StateWarden chroni maszyny wirtualne Proxmox VE bez instalowania jakiegokolwiek oprogramowania w systemach gościa. Agent StateWarden działa bezpośrednio na hoście Proxmox i chroni każdą maszynę wirtualną tego hosta poprzez warstwę hipernadzorcy. Ten przewodnik wyjaśnia, jak działa ochrona bezagentowa, jak powstają kopie zapasowe uruchomionych i zatrzymanych maszyn wirtualnych oraz na czym polegają trzy ścieżki przywracania: przywracanie w miejscu, klonowanie jako nowa maszyna wirtualna i Instant Boot.
Wymaganie wstępne: na hoście Proxmox VE musi działać agent w wersji 1.2.0 lub nowszej, zainstalowany i sparowany jak każde inne urządzenie z systemem Linux. Utrzymuj agenta hosta w aktualnej wersji - wersja 1.6.1 usuwała błąd tworzenia kopii zapasowych, który dotyczył niektórych maszyn wirtualnych z wieloma dyskami.
1. Co oznacza ochrona bezagentowa
Ochrona bezagentowa opiera się na prostym modelu działania:
- Zainstaluj agenta na samym hoście Proxmox VE (zobacz Instalacja agenta: zero zależności, pełna kontrola) i sparuj go ze swoim Realmem (zobacz Parowanie pierwszego urządzenia: ustanowienie wiązania kryptograficznego).
- Host rejestruje się w panelu jako hipernadzorca. Jego maszyny wirtualne pojawiają się automatycznie jako urządzenia podrzędne hipernadzorcy - bez kroku parowania, bez poświadczeń systemu gościa i bez jakiegokolwiek śladu wewnątrz maszyny wirtualnej.
- Każda maszyna wirtualna otrzymuje własny widok urządzenia, pokazujący konfigurację jej wirtualnego sprzętu (vCPU, pamięć, dyski wirtualne) oraz stan zasilania. Kopiami zapasowymi, przywracaniem i montowaniem zarządza się dla każdej maszyny wirtualnej osobno, z tych samych widoków panelu, które służą do obsługi urządzeń fizycznych.
Ponieważ cała praca odbywa się w warstwie hipernadzorcy, system operacyjny gościa nie ma znaczenia dla ochrony: Windows, Linux i appliance'y są obsługiwane w ten sam sposób.
2. Jak powstają kopie zapasowe maszyn wirtualnych
Uruchomione maszyny wirtualne: migawki bez pauzowania
W przypadku uruchomionej maszyny wirtualnej agent komunikuje się z jej procesem QEMU przez protokół QEMU Machine Protocol (QMP) i tworzy tymczasową nakładkę QCOW2 (technika znana jako fleecing). System gościa kontynuuje zapisy do nakładki, podczas gdy agent odczytuje zamrożony obraz bazowy. W rezultacie powstaje dokładnie zamrożona, spójna na poziomie aplikacji migawka, wykonana bez pauzowania ani zatrzymywania maszyny wirtualnej - system gościa nie jest przerywany i niczego nie zauważa.
Kopie przyrostowe: Changed Block Tracking
Kopie zapasowe maszyn wirtualnych wykorzystują mapy zmodyfikowanych bloków QEMU (dirty bitmaps) do śledzenia zmienionych bloków (Changed Block Tracking, CBT). Hipernadzorca rejestruje, które bloki dysku zmieniły się między kolejnymi wykonaniami kopii, a agent odczytuje wyłącznie te bloki do silnika deduplikacji. Pierwsza kopia zapasowa maszyny wirtualnej stanowi pełną bazę; kolejne kopie są przyrostowe. O tym, jak CBT współdziała z harmonogramami i retencją, opowiada artykuł Smart CBT: przyrostowe kopie zapasowe.
Wyłączone maszyny wirtualne
Maszyny wirtualne wyłączone na poziomie hipernadzorcy pozostają w pełni widoczne i zarządzalne w panelu. Kopie zapasowe zatrzymanej maszyny wirtualnej można planować i wykonywać bez wybudzania systemu gościa; takie kopie są spójne awaryjnie (crash-consistent), czyli odzwierciedlają stan dysków wirtualnych w spoczynku.
Maszyny wirtualne z wieloma dyskami
Maszyny wirtualne z wieloma dyskami wirtualnymi są w pełni obsługiwane. Wszystkie dyski są przechwytywane z izolowanymi, osobnymi warstwami zapisu, więc równolegle przetwarzane dyski pochodzące z tej samej kopii zapasowej nie mogą na siebie wpływać. Konfiguracja sprzętowa maszyny wirtualnej jest przechwytywana razem z danymi dysków, dzięki czemu przywracanie odtwarza oryginalną maszynę w skali 1:1.
3. Opcje przywracania
Otwórz maszynę wirtualną w panelu, wybierz punkt przywracania i wskaż jeden z trzech celów przywracania.
Opcja A: przywracanie w miejscu (nadpisanie oryginalnej maszyny wirtualnej)
Agent bezpiecznie wyłącza maszynę wirtualną (przechodząc do twardego zatrzymania, jeśli system gościa nie wyłączy się na czas), zapisuje zawartość punktu przywracania z powrotem na dyski wirtualne maszyny, a następnie włącza ją ponownie.
