Configurar el acceso de red para los trabajadores de Veeam Backup & Replication

Coloque el servidor y los trabajadores de VBR en la red externa plana del proveedor y extiéndala a los inquilinos en Capa 2, dando a cada componente de Veeam comunicación directa sin reglas de firewall manuales.

Resumen

Veeam Backup & Replication (VBR) despliega workers — VMs auxiliares basadas en Linux que procesan cargas de trabajo de copias de seguridad y mueven datos de copia de seguridad — bajo demanda. En esta guía, el proveedor es el sistema raíz — el sistema VergeOS de nivel superior (que a su vez es el inquilino raíz) que aloja a tus inquilinos y ejecuta VBR. El servidor VBR (veeamHost) es una única VM que aloja ambos componentes principales de Veeam: el servidor de copias de seguridad (el núcleo de gestión de la infraestructura de copias de seguridad) y un repositorio de copias de seguridad (la ubicación de almacenamiento donde llegan las copias de seguridad). Cuando VBR protege cargas de trabajo tanto en el proveedor como dentro de un inquilino, los workers que despliega en cada lado necesitan poder alcanzarse entre sí — y el servidor VBR, donde reside el repositorio de copias de seguridad — directamente, sin quedar bloqueados por NAT del inquilino ni ser enrutados a través de saltos adicionales.

La integración en sí — el paquete VergeOS oVirt-engine, que añade sistemas e inquilinos a Veeam como VergeOS Managers, y los requisitos de versión — se trata en Integración de Veeam con VergeOS. Esta guía solo cubre la redes que necesitan los workers: la ruta de datos mostrada en la Topología de ejemplo a continuación — la red External plana que usan los workers para mover el tráfico de copia de seguridad una vez desplegados.

El modelo subyacente es simple:

• Solo cargas de trabajo del proveedor: conecta tanto el servidor VBR como su worker directamente a la Externa red del proveedor. Esa es toda la configuración — todo ya comparte un único dominio de Capa 2, así que el servidor VBR y el worker se alcanzan directamente sin reglas de firewall creadas manualmente.
• Cargas de trabajo del inquilino: extiende esa misma Externa red a cada inquilino en Capa 2 y luego despliega un worker dentro del inquilino en la red extendida. Esta es la forma más sencilla de hacer copias de seguridad del inquilino — da a cada componente el acceso que necesita sin crear reglas de firewall a mano.

Este diseño plano y compartido en Capa 2 es deliberadamente la forma más sencilla de poner Veeam en marcha en VergeOS. Si tu entorno necesita un aislamiento de inquilinos más fuerte o una red de copias de seguridad dedicada, consulta Despliegues más complejos al final de esta guía.

Esta guía recorre el caso completo de inquilino, que coloca el servidor VBR del proveedor y ambos workers en el mismo dominio de difusión de Capa 2 mientras expone la UI del inquilino en esa misma red. Usa la Redes de capa 2 del inquilino función de VergeOS para conectar un inquilino directamente a la Externa red del proveedor, en lugar de enrutar el tráfico del inquilino a través de NAT. Para el caso solo del proveedor, consulta Despliegue solo del proveedor a continuación.

Puntos clave

• La Externa red del proveedor se pasa directamente al inquilino mediante una Red Layer 2 del inquilino — no se requiere etiquetado VLAN si estás pasando la red External primaria/plana.
• Como cada componente está en el mismo dominio de Capa 2 External, no hace falta crear reglas de firewall manualmente — la red plana da al servidor VBR y a los workers el acceso que necesitan.
• VBR asigna por sí mismo las direcciones IP de los workers cuando despliega cada worker. Estas son no gestionadas por el DHCP de VergeOS — elige direcciones fuera del rango DHCP de tu red External.
• El inquilino sigue obteniendo su propia dirección UI enrutables mediante una IP virtual, independiente del paso directo de Capa 2.

