Verlässliche Verteilte Systeme 1. Prof. Dr. Felix Gärtner. Teil 5: Datensicherung (Backup)

Transkript

1 Verlässliche Verteilte Systeme 1 Angewandte IT Robustheit und IT Sicherheit Vorlesung im Wintersemester 2004/2005 Prof. Dr. Felix Gärtner Teil 5: Datensicherung (Backup) Lehr und Forschungsgebiet Informatik 4, RWTH Aachen,

2 Ankündigungen

3 Übersicht Bisher: Hardware Fehlertoleranz: Wie bringe ich Redundanz auf Systemebene sinnvoll ein und wie misst man Zuverlässigkeit und Verfügbarkeit? Jetzt: erste praktische Ausprägung von Rückwärtsfehlerbehebung: Datensicherung minimale Verlässlichkeitsmaßnahme (wenn man etwas macht, dann mindestens das)... und selbst das wird oft nicht gemacht! Dank an Michael Becher für die Grundlage dieser Folien

4 Motivation Hardware Fehlertoleranz hilft nicht gegen Zerstörung des gesamten Systems (Diebstahl, Virus, Naturkatastrophen, Terrorismus) Ursachen von Datenverlust (datenbackup.de und ontrack.de):

5 Lösungsansatz gegen Datenverlust schützen: Fehlerbehebung Rücksetzpunkt (Sicherungskopie) machen bei erkanntem Fehler Rückwärtsfehlerbehebung auf letzten konsistenten Rücksetzpunkt (Reparatur der Hardware und Einspielen der letzten aktuellen Sicherungskopie) Welche Strategien setzt man am besten ein? Welche Hardware/Software setzt man ein? Was muss man im Prozess beachten? Beispiele

6 Datensicherungsstrategie Wichtige Parameter müssen vorab geklärt werden: Gegen was will ich mich schützen? Wichtigste Frage (Fehlerannahme) Beispiele: Erdbeben, Wasserschaden, Viren, menschliche Fehler, Diebstahl Wie lange darf das Wiederherstellen der Daten dauern? Insbesondere Reparatur der Hardware und Einspielen des Backups definiert die maximal tolerierbare Ausfallzeit Was soll gesichert werden? genauer: was soll nicht gesichert werden? Regel: alle Daten weglassen, deren Rekonstruktion weniger kostet als der Aufwand, der durch die Sicherung entsteht

7 Was genau sichern? Soll man Betriebssystem und Programme sichern? Vorteil des Weglassens: weniger Speicherplatz für die Sicherung benötigt insbesondere da Programme oft mehrfach identisch installiert sind beeinträchtigt nicht die Fähigkeit, Benutzerdaten wiederherzustellen Nachteil: Aufwand der Wiederherstellung des kompletten Rechnersystems ist größer (Software muss unter Umständen mehrfach identisch installiert werden) Konfigurationsdateien gehen verloren (bei schlechter Strategie), langwieriges Feintuning notwendig Installationsmedien müssen vorhanden sein! Definiert die Menge der "ausgewählten Dateien"

8 Begriffe Vollständige Sicherung: Alle ausgewählten Dateien werden gesichert Inkrementelle Sicherung: Nur diejenigen Dateien werden gesichert, die seit der letzten Sicherung geändert wurden oder hinzugekommen sind Differenzielle Sicherung: Alle Dateien werden gesichert, die seit der letzten vollständigen Sicherung hinzugekommen sind oder verändert wurden

9 Differenziell vs. Inkrementell Differenzielle/Inkrementelle Sicherungen in der Regel wesentlich (mehrrere Größenordnungen) schneller als vollständige Sicherung Vorteil der differenziellen Sicherung gegen über inkrementellen Sicherung: Bei Wiederherstellung wird nur die letzte vollständige Sicherung und die letzte differenzielle Sicherung benötigt Bei inkrementeller Sicherung benötigt man zusätzlich alle Sicherungen ab der letzten vollständigen Sicherung Nachteil der differentiellen Sicherung: Menge der zu sichernden Daten größer als bei der inkrementellen Sicherung

