Правило 3-2-1 в резервном копировании: схемы для малого бизнеса

Суть правила: что значат цифры 3, 2 и 1

Правило 3-2-1 — отраслевой минимум надёжного резервного копирования, его в одинаковой формулировке дают вендоры систем бэкапа и хранения (Veeam, Kingston и другие):

3 — три копии данных. Рабочие данные плюс минимум две резервные копии. Считаются все экземпляры: продакшен на сервере — первая копия, бэкап на NAS — вторая, копия вне офиса — третья.

2 — два разных типа носителей. Резервные копии живут минимум на двух разных системах хранения: например, NAS и лента, NAS и внешний диск, диск и S3-хранилище. Смысл — исключить одновременный отказ обеих копий по общей причине: одна партия дисков, один контроллер, одна файловая система.

1 — одна копия вне офиса. Географическое и, что не менее важно, сетевое отделение: копия, которую не достанут ни пожар в серверной, ни шифровальщик, добравшийся до всего, что видно по сети.

Ключевое слово в правиле — «минимум»: нижняя планка, ниже которой любая схема держится на удаче. Хорошая новость: для малого бизнеса 3-2-1 собирается из вполне доступного «железа» — дальше покажем как.

От каких сценариев защищает каждая цифра

Правило легко запомнить, но полезнее понимать, какую аварию закрывает каждая его часть — тогда становится видно, почему «упрощённые» варианты не работают.

Три копии — против одиночного отказа. Диск с бэкапом умирает так же, как диск с данными. Если копия одна, в момент её отказа вы остаётесь один на один с продакшеном без страховки. Две резервные копии переживают отказ любой одной из них.

Два носителя — против общей причины отказа. Две копии на одинаковых дисках из одной поставки, в одном устройстве, под управлением одного контроллера — это одна точка отказа, притворяющаяся двумя. Разные типы носителей рвут эту связку: сбой прошивки NAS не трогает ленту, деградация партии HDD не трогает S3-хранилище.

Копия вне офиса — против локальной катастрофы и шифровальщика. Пожар, затопление, кража, скачок питания уничтожают всё, что стояло в одной комнате, — включая NAS с бэкапами. Отдельный класс угроз — вымогатели: атаки шифруют не только рабочие данные, но и все резервные копии, доступные по сети (формулировка Kingston: если единственный бэкап досягаем удалённо — вы рискуете потерять и его). Копия вне офиса, недоступная из локальной сети — в облаке с отдельной аутентификацией, на отключаемом носителе, на ленте в сейфе, — остаётся целой даже при полном компромете сети.

Отсюда практический вывод: 3-2-1 — это не «три файла в трёх папках», а три копии с разными путями гибели. Чем меньше у копий общего (носитель, устройство, сеть, помещение, учётные записи) — тем ближе схема к смыслу правила.

Что считается копией — и почему RAID и снапшоты нет

Провалы восстановления часто начинаются с того, что копией посчитали то, что копией не является. Два главных самозванца:

RAID — это отказоустойчивость, не бэкап. Зеркало или массив с чётностью переживает отказ диска — и в этом его работа. Но любая операция уровня данных распространяется на весь массив мгновенно: удалили файл — он удалён на всех дисках; шифровальщик зашифровал том — зашифрованы все диски; повредилась файловая система — повреждена везде. Копий данных RAID не добавляет ни одной. Сервер с RAID-массивом — это по-прежнему одна копия ваших данных.

Снапшот — не самостоятельная копия. Для VMware vSphere это сказано в документации буквально: «не используйте снапшоты VMware как бэкапы; файл снапшота — только журнал изменений исходного виртуального диска», и держать один снапшот дольше 72 часов не рекомендуется — файл растёт. У других платформ и СХД механика снапшотов своя, но локальный снапшот обычно остаётся зависимым от исходной платформы и хранилища: погибло хранилище — как правило, теряются и данные, и снапшоты. Независимая копия на другом хранилище (реплика) — это уже отдельный механизм, а не снапшот. Снапшоты отлично работают как точки отката перед обновлением и как механизм консистентности при снятии бэкапа, но копией в смысле 3-2-1 не являются.

