Wdrożenie Proxmox Backup Server Białystok

Co się dzieje z serwerem kopii, gdy padnie w nim dysk

Odpowiedź powinna brzmieć „nic, co wymaga pośpiechu”, i cały projekt służy temu, żeby tak było. Zapis ma iść dalej, bo warstwa, która milczy przez tydzień, przestaje być zabezpieczeniem dokładnie wtedy, gdy pozostałe też mogą zawieść.

Zmienna, na którą nie mamy wpływu, to termin dostawy części. Podlasie leży daleko od magazynów dystrybutorów, a serwis producenta jedzie w czasie wynikającym z umowy gwarancyjnej, nie z Waszej potrzeby. Dysk, który wypada w czwartek, bywa dostępny w przyszłym tygodniu i tego nie zmieni żadna konfiguracja.

Stąd pierwsza decyzja projektowa: nadmiarowość dobieramy pod czas dostawy, a nie pod cennik dysków. W praktyce oznacza to układ przeżywający awarię dwóch nośników zamiast jednego oraz dysk gorącej rezerwy, który wchodzi do macierzy sam, bez czekania na kogokolwiek. Kosztuje to zauważalnie mniej niż jeden przestój produkcji.

Jak układamy przestrzeń, żeby awaria nośnika nie zatrzymała zapisu

Poniższe zestawienie pokazujemy przy wycenie sprzętu, bo to ono, a nie marka serwera, decyduje o tym, jak zakład przechodzi przez typową usterkę.

Układ nośników	Co przeżywa bez przerwy w zapisie	Kiedy potrzebna jest wymiana
Dwa dyski w lustrze	awarię jednego nośnika	natychmiast, bo drugi zostaje bez pary
Macierz z jednym dyskiem parzystości	awarię jednego nośnika	przy najbliższym przeglądzie
Macierz z dwoma dyskami parzystości	awarię dwóch nośników	przy najbliższym przeglądzie, spokojnie
Macierz z dwoma parzystości i dyskiem gorącej rezerwy	awarię dwóch, odbudowa startuje sama	dopiero po wykorzystaniu rezerwy

Ostatni wiersz jest naszą typową rekomendacją. Różnica w cenie to jeden dysk, a różnica w skutkach to odbudowa macierzy rozpoczęta w minutę po awarii zamiast po dostawie części.

Do tego dochodzi rzecz, o której zapomina się przy zakupie: system plików z sumami kontrolnymi wykrywa ciche uszkodzenie danych, czyli przypadek, w którym dysk nie zgłasza awarii, a zwraca błędne bloki. Serwer kopii sprawdza to cyklicznie własną weryfikacją i dlatego raport z tygodnia bez zdarzeń również jest informacją.

Co musi działać, zanim zamkniemy wdrożenie

Lista jest krótka i żaden punkt nie jest opcjonalny, bo każdy z nich zdejmuje z powrotu do pracy jedną zależność.

1. Zarządzanie poza systemem operacyjnym, uruchomione i przetestowane na faktycznym restarcie, a nie na samym zalogowaniu do panelu.
2. Druga droga do sieci przez modem w sieci komórkowej, z ograniczonym dostępem wyłącznie do adresów zarządzania.
3. Hasła w sejfie po Waszej stronie, razem z kluczem szyfrującym kopie. Kopia zaszyfrowana kluczem, którego nikt nie ma, jest tym samym co brak kopii.
4. Alerty z serwera kopii i ze stanu macierzy trafiające do naszej kolejki zgłoszeń, nie na skrzynkę, której nikt nie czyta.
5. Zapasowy nośnik w szafie, opisany, z numerem katalogowym zgodnym z tym, co pracuje w macierzy.
6. Odtworzona próbna maszyna, z zapisanym czasem, jako dowód że całość działa.

Ostatni punkt zamyka wdrożenie. Serwer kopii, z którego nikt nigdy niczego nie przywrócił, jest urządzeniem wykonującym zadania, a nie zabezpieczeniem.

Dlaczego drugą instancję stawiamy w centrum danych, a nie w drugim pokoju

Drugi serwer w innym pomieszczeniu tej samej hali wygląda na tańsze rozwiązanie i przy niektórych ryzykach faktycznie wystarcza. Nie wystarcza przy tych, dla których w ogóle robi się drugą instancję: pożar, zalanie, przerwa w zasilaniu obejmująca cały budynek, kradzież sprzętu z serwerowni. Wszystkie cztery dotykają obu pomieszczeń naraz.

Instancja w centrum danych tej wady nie ma. Przyjmuje dane w jedną stronę, porządkuje je samodzielnie, a sprzętem zajmuje się operator obiektu, więc jej utrzymanie nie obciąża nikogo w Waszym zakładzie. Znajduje się przy tym poza Podlasiem, czyli poza zasięgiem zdarzenia obejmującego Wasz teren, i poza Waszą domeną, czyli poza zasięgiem konta przejętego w sieci firmowej.

Instancja lokalna zostaje, bo odtwarzanie dużej maszyny z odległego repozytorium ogranicza łącze. Podział wychodzi więc taki: ta w szafie decyduje, jak szybko wrócicie do pracy, ta w centrum danych decyduje, czy w ogóle jest skąd wracać. Zasada trzech kopii i dwóch nośników rozstrzygnięta pod warunki jednego zakładu.

Czego ten serwer nie obejmie

Nie obejmie stacji roboczych z Windows ani danych z chmury Microsoftu, bo nie jest do tego przeznaczony. Pierwsze bierze Veeam, drugie kopia dzierżawy. Nie zastąpi warstwy odłączonej od sieci, czyli taśm, jeśli macie obowiązek trzymania danych przez lata.

Nie odpowiada też na pytanie, w jakiej kolejności systemy wracają do pracy i kto o tym decyduje. To zadanie planu odtworzenia, a bieżący nadzór nad zadaniami prowadzi usługa kopii. Dobór sprzętu i termin prac ustalimy przez kontakt, a koszt opieki nad całym środowiskiem policzycie w kalkulatorze.

Treść sprawdzona i zaktualizowana: 7 września 2026