Proxmox Backup Server: установка, настройка и восстановление VM — полный гайд

10. Восстановление VM из PBS: полное, частичное, тест

Полное восстановление VM через веб PVE

1. PVE → Storage → pbs-main → Content
2. Выбери нужный бэкап по дате и VMID
3. Нажми Restore
4. Укажи: целевую ноду, storage для диска, VMID (новый или тот же если исходная VM удалена)
5. Start after restore — включи если нужно сразу стартовать

Полное восстановление через CLI

# Посмотреть доступные бэкапы VM 101
pvesh get /nodes/$(hostname)/storage/pbs-main/content \
  --content backup | grep "vm/101"

# Восстановить VM 101 из последнего бэкапа
# Формат snapshot: vm/101/2025-01-15T02:00:00Z
qmrestore pbs-main:backup/vm/101/2025-01-15T02:00:00Z 101 \
  --storage local-lvm \
  --force 1

# Восстановить LXC-контейнер 201
pct restore 201 pbs-main:backup/ct/201/2025-01-15T02:00:00Z \
  --storage local-lvm \
  --force 1

# Восстановить как новую VM с другим VMID (старая остаётся)
qmrestore pbs-main:backup/vm/101/2025-01-15T02:00:00Z 901 \
  --storage local-lvm

File-level восстановление: достать отдельные файлы из бэкапа

Не нужно восстанавливать всю VM ради одного файла. PBS умеет монтировать бэкап как файловую систему.

# Монтируем бэкап (только чтение)
proxmox-backup-client mount \
  --repository "pve-backup@pbs!pve-token@IP_PBS:main" \
  vm/101/2025-01-15T02:00:00Z \
  /mnt/restore-point

# Смотрим что внутри - образы дисков VM
ls /mnt/restore-point/
# drive-scsi0.img  drive-scsi1.img  ...

# Монтируем нужный диск (ext4/xfs/ntfs)
# Linux:
mount -o ro,loop /mnt/restore-point/drive-scsi0.img /mnt/vm-disk

# Windows NTFS:
mount -o ro,loop,offset=1048576 /mnt/restore-point/drive-scsi0.img /mnt/vm-disk
# (offset зависит от таблицы разделов, используй: fdisk -l /mnt/restore-point/drive-scsi0.img)

# Копируем нужные файлы
cp /mnt/vm-disk/var/www/html/config.php /tmp/restored-config.php

# Размонтируем всё
umount /mnt/vm-disk
proxmox-backup-client umount /mnt/restore-point

Скачать бэкап на локальный диск

# Экспортировать бэкап как .vma.zst (стандартный формат Proxmox)
proxmox-backup-client restore \
  --repository "pve-backup@pbs!pve-token@IP_PBS:main" \
  vm/101/2025-01-15T02:00:00Z \
  drive-scsi0.img.fidx \
  /tmp/vm101-disk.img

# С шифрованием - нужен ключ:
proxmox-backup-client restore \
  --repository "pve-backup@pbs!pve-token@IP_PBS:main" \
  vm/101/2025-01-15T02:00:00Z \
  drive-scsi0.img.fidx \
  /tmp/vm101-disk.img \
  --keyfile /etc/pve/priv/pbs-encryption.key

# Через веб PBS: Datastore → main → vm → 101 → выбери snapshot → Download

11. S3 как дополнительное хранилище: offload бэкапов

PBS не пишет напрямую в S3 — работает только с локальными директориями. Решение: смонтировать S3 как файловую систему через rclone.

