使用DPM保護數據安全

■ 河南 郭建偉

編者按： SCDPM（System Center Data Protection Manager）是微軟System Center產品包中的一款工具，主要用于對系統以及數據進行備份，當其出現問題后可以及時進行恢復。使用DPM不僅可以將數據備份到本地磁盤，磁帶或者網絡存儲中，也可以將其和微軟的Azure云存儲進行整合，將數據備份到云端。DPM在運行時，需要活動目錄域架構的支持。因為其會在后臺生成一些報表，所以需要使用到SQL Server數據庫。

準備所需的實驗環境

例如，在本例中存在名為“FileSrv”的文件服務器，名 為“SQL”的 SQL Server服務器，名為“HyperV1”的Hyper-V主機，名為“DpmSrv”的SCDPM服務器，其全部加入到域環境中，在域控上安裝有DNS和DHCP服務。

使用DPM服務器可以保護文件服務器和Hyper-V服務器的數據安全，當文件服務器上的數據發生丟失，或者Hyper-V虛擬機出現損壞故障時，都可以利用DPM來快速有效的進行恢復，實現企業業務的連續性。因為在部署SCDPM服務時，需要連接一個外部的SQL Server數據庫實例，所以這里需要配置SQL Server服務器。

實際上，除了DPM需要備份的數據外，其余的信息（例如DPM配置文件、產生的運維信息、日志等）全部保存在SQL Server數據庫中。以域管理員身份登錄名為“SQL”的服務器，執行SQL Server 2012的安裝操作。在安裝SQL Server 2012時，在安裝向導中的功能選擇窗口中不必選擇全部項目，只需選擇“數據庫引擎服務”、“Analysis Services”、“Reporting Services→本機”、“管理工具→完整”等功能組件。在實例名稱窗口中不要采用默認的實例名稱，這里將其設置為“Dpmsql”。在SQL Server 2012安裝向導中的服務器配置窗口中打開“服務賬戶”面板，針對SQL Server代理、SQL Server數 據 庫 引 擎、SQL Server Analysis Services、SQL Server Reporting Services服務來說，在其“賬戶名”列表中選擇“瀏覽”項，將域賬戶導入進來。

注意，可以預先在DC上創建專用的域賬戶，建議不要采用域管理員，因為在很多企業中，域管理員的密碼是需要定期更改的。這里為了便于說明，使用了域管理員賬戶。并輸入管理員密碼，啟動類型設置為自動。在下一步窗口中選擇“Windows身份驗證模式”項，點擊“添加當前用戶”按鈕，使用當前賬戶身份進行驗證。在下一步的Analysis Service配置窗口中點擊“添加當前用戶”按鈕，使用域管理員擁有分析服務管理權限。其余設置保持默認，執行SQL Server 2012的安裝操作。

注意，在SQL Server服務器上需要運行SCDPM安裝包，在安裝界面中點擊“DPM Remote SQL Prep”項，來安裝該組件。之后打開SQL Server配置管理器，在左 側 選 擇“SQL Server服務”項，在右側選擇“SQL代理服務”項，將其屬性窗口中的“服務”面板中的“啟動模式”列表中選擇“自動”項，使其可以自動啟動。如果SQL Server服務器上開啟了Windows防火墻，需要開啟TCP 1433端口。

安裝和部署DPM服務器

因為DPM服務器和SQL Server服務器是分開部署的，所以需要以域管理員賬戶身份登錄名為“DpmSrv”的服務器，打開SCDPM安裝光盤，進入其中的“SQLSVR2012SP1” 目錄，執行其中的名為“SQL ManagementStudio_x64_ENU”的程序，就可以安裝SQL Server管理工具組件。注意，因為涉及到SQL Server的補丁更新，所以需要訪問Internet。如果內網無法訪問Internet的話，也可以使用SQL Server安裝盤來安裝該組件。

圖1 安裝DPM代理服務

之后進行SCDPM的安裝操作，在安裝管理控制臺中的必備項檢查窗口中選擇“使用獨立SQL Server”項，輸入上述SQL實例名（例如“SQL Dpmsql”），輸入域管理員賬戶名、密碼以及域名。其余設置保持默認，完成DPM的安裝操作。打開SCDPM控制臺，在左側的“庫”欄中點擊“管理”項，在“磁盤”欄中可以看到當前沒有存儲池的定義，點擊“磁盤”鏈接，點擊工具欄上的“添加”按鈕，在打開窗口中顯示可用的磁盤信息，這些磁盤可以是本地磁盤，也可使用網絡存儲。對于DPM存儲池來說，會自動將諸如本地磁盤分區的可用空間，和掛載的iSCSI、FC等網絡存儲自動聚合起來使用。

