Backup NAKIVO pentru servere Linux: cerințe și metode de instalare a agentului

Serviciul de backup HostX pentru servere Linux (dedicate sau VPS) folosește NAKIVO Backup & Replication. Pentru a putea fi salvat, serverul tău are nevoie de un serviciu instalat local, numit Physical Machine Agent (agentul NAKIVO), care comunică cu infrastructura de backup HostX de la adresa 188.213.133.249.

Agentul poate fi instalat în trei moduri: cu parolă SSH, cu cheie SSH sau manual, de către tine. Articolul de mai jos descrie cerințele tehnice și diferențele dintre cele trei variante, ca să o poți alege pe cea potrivită politicii de securitate a companiei tale.

Cum funcționează

• La adăugarea serverului în consola de backup HostX, sistemul NAKIVO se conectează prin SSH, încarcă installerul agentului și îl instalează ca serviciu în /opt/nakivo/transporter. Serviciul pornește automat la fiecare repornire a serverului.
• Backupurile și restaurările se efectuează prin agent, pe portul 9446 (comandă și control) și pe intervalul 9448–10000 (transfer de date).
• Accesul SSH este folosit pentru instalarea și actualizarea automată a agentului. La instalarea manuală (opțiunea 3), HostX nu are nevoie de acces SSH.
• Agentul rulează cu privilegii root pe server, indiferent de metoda de instalare, deoarece trebuie să citească direct discurile și volumele (inclusiv snapshoturi LVM). Diferența dintre opțiuni este cine instalează agentul și ce acces primește HostX, nu privilegiile agentului.

Cerințe tehnice

Sisteme de operare suportate (x86_64)

• AlmaLinux
• Rocky Linux
• Red Hat Enterprise Linux
• Oracle Linux
• CentOS
• Debian
• Ubuntu Server
• SUSE Linux Enterprise Server

Pentru informații suplimentare privind versiunile suportate pentru fiecare din sistemele de operare de mai sus te rugăm să ne contactezi.

Hardware și spațiu de stocare

• Procesor x86_64, minimum 2 GB RAM
• Firmware BIOS sau UEFI, tabelă de partiții MBR sau GPT
• Minimum 100 MB spațiu liber pentru agent
• Sisteme de fișiere suportate: ext2, ext3, ext4, XFS, ReiserFS, FAT32, NTFS, Linux swap

Software

• SELinux dezactivat (dacă există). Cu SELinux activ, instalarea agentului eșuează. Verificare: getenforce. Dezactivare permanentă: setați SELINUX=disabled în /etc/selinux/config și repornește serverul.
• Utilitarul parted instalat (dnf install parted / apt install parted).
• Pentru opțiunile 1 și 2: pachetul openssh-server instalat și serviciul sshd pornit.
• Pentru backup consistent la nivel de aplicație: modulul de kernel dm_snapshot încărcat (lsmod | grep dm_snapshot).
• Pe server nu trebuie să existe deja un Transporter NAKIVO. Dacă ai folosit anterior NAKIVO pe acel server, te rugăm să ne anunți.

Rețea și firewall

Toate conexiunile pornesc de la infrastructura HostX (188.213.133.249) către serverul tău. Permiteți accesul  doar de la această adresă IP pe porturile de mai jos; nu deschide aceste porturi public.

Dacă filtrezi și traficul de ieșire, permiteți răspunsurile și conexiunile către 188.213.133.249 pe aceleași porturi. Dacă serviciul SSH rulează pe alt port decât 22, comunicați-ne portul și modificați corespunzător comenzile de mai jos.

Exemple de configurare (în funcție de firewallul instalat pe server):

CSF (frecvent pe serverele cPanel / DirectAdmin) — permite toate porturile doar de la IP-ul HostX:

csf -a 188.213.133.249 "HostX NAKIVO backup"

firewalld (AlmaLinux, Rocky, RHEL):

firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="188.213.133.249" port port="22" protocol="tcp" accept'
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="188.213.133.249" port port="9446" protocol="tcp" accept'
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="188.213.133.249" port port="9448-10000" protocol="tcp" accept'
firewall-cmd --reload

UFW (Ubuntu, Debian):

ufw allow proto tcp from 188.213.133.249 to any port 22,9446,9448:10000

iptables:

iptables -I INPUT -s 188.213.133.249 -p tcp -m multiport --dports 22,9446,9448:10000 -j ACCEPT

(salvează regula persistent,   cu iptables-save sau netfilter-persistent save).