Вариант A: rclone mount (рекомендуется)

# Устанавливаем rclone и fuse3
apt install -y rclone fuse3

# Настраиваем подключение к S3 интерактивно
rclone config
# n → имя "s3backup" → тип s3 → провайдер (AWS/Yandex/Selectel)
# → access_key_id, secret_access_key → endpoint (для не-AWS)

# Проверяем подключение
rclone lsd s3backup:

# Создаём systemd-unit для автомонтирования
mkdir -p /mnt/s3-backup

cat > /etc/systemd/system/rclone-s3.service << 'EOF'
[Unit]
Description=RClone S3 Mount for PBS offload
After=network-online.target
Wants=network-online.target

[Service]
Type=notify
ExecStart=/usr/bin/rclone mount s3backup:ИМЯ_БАКЕТА /mnt/s3-backup \
  --vfs-cache-mode writes \
  --allow-other \
  --dir-cache-time 72h \
  --log-level INFO \
  --log-file /var/log/rclone-s3.log
ExecStop=/bin/fusermount -u /mnt/s3-backup
Restart=on-failure
RestartSec=10

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now rclone-s3
systemctl status rclone-s3

# Добавляем S3 как отдельный datastore в PBS
proxmox-backup-manager datastore create s3-offload /mnt/s3-backup \
  --comment "S3 offload - длительное хранение"

# Retention для S3 (хранить дольше, чем локально)
proxmox-backup-manager datastore update s3-offload \
  --keep-monthly 12 \
  --keep-yearly 3

Вариант B: скрипт еженедельной синхронизации PBS → S3

#!/bin/bash
# /opt/scripts/sync-pbs-to-s3.sh
# cron: 0 4 * * 0 root /opt/scripts/sync-pbs-to-s3.sh

SOURCE="/mnt/backup-store"
DEST="s3backup:ИМЯ_БАКЕТА/pbs"
LOG="/var/log/pbs-s3-sync.log"

echo "$(date): Старт синхронизации PBS → S3" >> "$LOG"

rclone sync "$SOURCE" "$DEST" \
  --transfers 4 \
  --checkers 8 \
  --exclude "*.tmp" \
  --stats 60s \
  --log-file "$LOG" \
  --log-level INFO

RC=$?
if [ $RC -eq 0 ]; then
  echo "$(date): Синхронизация завершена успешно" >> "$LOG"
else
  echo "$(date): ОШИБКА синхронизации, код: $RC" >> "$LOG"
  echo "PBS→S3 sync failed (code $RC). See $LOG" | \
    <a class="wpil_keyword_link" title="mail" href="https://it-apteka.com/tag/mail/" target="_blank" rel="noopener" data-wpil-keyword-link="linked" data-wpil-monitor-id="1337">mail</a> -s "PBS Sync Error $(date +%Y-%m-%d)" admin@example.com
fi

chmod +x /opt/scripts/sync-pbs-to-s3.sh
echo "0 4 * * 0 root /opt/scripts/sync-pbs-to-s3.sh" \
  >> /etc/cron.d/pbs-s3-sync

12. Шифрование бэкапов PBS

Если бэкапы уходят на S3 или в недоверенное хранилище — шифрование обязательно. PBS использует клиентское шифрование AES-256-GCM: ключ знает только клиент, PBS хранит зашифрованные чанки.

# Генерируем ключ шифрования на PVE-хосте
proxmox-backup-client key create /etc/pve/priv/pbs-encryption.key

# СРАЗУ делаем бумажную копию (paperkey)
proxmox-backup-client key paperkey /etc/pve/priv/pbs-encryption.key \
  --output-format text
# Распечатай и положи в сейф. Это не метафора.

# Прописываем ключ в backup job (через웹 PVE: Edit job → Encryption Key)
# Или вручную при vzdump:
vzdump 101 --storage pbs-main --mode snapshot --compress zstd \
  --encrypt /etc/pve/priv/pbs-encryption.key

13. Мониторинг PBS через Zabbix

Бэкапы без мониторинга — это шрёдингеровский бэкап: есть и нет одновременно. Узнаешь правду только когда нужно восстанавливаться.