Despliegue solo del proveedor (sin inquilinos)

Si solo estás protegiendo cargas de trabajo en el proveedor (el sistema raíz) y no intervienen inquilinos, esto se reduce a una configuración mucho más sencilla: simplemente omite las partes del inquilino:

1. Adjunta la servidor VBR al Externa red del proveedor con una IP estática (consulta Paso 1).
2. Despliega el worker del lado del proveedor en esa misma Externa red con una IP estática fuera del rango DHCP (consulta Paso 5).

Eso es todo. Los pasos 2–4 existen solo para extender la red External a un inquilino, así que puedes omitirlos por completo. Todo ya comparte el dominio de Capa 2 de la red External, así que el servidor VBR y el worker se comunican directamente sin reglas de firewall creadas manualmente.

Cuando más adelante se añadan inquilinos, extiende la misma Externa red a cada uno mediante una Red Layer 2 del inquilino y despliega allí un worker — ese es el flujo de trabajo del inquilino documentado en el resto de esta guía.

Topología de ejemplo

Rol	Ubicación	Red	IP de ejemplo
Servidor VBR (veeamHost)	Proveedor	Externa	10.1.2.214 (estática)
UI del inquilino	Asignado por el proveedor	Externa (IP virtual propiedad del inquilino)	10.1.2.10
Worker del lado del proveedor	Proveedor	Externa	10.1.2.30 (estática, definida por VBR)
Worker del lado del inquilino	Inquilino (VeeamTenant1)	ExternalL2	10.1.2.13 (estática, definida por VBR)

Como todo está en la misma subred, el servidor VBR y ambos workers pueden comunicarse directamente entre sí, y la UI de administración del inquilino sigue siendo accesible en su propia IP en esa misma red — no hay reenvío de puertos ni rutas extra que mantener.

Requisitos

Siempre:

• El Integración de Veeam con VergeOS en su lugar — requisitos de versión cumplidos, el paquete oVirt-engine habilitado y el sistema agregado al inventario de Veeam como un VergeOS Manager
• Acceso de administrador del clúster a nivel del proveedor
• La Externa red ya configurada y en funcionamiento
• Veeam Backup & Replication desplegado como una VM en el proveedor — en esta guía, una única servidor VBR que aloja tanto el servidor de copias de seguridad como un repositorio de copias de seguridad
• Revisa las Consideraciones y limitaciones de Veeam para saber qué admite y qué no la integración antes de planificar tu despliegue

Solo ruta del inquilino:

• Un inquilino existente (esta guía usa VeeamTenant1 como ejemplo), agregado a Veeam como su propio VergeOS Manager

Paso 1: Despliega el servidor VBR en la red External del proveedor

Despliega tu servidor Veeam Backup & Replication como una VM con una NIC conectada directamente a la Externa red del proveedor, y asígnale una IP estática en esa subred (p. ej. 10.1.2.214).

Esta VM usa una configuración estándar de VM de VergeOS — aquí no se necesita ninguna red especial. Solo necesita estar en la misma Externa red que vas a conectar al inquilino en los siguientes pasos.

Paso 2: Asigna al inquilino una IP virtual de la UI en la red External

Esto mantiene accesible la UI de administración del inquilino en la misma red que el servidor VBR, independientemente del paso directo de Capa 2 configurado más adelante.

1. Navega al Externa panel de red del proveedor.
2. Haga clic en Direcciones IP en el menú izquierdo, luego Nuevo.
3. Tipo: IP virtual
4. Dirección IP: la dirección que quieres que use la UI del inquilino (p. ej. 10.1.2.10)
5. Tipo de propietario: inquilino
6. Propietario: selecciona tu inquilino (p. ej. VeeamTenant1)
7. Haga clic en Enviar.
8. Desde el Externa del panel de red, haz clic en Aplicar reglas.
9. Navega al panel de red del inquilino (Redes > Panel > Inquilinos > haz doble clic en el inquilino) y haz clic en Aplicar reglas allí también.

