第 7 篇 / 共 8 篇
本文来自脱敏知识整理，区分历史记录与实时核验；未经核对请勿直接套用命令。
07｜PVE 备份、恢复、外部挂载数据与灾难演练
知识分类：备份与容灾｜2026-10-17 整理｜备份边界已按官方文档核对；当前备份成功率和恢复能力尚未实测。
一、快照、备份文件、完整可恢复是三件事
- 快照（Snapshot）：用于特定存储/客户机状态的回退，不可替代异地备份，也可能依赖原存储。
- vzdump/PBS 备份：记录覆盖范围内的虚拟机或容器数据和配置，能形成可独立管理的恢复点；具体一致性取决于模式与客户机状态。
- 恢复演练：把备份还原到独立目标、能够启动服务并抽查文件与应用，才有证据说明该恢复点对该场景可用。
仅执行 zstd -t 或验证 SHA256，只能说明相应文件层完整性，不能证明 VM 能启动、数据库一致或外部挂载已经被备份。
二、备份范围清单
| 层级 | 应保护的内容 | 常见遗漏 |
|---|---|---|
| 宿主 | PVE 版本、软件源、网络、SSH、防火墙、/etc/pve 的相关配置 | /etc/pve/priv 等敏感数据需独立加密保管 |
| 路由 VM | VM 磁盘、路由配置、网口映射、必要的应用导出 | 不能在未验证 WAN/LAN 的情况下直接上线恢复体 |
| NAS VM | NAS 系统和数据卷，按文件系统制定策略 | 裸盘/直通盘不能想当然被 VM 系统盘备份覆盖 |
| 服务 CT | rootfs、应用配置、数据库及其一致性备份 | bind mount 外部目录内容缺失 |
| 下载/媒体 | 视频、素材与编辑项目、索引和发布库 | 只备份 CT rootfs 不会保护媒体目录 |
| 凭据 | 令牌、证书、TOTP 恢复材料的受控副本 | 明文上传公共网盘/聊天/代码仓库 |
官方明确：LXC bind mount 的数据不包含在 vzdump 备份中。需要另行保护挂载源的真实文件系统。PVE 自带备份或 PBS 都不能替代明确的外部媒体数据备份计划。
三、备份 SOP：执行前七查
- 核对对象 VMID/CTID、关联存储和数据拥有者。
- 选择独立于生产系统盘的备份目的地，评估容量及性能。
- 检查当日存储状态、SMART/文件系统告警与剩余空间。
- 明确压缩、加密、保留周期、访问控制与离线/异地副本。
- 明确应用一致性：数据库需要应用自身转储或冻结/协调机制。
- 检查外部挂载和直通磁盘是否需要另一套备份。
- 建立恢复用独立网络、未使用实例 ID 和验收清单。
高风险生产备份属于资源密集型写入，应在批准窗口由管理员执行。命令模版供评审，不表示已经执行：
vzdump <APPROVED_VM_OR_CT_ID> --mode <VERIFIED_MODE> --storage <APPROVED_STORAGE>--mode snapshot 需确认具体客体及存储能力支持；不把快照模式描述成适用于所有场景。
四、恢复演练标准
在有独立网络与测试存储的环境恢复到未占用的新实例 ID，避免与生产 IP/MAC 冲突。先核对备份名称、配置与磁盘大小；恢复后不开通生产出口，检查操作系统启动、应用状态、数据抽样、账号登入、依赖挂载和退出/删除测试环境的授权。
| 验收维度 | 必须记录 |
|---|---|
| 存在性 | 时间、备份存储、任务 ID、文件/快照记录 |
| 完整性 | 哈希或后端校验结果、异常记录 |
| 可读取性 | 档案结构、配置清单、存储访问是否正常 |
| 可恢复性 | 新实例可启动、关键功能通过、恢复耗时 |
| 数据边界 | 哪些外部路径、直通盘另行恢复 |
历史手册中部分备份只有流校验记录，部分服务的备份/恢复证据尚不完整。因此不能把“有备份文件”写成“已经实现灾备”。
五、3-2-1 与恢复顺序
可采用 3-2-1 思路：至少三份数据副本、两种介质或独立存储、至少一份不与生产环境共享故障域的离线/异地副本；关键数据另评估不可变与加密。故障恢复应优先保证管理入口和基础网络，再恢复核心存储、业务容器与下载/播放服务。任何恢复都不能未经批准覆盖生产 VM、原磁盘或外部媒体目录。
关联资料与验证依据
- 内部资料：《PVE 安全整改中文操作手册》《PVE虚拟化环境搭建与调试入门》。
- 官方：https://github.com/proxmox/pve-docs/blob/master/vzdump.adoc
- 官方：https://github.com/proxmox/pve-docs/blob/master/pct.adoc
- 官方：https://pbs.proxmox.com/docs/
结论：只有“备份成功 + 外部数据覆盖已确认 + 隔离恢复通过”才能支持针对该恢复点的恢复承诺。
2026-10-17 第二阶段核验补充（必须替换旧状态）
- 已发生的操作（依 2026-10-16 现场日志）：对部分 AI/DNS 容器及 NAS 系统盘执行了即时备份，归档的 zstd 压缩流校验通过；另增设了部分容器的月度 stop 备份任务，并把 NAS 系统盘纳入原月度任务。本文不公开实际实例编号、任务 ID 或私人备份文件名。
- 已进行但范围有限的恢复演练：两个容器归档在隔离条件下恢复并启动，其中一个完成本机健康接口检查，另一个验证了文件和服务单元存在；NAS 的归档恢复成隔离 VM 并启动 QEMU，但未证实 guest OS 和 NAS 应用全面正常。其余归档未逐份完成隔离恢复。
- 仍未解决的风险：NAS 照片数据盘被排除在 VM 系统盘备份外，CT 的只读知识库 bind mount 未随 rootfs 归档；备份仍位于同一 N100 故障域，缺少可确认的离机副本。
zstd -t并非应用恢复成功的证据。 - 以上是知识库中 2026-10-16 的现场记录，不是本轮 2026-10-17 重新发起备份或再次测试恢复的结果。