Proxmox Backup Server: встановлення та налаштування

Proxmox Backup Server (PBS) — це спеціалізоване рішення для резервного копіювання VM та LXC-контейнерів. PBS підтримує інкрементальні бекапи, дедуплікацію на рівні блоків та наскрізне (end-to-end) шифрування. Він може бути встановлений як окремий сервер або на тій самій машині, що й Proxmox VE.

Архітектура PBS

Datastore — сховище бекапів, створюється на диску/ZFS пулі
Chunk Store — сховище дедуплікованих блоків
Namespaces — логічне групування бекапів за проєктами/командами
Remote — синхронізація між кількома екземплярами PBS

Встановлення PBS

# Завантажити ISO Proxmox Backup Server з proxmox.com
# Встановити аналогічно Proxmox VE (окремий ISO)

# Після встановлення додати no-subscription репозиторій
echo "deb http://download.proxmox.com/debian/pbs trixie pbs-no-subscription"   > /etc/apt/sources.list.d/pbs-no-subscription.list

apt update && apt dist-upgrade -y

Веб-інтерфейс PBS доступний за адресою: https://PBS-IP:8007

Створення датастора

# Через CLI
proxmox-backup-manager datastore create backup-store /mnt/backup   --comment "Main backup storage"

# Перевірити
proxmox-backup-manager datastore list

# Статистика сховища
proxmox-backup-manager datastore show backup-store

Додавання PBS до Proxmox VE

# На хості Proxmox VE
# Datacenter → Storage → Add → Proxmox Backup Server
pvesm add pbs my-pbs   --server 192.168.1.200   --datastore backup-store   --username backup@pbs   --password PBSPassword   --fingerprint AA:BB:CC:...  # Взяти з PBS → Dashboard → Fingerprint

Створення користувача для бекапів

# На сервері PBS
proxmox-backup-manager user create backup@pbs --password BackupPass123

# Призначити права на датастор
proxmox-backup-manager acl update /datastore/backup-store   --auth-id backup@pbs   --role DatastoreBackup

Ролі PBS: Використовуйте роль DatastoreBackup (тільки запис) для облікового запису, який використовує Proxmox VE. Для відновлення потрібна роль DatastoreReader.

Шифрування бекапів

# Створити ключ шифрування
proxmox-backup-client key create /root/backup.key

# Або через веб-інтерфейс:
# Storage → my-pbs → Edit → Encryption Key

КРИТИЧНО: Збережіть ключ шифрування (/root/backup.key) у надійному місці ОКРЕМО від PBS. Без ключа відновлення зашифрованих бекапів неможливе.

Моніторинг PBS

# Статус завдань
proxmox-backup-manager task list --limit 20

# Статистика дедуплікації
proxmox-backup-manager datastore show backup-store

# Перевірка цілісності
proxmox-backup-manager garbage-collect backup-store

Помилки підключення PBS до Proxmox VE

Три помилки, які найчастіше трапляються під час першого підключення PBS як сховища.

TASK ERROR: connection error: error trying to connect: tcp connect error: Connection refused
TASK ERROR: authentication failed: fingerprint mismatch
TASK ERROR: backup write data failed: no space left on device

Connection refused: PBS недоступний на порту 8007 — перевірте, що сервіс proxmox-backup-proxy запущений на PBS і порт не закритий файрволом між хостами.
fingerprint mismatch: сертифікат PBS змінився (перевстановлення сервера, заміна сертифіката), а в налаштуваннях сховища Proxmox VE збережено старий fingerprint. Оновіть його в Datacenter → Storage → my-pbs → Edit, взявши актуальне значення з PBS → Dashboard.
no space left on device: датастор PBS заповнений, а збирання сміття (Garbage Collection) давно не запускалося або вимкнене. Запустіть proxmox-backup-manager garbage-collect backup-store і перевірте розклад GC.

Коли PBS не підходить

PBS закриває більшість завдань резервного копіювання VM, але не є універсальним.

Єдиний сервер без можливості винести бекапи на окреме залізо: PBS на тій самій машині, що й Proxmox VE, захищає від логічних помилок і пошкодження даних, але не від відмови диска чи сервера цілком.
Зовсім невелика інфраструктура з однієї-двох VM з рідкими змінами — звичайного vzdump у локальний каталог з ротацією файлів може бути достатньо, розгортати окремий сервіс не завжди виправдано.
Резервне копіювання файлів поза Proxmox (робочі станції, звичайні Linux-сервери не під гіпервізором) — PBS розрахований на VM і LXC, для довільних файлів є спеціалізовані інструменти (restic, borg).

Перевірка результату налаштування

Перш ніж покладатися на PBS у проді, переконайтеся, що підключення і перший бекап справді працюють.

# Перевірити, що сховище активне на боці Proxmox VE
pvesm status

# Перевірити вхід під обліковим записом бекапу напряму
proxmox-backup-client login --repository backup@pbs@192.168.1.200:backup-store

# Виконати тестовий бекап однієї VM і подивитися завдання
vzdump 100 --storage my-pbs --mode snapshot
pvesh get /nodes/pve/tasks --typefilter vzdump --limit 1

Якщо тестовий бекап завершився статусом OK і видно його у списку знімків датастора — зв'язка налаштована правильно. Налаштування розкладу регулярних завдань описано у статті розклад бекапів у Proxmox VE та PBS.

Часті питання

Що станеться, якщо втратити ключ шифрування бекапів PBS?

Якщо ключ шифрування втрачено, відновити зашифровані дані з бекапу стає неможливим у принципі — ні адміністратор PBS, ні підтримка Proxmox не зможуть розшифрувати чанки без цього ключа. Саме тому ключ зберігають окремо від самого сервера бекапів, наприклад у менеджері паролів чи на фізичному носії, а не лише локально поряд із датастором.

Чи обов'язково встановлювати PBS на окремому від Proxmox VE сервері?

Ні, PBS можна встановити і на тій самій машині, що й Proxmox VE, однак така схема захищає лише від логічних помилок і пошкодження даних, а не від відмови самого сервера чи диска цілком. Для справжнього захисту від апаратного збою датастор резервних копій тримають на окремому фізичному пристрої чи в іншій локації.

Чи можна відновити VM із бекапу PBS на іншому вузлі кластера, а не тому, де вона працювала спочатку?

Так, бекап у PBS не прив'язаний до конкретного вузла-джерела — відновлення виконується на будь-якому вузлі кластера Proxmox VE, підключеному до того самого сховища PBS, достатньо вибрати потрібний знімок і цільовий вузол в інтерфейсі відновлення. Це зручно під час перенесення навантаження чи заміни обладнання без повторного створення VM з нуля.

Чи потрібно вручну запускати збирання сміття на датасторі, чи це відбувається само?

Збирання сміття не виконується автоматично без розкладу — його потрібно запускати регулярно вручну або через завдання за графіком, інакше датастор поступово заповнюється невикористаними чанками даних, а вільне місце закінчується значно швидше, ніж можна припустити за розміром актуальних бекапів, які справді потрібні для відновлення.