10 Zeitpunkte der Sicherung Daten welcher Zeitspanne dürfen verlorengehen? Tage, Stunden? Gibt es feste Zeitpunkte großer Datenänderungen (z.b. Projektdeadlines)? Abstände zwischen Sicherungen können auch nicht nur nach Zeit sondern nach Ereignissen festgelegt werden (z.b. bestimmte Anzahl von Datenänderungen)

11 Familienplanung Vorsicht: Datenverlust kann lange unbemerkt bleiben! Dateien tauchen in Verzeichnissen auf, sind aber nicht lesbar Auf bestimmte Daten wird lange nicht zugegriffen Abhilfe: Familienplanung jede vollständige Sicherung definiert eine Generation Festlegen, welche Zeiträume wiederhergestellt werden können sollen wieviele Generationen sollen gleichzeitig aufbewahrt werden? Daraus folgt: Mindestalter der ältesten Generation Anzahl der verfügbaren Generationen

12 Lagerung der Daten und Wiederherstellung Abhängig von Fehlerannahme: Sicherungen müssen an sicherem Ort aufbewahrt werden Feuersicherer Tresor geographisch entfernter Ort (off site) Heute oft: Sicherung über das Netz, ggf. unmittelbar nach Datenänderung, bzw. stündlich oder einmal pro Tag Für Wiederherstellung: Notfallplan machen Vorgehensweise, Zuständigkeiten bei der Wiederherstellung müssen dokumentiert sein

13 Sicherungssystem (Hardware) und Medien für den Heimgebrauch: Speichern auf CD oder DVD Medien sind billig, aber Kapazität relativ klein Speichern auf Festplattensystemen Vorteil: Sicherung geht schnell, Medien wiederbeschreibbar Nachteil: Medien sind (noch) relativ teuer Klassische Backup Hardware: Bandlaufwerke mit Magnetbändern Vorteil: Medien sind groß und billig Nachteil: Sicherung dauert lange professionelle Lösung: Speichern über das Netz (auf entfernten Systemen) Beispiel: RZ Verbund Aachen Essen Münster (mehr später)

14 Heimgebrauch Sicherung auf CDs und DVDs: einfach beschreibbare Medien sind billig mehrfach beschreibbare Medien etwas teurer reicht für die Sicherung eines Einzelplatz PCs Festplattensysteme: gebräuchlich: große zweite Festplatte einbauen besser: Wechselfestplatte (Lagerung der Sicherung separat von der Arbeitsplatte) noch besser: Festplattensystem (Stapel mit externen Festplatten) Preise für Festplatten sinken so schnell, dass viele schon von einer "Verdrängung des Magnetbandes" sprechen zur Zeit häufig: Platten als schneller Zwischenspeicher zwischen Speicher und Bandlaufwerken

15 (Semi)Professioneller Einsatz Bandlaufwerke mit Magnetbändern. Systeme: QIC (quarter inch tape cartridge): frühes Format, wenig Kapazität (maximal 4 GB auf unkomprimiertem Medium) DAT (digital audio tape) bzw. DDS (digital data storage): unkomprimierte 20 GB pro Band (DDS 3) DLT (Digital Linear Tape): Verbesserung in Kapazität (unkomprimiert 35 GB pro Band), Lesegeschwindigkeit und Zuverlässigkeit SDLT (Super DLT): aktuelle Entwicklung (von Quantum), weiter vergrößerte Kapazität momentan 300 GB pro Band, geplant 1,2 TB Ende 2006 Lesegeschwindigkeit 36 MB/s LTO (Linear Tape Open): offener Standard für lineare Bandtechnologie, aktuelle Entwicklung momentan 200 GB pro Band, 35 MB/s, geplant 800 GB und 160 MB/s, Format der Bänder roboterfreundlich wird hier im RZ eingesetzt

