ROBO-Backup: Schutz von Remote-Standorten und Zweigstellen

Das eigentliche Problem bei ROBO-Backups 

Die Sicherung einer einzigen Zweigstelle ist ein Kinderspiel. Die Sicherung von 500 Zweigstellen ist das eigentliche Problem. Die meisten Ratschläge zu ROBO-Backups befassen sich mit dem ersten Problem und lassen das zweite außer Acht. Die Architekturen, die in einer Niederlassung funktionieren, versagen bereits bei 50, und die Architekturen, die bei 50 funktionieren, erfordern bei 500 einen kompletten Neuaufbau. 

Ich habe beobachtet, wie Kunden in Ketten mit Hunderten von Standorten in jeder Filiale Backup-Appliances bereitgestellt haben. Nach zwei Jahren verfügen sie über 400 Backup-Geräte vor Ort, keine einheitliche Firmware-Version, kein IT-Personal an den Standorten und ein vierteljährliches Reisebudget für die einzige Person, die weiß, wie man sie repariert. Die Backups laufen technisch gesehen. An den meisten Standorten wurden die Backups jedoch noch nie getestet. Niemand ist zuversichtlich, dass eine echte Wiederherstellung funktionieren würde. 

In diesem Beitrag geht es um einen Ansatz, der skalierbar ist, da er in der Zweigstelle nahezu keine Ressourcen beansprucht. Die Filiale macht weiterhin das, was Filialen tun. Das Backup läuft zentral. 

Warum ROBO-Standorte schwieriger sind als die Zentrale 

Die Zentrale verfügt über ein Rechenzentrum, eine hohe Bandbreite und ein IT-Team. ROBO-Standorte haben nichts davon, aber dieselben Anforderungen an die Geschäftskontinuität. Vier spezifische Herausforderungen treten immer wieder auf. 

Die WAN-Bandbreite ist die erste. Ein vollständiges Backup über eine typische Zweigstellenverbindung kann das Backup-Fenster sprengen und die Verbindung während der Geschäftszeiten überlasten. Eine für den täglichen Betrieb ausreichende Bandbreite reicht selten für nächtliche Vollbackups aus. 

Das Fehlen von lokalem IT-Personal ist die zweite Herausforderung. Eine Filiale verfügt nicht über einen Backup-Administrator. Was auch immer in der Filiale läuft, muss autonom funktionieren, sich selbstständig wiederherstellen und darf niemals den Einsatz eines Mitarbeiters vor Ort erfordern. 

Die Skalierbarkeit ist die dritte Herausforderung. Eine Filiale ist kein Problem. 500 Filialen mit identischen Richtlinien und identischem Berichtswesen stellen jedoch das eigentliche Problem dar. 

Und SLAs sind der vierte Punkt. Kunden und Aufsichtsbehörden interessiert es nicht, dass Ihre Filiale über eine 10-Mbit/s-Verbindung verfügt. Wenn Kassendaten verloren gehen oder Systeme ausfallen, steht das Geschäft still. ROBO-Backups müssen eine Wiederherstellung auf Hauptsitz-Niveau gewährleisten, ohne dass dafür eine Infrastruktur auf Hauptsitz-Niveau erforderlich ist. 

Was Ausfallzeiten in Filialen tatsächlich kosten 

Untersuchungen von Statista zeigen, dass 24 % der Unternehmen stündliche Ausfallkosten zwischen 301.000 und 400.000 US-Dollar für kritische Server angeben, und 14 % berichten von Kosten von mehr als 5 Millionen US-Dollar pro Stunde. Für den Einzelhandel oder Finanzdienstleister mit dezentralen Kassensystemen oder Transaktionssystemen vervielfacht sich die Auswirkung mit jeder Stunde, in der eine Filiale offline ist. 

Die Kosten summieren sich in den Filialen, da Ausfälle in der Regel unabhängig voneinander auftreten. Ein Ausfall einer einzelnen Filiale löst keine Krisensitzung auf Unternehmensebene aus. Er führt still und leise zu Umsatzeinbußen, bis jemand dies bemerkt. Bis die zentrale IT-Abteilung eingeschaltet wird, läuft die Wiederherstellungszeit oft bereits seit Stunden. 

Compliance-Vorschriften erhöhen die Anforderungen noch weiter. Die DSGVO verlangt ein sorgfältiges Management von Kundendaten, einschließlich deren fristgerechter Löschung. HIPAA verlangt einen Nachweis der Einhaltung der Vorschriften für Gesundheitsdaten. Von den Niederlassungen generierte Daten fallen in den Geltungsbereich beider Vorschriften, unabhängig davon, ob sie ordnungsgemäß gesichert wurden oder nicht. 

Was moderne ROBO-Datensicherung tatsächlich benötigt 

Fünf Anforderungen – und jede Architektur, der eine davon fehlt, wird Ihnen innerhalb eines Jahres Probleme bereiten. 