Что копией является: независимый экземпляр данных на отдельном хранилище, который можно восстановить, даже если исходная система уничтожена целиком. Файловая копия, образ системы, бэкап средствами платформы виртуализации, выгрузка базы — форма может быть любой; критерий один — независимость от судьбы оригинала.

Два носителя: из чего выбирать

Для второй и третьей копии малому бизнесу реально доступны четыре класса носителей. У каждого своя роль:

NAS или небольшая СХД — рабочая лошадка второй копии: сетевое хранилище принимает бэкапы по расписанию, держит версии и глубину хранения, живёт отдельно от сервера. Важно: NAS с бэкапами — не файловая помойка общего доступа; это отдельное устройство с отдельными учётными данными, иначе шифровальщик доберётся и до него. Как выбрать сетевое хранилище под задачу — разбор в гайде по СХД: SAN, NAS, DAS.

Внешние и отключаемые диски — простой и доступный способ получить копию с воздушным зазором: диск, который физически отключён от системы, недоступен ни для какого сетевого злоумышленника. Слабые места — ручная дисциплина ротации и хрупкость самих дисков; парой чередуемых дисков слабости частично закрываются.

Лента LTO — классика третьей копии и архивов: картридж в сейфе по определению офлайн и недосягаем для любой сетевой атаки. Цена входа — привод и дисциплина ротации картриджей, поэтому лента оправдана там, где данных много и архивы хранятся годами.

S3-совместимое облачное хранилище — офсайт-копия без второй площадки: данные хранятся за пределами вашего офиса, оплата — за фактический объём. Выбирайте хранилище с версионированием или защитой объектов от перезаписи, заводите отдельные учётные данные (не доменные!), шифруйте данные до отправки и трезво оценивайте канал — восстановление больших объёмов упирается в интернет.

Подобрать «железную» часть схемы — NAS, диски, ленточные накопители — можно в разделе систем хранения каталога ANDPRO: пришлите объём данных и требуемую глубину хранения, посчитаем ёмкость с запасом на рост версий.

Копия вне офиса без энтерпрайз-бюджета

«Одна копия офсайт» звучит как требование второго ЦОД, но для малого бизнеса задача решается тремя способами по возрастанию удобства:

Ротация отключаемых носителей. Два внешних диска (или два комплекта лент): один подключён и принимает копию, второй лежит вне офиса — дома у владельца, в банковской ячейке, во втором офисе. Раз в неделю носители меняются местами. Минимум затрат, максимум дисциплины: схема работает ровно настолько, насколько регулярно происходит ротация.

Облачное S3-хранилище. Копия уезжает по расписанию сама, ротацию помнить не нужно, площадка хранения — вне вашего офиса. Следите за тремя вещами: отдельные учётные данные, версионирование или защита от перезаписи (чтобы шифровальщик не «обновил» копии своим шифром), тест скорости восстановления — не только выгрузки.

Вторая площадка компании. Если есть филиал или второй офис — NAS там и репликация между площадками по расписанию. Это уже почти «взрослая» схема: обе копии автоматические, обе под вашим контролем, канал между офисами — единственное узкое место.

Общее правило для любого варианта: офсайт-копия должна быть сетево отделена от основной инфраструктуры. Копия «на сервере в филиале, который в том же домене с теми же админскими учётками» — это географическое отделение без сетевого: шифровальщик с доменными правами дотянется и туда.

Три готовые схемы для малого бизнеса

Ниже — три типовые отправные конфигурации. Состав уточняется под объём данных, требуемую глубину хранения и допустимый простой.