16 Generelle Bemerkungen zu Bandlaufwerken Lebensdauer der Bänder ist begrenzt neue Bänder müssen systematisch eingeführt werden (z.b. bei jeder neuen vollständigen Sicherung) Wenn Speicherbedarf größer als ein Band: Bandwechsler, "Jukeboxen", Bandbibliotheken, Wechselroboter regelmäßige Reinigung der Bandlaufwerke erforderlich

17 Verwendung der Medien Medien bzw. Backup Datensätze: eindeutige Bezeichner Dokumentation wann was wohin gesichert wurde NIEMALS neues Backup auf Medien des vorherigen Backups machen Fenster der Verwundbarkeit!

18 Aspekte des Sicherungssystems (Software) Daten an einem einzigen Ort zentral speichern und sichern oder nicht? vereinfacht die Anforderungen an die Software vereinfacht Investitionen in die Verfügbarkeit (muss nur an einem einzigen Ort skaliert werden) Vorsicht: Probleme mit dem Datenschutz! dezentrale Datenspeicherung macht Sicherungssoftware umfangreicher und erfordert oft Beteiligung der Anwender Sicherung automatisieren (mit Möglichkeit zum außerplanmäßigen manuellen Start) Überwachung und Protokoll des korrekten Ablaufs der Sicherung keine maximale Dateigröße (auch Dateien speichern können, die größer sind als der Platz auf einem einzelnen Sicherungsmedium)

19 Aspekte des Sicherungssystems (Forts.) zu sicherndes System muss vollständig unterstützt werden erstes Kriterium für die Auswahl eines kommerziellen Produktes muss spezielle (System )Datein auch speichern können Was soll gesichert werden? "Datei'ist die normale Einheit der Datensicherung "Partition" kann auch verwendet werden, ist aber ungünstig, wenn Partitionen groß und nicht voll sind Parallelisierung möglich/nötig? Bandlaufwerke benötigen beständigen Datenstrom für volle Schreibleistung: viele Rechner werden gleichzeitig "angezapft" wenn Bandlaufwerk schneller als Festplatte: viele Rechner gleichzeitig auf ein einzelnes Band (verschachtelt) sichern Rechner mit großem Speicher: nicht in vetretbarem Aufwand vollständig sicherbar, also mehrere Bandlaufwerke benutzen

20 Technische Organisation Sicherung soll in möglichst kurzem Zeitfenster abgeschlossen werden deswegen mehrere (am besten alle) Rechner parallel sichern Problem: Sicherungsserver muss das unterstützen Zwischenspeichern auf Festplatten, dann Schreiben auf's Band Beim Sichern über's Netz: Netzlast steigt! Datensicherung kann direkte Auswirkungen auf Dimensionierung des Netzes haben

21 Software freie Software: Amanda Advanced Maryland Automatic Network Disk Archiver unterstützt die Einrichtung eines einzelnen Backup Servers, der mehrere Rechner über's Netz regelmäßig sichert neuste Version kann auch mittels Samba Windows Rechner sichern kommerziell (Auswahl): Legato Networker ( "world record": 10,1 TB per hour file level backup speed and 4,5 TB per hour restore speed (2003) IBM Tivoli ( in der RWTH verwendet, siehe später

22 Wiederherstellung verlorener Daten Unterschied: einzelne Dateien müssen wiederhergestellt werden: meist kein Problem, da System weiterhin lauffähig komplette Rechner (inkl. Betriebssystem): schwieriger, benötig auch Partitionierungsinformationen der Festplatten und ein Rettungssystem bei Wiederherstellung von Dateien: gewünschte Versionen der Dateien auswählen (die zuletzt gesicherte muss nicht notwendigerweise die gewünschte Version sein) Vorsicht mit absichtlich gelöschten Dateien: nicht blind alle Dateien wiederherstellen, die nicht mehr da sind z.b.: alle Dateien, die zu einem bestimmten Zeitpunkt da waren Prozess der Widerherstellung muss dokumentiert sein (nicht von einer einzelnen Person abhängig) Zeitaspekt nicht vernachl ä ssigen (manchmal Zugriff auf viele Bänder nötig)