Pentru opțiunea 3 poți omite portul 22 din regulile de mai sus. Dacă folosești și un firewall extern (firewall hardware, security group în cloud, Imunify360 etc.), adăugă aceleași excepții și acolo.

Opțiunea 1 — Acces cu parolă (root sau utilizator sudo)

HostX se conectează prin SSH cu un utilizator și o parolă furnizate de tine și instalează automat agentul.

Ce ne transmiți (prin tichet din my.hostx.eu): hostname sau IP, portul SSH, numele de utilizator și parola.

Cerințe pe server:

• PasswordAuthentication yes în /etc/ssh/sshd_config.
• Dacă folosești root: PermitRootLogin yes.
• Dacă folosești alt utilizator: acesta trebuie să poată rula sudo fără parolă (NOPASSWD:ALL) iar mesajul de avertizare sudo („lecture”) trebuie dezactivat.

Recomandat: în loc de root, crează un utilizator dedicat, folosit exclusiv pentru backup:

useradd -m nakivo
passwd nakivo
echo 'nakivo ALL=(ALL) NOPASSWD:ALL' > /etc/sudoers.d/nakivo
echo 'Defaults:nakivo lecture=never' >> /etc/sudoers.d/nakivo
chmod 440 /etc/sudoers.d/nakivo
visudo -cf /etc/sudoers.d/nakivo

Nu adăuga  acest utilizator în grupul wheel sau sudo: regulile de grup (de exemplu %sudo ALL=(ALL:ALL) ALL) pot avea prioritate și pot cere parola iar instalarea eșuează.

Avantaje:

• Cea mai simplă variantă; nu necesită nicio acțiune după configurarea inițială.
• Agentul este actualizat automat de HostX odată cu platforma de backup.

Dezavantaje:

• Parola este stocată (criptat) în platforma de backup HostX
• Necesită autentificare SSH cu parolă activă pe server
• Dacă schimbi parola utilizatorului trebuie să ne comunici noua parolă altfel actualizările automate ale agentului nu mai funcționează

Opțiunea 2 — Acces cu cheie SSH (fără parolă)

HostX se conectează prin SSH cu o cheie criptografică. Nu ne transmiți nicio parolă: adăugă pe server cheia publică HostX, pe care o poți revoca oricând.

Pași:

1. Deschide un tichet din my.hostx.eu și solicită cheia publică HostX pentru backup NAKIVO (unică pentru serverul tău)
2. Crează utilizatorul dedicat ca la opțiunea 1 (fără parolă: poți omite comanda passwd) sau folosiți root
3. Adăugați cheia în fișierul authorized_keys al utilizatorului, restricționată la IP-ul HostX:

mkdir -p /home/nakivo/.ssh
echo 'from="188.213.133.249" ssh-ed25519 AAAA...cheia-HostX... hostx-nakivo' >> /home/nakivo/.ssh/authorized_keys
chown -R nakivo:nakivo /home/nakivo/.ssh
chmod 700 /home/nakivo/.ssh
chmod 600 /home/nakivo/.ssh/authorized_keys

(pentru root, fișierul este /root/.ssh/authorized_keys; este suficient PermitRootLogin prohibit-password.)

4. Transmite-ne prin tichet hostname-ul sau IP-ul, portul SSH și numele utilizatorului.

Avantaje:

• Nicio parolă nu este partajată sau stocată la HostX.
• Autentificarea cu parolă poate rămâne dezactivată pe server.
• Accesul este revocabil instantaneu: șterge linia din authorized_keys
• Restricția from= face cheia inutilizabilă de pe orice altă adresă decât 188.213.133.249
• Agentul este actualizat automat, la fel ca la opțiunea 1.

Dezavantaje:

• HostX păstrează acces SSH (cu privilegii sudo) cât timp cheia este instalată.

