到隔离的恢复环境。网络恢复备份不同于生产备份。
控制流量是指 Veeam 备份服务器对生产 vCenter 和 ESXi 主机的访问，以实现网络备份操作。
网络恢复备份代理是一个 Veeam VMware 备份代理，用于将数据从生产环境传输到网络恢复站点。它是网络备份服务器和网络备份基础设施其他组件之间的一个架构组件。网络备份服务器负责管理任务，而网络恢复备份代理则负责处理任务和传输备份流量。基本的备份代理任务包括检索虚拟机数据、压缩、去重、加密和转发到网络恢复备份存储库。有关详细信息，请参阅 Veeam 备份代理。

VCF for Classic - Automated 实例

VCF for Classic - Automated 实例为托管虚拟机和沙箱提供计算和网络资源。如果在 VCF for Classic - Automated 实例顺序中使用 vSAN 选项，则 VCF for Classic - Automated 实例也会提供存储资源。

VCF for Classic - Automated实例由一个至少包含三台 vSphere ESXi 主机的合并群集组成。该群集托管以下虚拟机：

VMware vCenter® 服务器设备 (VCSA)- VCSA 管理 vSphere 资源，并为 vSphere 提供单一管理平面。
NSX-T™ 管理器集群 - NSX-T 管理器集群由三个管理器设备组成，为虚拟化网络（也称为覆盖网络）提供管理和控制平面。
Active Directory™ 和域名服务 - ADDNS 虚拟机是为 Microsoft® Windows 和 DNS 配置的两个 Active Directory 2019 虚拟机。在订购过程中，通过选择 管理群集中的两个高可用性专用 Windows Server 虚拟机选项来选择此选项。选择该选项后，您必须提供自己的许可证。
Veeam 服务实例 - 有关详细信息，请参阅 Veeam 组件。
网关群集 - 网关群集由两个 vSphere ESXi 主机组成，这些 ESXi 主机配置在 IBM Cloud 网关上。它提供运行网络边缘网关的资源。这些资源包括防火墙和成为与之关联的 IBM Cloud 子网的默认网关的能力。在此解决方案架构中，群集托管作为虚拟设备运行的瞻博网络vSRX防火墙。虽然瞻博网络vSRX设备可直接在合并群集上运行，但它们不能作为通往IBM Cloud子网的默认网关，因为这需要IBM Cloud网关设备。

解决方案架构在 VCF for Classic - Automated 实例中添加了以下组件：

管理虚拟机 - 该虚拟机是运行 Ansible 的 Linux 虚拟机。 Ansible playbooks 用于自动化任务，其中包括打开气隙以允许网络备份。
跳跃服务器 - 跳跃服务器和堡垒主机允许网络管理员进入隔离恢复环境。
网络工具集 - 网络恢复工具集是您在网络恢复站点内使用的应用程序，用于扫描、分析或清理网络恢复数据。

VCF for Classic - Automated 实例使用以下 IBM Cloud 服务：

NFS 服务 - 如果 VMware vSAN 没有为 VCF for Classic - Automated 实例，则使用 IBM Cloud File Storage for Classic (NFS) 或 VMware 数据存储。 IBM Cloud File Storage for Classic （NFS）位于数据中心的 IBM Cloud 服务网络中。客户无法直接访问底层存储基础设施，只能使用文件共享。
NTP 服务 - 在此架构中，隔离恢复环境使用 ADDNS 服务器作为时间源。 ADDNS 服务器使用 IBM Cloud NTP 服务作为时间参考。
DNS 服务 - 在此架构中，隔离恢复环境使用 ADDNS 服务器进行名称解析。 ADDNS 服务器使用 IBM Cloud DNS 服务来处理无法直接解析的请求。

网络恢复管理员是负责网络恢复环境运行的团队。为了实现职责分离，团队成员必须与生产团队不同。

Linux 强化存储库

加固存储库是一台或多台运行受支持的 IBM Cloud 操作系统的裸机服务器。有关详细信息，请参阅 Veeam Linux 加固版本库。

可选服务

以下服务是可选的，但建议使用 KMIP 服务 Key Protect 或 Hyper Protect Crypto Services 进行密钥管理，以启用加密数据存储：

Key Protect 服务 - Key Protect 服务是一种加密解决方案，可通过使用经 FIPS 140-2 3 级认证的基于云的硬件安全模块的信封加密技术来保护 VMware 数据存储中的数据。有关详细信息，请参阅关于 Key Protect。
Hyper Protect Crypto Services- IBM Cloud Hyper Protect Crypto Services 是一种专用密钥管理服务和硬件安全模块，使用户能够掌握硬件安全模块的所有权，全面管理您的加密密钥并执行加密操作。 Hyper Protect Crypto Services 建立在经过 FIPS 140-2 Level 4 认证的硬件上。有关更多信息，请参阅开始使用 IBM Cloud Hyper Protect Crypto Services。
KMIP 服务 - VMware 服务的密钥管理互操作性协议 (KMIP) 使用 IBM Key Protect 服务或 Hyper Protect Crypto Services (HPCS) 服务来创建、加密和解密加密密钥。 KMIP 服务是 Key Protect 或 HPCS 服务与 VMware vSphere 的接口。

互联网资料库和服务

互联网存储库和服务是解决方案架构或客户网络恢复工具集等使用的资源：

反病毒软件的病毒定义被恶意软件扫描软件用来查找恶意软件，并从供应商的公共存储库中下载。
双因素身份验证是一种安全程序，用户提供两种不同的身份验证因素来验证自己。认证服务器由服务提供商提供，并公开连接。