~/yazilar/vcenter-yedek-ve-guncelleme

vCenter yedeği ve güncellemesi

6 dk okuma

içindekiler

vCenter çöktüğünde VM'ler çalışmaya devam ediyor. HA da çalışıyor, çünkü host'lardaki ajanlar vCenter'a bağlı değil. Ama vMotion yok, DRS yok, yeni VM yok, yedek yazılımın büyük ihtimalle vCenter üzerinden çalıştığı için yedek de yok. Birkaç saatlik bir kesinti idare ediliyor, birkaç günlük olanı ciddi bir sorun.

vCenter'ı yedeklemenin iki yolu var: appliance VM'ini bir yedek yazılımıyla imaj olarak almak ya da vCenter'ın kendi dosya tabanlı yedeğini kullanmak. VMware'in önerdiği ikincisi. İmaj yedeği veritabanı yazma sırasında alınırsa tutarsız bir kopya üretebiliyor, dosya tabanlı yedek ise vCenter'ın kendisi tarafından tutarlı şekilde alınıyor. Yedek yazılımın imaj alıyorsa onu da bırak, ama tek yedek o olmasın.

Yedeklerin gideceği yer

Dosya tabanlı yedek şu protokollerden birini destekleyen bir hedefe yazabiliyor: FTP, FTPS, HTTP, HTTPS, SFTP, NFS ve SMB. HTTP ve HTTPS için sunucunun WebDAV desteklemesi gerekiyor, FTPS sadece explicit modda çalışıyor.

Bence en pratiği SFTP. Linux sunucuda ayrı bir servis kurmaya gerek yok, trafik şifreli ve hesabı sadece kendi dizinine kapatmak kolay. Yedek sunucusunda bu iş için ayrı bir kullanıcı:

sudo groupadd sftp-yedek
sudo useradd -M -d /srv/vcyedek -s /usr/sbin/nologin -g sftp-yedek vcyedek
sudo passwd vcyedek
sudo mkdir -p /srv/vcyedek/vcsa01
sudo chown root:root /srv/vcyedek
sudo chmod 755 /srv/vcyedek
sudo chown vcyedek:sftp-yedek /srv/vcyedek/vcsa01

/srv/vcyedek dizininin sahibinin root olması ve başkasının yazamaması şart. SSH'ın chroot özelliği bunu istiyor, yoksa bağlantı kurulur kurulmaz düşüyor. Kullanıcı yazma işini bir alt dizinde (vcsa01) yapıyor.

/etc/ssh/sshd_config.d/50-vcyedek.conf:

Match User vcyedek
    ChrootDirectory /srv/vcyedek
    ForceCommand internal-sftp
    PasswordAuthentication yes
    AllowTcpForwarding no
    X11Forwarding no
sudo sshd -t && sudo systemctl reload ssh

Buradaki PasswordAuthentication yes istisnası bilinçli. SSH yazısında parola girişini kapatmıştım, ama VAMI'nin yedek ekranı hedef sunucu için sadece kullanıcı adı ve parola alanı sunuyor. Match bloğundaki ayarlar genel ayarları sadece eşleşen bağlantılar için eziyor, yani istisna sadece bu kullanıcıya geçerli. Kullanıcının kabuğu olmadığı ve chroot içinde olduğu için parolası ele geçse bile ulaşılabilecek tek şey yedek dosyaları. Yine de güçlü, uzun bir parola ver ve SSH yazısındaki AllowGroups ayarını kullanıyorsan sftp-yedek grubunu da listeye ekle. Güvenlik duvarında da bu sunucunun 22 portuna sadece vCenter'ın adresinden erişime izin ver.