WAN-effizienter Betrieb. Die Datensicherung darf die Verbindung der Zweigstelle während der Geschäftszeiten nicht überlasten. Vollständige Backups über das WAN sind nicht akzeptabel. 

Keine lokale Infrastruktur. Kein dedizierter Backup-Server, keine Appliance und kein proprietärer Speicher in der Zweigstelle. Je weniger bewegliche Teile vor Ort vorhanden sind, desto zuverlässiger ist das System. 

Zentrale Verwaltung. Ein einheitlicher Überblick über alle Niederlassungen. Richtlinien werden einmal festgelegt und überall durchgesetzt. Berichte werden an die Zentrale weitergeleitet. 

Wiederherstellung an beiden Enden. Die Mitarbeiter in den Niederlassungen können gelöschte Dateien wiederherstellen, ohne die zentrale IT-Abteilung zu kontaktieren. Die zentrale IT-Abteilung kann bei Bedarf ganze Zweigstellen von der Zentrale aus wiederherstellen. 

Granular und mandantenorientiert. Wiederherstellung auf VM-, Anwendungs- oder Dateiebene. Zugriff auf Administrator- und Mandantenebene, sodass jede Zweigstelle ihre eigenen Daten verwaltet, ohne Einblick in die Daten anderer zu haben. 

So funktioniert „Backup aus der Replik“ tatsächlich 

Der architektonische Wandel, der moderne ROBO-Sicherung praktikabel macht, ist täuschend einfach. Anstatt in jeder Niederlassung ein Backup durchzuführen, replizieren Sie die Daten der Niederlassung im Rahmen der normalen DR-Abläufe in das Rechenzentrum und führen Sie das eigentliche Backup dann im Rechenzentrum anhand der Replik durch. 

Was sich ändert: Der Backup-Prozess beansprucht in der Niederlassung weder Rechenleistung noch Speicherplatz noch Bandbreite. Die Niederlassung übermittelt geänderte Daten einmalig zur Replikation. Die Sicherung erfolgt in der Zentrale auf Daten, die dort bereits vorhanden sind. 

Der Ablauf ist unkompliziert. Die Niederlassung repliziert kontinuierlich oder nach festgelegten Richtlinien mithilfe der nativen Replikation in das Rechenzentrum. HYCU im Rechenzentrum führt die Sicherung anhand der replizierten Kopie durch, nicht von der Niederlassung aus. Optionale sekundäre Sicherungskopien werden zur Einhaltung der 3-2-1-Regel auf Nicht-Nutanix-Speicher im Rechenzentrum geschrieben. Die Wiederherstellung erfolgt an beiden Standorten. 

Insbesondere bei Nutanix-basierte ROBO-Lösung gilt dies insbesondere für Cluster mit 1 oder 2 Knoten, die in der Zentrale in weniger als einer Stunde bereitgestellt und betriebsbereit an die Zweigstelle versandt werden. Gleiche Prism-Verwaltungsebene. Gleiche HYCU-Richtlinien. Kein separates ROBO-Produkt. Wir unterstützen zudem ESXi-ROBO-Standorte, und bei der Wiederherstellung können Workloads zwischen AHV und ESXi oder zu Nutanix Clusters auf AWS oder GCP verschoben werden. 

Warum Replikation allein keine Notfallwiederherstellung ist 

Teams verwechseln diese Begriffe ständig. „Wir replizieren von jeder Niederlassung zum Rechenzentrum, also sind wir abgesichert.“ Das ist ein schwerwiegender Fehler. 

Replikation ist eine Kopie des aktuellen Zustands. Wenn die Quelle durch Ransomware, einen Anwendungsfehler oder einen fehlerhaften Befehl eines Administrators beschädigt wird, wird die Beschädigung ebenfalls repliziert. Das Rechenzentrum verfügt nun über eine exakte Kopie der beschädigten Daten, während das Original verloren gegangen ist. Für die Wiederherstellung gibt es keine Grundlage. 

Echte ROBO-Datensicherung folgt der 3-2-1-Regel: mindestens drei Kopien der Daten auf zwei verschiedenen Medientypen, wobei mindestens eine Kopie außerhalb des Standorts aufbewahrt wird. Die Replikation ist eine dieser Kopien, nicht die gesamte Strategie. Die Datensicherung ergänzt die zeitpunktbezogenen, wiederherstellbaren Kopien, die die Replikation nicht bereitstellt. Die Replikation ermöglicht ein schnelles Failover. Die Datensicherung ermöglicht eine saubere Wiederherstellung. 

Für ROBO-Standorte ist dies wichtiger als in der Zentrale, da Zweigstellen oft nur über ein einziges Replikationsziel und keine weitere Schutzebene verfügen. Ein Ransomware-Angriff auf eine Zweigstelle kann die Replik beschädigen, bevor jemand in der Zentrale dies bemerkt. Eine Datensicherung der Replik mit Aufbewahrungsfrist löst dieses Problem. Die Zweigstelle kann auch nach einer Kompromittierung der Live-Replik auf einen einwandfreien Zeitpunkt zurückgesetzt werden. 