Для третьей схемы отдельная тема — что и как бэкапить на уровне виртуальных машин и чем это отличается от копий внутри гостевых систем; основы виртуализации серверов — в хабе рубрики «Виртуализация».

Во всех трёх схемах ёмкость носителей считается не по текущему объёму данных. На неё влияют глубина хранения версий, доля изменяемых данных (change rate), схема копий (полные или инкрементные), сжатие и дедупликация — и обязательный запас на рост. Ошибка «NAS ровно под текущий объём» всплывает через полгода, когда версии перестают помещаться и глубину хранения молча срезают.

Глубина и расписание: RPO и RTO простыми словами

Расписание бэкапов не выбирают «на глаз» — его выводят из двух чисел, которые бизнес называет сам (определения — по документации Veeam):

RPO (recovery point objective) — какой интервал работы допустимо потерять. Максимально допустимый интервал времени между последней копией и моментом аварии: всё, что сделано внутри него, будет потеряно. RPO в сутки означает: авария в конце рабочего дня стирает работу этого дня — и бизнес это переживёт. Из RPO следует частота копий: суточное RPO закрывается ночным бэкапом; если день работы терять нельзя — добавляются дневные инкременты или журналы СУБД.

RTO (recovery time objective) — как быстро нужно подняться. Максимально допустимый простой, отсчитанный вперёд от момента аварии. Из RTO следует, откуда восстанавливаться: локальная копия на NAS обычно даёт кратно меньшее время восстановления, чем выгрузка тех же объёмов из облака через интернет-канал; фактические времена зависят от объёма, канала и метода и измеряются только тестовым восстановлением. Поэтому локальная копия и офсайт не конкурируют, а решают разные задачи: первая — про быстрое восстановление, вторая — про выживание данных в катастрофе.

Третий параметр — глубина хранения. Копия «только за вчера» не спасает от инцидента, замеченного через неделю: повреждение или шифрование могло попасть во все свежие копии. Типовая отправная точка для малого бизнеса — дневные копии за 2 недели, недельные за месяц-два, месячные за полгода; дальше глубина настраивается под ваш цикл обнаружения проблем и требования к архиву.

Проверка восстановления и правило 3-2-1-1-0

Резервная копия, которую ни разу не восстанавливали, — это гипотеза, а не бэкап. Kingston формулирует это как обязательную часть стратегии: регулярное тестирование копий подтверждает, что они целы и быстро восстановимы. На практике для малого бизнеса достаточно двух привычек: раз в месяц восстановить контрольный файл или каталог, раз в квартал — прогнать восстановление целой системы (сервера, базы, ВМ) на тестовое железо или в изолированную среду, с секундомером: заодно узнаете реальный RTO.

Развитие правила — 3-2-1-1-0, его продвигает Veeam: к трём копиям добавляется ещё «1» — копия офлайн, air-gapped или неизменяемая (immutable), потому что современные атаки целятся именно в резервные копии; и «0» — ноль ошибок восстановления: каждая копия проходит автоматическую верификацию восстановимости. В наших схемах роль «1» играет отключаемый диск, лента в сейфе или S3-корзина с защитой от перезаписи; роль «0» — те самые регулярные тестовые восстановления.

Последний элемент дисциплины — контроль выполнения заданий: упавший ночной бэкап, о котором узнали через месяц, равен его отсутствию. Уведомления об ошибках заданий и место бэкап-мониторинга в общей картине наблюдения за инфраструктурой — в статье про мониторинг ИТ-инфраструктуры.

Семь типовых ошибок

Каждая из этих ошибок выглядит безобидно ровно до первой аварии:

Если узнали свою схему хотя бы в одной строке — это нормальная ситуация, из неё есть короткий путь: зафиксируйте текущее состояние, выберите ближайшую из трёх схем выше и закройте разрыв по шагам — сначала вторая копия на отдельном устройстве, затем офсайт, затем регулярный тест восстановления.

Частые вопросы