VM yedekleme stratejisi: snapshot yedek değildir, 20 madde

Snapshot neden yedek değildir

VMware'de snapshot, temel diske (base disk) dokunmadan yeni yazmaları bir delta diske yönlendirir. Broadcom'un en iyi uygulamalar makalesine göre snapshot dosyası yalnızca bir değişiklik günlüğüdür; temel disk silinirse snapshot dosyaları VM'i geri getirmeye yetmez. Hyper-V checkpoint'i de .avhdx dosyasıdır ve Microsoft'a göre .vhdx ile aynı konumda tutulur.

• Aynı arıza alanı. Snapshot, VM ile aynı datastore'da durur. LUN bozulursa, datastore şifrelenirse veya VM silinirse snapshot da gider.
• Zincir ve performans. vSphere zincirde 32 snapshot'a izin verir, ama Broadcom 2-3 snapshot ve en fazla 72 saat öneriyor. Delta büyüdükçe datastore dolar; snapshot varken disk büyütülemez.
• Tutarlılık. Hyper-V standard checkpoint bellek durumunu alır; Microsoft'a göre Active Directory gibi çoğaltma yapan sistemlerde tutarsızlık yaratabilir.

Yedekleme yazılımı snapshot'ı yalnızca tutarlı okuma noktası olarak kullanır: veriyi ayrı depoya kopyalar, snapshot'ı siler. Risk, bu snapshot'ın silinemeyip kalmasıdır; Broadcom'a göre API ile alınanlar Snapshot Manager'da görünmeyebilir.

Bu listeyi nasıl kullanmalı

Önce her iş yükü için iki sayı yazın. NIST SP 800-34'e göre RPO (kurtarma noktası hedefi), kesintiden sonra verinin geri getirilmesi gereken zaman noktasıdır: "en fazla ne kadar veri kaybedebilirim". RTO (kurtarma süresi hedefi), sistemin işe zarar vermeden kurtarma aşamasında kalabileceği süredir. Günlük yedek alan sistemin RPO'su 24 saattir.

Maddeler vSphere 9.0, Windows Server 2025 Hyper-V, Proxmox VE ve Proxmox Backup Server (PBS) için; yedek yazılımı örnekleri Veeam Backup & Replication 13.1. Platform seçimindeyseniz vSphere ve Hyper-V karşılaştırmasına bakın. Öncelikler: Y bu hafta, O bu ay.

1. Strateji: RPO, RTO ve 3-2-1-1-0

1. RPO ve RTO'yu iş yükü bazında yazın (Y)

   Neden: hedef yoksa yedek sıklığı, saklama süresi ve depo seçimi tahmine dayanır. Nasıl: iş birimiyle her uygulama için RPO, RTO, sahip ve bağımlılıkları (DC, DNS, veritabanı) bir tabloya yazın. Doğrulama: her RPO yedek aralığından büyük veya ona eşit; her RTO bir tatbikatta ölçülmüş.

2. İş yüklerini katmanlara ayırın (Y)

   Neden: her VM'e aynı ilke ya pahalıdır ya da kritik sistemi yetersiz korur. Nasıl: üç katman çoğu ortama yeter; değerler örnektir.

   Katman	Örnek	RPO / RTO	Koruma
   1	DC, ERP veritabanı	15 dk / 4 saat	İmaj, SQL günlük yedeği, site dışı kopya
   2	Dosya, uygulama sunucusu	24 saat / 1 gün	Günlük imaj, değiştirilemez kopya
   3	Test, geliştirme	1 hafta / belirsiz	Haftalık imaj

   İşleri tek tek VM yerine klasör, etiket (tag) veya küme düzeyinde tanımlayın ki yeni VM'ler kendiliğinden girsin. Doğrulama: envanterdeki ve yedek işlerindeki VM sayısı tutuyor.

3. 3-2-1-1-0'ı kopya kopya yazın (Y)

   Neden: Veeam'in tanımıyla 3-2-1 üç kopya, iki ortam türü ve bir site dışı kopya ister; 3-2-1-1-0 buna bir değiştirilemez veya çevrim dışı kopya ve geri yüklemede sıfır hata ekler. Nasıl: her katman için kopyaların yerini yazın: üretim, birincil depo (hardened repository veya PBS), site dışı kopya (nesne depolama, ikinci PBS veya teyp). Doğrulama: her hanenin karşılığı bölüm 4 ve 5'te var.

