Backup & Storage

Continuous Data Protection (CDP)

Overview

Continuous Data Protection (CDP) bezeichnet Verfahren, die jede Änderung an Daten im Moment des Schreibens erfassen und auf ein zweites System übertragen. Statt fester Sicherungszeitpunkte entsteht ein fortlaufendes Journal, aus dem sich ein beliebiger Zeitpunkt wiederherstellen lässt. Der Wiederherstellungszeitpunkt muss erst beim Restore gewählt werden.

Die Storage Networking Industry Association (SNIA) versteht unter CDP nur Lösungen, die jeden Schreibvorgang erfassen (True CDP). Systeme, die in festen Intervallen von einigen Minuten kopieren, gelten als Near-CDP und arbeiten im Kern wie zeitgesteuerte inkrementelle Backups. Im Mittelstand begegnet CDP vor allem als Replikationsfunktion in Veeam Backup & Replication für VMware vSphere, seit Version 13 zusätzlich als Universal CDP für physische Server, Cloud-Maschinen und VMs anderer Hypervisoren mit Ziel vSphere.

Abgrenzung: Ein Snapshot friert einen einzelnen Zeitpunkt ein, CDP zeichnet laufend auf. RAID, Spiegelung und klassische Replikation halten nur den neuesten Stand und übertragen damit auch Fehler sofort, CDP erlaubt dagegen den Sprung zurück vor den Fehler. Welche Werte für RPO und RTO nötig sind, gehört in die Disaster-Recovery-Planung. CDP ersetzt weder Immutable Backup noch die 3-2-1-Regel, weil das Journal nur einen kurzen Zeitraum abdeckt.

How it works

Am Beispiel Veeam CDP für VMware vSphere:

  1. Veeam installiert über die vSphere APIs for I/O Filtering (VAIO) einen I/O-Filter auf allen Hosts eines Clusters. Er greift Schreiboperationen der geschützten VMs direkt im Hypervisor ab.
  2. CDP-Proxies nehmen die Daten entgegen und leiten sie an den Zielcluster weiter. Ihre Anzahl richtet sich nach VM-Zahl, RPO-Vorgabe und Änderungsrate, ein Assessment-Werkzeug im Richtlinien-Assistenten schätzt CPU, RAM und Bandbreite.
  3. Am Ziel entstehen startbereite Replikate. Das RPO lässt sich ab 2 Sekunden einstellen. Für Universal CDP gelten 15 Sekunden oder mehr als empfohlener Wert und 60 Minuten als Maximum.
  4. Kurzzeitaufbewahrung: Innerhalb des Journals (bei Universal CDP bis 7 Tage) ist ein Failover auf jeden Zeitpunkt mit Sekundengenauigkeit möglich.
  5. Langzeitaufbewahrung: Zusätzliche Wiederherstellungspunkte im Stundenraster, optional mit anwendungskonsistenter Verarbeitung.

Bei Universal CDP laufen auf der Quelle ein CDP-Agent-Dienst und ein Volume-Filtertreiber, als CDP-Proxy dient ein Linux-Server mit lokalem Cache.

Benefits

  • RPO im Sekundenbereich statt der 5 bis 15 Minuten snapshotbasierter Replikation, weil jede Schreiboperation sofort übertragen wird.
  • Rücksprung vor einen Fehler oder Angriff auf die Sekunde genau, da das Journal jeden Zeitpunkt im Aufbewahrungsfenster bereithält statt allein den letzten Stand.
  • Kurze Wiederanlaufzeit, weil die Replikate am Zielstandort startbereit vorliegen und kein Restore aus einem Backup-Repository nötig ist.
  • Keine Snapshot-Last auf den produktiven VMs, da der I/O-Filter ohne periodische VM-Snapshots auskommt.

Practical example

Ein Großhändler für Industriebedarf mit 300 Mitarbeitenden verarbeitet Bestellungen rund um die Uhr in einer SQL-basierten Warenwirtschaft auf VMware vSphere. Ein Datenverlust von 15 Minuten wäre im Webshop nicht tragbar, deshalb repliziert die IT die beiden Datenbank-VMs per Veeam CDP mit 15 Sekunden RPO in das zweite Rechenzentrum. Als ein fehlerhaftes Update Tabellen beschädigt, schaltet die IT auf einen Zeitpunkt zwei Minuten vor dem Update um. Die nächtlichen Backups auf ein gehärtetes Repository laufen unabhängig davon weiter.

Things to keep in mind

  • Plane CDP zusätzlich zu Backups ein, nicht als Ersatz: Verschlüsselt Ransomware über Tage unbemerkt, liegt der saubere Stand außerhalb des Journals.
  • Entferne vor dem Anlegen einer CDP-Richtlinie alle Snapshots der betroffenen VMs, denn der I/O-Filter lässt sich nicht an VMs mit Snapshots anhängen.
  • Dimensioniere Bandbreite und Proxies nach der tatsächlichen Änderungsrate der Spitzenlast, sonst wird das RPO regelmäßig gerissen.
  • Universal CDP kennt in Veeam 13.1 noch keinen geplanten Failover, kein Failback an den Originalort und kein Replica Seeding zu Cloud-Connect-Anbietern, daher den Rückweg vorab festlegen.
  • Plane nach der Installation des CDP-Agents auf Quellservern einen Neustart ein.

Conclusion

CDP lohnt sich für die wenigen Systeme, bei denen Minuten an Datenverlust nicht akzeptabel sind. Kombiniere es mit unveränderlichen Backups, denn das Journal schützt vor kurzfristigen Fehlern, nicht vor lange unentdeckten Angriffen.

Further reading

Related articles