Резервное копирование по правилу 3-2-1: какое железо нужно

Коротко: Правило 3-2-1 означает: держать не меньше 3 копий данных (рабочие данные и 2 резервные), на 2 разных типах носителей, и 1 копию — вне основной площадки. Расширенная версия 3-2-1-1-0 добавляет одну офлайн- или неизменяемую (immutable) копию и 0 ошибок при проверке восстановления. На практике первая резервная копия хранится на дисковом репозитории — выделенном сервере с NL-SAS-дисками или СХД с дедупликацией — для быстрого восстановления, а вторая уходит на ленты LTO, в S3-хранилище с блокировкой объектов или на сервер в другом здании. Объём репозитория обычно в 1,5–3 раза больше объёма защищаемых данных, в зависимости от глубины хранения и сжатия.

Что означает правило 3-2-1 и зачем расширенная версия

3 копии — рабочие данные плюс две резервные. Если копия одна, её повреждение или недоступность в момент аварии означает потерю данных. 2 типа носителей — например, дисковый массив и лента или локальный сервер и объектное хранилище, чтобы одна причина отказа (ошибка прошивки, дефектная партия дисков, сбой СХД) не затронула обе копии. 1 копия вне площадки защищает от пожара, затопления, кражи и аварии в здании.

Шифровальщики изменили требования: злоумышленник с правами администратора удаляет и резервные копии на доступных по сети хранилищах. Поэтому появилась схема 3-2-1-1-0: ещё одна копия офлайн (лента в сейфе, отключённый носитель) или неизменяемая — защищённая от удаления на заданный срок, — и 0 ошибок: резервные копии регулярно проверяются тестовым восстановлением.

RPO и RTO: с чего начинается расчёт

RPO (Recovery Point Objective) — сколько данных допустимо потерять, то есть как часто делать копии. RPO 24 часа — ежесуточный бэкап, RPO 15 минут — частые инкременты, журналы транзакций или репликация. RTO (Recovery Time Objective) — за какое время система должна быть восстановлена.

Эти два параметра определяют железо. Короткий RTO требует быстрого дискового репозитория, сети 10 GbE и выше и, возможно, мгновенного запуска ВМ прямо из бэкапа. Длинные сроки хранения при редком восстановлении экономичнее закрывать лентой или ёмким объектным хранилищем. Разные системы обычно делят на классы: критичные (часы), важные (сутки), архивные (дни).

Носители для резервных копий: сравнение

Носитель	Скорость восстановления	Защита от шифровальщика	Срок хранения	Роль в схеме 3-2-1
Сервер-репозиторий с HDD (Linux, Windows, ZFS)	высокая	при настройке неизменяемости (hardened repository)	недели и месяцы	первая копия, быстрое восстановление
Дедуплицирующая СХД (Dell PowerProtect DD, HPE StoreOnce и аналоги)	высокая для последних копий	встроенные механизмы блокировки	месяцы и годы за счёт дедупликации	первая копия, репликация на второй сайт
Ленточная библиотека LTO	средняя, минуты на загрузку плюс потоковое чтение	высокая: картридж вне привода физически недоступен	годы и десятилетия	офлайн-копия, архив, вне площадки
Объектное хранилище S3 с Object Lock	зависит от канала	высокая при режиме compliance	годы	копия вне площадки, неизменяемая копия
NAS начального уровня	средняя	низкая, если доступен по SMB	месяцы	копия для небольших офисов
Съёмные диски, RDX	средняя	высокая при отключении и вывозе	годы при правильном хранении	офлайн-копия малого объёма

Сервер-репозиторий: каким он должен быть

Самый распространённый носитель первой копии — отдельный сервер с ёмкими дисками. Типовая конфигурация — 2U-сервер на 12 отсеков 3,5" или 4U на 24–36 отсеков, NL-SAS или SATA 7200 об/мин, RAID 6 или ZFS RAIDZ2, 32–128 ГБ памяти, 2 × 10 GbE или 25 GbE. Диски для таких задач подробно разобраны в статье о серверных HDD.

Контроллер с кэшем и батареей или суперконденсатором для RAID 6, либо HBA для ZFS.
Файловая система с поддержкой блочного клонирования (XFS с reflink, ReFS) ускоряет синтетические полные копии и экономит место.
Неизменяемость: hardened repository на Linux с иммутабельными файлами, отдельные учётные записи, отключённый SSH после настройки, отсутствие членства в домене.
Изоляция: репозиторий не должен быть доступен по SMB из пользовательской сети, а управление — через выделенный сегмент.

Если данных много и они хорошо дедуплицируются (однотипные ВМ, ежедневные полные копии баз), рассмотрите специализированную дедуплицирующую систему: коэффициент дедупликации на таких данных может быть кратным, а репликация между двумя такими системами передаёт только изменившиеся блоки.