Detalles completos: Asignar direcciones IP externas a un inquilino.

Paso 3: Crea la conexión de red Layer 2 del inquilino

Esto conecta directamente al inquilino a la Externa red del proveedor en Capa 2.

1. Desde el menú superior, navega hasta Inquilinos > Lista.
2. Haz clic en el nombre del inquilino (p. ej. VeeamTenant1) para abrir el panel del inquilino.
3. En la navegación izquierda, despliega Red y haga clic en Redes Layer2.
4. Haga clic en Nuevo.
5. Red: selecciona la Externa red del proveedor.
6. Activa Habilitado en ON (azul).
7. Haga clic en Enviar.

VergeOS aprovisiona automáticamente una NIC en el nodo del inquilino conectada a Externa, además de una Physical - External red dentro del inquilino que se conecta a ella.

No etiquetes la red creada automáticamente

Si VergeOS crea automáticamente una red External coincidente dentro del inquilino, déjala sin etiquetar — la interfaz ya está en la red correcta. Consulta Configurar redes Layer 2 del inquilino para la explicación completa de los componentes creados automáticamente.

Detalles completos y pasos de eliminación/limpieza: Configurar redes Layer 2 del inquilino.

Paso 4: Crea la red External del lado del inquilino para adjuntar el worker

Si tu inquilino ya tiene su propia red predeterminada llamada Externa (usada para el acceso normal de salida/NAT), VergeOS no creará una segunda red con ese mismo nombre — así que añadirás una manualmente encima de la Physical - External red de backend creada automáticamente, con un nombre diferente (este ejemplo usa ExternalL2).

1. Inicia sesión en la interfaz de usuario del inquilino.
2. Vaya a Redes > Nueva externa.
3. Nombre: ExternalL2
4. Tipo de capa 2: Ninguno (esto es un simple paso directo — el VLAN/etiquetado, si existe, ya lo gestiona la interfaz Physical - External)
5. Red de interfaz: Physical - External
6. Tipo de dirección IP: Ninguno

Por qué Tipo de dirección IP: Ninguno

Veeam asigna y administra por sí mismo la dirección IP del worker cuando despliega la VM del worker. Dejar Tipo de dirección IP en Ninguno mantiene a VergeOS al margen de ese direccionamiento — es un paso directo puro de Capa 2, igual que cómo las redes internas de Capa 2 funcionan cuando un tercero gestiona el direccionamiento IP.

1. Haga clic en Enviar, luego Encendido la red.

Para la referencia completa de campos sobre la creación de redes externas (opciones de VLAN, IP estática, reglas de enrutamiento), consulta Cómo crear una red externa.

Paso 5: Despliega los workers

Despliega los workers desde dentro de Veeam usando su integración con VergeOS — VergeOS no necesita ninguna configuración adicional aquí más allá de las redes creadas arriba. Consulta la documentación de Veeam para conocer los pasos exactos de despliegue de workers para tu versión de Veeam.

• Worker del lado del proveedor: conéctalo a la Externa red del proveedor. Asígnale una IP estática fuera del rango DHCP de tu red External (en este ejemplo, la red External entrega 10.1.2.200–10.1.2.201 mediante DHCP, así que 10.1.2.30 es una opción estática segura).
• Worker del lado del inquilino: conéctalo a la ExternalL2 red del inquilino. De nuevo, usa una IP estática fuera del rango DHCP del proveedor (p. ej. 10.1.2.13).

Evita conflictos con el rango DHCP

Como estas son direcciones estáticas configuradas dentro del worker de Veeam (no solicitadas al DHCP de VergeOS), comprueba dos veces que no choquen con el alcance DHCP de la red External ni con ninguna otra dirección estática asignada en esa subred.