2. Snapshot ve checkpoint hijyeni

1. 72 saatten eski vSphere snapshot'larını bulun (Y)

   Neden: Broadcom tek snapshot için en fazla 72 saat, zincirde 2-3 snapshot öneriyor. Nasıl: VCF PowerCLI 9 (VCF.PowerCLI modülü) ile:

   Connect-VIServer -Server <VCENTER-FQDN>
   Get-VM | Get-Snapshot |
       Where-Object { $_.Created -lt (Get-Date).AddHours(-72) } |
       Select-Object VM, Name, Created, Description | Sort-Object Created

   Silme kararını VM sahibiyle verin; Broadcom'a göre çalışan silme veya birleştirme görevi iptal edilmemeli. Doğrulama: komut boş döner.

2. Birleştirme bekleyen diskleri bulun (Y)

   Neden: yedek yazılımının snapshot silmesi yarıda kalırsa delta diskler kalır. Nasıl: bulun, vSphere Client'ta VM > Snapshots > Consolidate ile birleştirin.

   Get-VM | Where-Object { $_.ExtensionData.Runtime.ConsolidationNeeded } | Select-Object Name, VMHost

   Doğrulama: yedek penceresinden sonra komut boş döner.

3. Hyper-V checkpoint'lerini listeleyin, türü ProductionOnly yapın (Y)

   Neden: production checkpoint VSS (Linux'ta dosya sistemi dondurma) kullanır, bellek almaz. Microsoft'a göre varsayılan Production türü, production checkpoint alınamazsa standard'a düşer; ProductionOnly düşmez. DC'de yalnızca production checkpoint desteklenir. Nasıl:

   Get-VM | Get-VMSnapshot | Where-Object { $_.CreationTime -lt (Get-Date).AddHours(-72) } |
       Select-Object VMName, Name, SnapshotType, CreationTime
   Set-VM -Name <VM-ADI> -CheckpointType ProductionOnly

   .avhdx dosyasını elle silmeyin; Remove-VMCheckpoint birleştirmeyi kendisi yapar. Doğrulama: Get-VM | Select-Object Name, CheckpointType.

4. Proxmox VE snapshot'larını gözden geçirin (O)

   Neden: Proxmox VE snapshot'ı da VM'in depolamasında (ZFS, LVM-thin, Ceph, qcow2) durur. VMware'den taşındıysanız geçiş rehberindeki depolama seçimi burada belirleyicidir. Nasıl:

   qm list
   qm listsnapshot <VMID>

   Doğrulama: current dışında yalnızca sahibi ve amacı bilinen snapshot'lar kalır.

3. Uygulama tutarlılığı

1. Uygulama farkında işlemeyi açın (Y)

   Neden: Veeam belgesine göre varsayılan iş, işlem günlüğü kullanan uygulamalar için çökme tutarlı (crash-consistent) yedek alır; AD, SQL Server, Exchange, SharePoint, Oracle ve PostgreSQL için application-aware processing gerekir, Windows'ta VSS kullanılır. Nasıl: iş > Guest Processing > "Enable application-aware processing" ve konuk kimlik bilgisi; VMware Tools güncel olmalı. Proxmox VE'de VM > Options > QEMU Guest Agent açık, konukta ajan kurulu olmalı; Proxmox wiki'sine göre Windows'ta ajan VSS tam yedeği (VSS_BT_FULL) ister, bu da konuktaki başka bir günlük yedeği aracının zincirini etkileyebilir. Doğrulama: Veeam oturumunda konuk işleme uyarısız; Proxmox görev günlüğünde fs-freeze satırı.

2. SQL Server işlem günlüklerini yedekleyin (Y)

   Neden: günlük imaj RPO'yu 24 saatte bırakır; Full kurtarma modelinde günlük yedeklenmezse disk dolar. Nasıl: Guest Processing > Applications > SQL > "Backup logs periodically"; Veeam'e göre varsayılan 15, en fazla 480 dakika. SQL Agent da günlük yedeği alıyorsa birini seçin, yoksa zincir iki yere bölünür. Doğrulama:

   SELECT d.name, MAX(b.backup_finish_date) AS son_gunluk_yedegi
   FROM sys.databases AS d
   LEFT JOIN msdb.dbo.backupset AS b ON b.database_name = d.name AND b.type = 'L'
   WHERE d.recovery_model_desc = 'FULL'
   GROUP BY d.name;

