> For the complete documentation index, see [llms.txt](https://docs.verge.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.verge.io/knowledge-base/vi/backup-dr/veeam-worker-networking.md).
# Cấu hình truy cập mạng cho các worker của Veeam Backup & Replication
## Tổng quan
Veeam Backup & Replication (VBR) triển khai **các worker** — các VM Linux phụ trợ xử lý khối lượng công việc sao lưu và di chuyển dữ liệu sao lưu — theo yêu cầu. Trong hướng dẫn này, **nhà cung cấp** là hệ thống gốc — hệ thống VergeOS cấp cao nhất (chính nó là tenant gốc) lưu trữ các tenant của bạn và chạy VBR. **máy chủ VBR** (`veeamHost`) là một VM duy nhất lưu trữ cả hai thành phần cốt lõi của Veeam: **máy chủ sao lưu** (lõi quản lý của hạ tầng sao lưu) và một **kho lưu trữ sao lưu** (vị trí lưu trữ nơi các bản sao lưu được ghi đến). Khi VBR bảo vệ khối lượng công việc cả ở nhà cung cấp lẫn bên trong một tenant, các worker mà nó triển khai ở mỗi phía cần có thể liên lạc trực tiếp với nhau — và với máy chủ VBR, nơi kho lưu trữ sao lưu nằm — mà không bị chặn bởi NAT của tenant hoặc phải đi qua các bước nhảy bổ sung.
Bản thân tích hợp — gói VergeOS oVirt-engine, việc thêm các hệ thống và tenant vào Veeam dưới dạng **VergeOS Manager**, và các yêu cầu về phiên bản — được đề cập trong [Tích hợp Veeam với VergeOS](/automate-protect-and-extend/integrations-and-apis/veeam.md). Hướng dẫn này chỉ đề cập đến phần *mạng* mà các worker cần: **đường dữ liệu** được minh họa trong [Topology ví dụ](#example-topology) bên dưới — mạng External phẳng mà các worker dùng để di chuyển lưu lượng sao lưu sau khi chúng được triển khai.
Mô hình cơ bản rất đơn giản:
* **Chỉ khối lượng công việc của nhà cung cấp:** gắn cả máy chủ VBR và worker của nó trực tiếp vào `Bên ngoài` mạng của nhà cung cấp. Đó là toàn bộ thiết lập — mọi thứ đã cùng dùng chung một miền Layer 2, nên máy chủ VBR và worker liên lạc trực tiếp với nhau mà không cần các quy tắc tường lửa tạo thủ công.
* **Khối lượng công việc của tenant:** mở rộng chính `Bên ngoài` mạng đó vào từng tenant ở Layer 2, rồi triển khai một worker bên trong tenant trên mạng đã mở rộng. Đây là cách dễ nhất để sao lưu tenant — nó cung cấp cho mọi thành phần quyền truy cập cần thiết mà không phải tự tay tạo các quy tắc tường lửa.
Thiết kế phẳng, dùng chung Layer 2 này được chủ ý là cách đơn giản nhất để đưa Veeam chạy trên VergeOS. Nếu môi trường của bạn cần cô lập tenant mạnh hơn hoặc một mạng sao lưu chuyên dụng, hãy xem [Triển khai phức tạp hơn](#more-complex-deployments) ở cuối hướng dẫn này.
Hướng dẫn này đi qua trường hợp tenant đầy đủ, trong đó đặt máy chủ VBR của nhà cung cấp và cả hai worker trên **cùng một miền quảng bá Layer 2** đồng thời vẫn hiển thị giao diện UI của tenant trên cùng mạng đó. Nó sử dụng tính năng của VergeOS [Mạng Layer 2 của Tenant](/run-the-platform/tenants/layer-2-networks.md) để bắc cầu một tenant trực tiếp lên `Bên ngoài` mạng của nhà cung cấp, thay vì định tuyến lưu lượng tenant qua NAT. Đối với trường hợp chỉ nhà cung cấp, xem [Triển khai chỉ nhà cung cấp](#provider-only-deployment-no-tenants) bên dưới.
{% hint style="info" %}
**Các điểm chính**
* Mạng của nhà cung cấp `Bên ngoài` được chuyển thẳng sang tenant bằng Tenant Layer 2 Network — không cần gắn thẻ VLAN nếu bạn đang chuyển mạng External chính/phẳng.
* Vì mọi thành phần đều nằm trên cùng miền External Layer 2, **không cần tạo quy tắc tường lửa thủ công** — mạng phẳng cung cấp cho máy chủ VBR và các worker quyền truy cập họ cần.