Opțiunea 3 — Instalare manuală a agentului de către client

Instalează singur agentul NAKIVO pe server, folosind instalerul furnizat de HostX. HostX nu obține  acces SSH la serverul tău; platforma de backup comunică doar cu agentul, autentificată printr-o parolă de asociere (cheie pre-partajată) aleasă de dumneavoastră.

Pași:

1. Deschide  un tichet din my.hostx.eu și solicitați installerul agentului Linux (transporter-physical-linux-installer.sh)
2. Copiază fișierul în /tmp pe server
3. Alege o parolă de asociere puternică (minimum 16 caractere) și rulează, ca root sau cu sudo:

sudo bash /tmp/transporter-physical-linux-installer.sh -s 9446 -i /opt/nakivo/transporter -p 'PAROLA_DE_ASOCIERE' --pam-conf --eula-accept

4. Asigură-te că agentul ascultă pe portul 9446:

ss -tlnp | grep 9446

5. Transmite-ne hostname-ul sau IP-ul serverului și parola de asociere, prin tichet. HostX adaugă serverul în platformă folosind agentul existent.

Actualizarea agentului: agentul instalat manual nu se actualizează automat. Când actualizăm platforma de backup, te anunțăm și îți trimitem noul installer, pe care îl rulezi astfel:

sudo bash /tmp/transporter-physical-linux-installer.sh -u --eula-accept -i /opt/nakivo/transporter

Până la actualizare, taskurile de backup ale serverului tău pot fi întrerupte dacă versiunea agentului nu mai este compatibilă cu platforma.

Dezinstalare: /opt/nakivo/transporter/uninstall

Avantaje:

• HostX nu primește acces SSH sau credențiale de sistem
• Portul 22 nu trebuie deschis pentru HostX
• Controlezi complet momentul instalării și al actualizărilor

Dezavantaje:

• Instalarea și fiecare actualizare sunt responsabilitatea ta
• Întârzierea actualizărilor poate întrerupe taskurile de backup
• Diagnosticarea problemelor durează mai mult deoarece HostX nu poate verifica direct serverul.

Comparație rapidă

Ce opțiune să alegi

• Dorești cea mai simplă configurare și politica internă permite partajarea unei parole → Opțiunea 1, cu un utilizator dedicat nakivo, nu cu root
• Nu dorești să partajezi parole dar vrei ca agentul să fie întreținut de HostX → Opțiunea 2. Este varianta recomandată de HostX: echilibrul cel mai bun între securitate și efort.
• Politica de securitate interzice accesul terților la server (audit, conformitate, mediu reglementat) → Opțiunea 3, asumând instalarea și actualizările agentului.

Indiferent de opțiune, permite accesul la porturi doar de la 188.213.133.249.

Încetarea serviciului și revocarea accesului

• La opțiunile 1 și 2, agentul este dezinstalat automat când serverul este eliminat din platforma de backup HostX
• La opțiunea 3, rulează /opt/nakivo/transporter/uninstall
• Șterge  utilizatorul dedicat (userdel -r nakivo și /etc/sudoers.d/nakivo) sau cheia din authorized_keys și elimină regulile de firewall pentru 188.213.133.249

Probleme frecvente

• Instalarea eșuează imediat: verifică dacă SELinux este dezactivat (getenforce trebuie să returneze Disabled) și că există cel puțin 100 MB liberi
• „This machine already contains a Transporter”: pe server există un Transporter NAKIVO instalat anterior. Dezinstalează-l cu /opt/nakivo/transporter/uninstall și reia adăugarea
• Conexiunea expiră: verifică regulile de firewall (inclusiv CSF, Imunify360 sau firewallul extern) pentru 188.213.133.249 pe porturile 22, 9446 și 9448–10000.
• Autentificarea reușește  dar instalarea se oprește: utilizatorul cere parolă la sudo. Verifică cu sudo -n true (nu trebuie să solicite parolă) și asigură-te că utilizatorul nu face parte din grupul wheel / sudo.
• Serverul nu este detectat corect: scripturile din .bashrc / .bash_profile care afișează text la autentificare pot perturba detectarea. Dezactivează-le pentru utilizatorul de backup.