VMware-ESXi-Backup, auch mit der kostenlosen ESXi-Lizenz

Was Sie einrichten

BackupZit sichert VMware-ESXi-VMs, ohne etwas auf ESXi oder in den VMs zu installieren. Ein BackupZit-Agent auf einem beliebigen Rechner im Netzwerk arbeitet als Proxy des Hosts: Er erstellt Snapshots, liest nur die geänderten Blöcke der virtuellen Festplatten und schreibt sie auf Ihren Speicher. Eine Web-Konsole plant die Aufträge, führt den Verlauf und startet die Wiederherstellungen. BackupZit ist kostenlos und Open Source (AGPLv3), ohne Begrenzung von Hosts oder VMs.

• Was Sie brauchen
• Die kostenlose ESXi-Lizenz
• 1. Konsole
• 2. Speicher
• 3. Proxy-Agent
• 4. ESXi-Host oder vCenter
• 5. Sicherungsauftrag
• 6. Konsistente Sicherungen
• 7. Kopie außer Haus
• Wiederherstellen
• Grenzen

Was Sie brauchen

• ESXi 6.7, 7 oder 8 direkt verbunden, oder vCenter Server 7 oder 8 mit seinen ESXi-Hosts.
• Einen Benutzer mit Administratorrechten: auf einem Host meist root, auf vCenter administrator@vsphere.local oder ein Benutzer mit der Rolle Administrator.
• Einen Platz für die BackupZit-Konsole: eine kleine Linux-VM mit 2 vCPU, 2–4 GB RAM und 16–20 GB Festplatte. Sie speichert selbst keine Sicherungsdaten.
• Einen Proxy-Agenten: einen beliebigen Windows- oder Linux-Rechner mit dem BackupZit-Agenten, der den Host auf Port 443 erreicht (und auf 22, wenn SSH verwendet wird).
• Sicherungsspeicher außerhalb des Hosts — zum Beispiel einen Linux-Server oder NAS per SFTP, eine SMB-Freigabe, einen S3-kompatiblen Bucket oder ein gehärtetes BackupZit-Repository.
• Netzwerk: Der Agent erreicht die Konsole auf TCP-Port 8443.

Was sich mit der kostenlosen ESXi-Lizenz ändert

Die kostenlose Lizenz funktioniert, wenn Sie drei Dinge vorbereiten:

• SSH einschalten auf dem Host: im ESXi Host Client unter Host → Actions → Services → Enable Secure Shell. Lizenzierte Hosts und vCenter brauchen kein SSH.
• Changed Block Tracking (CBT) lässt sich nur einschalten, während die VM ausgeschaltet ist. BackupZit tut das bei der ersten Sicherung, die die VM ausgeschaltet vorfindet; bis dahin liest jede Sicherung die ganzen Festplatten, und der Lauf zeigt eine Warnung. Fahren Sie jede VM einmal herunter, etwa in einem Wartungsfenster, und lassen Sie eine Sicherung laufen.
• Freier Platz im Datastore: Während eine laufende VM gesichert wird, werden ihre Festplatten thin in ihrem Datastore kopiert. Der Datastore braucht daher so viel freien Platz, wie die Festplatten tatsächlich belegen.

Ein Host, der später eine Lizenz erhält, wechselt ohne weitere Einrichtung zur vSphere-API.

Schritt 1 — Konsole installieren

Am schnellsten geht es auf ESXi mit dem fertigen VM-Image backupzit-appliance.ova von der Download-Seite (Debian, PostgreSQL und die Konsole, bereits eingerichtet, mit VMware Tools):

1. Wählen Sie im ESXi Host Client Create / Register VM → Deploy a virtual machine from an OVF or OVA file und die OVA-Datei. Auf vCenter verwenden Sie Deploy OVF Template. Geben Sie der VM 2 vCPU und 2–4 GB RAM.
2. Starten Sie die VM. Ihr Bildschirm zeigt die Adresse der Web-Konsole und das Anfangspasswort des Benutzers admin. Öffnen Sie https://<Adresse>:8443, melden Sie sich an und ändern Sie das Passwort.