3. DC'leri AD uyumlu yedekle koruyun (Y)

   Neden: Microsoft'a göre DC, AD uyumlu uygulamayla alınmış sistem durumu yedeğinden geri yüklenmeli; varsayılan tombstone ömrü 180 gün, DC'ler en az 90 günde bir yedeklenmeli. Eski VHD'ye dönmek USN geri alma (USN rollback) riski taşır. Nasıl: DC VM'lerinde uygulama farkında işleme, ek olarak sertleştirme listesindeki gibi sistem durumu yedeği. Doğrulama: her bölümün son yedek zamanı.

   repadmin /showbackup *

4. Değiştirilemezlik ve izolasyon

1. Birincil depoyu hardened repository yapın (Y)

   Neden: Veeam'e göre hardened repository'deki dosyalar belirlenen süre boyunca değiştirilemez ve silinemez; tek kullanımlık kimlik bilgileri saklanmadığından yedek sunucusu ele geçse de depoya bağlanılamaz. Nasıl: Veeam Infrastructure Appliance ISO'su ile kurulan depo sertifika tabanlı kimlik kullanır, SSH kullanmaz, etki alanına katılamaz. Elle kurulan Linux için Veeam yerel diskli fiziksel sunucu ve XFS öneriyor; yalnızca ileri artımlı (forward incremental) yöntem desteklenir. Süre 7-9999 gün. Doğrulama: Home > Security & Compliance analizöründe "Immutable or offline (air gapped) media should be used" Passed.

2. Object Lock'u compliance modunda kullanın (O)

   Neden: AWS'ye göre compliance modunda kilitli nesne sürümünü kök (root) kullanıcı dahil kimse silemez, süre kısaltılamaz; governance modunu özel izinli kullanıcı aşabilir. Veeam'in analizörü de compliance öneriyor. Nasıl: Object Lock yalnızca sürüm tutma (versioning) açık kovada çalışır; Veeam'de nesne deposunu eklerken değiştirilemezliği seçin, buluta giden işlerde şifrelemeyi açın. Doğrulama: çıktıda "ObjectLockEnabled": "Enabled". S3 uyumlu yerel depoda compliance desteğini üreticiden doğrulayın.

   aws s3api get-object-lock-configuration --bucket <KOVA-ADI>

3. Yedek sunucusunu üretim etki alanından çıkarın (Y)

   Neden: fidye yazılımı saldırganı önce etki alanı yöneticisi olur; yedek sunucusu oradaysa konsol da onundur. Nasıl: Veeam'in analizörüne göre büyük ortamda ayrı ormanda yönetim etki alanı, küçük ve orta ortamda çalışma grubu. Yedek yöneticisi hesapları üretim AD'sinde olmasın; yedek ve PBS yönetim arayüzleri yalnızca yönetim ağından erişilsin. Doğrulama: Domain üretim etki alanı olmamalı.

   Get-CimInstance Win32_ComputerSystem | Select-Object Name, PartOfDomain, Domain

4. Konsola MFA ekleyin, rolleri ayırın (Y)

   Neden: tek parolalı konsol, işleri ve yedekleri silebilecek tek noktadır. Nasıl: Users and Roles > Security > "Enable multi-factor authentication (MFA)"; Veeam'e göre MFA gruplara değil kullanıcılara uygulanır. İzleme için Backup Viewer, geri yükleme için Restore Operator yeter; Backup Administrator birkaç adlandırılmış hesapta kalsın. Doğrulama: analizörde "MFA for the backup console should be enabled" Passed.

5. Yapılandırma yedeğini şifreli ve sunucu dışında tutun (O)

   Neden: yedek sunucusu kaybolursa işler, kimlik bilgileri ve şifreleme anahtarları da gider. Analizöre göre yapılandırma yedeği şifreli olmalı, yedek sunucusunda veya varsayılan depoda durmamalı. Nasıl: ana menü > Configuration Backup; sunucu dışındaki depo ve "Enable configuration backup file encryption". PBS'te /etc/proxmox-backup dizinini ayrıca yedekleyin. Doğrulama: son başarılı yapılandırma yedeği tarihi; analizörde ilgili satırlar Passed.