Ленты и объектное хранилище для второй копии

Лента LTO остаётся самым дешёвым в эксплуатации носителем для больших объёмов и длительного хранения: картридж LTO-9 вмещает 18 ТБ без сжатия, хранится до 30 лет и не потребляет энергию на полке. Картридж, извлечённый из библиотеки, физически отделён от сети и защищён от удаления. Минусы — последовательный доступ и необходимость ротации и вывоза картриджей. Подробнее — в статье ленточные накопители LTO.

Объектное хранилище S3 — собственное (например, на Ceph RGW или MinIO на втором сайте) или внешнее. Механизм Object Lock запрещает удаление и изменение объектов до указанной даты. В режиме compliance это не может сделать даже администратор хранилища. Большинство современных систем резервного копирования умеют писать в S3 напрямую или переносить старые цепочки в объектный уровень. Свою инсталляцию S3 разбирает статья ZFS и Ceph на своём железе.

Как посчитать ёмкость репозитория

Базовая формула для схемы «еженедельная полная копия плюс ежедневные инкременты»:

Ёмкость = (Полная × число полных) + (Полная × доля изменений × число инкрементов) + запас 20–30%

Пример: защищаемые данные 20 ТБ, сжатие и дедупликация уменьшают полную копию примерно до 10–12 ТБ, ежедневно меняется 3–5% данных, хранение — 4 недели. Получаем 4 полные копии по 11 ТБ (44 ТБ) плюс 24 инкремента по 0,5 ТБ (12 ТБ), итого около 56 ТБ и с запасом — 70 ТБ полезной ёмкости. При блочном клонировании (synthetic full на XFS или ReFS) полные копии почти не занимают дополнительного места, и потребность снижается в разы.

Исходные данные	Что влияет	Типичный диапазон
Коэффициент сжатия	тип данных	1,5–2:1 для ВМ и баз, около 1:1 для видео и архивов
Суточные изменения	активность пользователей и баз	2–10%
Глубина хранения	требования бизнеса и регуляторов	от 14 дней до нескольких лет
Запас ёмкости	рост данных, заполнение не более 80%	20–30%

Сеть и окно резервного копирования

Окно резервного копирования — время, за которое копия должна завершиться, не мешая работе. Скорость 1 GbE на практике около 100 МБ/с, то есть примерно 0,36 ТБ в час. Полная копия 10 ТБ по гигабиту займёт около 28 часов, по 10 GbE — 3–4 часа, если диски и источник выдают такую скорость.

Выделенная сеть или VLAN для резервного копирования, чтобы не нагружать пользовательскую сеть.
10 GbE на репозиторий как минимум для инфраструктуры от нескольких десятков ВМ.
Для копии на второй сайт — канал, рассчитанный на суточный объём инкрементов с запасом, и WAN-ускорение или дедупликация на стороне источника.
Первичную полную копию на удалённый сайт часто перевозят физически, на дисках или лентах.

Типовые схемы под размер компании

Масштаб	Первая копия	Вторая копия	Офлайн или неизменяемая
Малый офис, до 5–10 ТБ	NAS или небольшой сервер с RAID 6	облачное S3-хранилище или NAS в другом помещении	съёмные диски или RDX с ротацией
Средняя компания, 20–200 ТБ	сервер-репозиторий 2U/4U с NL-SAS, hardened repository	ленточный автозагрузчик или библиотека LTO	картриджи в сейфе вне площадки
Крупная инфраструктура, сотни ТБ	дедуплицирующая СХД или кластер репозиториев	репликация на второй ЦОД	ленточная библиотека или S3 с Object Lock
Архив с хранением годами	дисковый буфер	ленты LTO в двух экземплярах	второй экземпляр лент в другом здании

Программные средства — Veeam Backup and Replication, Commvault, Bacula, Proxmox Backup Server, а также российские решения, включая Кибер Бэкап и RuBackup. Перед выбором железа проверьте у выбранного ПО список поддерживаемых ленточных приводов, дедуплицирующих систем и S3-совместимых хранилищ.

Как спланировать железо под 3-2-1

Составьте перечень систем и их объёмы, назначьте каждой RPO и RTO.
Определите глубину хранения по каждому классу: ежедневные, еженедельные, ежемесячные, годовые копии.
Рассчитайте ёмкость первой копии по формуле выше с запасом 20–30%.
Выберите носитель первой копии: сервер-репозиторий или дедуплицирующая СХД.
Выберите носитель второй копии другого типа: ленты, S3 или сервер на второй площадке.
Обеспечьте офлайн- или неизменяемую копию: ротация картриджей, Object Lock или hardened repository.
Рассчитайте сеть под окно копирования и канал до второй площадки.
Предусмотрите питание: репозиторий и библиотеку подключите к ИБП, чтобы задания не обрывались. Подробнее — в статье ИБП для серверной.
Запланируйте проверку: регулярное тестовое восстановление по графику с фиксацией результата.