Auf dem Bildschirm der VM kann bzadmin eine feste Adresse und die Zeitzone einstellen (Zeitpläne laufen in der Zeitzone der Konsole). Auf einem vorhandenen Linux-Server verwenden Sie stattdessen das Installationsskript von der Download-Seite.

Schritt 2 — Speicherziel hinzufügen

Öffnen Sie in der Konsole Speicher und fügen Sie ein Ziel hinzu. Typische Wahl für VM-Sicherungen:

Lassen Sie Sicherungen verschlüsseln (AES-256) eingeschaltet (Standard). Die Konsole zeigt dann einen Wiederherstellungsschlüssel — drucken Sie das Wiederherstellungsblatt aus oder legen Sie den Schlüssel in einem Passwortmanager ab, getrennt von den Sicherungen. Mit dem Schlüssel, dem Speicherort und dessen Zugangsdaten können Sie auch ohne Konsole wiederherstellen.

Schritt 3 — Proxy-Agenten installieren

Die Sicherungsdaten fließen durch den Proxy-Agenten. Stellen Sie ihn daher in ein schnelles Netzwerk nahe am ESXi-Host und am Speicher. Linux ist die bessere Wahl: Nur ein Linux-Proxy kann Instant Recovery ausführen.

1. Öffnen Sie in der Konsole Agenten und klicken Sie auf Registrierungstoken erstellen. Sie erhalten einen Registrierungscode (BZ1-…), der 7 Tage gilt.
2. Laden Sie das Agentenpaket von der Seite Agenten herunter. Unter Debian oder Ubuntu:

   apt install ./backupzit-agent_*.deb
   backupzit-agent enroll --code "BZ1-..."
   systemctl enable --now backupzit-agent

   Unter Windows führen Sie das Agenten-MSI aus und fügen den Code ein. Die Konsole kann den Agenten auch selbst installieren: Agenten → Von hier aus auf einem Rechner installieren.

Schritt 4 — ESXi-Host oder vCenter hinzufügen

Öffnen Sie Agenten, Abschnitt VMware-ESXi-Hosts, füllen Sie ESXi-Host oder vCenter Server hinzufügen aus — Adresse, Benutzer, Passwort und den Proxy-Agent — und klicken Sie auf ESXi-Host oder vCenter hinzufügen. Die Konsole verbindet sich einmal, liest die VM-Liste und die Lizenz und hinterlegt das HTTPS-Zertifikat und den SSH-Host-Schlüssel des Hosts: Meldet sich später ein anderer Rechner unter derselben Adresse, verweigert BackupZit die Verbindung, statt ihm das Passwort zu senden. Das Passwort wird verschlüsselt gespeichert.

Die Spalte Modus zeigt, wie der Host behandelt wird:

• vSphere-API (lizenzierter Host, kein SSH nötig) — Snapshots, Festplattenkopien, Wiederherstellungen und Instant Recovery laufen über die API.
• kostenlose Lizenz: Snapshots und Wiederherstellungen über SSH — die API ist schreibgeschützt, daher laufen diese Schritte über SSH.

Wie der Host geändert wird steht standardmäßig auf Automatisch und lässt sich auf Immer SSH oder Immer vSphere-API festlegen. Ändert sich das Zertifikat des Hosts aus einem bekannten Grund — Neuinstallation, neues Zertifikat, Aufnahme in vCenter —, klicken Sie auf Neues Zertifikat akzeptieren, nachdem Sie den Fingerabdruck mit dem Host verglichen haben.

Mit vCenter Server

Fügen Sie vCenter wie einen Host hinzu. BackupZit sieht dann über diese eine Verbindung die VMs aller ESXi-Hosts und Cluster des Datacenters; über SSH wird nichts geändert. Eine mit vMotion verschobene VM wird weiter gesichert, denn VMs werden an ihrer Instance-UUID erkannt, nicht an ihrem Host. Fügen Sie denselben ESXi-Host nicht direkt und zugleich über vCenter hinzu, sonst werden seine VMs doppelt gesichert.