Создаём API-токен для мониторинга (только чтение)

# Создаём пользователя
proxmox-backup-manager user create zabbix@pbs \
  --password "ZabbixReadOnly!" \
  --comment "Zabbix мониторинг"

# Генерируем токен
proxmox-backup-manager user generate-token zabbix@pbs monitoring
# Сохрани токен!

# Только аудит - никаких записей и удалений
proxmox-backup-manager acl update / \
  --auth-id "zabbix@pbs!monitoring" \
  --role Audit

Скрипт для Zabbix External Check

#!/bin/bash
# /usr/lib/zabbix/externalscripts/pbs_check.sh
# Использование: ./pbs_check.sh <IP> <TOKEN_ID> <TOKEN_VALUE> <CHECK>

PBS_HOST="$1"
TOKEN_ID="$2"
TOKEN_VALUE="$3"
CHECK="$4"

URL="https://${PBS_HOST}:8007/api2/json"
AUTH="PBSAPIToken=${TOKEN_ID}:${TOKEN_VALUE}"

api() { curl -sk -H "Authorization: ${AUTH}" "${URL}/$1"; }

case "$CHECK" in
  node.uptime)
    api "nodes/localhost/status" | python3 -c \
      "import sys,json; print(json.load(sys.stdin)['data'].get('uptime',0))"
    ;;
  datastore.used.pct)
    api "admin/datastore/main/status" | python3 -c \
      "import sys,json
d=json.load(sys.stdin)['data']
print(round((1 - d.get('avail',0)/max(d.get('total',1),1))*100, 2))"
    ;;
  datastore.avail.gb)
    api "admin/datastore/main/status" | python3 -c \
      "import sys,json
d=json.load(sys.stdin)['data']
print(round(d.get('avail',0)/1073741824, 2))"
    ;;
  backup.errors)
    # 0 = OK, 1 = есть ошибки
    api "nodes/localhost/tasks?typefilter=backup&limit=20" | python3 -c \
      "import sys,json
tasks=json.load(sys.stdin)['data']
failed=[t for t in tasks if t.get('status') and t['status'] not in ('OK','running','')]
print(1 if failed else 0)"
    ;;
  backup.last.age)
    # Сколько секунд прошло с последнего успешного бэкапа
    api "nodes/localhost/tasks?typefilter=backup&limit=50" | python3 -c \
      "import sys,json,time
tasks=json.load(sys.stdin)['data']
ok=[t for t in tasks if t.get('status')=='OK']
if ok:
    last=max(t['starttime'] for t in ok)
    print(int(time.time())-last)
else:
    print(999999)"
    ;;
  *)
    echo "Unknown: $CHECK"; exit 1 ;;
esac

chmod +x /usr/lib/zabbix/externalscripts/pbs_check.sh

# Тест:
./pbs_check.sh 192.168.1.50 "zabbix@pbs!monitoring" "ТОКЕН" "datastore.used.pct"
# Ожидаем: число 0–100
./pbs_check.sh 192.168.1.50 "zabbix@pbs!monitoring" "ТОКЕН" "backup.errors"
# Ожидаем: 0 (нет ошибок) или 1

Триггеры Zabbix

Ежедневный email-отчёт о состоянии бэкапов

#!/bin/bash
# /opt/scripts/pbs-daily-report.sh
# cron: 0 7 * * * root /opt/scripts/pbs-daily-report.sh

PBS_HOST="IP_PBS"
TOKEN_ID="zabbix@pbs!monitoring"
TOKEN_VALUE="ТОКЕН"
MAIL_TO="admin@example.com"
URL="https://${PBS_HOST}:8007/api2/json"
AUTH="Authorization: PBSAPIToken=${TOKEN_ID}:${TOKEN_VALUE}"

# Статус хранилища
DS=$(curl -sk -H "$AUTH" "${URL}/admin/datastore/main/status")
TOTAL=$(echo "$DS" | python3 -c "import sys,json; d=json.load(sys.stdin)['data']; print(round(d['total']/1073741824,1))")
USED=$(echo "$DS" | python3 -c "import sys,json; d=json.load(sys.stdin)['data']; print(round(d['used']/1073741824,1))")
AVAIL=$(echo "$DS" | python3 -c "import sys,json; d=json.load(sys.stdin)['data']; print(round(d['avail']/1073741824,1))")
PCT=$(echo "$DS" | python3 -c "import sys,json; d=json.load(sys.stdin)['data']; print(round(d['used']/max(d['total'],1)*100,1))")