23 Test der Datensicherung "No one cares if you can back up, only if you can restore." (Unix Backup and Recovery, O'Reilly, 1999) Studie von Quantum zum Thema "Vetrauen in Backup" (2003) mehr als 150 befragte Unternehmen durchschnittlicher Sicherungszeitraum: 73,2 Stunden (3 Tage) "30% aller Unternehmen mit über 500 Mitarbeitern geben an, dass das Vertrauen in die Leistungsfähigkeit der Backuparchitektur bei unter 75% liegt" die gesicherten Daten müssen fehlerfrei auf das Sicherungsmedium übertragen worden sein (wird von guten Backup Programmen überprüft) regelmäßig Testen, ob Wiederherstellen funktioniert Ressourcen für "Test ohne Anlass" bereitstellen technische Voraussetzungen prüfen (z.b. Treiber und Kompressionsprogramme nicht nur auf den Sicherungskopien)

24 Sicherheit der Sicherung Ablageplatz der Sicherungskopien (Bänder oder CDs/DVDs): räumlich entfernt vom Produktivsystem (sonst kein Schutz gegen Brand, Naturkatastrophen, etc.) Aber: Entfernung hat Auswirkungen auf Wiederherstellungszeit (Transport) Medien müssen vor unbefugtem Zugriff geschützt werden physikalischer Zugriffsschutz notwendig, da logischer Schutz auf Dateisicherungsebene oft nicht abgebildet wird Umgebungsbedingungen beachten: Temperatur, Luftfeuchtigkeit, Magnet im benachbarten Schließfach Sicherung über Netzverbindungen: Daten könnten abgehört werden! Zugriffsschutz für den Sicherungsserver vorsehen (lokaler und remote Zugang) mit Netzwerkproblemen rechnen (z.b. Denial of Service für den Backupserver)

25 Anwendungsbeispiele kleines Netzwerk (Privatanwender): wichtigstes Kriterium: billig ("Sicherung ohne Kapitaleinsatz") keine neue Hardware anschaffen empfehlenswert: einige (wiederbeschreibbare) CDs/DVDs bei größerer Datenmenge: Wechsellaufwerke oder externe Festplatten (USB, Firewire) Software: regelmäßige vollständige Sicherung genügt: einfaches Kopieren der Daten auf Sicherungsmedium bei Bedarf: Amanda oder andere kostenlose kleine Tools sichen und benutzen Zeiträume der Sicherung nach Bedarf

26 Anwendungsbeispiele (Forts.) kleine Arbeitsgruppe (3 10 Mitarbeiter) Fallstudie LuFG I4 (vor 2 Jahren): Backup über HP SureStore DAT 24x6 (6fach DDS Bandwechsler) mit ca. 120 Bändern (zu je 12 GB unkomprimierter Kapazität) Zentralisierung der Daten von Vorteil (zentraler Fileserver) Hardware: Bandwechsler in benötigter Größenordnung Technologie: DDS oder DLT, bei größeren Mengen/Budget auch SDLT oder LTO Software: je nach Geschmack des verantwortlichen Administrators Zeiträume: z.b. vollständig jede Woche, inkrementell jede Nacht große Firma: Fallstudie RWTH (gleich)

27 Datensicherungskonzept IT Grundschutzhandbuch (Beschreibung von best practices) empfiehlt folgende Vorgehensweise: Für alle größeren IT Systeme bzw. Systeme mit großem Datenvolumen sollte ein Datensicherungskonzept erstellt werden minimale Bestandteile: Software (erworben oder selbst erstellt) muss einmalig vollständig gesichert werden Systemdaten sind mindestens einmal monatlich mit einer Generation zu sichern Anwendungsdaten sind mindestens einmal monatlich mit Vollsicherung im Drei Generationen Prinzip zu sichern Empfohlen werden regelmäßige Übungen zur Datenrekonstruktion