Schritt 5 — Sicherungsauftrag anlegen

1. Öffnen Sie Sicherungsaufträge, legen Sie einen Auftrag an und wählen Sie den ESXi-Host — er steht in der Agentenliste unter VMware-ESXi-Hosts.
2. Wählen Sie Virtuelle Maschinen (Proxmox VE, Hyper-V, VMware), dann Alle VMs (und Container) auf dem Host — später erstellte VMs werden automatisch einbezogen — oder markieren Sie einzelne VMs.
3. Wählen Sie das Speicherziel aus Schritt 2 und legen Sie den Zeitplan fest, zum Beispiel jeden Werktag um 22:00.
4. Legen Sie Sicherungen behalten fest. Beispiel: 3 neueste, 7 tägliche, 4 wöchentliche, 6 monatliche hält etwa ein halbes Jahr Verlauf mit rund 20 Wiederherstellungspunkten.

Der Auftrag läuft auf dem Proxy-Agenten des Hosts. Was bei jedem Lauf geschieht:

1. Changed Block Tracking wird für die VM eingeschaltet, falls es aus ist — auf lizenzierten Hosts automatisch, auf kostenlosen Hosts bei der ersten Sicherung, die die VM ausgeschaltet vorfindet.
2. Ein Snapshot backupzit_… wird erstellt, stillgelegt (quiesced), wenn im Gast VMware Tools laufen (siehe Schritt 6).
3. CBT meldet, welche Blöcke zu lesen sind: bei der ersten Sicherung nur die belegten Blöcke, danach nur die seit der vorigen Sicherung geänderten.
4. Eine laufende VM hält ihre Festplatten gesperrt. Sie werden daher thin im Datastore kopiert, und der Snapshot wird sofort entfernt, meist nach Sekunden. Der Proxy liest die Kopie über HTTPS und löscht sie. Ausgeschaltete VMs werden direkt gelesen.
5. Die Konfiguration der VM (.vmx) und der NVRAM werden mit der Sicherung gespeichert.

Ein Beispiel aus dem BackupZit-Testlabor: eine Debian-VM mit 8 GB Festplatte, davon 1,6 GB belegt. Die erste Sicherung las 1,6 GB. Die nächste, nach 50 MB neuen Daten, las 70 MB und dauerte 23 Sekunden.

Schritt 6 — Anwendungskonsistente Sicherungen

Laufen im Gast die VMware Tools, wird der Snapshot stillgelegt (quiesced): Anwendungen und Dateisysteme schreiben ihre Daten zuerst fest, die Sicherung ist damit anwendungskonsistent. Ohne VMware Tools ist sie absturzkonsistent — wie nach einem Stromausfall. Installieren Sie open-vm-tools in Linux-VMs und VMware Tools in Windows-VMs.

Schritt 7 — Eine Kopie außer Haus (3-2-1)

Die 3-2-1-Regel: drei Kopien Ihrer Daten auf zwei verschiedenen Medien, eine davon außer Haus. Legen Sie einen zweiten Auftrag der Art Sicherungskopie an, wählen Sie den VMware-Auftrag als Quelle und ein Ziel außer Haus, etwa einen S3-Bucket mit Object Lock oder ein gehärtetes Repository in einem anderen Gebäude.

• Der Agent kopiert die vorhandenen Sicherungen; die VMs werden nicht erneut gelesen.
• Standardmäßig läuft die Kopie nach jeder Sicherung des Quellauftrags, mit eigener Aufbewahrung — z. B. 7 tägliche auf dem NAS und 12 monatliche in der Cloud.

Ganze VMs und einzelne Dateien lassen sich aus der Kopie wie aus dem Original wiederherstellen. Unter Einstellungen → Wiederherstellungstests prüfen automatische Wiederherstellungstests (standardmäßig wöchentlich) und Gespeicherte Daten prüfen (standardmäßig monatlich) die Sicherungen. Mehr zu unveränderlichen Kopien unter Schutz vor Ransomware.