Yedeği zamanlamak

VAMI'ye (https://vcsa01.ornek.local:5480) root ile gir, Backup, "Configure":

  • Backup location: sftp://10.0.10.30/vcsa01
  • Kullanıcı ve parola: vcyedek
  • Schedule: her gün 02:30
  • Encrypt backup: bir şifreleme parolası
  • Number of backups to retain: 14
  • Data: "Stats, Events, and Tasks" isteğe bağlı

Şifreleme parolasını vCenter'ın root parolasından ayrı tut ve parola kasasına kaydet. Bu parola olmadan yedek geri yüklenemiyor ve geri yükleme günü, vCenter'ın çalışmadığı ve parolayı kimsenin hatırlamadığı gün oluyor.

"Stats, Events, and Tasks" seçeneği performans geçmişini ve olay kayıtlarını da yedeğe katıyor. Yedeği ve geri yüklemeyi epey büyütüyor. Bu geçmişe ihtiyacın yoksa kapalı bırak, geri yükleme daha hızlı olur.

İlk yedeği beklemeden "Backup Now" ile al ve sunucuda dosyaların oluştuğuna bak:

sudo ls -la /srv/vcyedek/vcsa01/
sudo du -sh /srv/vcyedek/vcsa01/*

Yedeklerin yerel diskte durması da yetmiyor. Bu dizini bir sonraki adımda kurumun genel yedeğine ya da başka bir lokasyona kopyalayan bir iş olmalı. vCenter'ın yedek sunucusu da sanal bir makineyse ve aynı cluster'da duruyorsa, cluster'ı kaybettiğin gün yedekleri de kaybedersin.

Geri yükleme

Geri yükleme, kurulumla aynı ISO'dan yapılıyor. Sihirbazın açılış ekranında "Install" yerine "Restore" seçiliyor. Birinci aşama yeni ve boş bir appliance yüklüyor, ikinci aşama yedeği bu appliance'a yüklüyor.

Bilmen gereken üç kısıt var:

  • Aynı sürüm. Yedek, onu alan vCenter ile aynı sürüm ve build'e geri yüklenebiliyor. vCenter'ı güncelledikten sonra eski yedekleri geri yüklemek için eski ISO'ya ihtiyacın var. Her güncellemeden sonra o sürümün ISO'sunu yedeklerin yanında sakla.
  • Aynı kimlik. Yeni appliance aynı FQDN ve IP adresini alıyor. Eski appliance hâlâ açıksa ağda çakışma oluyor. Önce eskisini kapat ve adını değiştir (vcsa01-eski).
  • Ağ. Birinci aşamada appliance'ın bağlanacağı port group'u seçerken distributed switch'te static binding'li bir port group görünmeyebilir, çünkü vCenter çalışmıyor. Distributed switch yazısındaki ephemeral port group (Yonetim-Acil) tam bu gün için.

Geri yüklemenin çalıştığını görmenin tek yolu bir kez denemek. Ayrı bir host'ta, üretim ağından yalıtılmış bir port group'ta bir test geri yüklemesi yapmak yarım günlük iş. Yalıtım önemli, aynı IP ve FQDN'e sahip ikinci bir vCenter'ın üretim host'larına ulaşmasını istemezsin.

Güncelleme öncesi kontrol listesi

vCenter güncellemeleri genelde sorunsuz geçiyor. Sorun çıkan güncellemelerin çoğunda sebep güncellemenin kendisi değil, önceden fark edilmemiş bir şey oluyor:

root parolasının süresi. Appliance'ın root parolasının varsayılan geçerlilik süresi 90 gün. Süresi dolarsa root ile VAMI'ye de SSH'a da giremiyorsun, yani güncelleme ekranına ulaşamıyorsun. Parolayı sıfırlamak appliance'ı yeniden başlatmayı gerektiriyor. SSH ile bağlanıp kontrol et:

root@vcsa01 [ ~ ]# chage -l root
Last password change                                : Jul 22, 2026
Password expires                                    : Oct 20, 2026
...

Süreyi uzatmak ya da kapatmak VAMI'de Administration sayfasının Password bölümünde yapılıyor. Kapatıyorsan parolanın düzenli değiştirilmesini başka bir yolla (parola kasasının hatırlatması) takip et.