5. Doğrulama: sıfır hata

1. Otomatik geri yükleme testini zamanlayın (Y)

   Neden: 3-2-1-1-0'daki sıfır, kanıtlanmış geri yükleme demektir. Nasıl: Veeam SureBackup işi VM'leri yalıtılmış sanal laboratuvarda yedekten başlatıp test eder ya da laboratuvarsız bütünlük ve içerik taraması yapar. Veeam'e göre özellik lisansa bağlı; Standard sürümde Instant Recovery ile elle doğrulanır. PBS'te datastore > Verify Jobs; PBS belgesi tüm yedeklerin en az ayda bir yeniden doğrulanmasını öneriyor. Elle:

   proxmox-backup-manager verify <DATASTORE>

   Doğrulama: SureBackup raporunda testler başarılı; PBS Content sekmesinde doğrulama durumu "ok".

2. Dosya ve tam VM geri yükleme tatbikatı yapın (Y)

   Neden: otomatik test VM'in açıldığını gösterir; RTO'yu, parolaları kimin bildiğini ve DNS adımlarını insanlı tatbikat ölçer. Nasıl: Veeam'de Home > Backups > Disk > VM > Restore guest files; Proxmox VE'de PBS depolaması > Backups > File Restore. Tam VM'i yalıtılmış ağa geri yükleyip süreyi ölçün. Doğrulama: süre RTO, geri dönülen nokta RPO içinde.

6. İzleme ve dokümantasyon

1. Başarısız ve uyarılı işler için bildirim kurun (Y)

   Neden: sessiz başarısızlık, yedeğiniz olduğunu sandığınız en kötü durumdur. Nasıl: Veeam'de ana menü > Options > E-mail Settings; PBS'te doğrulama, çöp toplama (garbage collection) ve senkron sonuçları için bildirim hedefi. "Warning" sonuçlarını da okuyun. Doğrulama: toplu betikte son başarılı yedekler RPO içinde; test iletisi ulaşıyor.

2. Kapasiteyi ve çöp toplamayı izleyin (O)

   Neden: kilitli dosyalar süre dolmadan silinmez; PBS belgesine göre budama (prune) yalnızca meta veriyi siler, yeri çöp toplama açar. Nasıl: Veeam'de Backup Infrastructure > Backup Repositories boş alan sütunu; PBS'te belgenin başlangıç önerisi haftalık çöp toplama:

   proxmox-backup-manager datastore update <DATASTORE> --gc-schedule weekly
   proxmox-backup-manager garbage-collection status <DATASTORE>

   Doğrulama: son çöp toplama başarılı; doluluk için %80'de uyarı öneririm. Yedek deposunu üretimle aynı diziye koymamak için SAN ve NAS yazısına bakın.

3. Geri yükleme kitabını (runbook) yazın, çevrim dışı saklayın (Y)

   Neden: olay anında wiki, parola kasası ve e-posta erişilemez olabilir. Nasıl: katman 1 için geri yükleme sırası (DC ve DNS, veritabanı, uygulama), konsola erişim yolu, şifreleme parolalarının yeri, MFA'yı sıfırlayabilecek kişi, iletişim listesi; basılı ve yalıtılmış birer kopya. Doğrulama: son tatbikatta kitap kullanıldı ve güncellendi.

Doğrulama: toplu kontrol betiği

Betik yalnızca okur. PowerShell 7'de çalıştırın; Veeam belgesine göre Veeam PowerShell de bunu ister. Kurulu olmayan modülün bölümü atlanır; Get-VM çakışmasın diye modül adıyla çağrılır. Get-VBRJob yedek kopyalama işlerini döndürmez. 26 saat eşiğini RPO'nuza göre değiştirin.

# VM yedekleme - salt okunur kontrol (PowerShell 7)
$sonuc = [System.Collections.Generic.List[object]]::new()
function Ekle($Alan, $Nesne, $Deger, $Uygun) {
    $durum = if ($null -eq $Uygun) { 'BILGI' } elseif ($Uygun) { 'OK' } else { 'KONTROL ET' }
    $sonuc.Add([pscustomobject]@{ Alan = $Alan; Nesne = $Nesne; Deger = "$Deger"; Durum = $durum })
}
$snapEsik = (Get-Date).AddHours(-72)
$yedekEsik = (Get-Date).AddHours(-26)