注意，對于本地磁盤分區，不要對其分配盤符和格式化處理，僅僅需要將其轉換為動態磁盤即可。在實際使用時，可以為其準備兩個存儲盤，其中一個存儲盤可以進行分區處理，在其中創建一個共享文件夾（例如“share”），該磁盤不能被DPM使用，主要用于之后講到的系統裸機還原功能。另外一個磁盤不要進行分區處理，該磁盤作為基本磁盤可被DPM正常使用。在這里選擇后一個磁盤，點擊添加按鈕，將其添加到存儲池中。對于基本磁盤來說，DPM會將其轉換為動態磁盤，并且其上的所有現有卷將被轉換為簡單卷。

點擊DPM控制臺左側的“代理”鏈接，點擊工具欄上的安裝按鈕，在向導界面（如圖1）中選擇“安裝代理”項，點擊“下一步”按鈕，在選擇計算機窗口中列出本域中的所有服務器，選擇名為“FileSrv”的文件服務器和為“HyperV1”的Hyper-V主機，點擊“添加”按鈕，將其添加進來，這樣就可以在這兩臺主機上安裝DPM代理程序。

對于工作組中的主機，可以選擇“附加代理”和“工作組或不受信任域中的計算機”項來進行安裝。所謂代理，其實就是DPM的客戶端程序。在下一步窗口中輸入域管理員賬戶名和密碼，之后選擇“是，安裝了代理保護后重新啟動所選計算機”項，可以在安裝了代理服務后重啟上述主機。點擊“安裝”按鈕執行具體的安裝操作。

圖2 創建保護組向導界面

如果出現安裝失敗的情況，很有可能是在目標主機上開啟了Windows防火墻的緣故，將防火墻關閉后，就可以進行安裝了。也可以打開DPM安裝光盤，點擊其中的“DPM保護代理”項，來安裝DPM代理程序。在DPM控制臺左側選擇“代理”鏈接，可以看到受到DPM保護的主機名稱。在左側選擇“保護”項，在工具欄上點擊“新建”按鈕，在向導界面（如圖3）中點擊“下一步”按鈕，選擇“服務器”項，表示保護對象為文件服務器和應用程序服務器。在下一步窗口中的“可用成員”列表中選擇名為“FileSrv”的文件服務器，在其結構列表中選擇需要保護的文件夾。如果是系統盤中的內容，還需要選擇“System Protection” →“System State”項，將系統狀態也保護起來。

點擊“下一步”按鈕，輸入保護組名稱。在下一步窗口中設置保護期限，數據同步頻率，文件恢復點，應用程序恢復點等參數，一般來說保持默認即可。依次點擊“下一步”按鈕，在摘要窗口中點擊“創建組”按鈕。對應的，創建針對Hyper-V服務器的保護組，其方法與上述基本相同，所不同的是在選擇組成員時，在可用成員列表中選擇名為“HyperV”的主機，在其下打開“HyperV”節點，顯示其中包含的所有的虛擬機。選擇需要保護的虛擬機。

當然，也可以選擇“HyperV”節點，來保護其中的所有虛擬機。在DPM控制臺中顯示已經存在的保護組信息，包括其名稱、類型、保護狀態以及保護組中的成員。當“保護狀態”列信息變為“確定”時，才可以對其進行保護。

當執行備份時，在保護組列表中選擇某個保護對象，例如文件服務器上的某個目錄，在其右鍵菜單上點擊“創建恢復點”項，在打開窗口（如圖3）中的“為以下對象創建恢復點”列表中選擇“短期磁盤保護”項，點擊“確定”按鈕來創建所需的恢復點。當在文件服務器上打開受保護的目錄，刪除其中的一些數據后，只需在DPM控制臺左側點擊“恢復”項，在右側的“路徑”列表中選擇該保護目錄，在其右鍵菜單上點擊“顯示所有恢復點”項，在所有版本窗口中列出該對象所有的恢復點。

圖3 創建恢復點

選擇對應的恢復點，點擊“恢復”按鈕，在向導界面中依次選擇該受保護的文件夾，恢復到原始位置，版本恢復行為選擇創建副本類型，點擊“恢復”按鈕執行恢復操作。打開文件服務器，可以看到該文件夾的內容已經恢復到對應的狀態了。對于虛擬機的保護來說，其操作方法與之類似。在DPM控制臺中選打開對應的虛擬機保護組，選擇需要保護的虛擬機，該虛擬機應該處于關閉狀態。在其右鍵菜單上點擊“創建恢復點”項，為其創建所需的恢復點。當該虛擬機狀態發生改變后，可以在DPM控制臺左側的“可恢復的數據”欄中選擇和該虛擬機相關的保護組，在“路徑”列表中選擇該虛擬機，在其右鍵菜單上點擊“顯示所有恢復點”項，在所有版本窗口中列出該對象所有的恢復點，選擇對應的恢復點，點擊“恢復”按鈕，就可以將該虛擬機恢復到對應狀態。