Sertifikalar. vSphere Client'ta Administration, Certificates, Certificate Management sayfasında süresi yaklaşan sertifika var mı bak. Güncelleme sırasında süresi dolan bir sertifika, güncellemeden bağımsız ama tam o anda ortaya çıkan bir arıza demek.

Disk alanı. Appliance'ın içinde df -h ile bölümlere bak. Log bölümü dolmuş bir appliance güncellemeyi yarıda bırakabiliyor.

Uyumluluk. vCenter, yönettiği ESXi host'larından eski olamaz. Sıralama her zaman önce vCenter, sonra host'lar. Yedek yazılımı, izleme araçları gibi vCenter'a bağlanan ürünlerin yeni sürümü destekleyip desteklemediğini de VMware'in uyumluluk matrisinden kontrol et.

Yedek ve snapshot. Güncellemeden hemen önce "Backup Now" ile taze bir dosya tabanlı yedek al. Buna ek olarak appliance VM'inin snapshot'ını al, ama vCenter'ın kendi üzerinden değil, VM'in çalıştığı host'a Host Client ile bağlanıp. Birden fazla vCenter'ı Enhanced Linked Mode ile bağladıysan snapshot'ları hepsi kapalıyken aynı anda al. Tek birinin snapshot'ına dönmek, diğerleriyle aradaki replikasyonu bozuyor.

Snapshot sadece güncelleme günü için. Güncelleme başarılıysa ertesi gün sil.

Güncellemek

VAMI'de Update sayfası mevcut güncellemeleri listeliyor. Broadcom döneminde burada bir değişiklik var: eski herkese açık VMware depo adresleri Nisan 2025'te kapandı. vCenter'ın güncellemeleri internetten görebilmesi için Broadcom Support Portal'dan alınan, müşteriye özel bir indirme token'ı içeren dl.broadcom.com adresinin Update, Settings altına "Specified" olarak girilmesi gerekiyor. Token, vCenter lisansının bağlı olduğu Site ID'ye ait olmalı, yoksa indirme 403 ile düşüyor. Güvenlik duvarında da dl.broadcom.com adresine çıkışa izin ver.

İnternet erişimi yoksa ya da token ile uğraşmak istemiyorsan güncelleme ISO'sunu (adı -FP.iso ile biten patch ISO'su) Broadcom portalından indirip appliance VM'ine CD olarak bağla ve "Check Updates" altında "CD-ROM" seçeneğini kullan.

Güncellemeyi "Stage only" ile önce indirmek, sonra bakım penceresinde "Install" demek iyi bir alışkanlık. İndirme ve ön kontroller mesai içinde bitiyor, bakım penceresinde sadece kurulum kalıyor. Ön kontroller bir sorun bulursa bunu da gündüz öğrenmiş oluyorsun.

Aynı işi appliance kabuğundan da yapmak mümkün:

Command> software-packages stage --iso --acceptEulas
Command> software-packages list --staged
Command> software-packages install --staged
Command> shutdown reboot -r "vcenter guncelleme"

install bittiğinde yeniden başlatma gerektiğini söylüyor, son satır onu yapıyor. ISO'dan kuruyorsan kurulum bitene kadar ISO'yu VM'den çıkarma.

Kurulum sırasında vCenter servisleri yeniden başlıyor ve appliance büyük ihtimalle yeniden açılıyor. Bu sürede vSphere Client çalışmıyor, VM'ler etkilenmiyor. Bitince VAMI'de sürüm numarasına ve "Services" sayfasında bütün servislerin çalıştığına bak, vSphere Client'a girip host'ların bağlı olduğunu kontrol et. Hepsi yerindeyse yeni sürümle ilk dosya tabanlı yedeği al. Eski sürümün yedekleri artık sadece eski ISO ile geri yükleniyor.

Serinin şimdilik son yazısı bu. Host'ları güncellemeyi (vSphere Lifecycle Manager ve image tabanlı yönetim) ve ileride vCenter 8'den 9'a geçişi ayrı yazılarda anlatmayı düşünüyorum.