גיבויים הם לא עניין פשוט: למה דיסק שני לא מספיק

אובדן נתונים קורה לעתים קרובות יותר ממה שרוב האנשים מצפים, וכמעט תמיד ברגע הגרוע ביותר. אלכסנדר פיליפובסקי מדגים זאת בפוסט חדש בסיפור מהמשפחה שלו: תמונות שהועברו לכונן חיצוני כדי לפנות מקום נמחקו כשאביו פורמט את הכונן כדי שממיר הטלוויזיה יוכל להשתמש בו. התמונות שוחזרו, אבל הלקח נשאר.

עותק שני הוא רק ההתחלה

העיקרון הראשון פשוט — להחזיק עותק של הקבצים במקום אחר. זה לבדו אינו מספיק: כונן מחובר יכול להיות מוצפן על ידי כופרה או להימחק בפקודה רשלנית. לכן גיבוי לא צריך להיות שיקוף של הכונן המקורי: RAID 1 ושיטות דומות משכפלות טעויות בנאמנות כמו שהן משכפלות קבצים, ואינן מאפשרות לחזור בזמן. מה שצריך הוא תמונות מצב.

תמונות מצב מעלות שתי שאלות. באיזו תדירות ליצור אותן — זו נקודת השחזור הרצויה (RPO): פחות מ-30 שניות במוסדות פיננסיים, ו-24 שעות ויותר בחברות קטנות. כמה זמן לשמור אותן — זו כבר בעיית אחסון, שנפתרת ברוטציה: תמונות יומיות נשמרות 14 יום, שבועיות — שבעה שבועות, חודשיות — שנה.

דה-דופליקציה וכשלים מהחיים האמיתיים

שינויי קבצים מתפלגים בהתפלגות זנב שמן, ולכן רוב הקבצים בכל תמונת מצב זהים. גיבוי עם דה-דופליקציה, ששומר עותק אחד ומפנה אליו מכל תמונה, חוסך גם מקום וגם רוחב פס. זה בדיוק מה ש-rsnapshot עושה עם קישורים קשיחים, והגישה שורדת רוטציה כי נמחקות רק רשומות תיקייה ולא הקבצים עצמם. החיסכון ברוחב פס מתורגם ישירות לכסף כשהמכונה השנייה היא שירות ענן.

מעבדות ביתיות מוסיפות כשלים משלהן: קונטיינרים יוצרים קבצים בבעלות root והגיבוי שרץ מ-cron רגיל נכשל, ומסדי נתונים ששוטפים מידע לדיסק בקבוצות משחזרים פגומים בלי דאמפ נפרד. גם החומרה מהווה סיכון — ומכאן כלל 3-2-1: שלושה עותקים, שני סוגי מדיה, אחד מחוץ לאתר. אחסון אובייקטים כמו S3 מוסיף מגבלות: המטא-נתונים אובדים בהעלאה, והעלאת קבצים קטנים רבים יקרה, ולכן יש לארוז את הארכיונים למקטעים.

השתמשו בכלים שכבר פתרו את זה

המסקנה הכנה של הפוסט היא שלבנות את זה לבד לא שווה את העומס המנטלי; Borg ו-Restic כבר מטפלים בהצפנה, בדה-דופליקציה ברמת המקטעים ובסכומי ביקורת. אבל כל זה חסר משמעות אם לא בודקים בפועל את השחזור — לדעת המחבר, בערך אחת לחצי שנה.