實現系統的裸機恢復操作

上面我們簡單介紹了如何對文件以及虛擬機進行備份，實際上，使用DPM可以備份微軟幾乎所有的應用程序。

例如，可以對遠程服務器進行裸機還原的備份，這必須滿足兩個條件。其一是在該機上安裝SCDPM代理程序，其二是需要在該機上安裝Windows Server Backup組件。因為執行的是系統備份，所以DPM需要調用WSB組件進行備份，在DPM控制臺左側選擇“保護”項，在工具欄上點擊“新建”按鈕，在向導界面上選擇“服務器”項，點擊“下一步”按鈕，選擇某臺遠程服務器（例如名為“Server09”的DNS服務器等），在其下選擇“System Protection”項，包括“Bare、Metel Recovery”和“System State”項。

點擊“下一步”按鈕，輸入保護組名稱（例如“SystemRestore1”）。 在 下一步窗口中可以設置保護期，默認為5天。這表示當創建好保護組后，DPM會立即針對所保護的對象，創建完整的副本。在“快速完整備份”欄中默認在每天晚上20:00進行快速備份，點擊“修改”按鈕，可以根據需要設置所需的星期數（例如不選擇周日周六等）和備份的時間點。這說明在其介質中只保存5天的副本。當達到指定的時間點后，可以執行完整備份操作。當超過該期限后，會將之前的副本覆蓋。其余設置保持默認，點擊“創建組”按鈕，創建該保護組。

在DPM控制臺中選擇該保護組，在其右鍵菜單上點擊“執行一致性檢查”項，執行備份副本的校驗操作。此刻進入名為“Server09”的服務器，在任務管理器中打開“性能”面板，選擇“以太網”項，在網絡圖表中顯示較大的流量，說明備份操作正在進行。

當備份完成后，希望將備份數據恢復到新的服務器來實現裸機還原的話，就需要使用到上述談到的包含“Share”共享文件夾已經分區的磁盤了。在DPM控制臺中左側選擇“恢復”項，在“可恢復數據”欄中選擇“Server09”服務器中的系統保護項目，在右側的“恢復時間”列表中選擇所需的恢復時間點，在“路徑”列表中選擇“Bare Metal Recovery”項，在其右鍵菜單上點擊“恢復”項，在向導界面（如圖4）中點擊“下一步”按鈕，選擇“復制到網絡文件夾”項，選擇上述名為“share”的共享目錄，其余設置保持默認，點擊“恢復”按鈕，將備份的內容釋放到該共享目錄中。

圖4 數據恢復向導界面

之后打開該共享目錄，在 其 中 看 到 以“DPM”開頭的，后跟具體時間日期的文件夾，層層進入其中的子目錄，可以看到名為“Windows Image Backup” 的目錄，其中保存著系統備份數據。在新的服務器（例如名 為“Server19”）上 使 用Windows Server 2012 R2光盤進行引導，在Windows安裝程序界面中點擊“修復計算機”項，選擇“疑難解答”→“系統映像恢復”項，點擊“Windows Server 2012 R2”項，在對計算機進行重鏡像。

注意，為了讓操作順利進行，必須在DC上配置DHCP服務，或者在域中使用專門的DHCP服務器。這樣可以讓該機獲得IP地址。

點擊“高級”按鈕，在彈出窗口中點擊“在網絡上搜索系統映像”項，輸入網絡共享文件夾路徑，例如“\192.168.1.30sharexxx”，其 中的“192.168.1.30”為提供該共享目錄的主機IP，在本例中表示DPM服務器，“xxx”表示其中的層層子目錄，即上述“Windows Image Backup”目錄以上的路徑信息。該路徑信息一定要準確設置，否則無法還原。點擊“確定”按鈕，輸入域管理員賬戶和密碼，點擊“下一步”按鈕，選擇需要恢復的備份時間點，點擊“完成”按鈕，系統提示“要還原的驅動器上的所有數據都將替換為系統映像中的數據”，點擊“是”按鈕，執行裸機還原操作。之后重啟該新的服務器，就可以直接使用了，其系統狀態和之前備份的服務器是完全一致的。

注意，該新服務器和之前備份的服務器是不一樣的，這里的不一樣指的是兩者的IP是存在差異的。因為恢復后的新的服務器是沒有IP地址的，所以需要手工進行設定。