Wiederherstellen

Öffnen Sie einen Sicherungslauf (auf der Auftragsseite oder unter Aktivität) und wählen Sie Eine VMware-VM wiederherstellen, oder verwenden Sie den Assistenten Wiederherstellen mit Ganze virtuelle Maschine. Das Ziel wählen Sie unter Auf ESXi-Host wiederherstellen (mit vCenter auch den ESXi-Host, auf dem die VM läuft) und bei Bedarf einen anderen Datenspeicher.

Als neue VM neben dem Original

Erstellt eine Kopie mit neuem Namen, neuer UUID und neuen MAC-Adressen; standardmäßig heißt sie wie das Original plus -restored- und Datum. Netzwerkeinstellungen des Gastes, die an die alten MAC-Adressen gebunden sind, etwa netplans match: macaddress in Cloud-Images, gelten für die Kopie nicht.

Anstelle der Original-VM

Markieren Sie ausschalten und ihre Datenträger ersetzen. BackupZit schaltet die VM aus, löscht ihre Snapshots, benennt die aktuellen Festplatten in ….replaced-DATUM.vmdk um (löschen Sie sie, sobald die wiederhergestellte VM funktioniert) und schreibt die Sicherung in neue Festplatten mit den ursprünglichen Namen. Die VM behält ihre UUID, Netzwerkadapter und MAC-Adressen. Eine gelöschte VM wird mit ihrer ursprünglichen Identität neu erstellt.

Festplatten werden thin wiederhergestellt, und nur Blöcke mit Daten werden geschrieben — über die vSphere-API auf lizenzierten Hosts und vCenter, über SSH bei der kostenlosen Lizenz. Markieren Sie bei Bedarf VM nach der Wiederherstellung starten. ISO-Images in CD/DVD-Laufwerken sind nicht Teil der Sicherung.

Instant Recovery

Mit Sofort, aus der Sicherung laufend startet eine VM innerhalb von Sekunden. Der Linux-Proxy-Agent stellt ihre Festplatten direkt aus der Sicherung per NFS bereit; der Host bindet sie als Datastore backupzit-<Agent> ein. Änderungen werden auf dem Agenten gehalten; die Sicherung selbst wird nie verändert. Funktioniert die VM wie gewünscht, auf der Seite des Laufs:

• Abschließen verschiebt sie in einen Datastore — auf vCenter per Storage vMotion, während sie weiterläuft; auf einem einzelnen Host mit einer kurzen Abschaltung, während ihre Festplatten kopiert werden (bei der kostenlosen Lizenz mit vmkfstools über SSH).
• VM verwerfen stoppt und löscht sie mit allen Änderungen.

Öffnen Sie die Ports 2049 und 111 vom ESXi-Host zum Agenten, falls eine Firewall dazwischen liegt.

Einzelne Dateien

Dateien durchsuchen auf der Seite der Sicherung (oder Dateien aus einer virtuellen Maschine im Wiederherstellungsassistenten) öffnet die Festplatten der VM. Sie können NTFS, ext2/3/4 und XFS durchsuchen, auch auf LVM, und Dateien herunterladen oder auf einem beliebigen Agenten wiederherstellen.

Grenzen, die Sie kennen sollten

• Ein vCenter mit mehreren Datacentern kann noch nicht hinzugefügt werden; fügen Sie die Hosts der anderen Datacenter direkt hinzu.
• VMs mit eigenen Snapshots werden nicht gesichert: Löschen oder konsolidieren Sie die Snapshots zuerst.
• Raw Device Mappings (RDM) und unabhängige Festplatten werden nicht gesichert.
• Instant Recovery braucht einen Linux-Proxy-Agenten.

Nächste Schritte

Laden Sie BackupZit herunter, sehen Sie alle VMware-Funktionen oder lesen Sie das vollständige Kapitel zu VMware ESXi in der Anleitung in der Konsole. Sie nutzen auch Proxmox oder Hyper-V? Lesen Sie die Anleitung zur Proxmox-VM-Sicherung und die Anleitung zum Hyper-V-Backup. Fragen sind in den GitHub Discussions willkommen. Unternehmen erhalten kommerziellen Support von MaxZit (nur auf Englisch).