# Ошибки за последние задачи
TASKS=$(curl -sk -H "$AUTH" "${URL}/nodes/localhost/tasks?typefilter=backup&limit=50")
FAILED=$(echo "$TASKS" | python3 -c "
import sys,json
tasks=json.load(sys.stdin)['data']
bad=[t for t in tasks if t.get('status') and t['status'] not in ('OK','running','')]
for t in bad:
    print(f\"  FAIL: vm/{t.get('id','?')} | {t.get('starttime','?')} | {t.get('status','?')}\")
")

STATUS="OK"
[ -n "$FAILED" ] && STATUS="ERRORS DETECTED"

REPORT="PBS Daily Report | $(date '+%Y-%m-%d') | ${STATUS}

=== Хранилище main ===
Всего:     ${TOTAL} GB
Занято:    ${USED} GB (${PCT}%)
Свободно:  ${AVAIL} GB

=== Ошибки бэкапов ===
${FAILED:-Ошибок нет.}

PBS: https://${PBS_HOST}:8007
"

SUBJECT="PBS Report $(date '+%Y-%m-%d')"
[ -n "$FAILED" ] && SUBJECT="⚠️ PBS ERRORS $(date '+%Y-%m-%d')"

echo "$REPORT" | mail -s "$SUBJECT" "$MAIL_TO"

chmod +x /opt/scripts/pbs-daily-report.sh
echo "0 7 * * * root /opt/scripts/pbs-daily-report.sh" \
  >> /etc/cron.d/pbs-report

14. Troubleshooting: диагностика проблем PBS

Чеклист отладки — запускай по порядку

# 1. Статус сервисов PBS
systemctl status proxmox-backup proxmox-backup-proxy

# 2. Свободное место на PBS
df -h /mnt/backup-store
proxmox-backup-manager datastore list

# 3. Проверка соединения PVE → PBS (с PVE-хоста)
curl -sk \
  -H "Authorization: PBSAPIToken=pve-backup@pbs!pve-token:ТОКЕН" \
  https://IP_PBS:8007/api2/json/version

# 4. Логи задач бэкапа на PVE
journalctl -u pvedaemon --since "1 hour ago" | grep -i backup

# 5. Список задач на PBS (последние 20)
proxmox-backup-manager task list --limit 20

# 6. Лог конкретной задачи на PVE
pvesh get /nodes/$(hostname)/tasks/UPID:$(hostname):XXXXX:backup:/log

# 7. Проверка целостности datastore
proxmox-backup-manager verify start main
proxmox-backup-manager task list --limit 5 | grep verify

Таблица типичных ошибок

15. Профилактика: автоматизация и best practices

Скрипт тест-восстановления раз в месяц

#!/bin/bash
# /opt/scripts/test-restore.sh
# Запускай вручную раз в квартал или из cron раз в месяц

VMID_SOURCE=101       # VM, которую тестируем
VMID_TEST=9101        # Временный VMID (должен быть свободен)
STORAGE="pbs-main"
STORAGE_DISK="local-lvm"
MAIL_TO="admin@example.com"

echo "$(date): Тест-восстановление VM ${VMID_SOURCE} → ${VMID_TEST}"

# Находим последний бэкап
LAST=$(pvesh get /nodes/$(hostname)/storage/${STORAGE}/content \
  --content backup 2>/dev/null \
  | grep "vmid.*${VMID_SOURCE}" \
  | sort -t'/' -k5 -r \
  | head -1 \
  | awk '{print $1}')

if [ -z "$LAST" ]; then
  echo "ОШИБКА: бэкап VM ${VMID_SOURCE} не найден!"
  echo "Restore test FAILED: no backup found for VM ${VMID_SOURCE}" \
    | mail -s "PBS Restore Test FAILED" "$MAIL_TO"
  exit 1
fi

echo "Восстанавливаем: ${LAST}"

qmrestore "${STORAGE}:${LAST}" "$VMID_TEST" \
  --storage "$STORAGE_DISK" \
  --force 1