# 1) vSphere: eski snapshot ve birleştirme bekleyen VM
if (Get-Command Connect-VIServer -ErrorAction SilentlyContinue) {
    Connect-VIServer -Server '<VCENTER-FQDN>' | Out-Null
    $vmler = VMware.VimAutomation.Core\Get-VM
    foreach ($s in $vmler | Get-Snapshot) {
        Ekle 'vSphere snapshot' "$($s.VM)/$($s.Name)" $s.Created ($s.Created -ge $snapEsik)
    }
    foreach ($vm in $vmler | Where-Object { $_.ExtensionData.Runtime.ConsolidationNeeded }) {
        Ekle 'vSphere birleştirme' $vm.Name 'ConsolidationNeeded' $false
    }
}

# 2) Hyper-V: checkpoint türü ve yaşı
if (Get-Module -ListAvailable -Name Hyper-V) {
    foreach ($vm in Hyper-V\Get-VM -ErrorAction SilentlyContinue) {
        Ekle 'Hyper-V checkpoint türü' $vm.Name $vm.CheckpointType ("$($vm.CheckpointType)" -in 'ProductionOnly', 'Disabled')
        foreach ($c in Get-VMSnapshot -VM $vm) {
            Ekle 'Hyper-V checkpoint' "$($vm.Name)/$($c.Name)" $c.CreationTime ($c.CreationTime -ge $snapEsik)
        }
    }
}

# 3) Veeam: her işin son başarılı oturumu
if (Get-Module -ListAvailable -Name Veeam.Backup.PowerShell) {
    Connect-VBRServer -Server '<VBR-SUNUCUSU>'
    $oturumlar = Get-VBRBackupSession
    foreach ($is in Get-VBRJob) {
        $son = $oturumlar |
            Where-Object { $_.JobId -eq $is.Id.Guid -and $_.Result -eq 'Success' } |
            Sort-Object EndTime -Descending | Select-Object -First 1
        Ekle 'Veeam son başarılı yedek' $is.Name $son.EndTime ($null -ne $son -and $son.EndTime -ge $yedekEsik)
    }
    Disconnect-VBRServer
}

$sonuc | Sort-Object Durum, Alan | Format-Table -AutoSize -Wrap

Get-VBRBackupSession parametresiz tüm oturumları getirir, büyük veritabanında yavaştır. PBS için:

export PBS_REPOSITORY='root@pam@<PBS-SUNUCUSU>:<DATASTORE>'
proxmox-backup-client snapshot list
proxmox-backup-manager garbage-collection status <DATASTORE>   # PBS sunucusunda

Özet tablo

Sık yapılan hatalar

• Yüksek erişilebilirliği yedek sanmak. Storage Spaces Direct ve çoğaltma donanım arızasından korur; silinen veya şifrelenen veriyi ise bütün kopyalara yazar.
• Yedek deposunu üretim SAN'ına koymak. Aynı dizi, aynı arayüz, aynı kimlik: aynı olayda birlikte giderler.
• Snapshot silme görevini iptal etmek. Broadcom'a göre veri bozulmasına yol açabilir; bekleyin.
• "Warning" sonuçlarını okumamak. Uygulama tutarlı sandığınız yedek çökme tutarlı olabilir.
• Betik hesabını her yerde kullanmak. Veeam PowerShell MFA desteklemez; MFA'sız hizmet hesabının yetkisini daraltın, oturumlarını izleyin.

Kaynaklar

• Broadcom, Best practices for using VMware snapshots (KB 318825) (erişim: Ekim 2026)
• Microsoft Learn, Using checkpoints ve Restore a virtualized domain controller (erişim: Ekim 2026)
• Veeam, Latest version ve 3-2-1 backup rule (erişim: Ekim 2026)
• Veeam Help Center, Hardened Repository, gereksinimler, değiştirilemezlik (erişim: Ekim 2026)
• Veeam Help Center, Application-Aware Processing, SQL günlük ayarları, SureBackup (erişim: Ekim 2026)
• Veeam Help Center, Security & Compliance Analyzer, MFA (erişim: Ekim 2026)
• Veeam PowerShell, Get-VBRBackupSession, Windows'ta oturum (erişim: Ekim 2026)
• AWS, Locking objects with Object Lock (erişim: Ekim 2026)
• Proxmox, Maintenance Tasks, Backup Client, VM Backup Consistency (erişim: Ekim 2026)
• Broadcom, VCF PowerCLI (erişim: Ekim 2026)
• NIST CSRC, RPO ve RTO (SP 800-34 Rev. 1; erişim: Ekim 2026)