使用 AWS Backup Gateway 保护本地 VMware VM - 混合备份策略
在 vSphere 环境中部署网关，通过 AWS Backup 的备份计划统一管理本地 VMware VM。同时介绍通过跨区域复制实现的灾难恢复方案。
Backup Gateway 概述
Backup Gateway 是通过 AWS Backup 保护本地 VMware 虚拟机的网关服务。AWS Backup 统一管理 EC2、RDS、EFS 等 AWS 资源的备份，而 Backup Gateway 将本地 VMware VM 添加到其管理范围中。它支持 vSphere 6.7.x 及更高版本，以 ESXi 主机上的单个虚拟机为单位进行备份。网关通过 HTTPS (端口 443) 与 AWS 通信，在现有防火墙环境中也易于部署。备份数据在传输和存储时均加密，确保本地 VM 镜像通过安全路径保存到 AWS。
部署与备份
Backup Gateway 设备以 OVA 模板形式部署到 vSphere，并在 AWS 账户中激活。设备 VM 的推荐资源为 4 个以上 vCPU、8 GB 以上 RAM、80 GB 以上本地磁盘。部署后在 AWS 管理控制台输入激活密钥以注册网关。注册 vCenter Server 的 Hypervisor 后，管理下的 VM 将显示在 AWS Backup 控制台中。在备份计划中定义 VM 的调度 (每天凌晨 2:00)、保留期 (30 天) 和跨区域复制。首次备份传输完整镜像，之后利用 CBT (Changed Block Tracking) 进行增量备份，仅传输变更块，大幅减少网络带宽和时间。恢复时可将整个 VM 还原到 vSphere，或获取单个文件。
备份策略与恢复
通过 Backup Gateway 获取的 VM 备份由 AWS Backup 的备份计划管理。可设置每日备份保留 30 天、每月备份保留 1 年的生命周期策略。添加冷存储转换规则可进一步降低长期保留的存储成本。恢复时从 AWS Backup 控制台选择恢复点，将 VM 还原到本地 VMware 环境。恢复目标不限于原始主机，可指定同一 vCenter 管理的其他 ESXi 主机。通过跨区域复制将灾难恢复用备份保存在其他区域，为区域故障时的恢复做准备。备份加密可使用 AWS 托管密钥或客户托管密钥进行设置。 了解 Backup Gateway 的数据管理，可参考相关书籍（Amazon）。
具体使用场景
Backup Gateway 在以下场景中特别有效。第一，当需要通过单个备份控制台管理本地 vSphere 环境和 AWS 工作负载时。引入 Backup Gateway 后，可在逐步淘汰现有磁带备份或第三方产品的同时向 AWS Backup 迁移。第二，为区域灾难场景构建 DR 环境。将生产 VM 每日传输到 AWS，即使办公场所发生灾难也能在 AWS 上恢复工作负载，将 RTO (恢复时间目标) 缩短到数小时级别。第三，满足合规法规要求的数据保留义务。结合 AWS Backup Vault Lock 可应用 WORM (一次写入多次读取) 策略，禁止在保留期内删除备份，实现满足法规要求的数据归档。
与其他备份方式的比较
对于本地 VMware VM 的备份，除 Backup Gateway 外还有其他选择。Veeam、Commvault 等第三方产品功能丰富，但许可证成本高，且需要维护专用管理服务器。相比之下，Backup Gateway 作为 AWS Backup 的一部分运行，无需在 AWS 账户中构建额外的备份基础设施。将 AWS Storage Gateway (卷网关) 用于备份也是一种方式，但它以块存储 (iSCSI) 为单位运行，而非 VM 级别，在 VM 整体快照管理和恢复点选择的操作性方面不如 Backup Gateway。总结来说，当需要 VM 粒度的备份并结合 AWS Backup 统一管理时，Backup Gateway 最为合适；而需要块级复制或现有全功能备份产品的环境则更适合其他方式。
Backup Gateway 的费用
Backup Gateway 的备份存储费用为每 GB 月约 0.05 美元。恢复费用为每 GB 约 0.02 美元。网关 VM 本身在本地资源上运行，不产生 AWS 端的额外费用。转移到冷存储的备份每 GB 单价更低，但请注意从冷存储恢复时会产生额外费用并需要预热时间。通过适当设置备份保留期和生命周期策略，避免不必要的长期保留来管理存储成本。增量备份仅传输变更块，最大限度减少存储使用量和网络传输量。启用跨区域复制时，目标区域的存储费用和跨区域数据传输费用将额外产生。
总结
Backup Gateway 是通过 AWS Backup 统一管理本地 VMware 虚拟机的服务。在 vSphere 环境中部署网关，通过备份计划定义每日和每月的调度与生命周期。利用 CBT 的增量备份减轻网络负载，同时通过跨区域复制确保灾难恢复用备份。结合 Vault Lock 还可满足合规要求，实现云与本地数据保护的统一管理。