RC=$?
if [ $RC -eq 0 ]; then
  echo "$(date): Восстановление УСПЕШНО. VM ${VMID_TEST} создана."
  echo "Restore test OK. VM ${VMID_TEST} ready. Delete when verified: qm destroy ${VMID_TEST}" \
    | mail -s "PBS Restore Test OK $(date +%Y-%m-%d)" "$MAIL_TO"
  echo "Удали тестовую VM вручную после проверки: qm destroy ${VMID_TEST}"
else
  echo "$(date): ОШИБКА восстановления!"
  echo "Restore test FAILED with code $RC" \
    | mail -s "PBS Restore Test FAILED" "$MAIL_TO"
  exit 1
fi

chmod +x /opt/scripts/test-restore.sh
# Раз в первое воскресенье месяца в 05:00
echo "0 5 1-7 * 0 root /opt/scripts/test-restore.sh" \
  >> /etc/cron.d/pbs-restore-test

Чеклист production-ready PBS

16. FAQ по Proxmox Backup Server

Почему backup не создаётся, хотя job настроен?

Три причины: (1) ошибка подключения к PBS — проверь pvesm status; (2) нет места на datastore — df -h /mnt/backup-store; (3) lock-файл завис — ls /var/run/vzdump.lock. Логи задачи: Datacenter → Tasks → выбери упавший job → Log.

Почему место на PBS не освобождается после удаления бэкапов?

Prune удаляет ссылки на снапшоты, но физически чанки остаются на диске до запуска Garbage Collection. Запусти GC вручную: proxmox-backup-manager garbage-collection start main. GC может работать час и более — это нормально.

Можно ли запустить PBS как VM внутри того же PVE?

Можно, но только правильно: дай PBS отдельный физический диск через passthrough (qm set VMID --scsi1 /dev/sdb). Иначе PBS и VM живут на одном диске — при его отказе теряешь всё. Смысл PBS в изоляции.

Сколько памяти нужно PBS при большом количестве бэкапов?

Правило: примерно 1 GB RAM на каждые 1 TB datastore. При нехватке PBS уходит в swap — производительность падает катастрофически. Для 4 TB хранилища нужно минимум 4–6 GB RAM на PBS-сервере.

Как ускорить первый бэкап большой VM?

Три варианта: (1) увеличь пропускную способность сети — 10 Gbit вместо 1 Gbit; (2) используй --bwlimit 0 в vzdump чтобы снять ограничения; (3) запусти в нерабочее время и не прерывай — первый бэкап всегда самый долгий, дальше только инкременты.

Что такое verify и зачем запускать?

Verify проверяет целостность всех чанков в datastore — что данные не повреждены и восстановление возможно. Включи verify-new=true для автоматической проверки новых бэкапов: proxmox-backup-manager datastore update main --verify-new true. Еженедельный полный verify — через расписание в веб-интерфейсе PBS.

PBS умеет реплицировать бэкапы на второй PBS?

Да. PBS → PBS синхронизация через Sync Jobs. Настраивается в PBS веб-интерфейсе: Remote → Add (добавь второй PBS), затем Datastore → Sync Jobs → Add. Это правильный способ организовать offsite-копию без S3.

Как откатить VM на конкретную дату, а не на последний бэкап?

При restore в веб PVE или CLI выбираешь конкретный снапшот по дате. Формат: vm/101/2025-01-10T02:00:00Z. Список всех снапшотов: pvesh get /nodes/HOSTNAME/storage/pbs-main/content --content backup.

Итог: что теперь работает

Установлен PBS на отдельном железе, datastore с retention policy и расписанием GC, backup job для всех VM по расписанию, VSS-агент на Windows-машинах. Восстановление проверено — и полное, и file-level. Zabbix мониторит диск и ошибки, ежедневный отчёт приходит на почту. Offsite-копия уходит на S3.

Это называется «иметь бэкапы», а не «думать, что они есть». Разница обнаруживается в момент восстановления — и лучше пусть это будет плановый тест, а не аварийная ситуация.