28 Hardware (Beispiele) Einsteigerlaufwerk von Quantum (SCSI) 80 GB Kapazität 8 MB/Sekunde Transfer ca. 900 EUR Profi Laufwerk von Quantum SDLT 600 (ebenfalls SCSI): 36 MB/Sekunde Transfer 300 GB Kapazität ca EUR MTBF > Stunden uncorrected error rate 1 in bits undetected error rate 1 in bits

29 Hardware (Forts.) Quantum P7000 Bandbibliothek: unterstützt DLT, SDLT und LTO bis zu 519 TB Kapazität mehr als 10 TB pro Stunde Transfer bis zu 16 Bandlaufwerke intern bis zu 679 Bänder intern Fibre Channel, GBit Ethernet oder SCSI hot swappable tape drives, fans, AC power inputs AC power inputs dual redundant MTBF > Stunden MTTR = 30 min. ca EUR

30 Hardware (Forts.) LTO Bandkassette von IBM LTO Ultrium Bandbibliothek von IBM 9,6 TB Kapazität bis zu 70 MB/Sekunde Transfer bis zu 23 Bänder intern Basispreis: 5000 USD

31 Quantum DX100 Virtuelle Bandbibliothek: Festplattenspeicher, emuliert 1 bis 24 Bandlaufwerke mit bis zu 24 parallelen Backup Streams bis zu 2 TB/Stunde Transfer maximale Kapazität 64 TB redundante Stromzufuhr redundantes Kühlsystem high availability durch RAID 5 (siehe später) Platten sind hot swappable ca USD Hardware (Forts.)

32 Fallstudie RWTH Rechenzentrum Hardware: IBM 3494 Bandbibliothek: Gesamtkapazität 500 TB an Bändern (erweiterbar auf 1000 TB), ca Bänder mit jeweils 300 GB IBM FAStT 900 Festplattensysteme als Zwischenspeicher (Cache): Gesamtkapazität: ca. 30 TB Software: IBM "Tivoli Storage Manager" Grafische Benutzerschnittstelle mit Auswahl der zu sichernden oder wiederherzustellenden Daten Prozess: Anwender bestimmen ihre zu sichernden Daten selbst (Verteilung der Verantwortlichkeit) Verschlüsselung der Daten und des Transportweges möglich Kommunikation über TCP/IP Sicherung zwischen 18:00 und 05:00 Uhr Siehe: aachen.de/computing/datendienste/backup/

33 Backup Verbund AC/E/MS Zusammenarbeit zwischen den Rechenzentren der Unis Aachen, Essen und Münster Idee: Schutz vor Datenverlust erhöhen durch Speicherung der Daten "auch an einem anderen Ort" Unterstützt durch Software, GWIN vorhanden (655 Mbit/s) Beschränkung auf Archivdaten (ca. 3 TB), Kopieren von/nach: Aachen Essen Essen Münster Münster Aachen Anfängliche Probleme mit Datendurchsatz (anfangs 160 kbit/s) Netzwerklatenz nach/von Aachen viel höher als zwischen Essen und Münster (unterschiedliche DFN Leitungen) Firewalls bereiten Probleme (Leistungsgrenze) DFN bietet "happy hour" an

34 Zusammenfassung und Ausblick Datensicherung (Backup) schützt gegen Datenverlust durch katastrophale Hardware Fehler Insbesondere Schutz vor dem Verlust ganzer Festplatten Gehört zu den Basismechanismen verlässlicher Systeme Wiederherstellungszeit der Daten in der Regel hoch Gängige Technik für hochverfügbare Produktivsysteme: Maskierung einzelnen Festplattenfehler durch redundante Festplattensysteme RAID (redundant array of inexpensive disks)

35 Ausblick