So sieht die ROBO-Wiederherstellung tatsächlich aus 

Drei Szenarien decken den Großteil der Anforderungen im ROBO-Betrieb ab. Eine einzelne Datei oder ein einzelner Ordner, wenn ein Mitarbeiter versehentlich das falsche Dokument löscht. Die Mitarbeiter in der Zweigstelle führen eine selbstständige Wiederherstellung auf Dateiebene aus der letzten Sicherung durch. Eine einzelne VM oder Anwendung, wenn eine POS-VM ausfällt oder eine Anwendung beschädigt wird. Die Wiederherstellung mit einem Klick stellt die VM in der Zweigstelle wieder her oder vorübergehend in der Zentrale, während die Hardware der Zweigstelle ausgetauscht wird. Ausfall der gesamten Niederlassung aufgrund von Brand, Überschwemmung, Ransomware oder Hardwareausfall. Die gesamte Filiale wird entweder an einem Ersatzstandort oder in Nutanix Clusters auf AWS oder GCP für den vorübergehenden Betrieb wiederhergestellt. 

In allen drei Fällen erfolgt die Wiederherstellung entweder durch den Administrator oder wird vom Mandanten gesteuert. Die Mitarbeiter der Filiale stellen die Daten wieder her, die in ihren Zuständigkeitsbereich fallen. Sie haben keinen Einblick in andere Filialen. Dies ist in Einzelhandels- und Franchise-Umgebungen von Bedeutung, in denen sich mehrere Betreiber die Infrastruktur teilen. 

Häufige Fragen zur ROBO-Datensicherung 

Benötige ich in jeder Niederlassung eine Backup-Infrastruktur? 

Nein, und genau das ist der springende Punkt. Bei „Backup-from-Replica“ repliziert die Filiale die Daten an das Rechenzentrum, und der eigentliche Backup-Prozess läuft zentral ab. Keine Backup-Server in der Filiale, keine Appliances, kein proprietärer Speicher. Die Niederlassung übermittelt geänderte Daten einmalig zur Replikation, und die Zentrale übernimmt den Rest. 

Reicht die Replikation für die ROBO-Notfallwiederherstellung aus? 

Nein. Die Replikation kopiert den aktuellen Zustand, was für das Failover nützlich ist, jedoch nutzlos, wenn die Quelle beschädigt ist, da die Beschädigung ebenfalls repliziert wird. ROBO benötigt sowohl Replikation für ein schnelles Failover als auch Backups mit Aufbewahrungsfristen für eine saubere Wiederherstellung zu einem bestimmten Zeitpunkt. Die 3-2-1-Regel gilt für Zweigstellen ebenso wie für die Zentrale. 

Wie wird der Totalausfall eines Standorts gehandhabt? 

Wenn eine Niederlassung vor Ort aufgrund eines Brandes, einer Überschwemmung oder eines anhaltenden Hardwareausfalls nicht wiederherstellbar ist, werden die Workloads auf Nutanix Clusters auf AWS oder GCP wiederhergestellt. Gleiche Richtlinien, dasselbe Wiederherstellungsmodell. Der Betrieb wird über die in der Cloud gehostete Infrastruktur fortgesetzt, bis die Zweigstelle wieder online ist. Die Workloads werden später zurückverlagert, ohne dass Einstellungen geändert werden müssen. 

Wie verhält es sich mit Zweigstellen mit schlechter Konnektivität? 

Die Replikation ist die einzige Aktivität, die WAN-Bandbreite beansprucht. Wir haben Kunden, die mit 5 Mbit/s-Verbindungen arbeiten. Die Replikation wird an die verfügbare Bandbreite angepasst, und das Rechenzentrum übernimmt alles Weitere. Sollte die Verbindung der Zweigstelle tatsächlich unbrauchbar sein, hilft diese Architektur zwar nicht weiter, aber das gilt auch für jede andere Option – abgesehen vom Versand von Bändern per Post. 

Wenn Sie mehr als 10 Zweigstellen betreiben, lohnt sich ein Gespräch 

Die meisten ROBO-Architekturen, die wir ersetzen, umfassen zwischen 20 und 500 Zweigstellen mit Backup-Geräten an jedem Standort. Die Kalkulation, diese durch „Backup-from-Replica“ zu ersetzen, macht sich in der Regel bereits im ersten Jahr allein durch die Vermeidung von Hardware-Erneuerungen bezahlt. Die betriebliche Verbesserung ist in der Regel größer als die Kosteneinsparungen, lässt sich jedoch im Voraus schwerer quantifizieren. Sprechen Sie mit Ihrem Kundenbetreuungsteam, wenn dies auf Ihre Umgebung zutrifft.