To szybka ścieżka przywrócenia uszkodzonej lub skompromitowanej maszyny wirtualnej do znanego, poprawnego stanu. Jest destrukcyjna: bieżący stan maszyny wirtualnej zostaje zastąpiony punktem przywracania.
Opcja B: klonowanie jako nowa maszyna wirtualna
Agent tworzy na hipernadzorcy zupełnie nową maszynę wirtualną z punktu przywracania. Oryginalna maszyna wirtualna pozostaje nietknięta. Wolny identyfikator VM ID jest przydzielany automatycznie, a docelową przestrzeń danych (datastore) dla nowych dysków wybierasz samodzielnie.
Aby klon mógł działać równolegle z oryginałem, StateWarden automatycznie modyfikuje identyfikatory sprzętowe zapisane w przywracanej maszynie:
- nowy UUID systemu (
smbios1), - nowy identyfikator generacji (
vmgenid), - zregenerowane adresy MAC na wszystkich wirtualnych interfejsach sieciowych.
Dzięki temu klon nie koliduje z oryginałem w sieci ani przy weryfikacjach tożsamości po stronie systemu gościa. Jeśli oryginalna maszyna wirtualna nadal działa i potrzebujesz dodatkowego zabezpieczenia, użyj opcji izolacji sieci podczas przywracania: klon wystartuje wtedy bez podłączonych wirtualnych interfejsów sieciowych, a sieć można podłączyć później z poziomu interfejsu Proxmox.
Opcja C: Instant Boot
Instant Boot uruchamia maszynę wirtualną bezpośrednio ze strumienia kopii zapasowej w ciągu kilku sekund, bez oczekiwania na pełne skopiowanie danych. Agent udostępnia punkt przywracania hipernadzorcy jako urządzenie Network Block Device (NBD); odczyty są strumieniowane na żądanie ze zdeduplikowanej kopii zapasowej, a zapisy przejmuje lokalna warstwa Copy-On-Write. Sama kopia zapasowa nigdy nie jest modyfikowana.
Maszyny wirtualne Instant Boot są wyraźnie oznaczone etykietą TEMPORARY w panelu. Są przeznaczone do dwóch sytuacji: weryfikacji, że kopia zapasowa się uruchamia, oraz pomostowania przerwy w działaniu, gdy oryginalna przestrzeń dyskowa jest niedostępna.
Jeśli maszyna wirtualna ma pozostać na stałe, użyj akcji Make Permanent widocznej przy maszynie. Wykonuje ona migrację przestrzeni dyskowej na żywo: zawartość dysków jest kopiowana na fizyczną przestrzeń hipernadzorcy (do wskazanej przestrzeni danych, np. local-lvm) za pomocą zadania QEMU blockdev-mirror, podczas gdy system gościa nadal działa i obsługuje ruch. Po zakończeniu kopiowania operacje I/O przechodzą na dysk fizyczny, a tymczasowa warstwa NBD jest usuwana - bez przestoju dla systemu gościa.
Zamiast przywracać całą maszynę, można też odzyskać pojedyncze pliki, montując wybrany dysk maszyny wirtualnej z punktu przywracania; zobacz Instant Mount: odzyskiwanie plików przez natywne iSCSI.
4. Uwagi operacyjne
Limit urządzeń
Maszyny wirtualne nie zużywają limitu urządzeń Realmu. Jako urządzenie liczy się wyłącznie sparowany host hipernadzorcy, niezależnie od liczby obsługiwanych maszyn wirtualnych. Przestrzeń zapisywana przez kopie zapasowe maszyn wirtualnych wlicza się do limitu przestrzeni Realmu jak każda inna kopia zapasowa. Zobacz Limity operacyjne i zasada Fair Use.
Polityki reagowania na hipernadzorcach i maszynach wirtualnych
Polityki reagowania na ransomware zachowują się inaczej w kontekście wirtualizacji:
- Nadpisania dla pojedynczych maszyn wirtualnych pozostają bezskuteczne. Maszyna wirtualna nie ma własnego agenta; zarządza nią agent hosta nadrzędnego, więc obowiązuje efektywna polityka hipernadzorcy. Jeden agent egzekwuje jedną politykę.
- Blokada sieci i Wyłączenie zasilania nigdy nie są wykonywane na hostach hipernadzorców. Jeśli polityka hosta przewiduje jedną z tych akcji, agent zamiast niej zapisuje ostrzeżenie w logu, dzięki czemu akcja reagowania nie może odciąć wszystkich maszyn wirtualnych gościa jednocześnie.
Szczegóły konfiguracji opisuje artykuł Ransomware Protection: polityki reagowania.
Chroń również samego hipernadzorcę
Ochrona bezagentowa obejmuje systemy gościa, a nie własny system operacyjny hosta. Chroń hosta Proxmox jak każde inne urządzenie z systemem Linux: przypisz mu politykę kopii zapasowych obejmującą jego dyski systemowe, tak aby w razie awarii hosta samą instalację hipernadzorcy można było odbudować przez przywracanie bare-metal. Procedurę opisuje artykuł Bare Metal Recovery: przewodnik krok po kroku.
StateWarden: Resilience Engineered.