Типичные ошибки

Резервные копии на том же массиве или в том же сервере, что и рабочие данные.
Репозиторий в домене и с общим доступом по SMB — шифровальщик зашифрует и его.
Одна учётная запись администратора для продуктивной среды и для системы бэкапа.
Отсутствие тестового восстановления: копии есть, но восстановить из них нельзя.
Расчёт ёмкости без учёта роста данных и глубины хранения.
Лента без ротации — картриджи постоянно стоят в библиотеке и доступны по сети.
RAID 5 на ёмких дисках репозитория.
Репозиторий без ИБП: обрыв питания в момент слияния цепочки повреждает копии.

Что учесть при закупке

Для подбора оборудования подготовьте объём защищаемых данных, рост за год, требуемую глубину хранения, RPO и RTO, используемое ПО резервного копирования и его версию. В спецификации на сервер-репозиторий укажите число отсеков, тип и ёмкость дисков, контроллер, объём памяти, сетевые интерфейсы. Для ленточной библиотеки — поколение LTO, число приводов и слотов, интерфейс (SAS или FC), количество картриджей с учётом ротации, чистящие картриджи и штрихкод-этикетки.

Проверьте совместимость оборудования с ПО бэкапа, комплектность (салазки, рельсы, кабели SAS, HBA), условия гарантии и сроки поставки. Поможем собрать схему 3-2-1 под ваши объёмы — оборудование в разделах Системы хранения и Серверы.

Смотреть схд и nas в наличии →

Вопросы по теме

Что такое правило 3-2-1 простыми словами?

Три копии данных, на двух разных типах носителей, одна из которых хранится вне основной площадки. Это минимальная схема, при которой одна авария, сбой оборудования или ошибка не уничтожают все копии сразу. Современная версия 3-2-1-1-0 добавляет офлайн-копию и регулярную проверку восстановления.

Считается ли RAID резервной копией?

Нет. RAID защищает от отказа диска, но не от удаления файлов, шифровальщика, ошибки приложения или отказа самого контроллера. Изменения в RAID-массиве мгновенно отражаются на всех дисках. Резервная копия должна храниться на отдельной системе.

Чем неизменяемая копия отличается от офлайн?

Офлайн-копия физически отключена от сети: картридж в сейфе, отключённый диск. Неизменяемая копия доступна по сети, но система хранения запрещает её удаление и изменение до заданной даты. Обе защищают от шифровальщиков, офлайн-копия дополнительно защищает от компрометации самой системы хранения.

Какой объём нужен под резервные копии?

Обычно в 1,5–3 раза больше объёма защищаемых данных при хранении копий 2–4 недели. Точное значение зависит от сжатия, доли ежедневных изменений, глубины хранения и использования блочного клонирования. К результату добавляют 20–30% запаса на рост.

Нужны ли ленты, если есть облако?

Не обязательно, но ленты выгодны при больших объёмах и длительном хранении. Они не зависят от канала связи, хранятся десятилетиями и обеспечивают физическую изоляцию. Восстановление больших объёмов из удалённого хранилища может занять дни, если канал узкий.

Можно ли использовать NAS как репозиторий?

Для небольших офисов можно, но NAS с доступом по SMB уязвим для шифровальщиков. Лучше подключать его по протоколу, недоступному пользователям, с отдельными учётными данными, и иметь вторую копию на другом носителе. Для средних инфраструктур надёжнее выделенный сервер-репозиторий.

Как часто проверять резервные копии?

Автоматическую проверку целостности — после каждого задания или ежедневно, тестовое восстановление критичных систем — не реже раза в месяц или квартал. Результаты стоит фиксировать в журнале. Цель — 0 ошибок восстановления.

Какая сеть нужна для резервного копирования?

Для небольших объёмов хватает 1 GbE, но полная копия 10 ТБ по гигабиту займёт около суток. Для инфраструктуры от нескольких десятков ВМ на репозиторий ставят 10 GbE или 25 GbE и выделяют отдельную сеть или VLAN. Канал до второй площадки рассчитывают по объёму суточных инкрементов.

Подойдёт ли б/у сервер под репозиторий?

Да, это частый и рациональный выбор: нагрузка последовательная, а надёжность обеспечивается RAID 6 или ZFS RAIDZ2 и второй копией на другом носителе. Важно проверить диски, контроллер с исправной батареей кэша и блоки питания. Диски лучше брать одной модели и с запасом под ЗИП.

Где хранить копию вне площадки?

В другом здании компании, в коммерческом ЦОД, в арендованном объектном хранилище или в виде картриджей в банковской ячейке или специальном хранилище. Главное — чтобы одно событие не затронуло основную площадку и внешнюю копию одновременно. Расстояние выбирают с учётом типичных рисков региона.