Una vez que ambos workers estén en marcha, ellos y el servidor VBR deberían poder alcanzarse directamente entre sí en 10.1.2.0/24, y la UI del inquilino sigue siendo accesible en su IP virtual (10.1.2.10) en la misma red.

Verificación

• Desde el servidor VBR, confirma que ambos workers aparecen como accesibles/sanos en la consola de Veeam.
• Desde cada worker, confirma que puede alcanzar directamente al servidor VBR y al otro worker (p. ej. ping) sin necesidad de una ruta a través de la puerta de enlace NAT del inquilino.
• Confirma que la UI de administración del inquilino es accesible en su IP virtual desde la misma red que el servidor VBR.
• En la UI del inquilino, en Redes > Lista, confirma Physical - External y ExternalL2 que ambos están presentes y en ejecución.

Resolución de problemas

Problemas comunes

• El worker no puede alcanzar el servidor VBR ni el otro worker: confirma que ExternalL2 (lado del inquilino) está encendido y su Red de interfaz es Physical - External, no la red predeterminada propia del inquilino Externa red del proveedor.
• UI del inquilino inaccesible en su IP virtual: confirma que Aplicar reglas se ejecutó tanto en la red del proveedor como en el panel de red del inquilino después de asignar la IP virtual. Externa red del proveedor
• Colisión de nombres al crear la red Layer 2: si parece que VergeOS no crea una Externa red coincidente dentro del inquilino, probablemente sea porque el inquilino ya tiene una red predeterminada con ese nombre. Crea manualmente la red orientada al worker (Paso 4) con un nombre diferente, usando Physical - External como su interfaz.
• Conflictos de IP del worker: verifica que la IP estática configurada dentro del worker de Veeam no caiga dentro del rango DHCP de la red External ni entre en conflicto con otra IP estática/virtual que ya esté en uso en esa subred.

Despliegues más complejos

La topología de esta guía está pensada para poner Veeam en marcha rápidamente — un dominio plano de Capa 2, sin reglas de firewall — y funciona bien para laboratorios, pruebas de concepto y entornos de producción pequeños. Los entornos más grandes o sensibles a la seguridad pueden requerir:

• Una red dedicada de copias de seguridad. En lugar de extender la Externa red principal, crea una VLAN separada para el tráfico de copias de seguridad y pásala a cada inquilino como una Red Layer 2 del inquilinocon etiqueta VLAN. Esto mantiene los datos de copia de seguridad fuera de tu red de producción y te permite dar forma o limitar ese tráfico de manera independiente.
• Acceso enrutado con reglas de firewall explícitas. Si no es aceptable extender un dominio compartido de Capa 2 a los inquilinos — por ejemplo, si hay requisitos estrictos de aislamiento de inquilinos — mantén cada inquilino detrás de sus propias redes enrutadas/NATeadas y crea reglas de firewall para los puertos específicos que Veeam necesita entre el servidor VBR, los workers y los repositorios. Consulta Puertos en la Guía del usuario de Veeam para la lista completa. Esto te da el control más estricto a costa de mantener más reglas por inquilino.
• Infraestructura Veeam escalada horizontalmente. A medida que crece el volumen de copias de seguridad, Veeam permite ir más allá del servidor VBR todo en uno — repositorios de copias de seguridad dedicados, servidores de puerta de enlace y workers adicionales. Ese dimensionamiento es una decisión de diseño del lado de Veeam; consulta la Guía del usuario de Veeam Backup & Replication. El principio de red de esta guía sigue aplicando: cada worker necesita acceso directo a los componentes entre los que mueve datos.

Documentación relacionada

• Integración de Veeam con VergeOS
• Configurar redes Layer 2 del inquilino
• Asignar direcciones IP externas a un inquilino
• Cómo crear una red externa
• Creación de una red interna Layer 2
• Resumen del inquilino
• Guía del usuario de Veeam Backup & Replication — Hipervisores universales
• Guía del usuario de Veeam Backup & Replication — Consideraciones y limitaciones