* VBR tự gán địa chỉ IP cho worker khi nó triển khai từng worker. Các địa chỉ này **không** được VergeOS DHCP quản lý — hãy chọn các địa chỉ nằm ngoài dải DHCP của mạng External.
* Tenant vẫn nhận được địa chỉ UI có thể định tuyến riêng của nó thông qua một **IP ảo**giải pháp Virtual IP, độc lập với cơ chế chuyển tiếp Layer 2.
{% endhint %}
## Triển khai chỉ nhà cung cấp (không có tenant)
Nếu bạn chỉ bảo vệ khối lượng công việc trong nhà cung cấp (hệ thống gốc) và không có tenant nào tham gia, cấu hình sẽ đơn giản hơn nhiều — chỉ cần bỏ qua phần tenant:
1. Gắn **máy chủ VBR** vào `Bên ngoài` mạng của nhà cung cấp với một IP tĩnh (xem [Bước 1](#step-1-deploy-the-vbr-server-on-the-providers-external-network)).
2. Triển khai **worker phía nhà cung cấp** trên cùng `Bên ngoài` mạng với IP tĩnh nằm ngoài dải DHCP (xem [Bước 5](#step-5-deploy-the-workers)).
Chỉ vậy thôi. Các bước 2–4 chỉ tồn tại để mở rộng mạng External vào một tenant, nên bạn có thể bỏ qua hoàn toàn. Mọi thứ đã cùng chia sẻ miền Layer 2 của mạng External, nên máy chủ VBR và worker giao tiếp trực tiếp mà không cần các quy tắc tường lửa tạo thủ công.
Khi sau này thêm tenant vào, hãy mở rộng cùng `Bên ngoài` mạng đó vào từng tenant bằng Tenant Layer 2 Network và triển khai một worker ở đó — đó là quy trình làm việc của tenant được mô tả trong phần còn lại của hướng dẫn này.
## Topology ví dụ
| Vai trò | Vị trí | Mạng | IP ví dụ |
| ------------------------- | ----------------------- | ----------------------------------------- | ------------------------------ |
| Máy chủ VBR (`veeamHost`) | Nhà cung cấp | `Bên ngoài` | `10.1.2.214` (tĩnh) |
| UI của tenant | Do nhà cung cấp gán | `Bên ngoài` (Virtual IP do tenant sở hữu) | `10.1.2.10` |
| Worker phía nhà cung cấp | Nhà cung cấp | `Bên ngoài` | `10.1.2.30` (tĩnh, do VBR đặt) |
| Worker phía tenant | Tenant (`VeeamTenant1`) | `ExternalL2` | `10.1.2.13` (tĩnh, do VBR đặt) |
```mermaid
graph TB
subgraph Provider["Nhà cung cấp (Hệ thống gốc) — External 10.1.2.0/24"]
VBR["veeamHost — Máy chủ VBR
10.1.2.214"]
PWorker["Worker phía nhà cung cấp
10.1.2.30"]
end
subgraph Tenant["Tenant: VeeamTenant1"]
PhysExt["Vật lý - External
(tự động tạo bởi Tenant L2 Network)"]
ExtL2["ExternalL2
Mạng External, không gắn thẻ, Loại địa chỉ IP: None"]
TWorker["Worker phía tenant
10.1.2.13"]
PhysExt --> ExtL2
ExtL2 --> TWorker
end
VBR ---|"Mạng Tenant Layer 2
(cùng miền quảng bá L2)"| PhysExt
VBR <-.->|"trực tiếp, không NAT"| PWorker
PWorker <-.->|"trực tiếp, không NAT"| TWorker
VBR <-.->|"trực tiếp, không NAT"| TWorker
TenantUIVIP["UI của tenant
Virtual IP 10.1.2.10
(do VeeamTenant1 sở hữu)"]
Provider --- TenantUIVIP
style Provider fill:#e8f5e9,stroke:#2e7d32
style Tenant fill:#fff3e0,stroke:#e65100
```
Vì mọi thứ nằm trên cùng một subnet, máy chủ VBR và cả hai worker có thể nói chuyện trực tiếp với nhau, và UI quản trị của tenant vẫn có thể truy cập được tại IP riêng của nó trên cùng mạng đó — không cần chuyển tiếp cổng hay các tuyến bổ sung để duy trì.
## Yêu cầu
**Luôn luôn:**
* Tham số [Tích hợp Veeam với VergeOS](/automate-protect-and-extend/integrations-and-apis/veeam.md) đã được thiết lập — đáp ứng yêu cầu phiên bản, gói oVirt-engine đã bật, và hệ thống được thêm vào danh mục kiểm kê của Veeam như một **VergeOS Manager**
* quyền truy cập Cluster Admin ở cấp nhà cung cấp
* Mạng của nhà cung cấp `Bên ngoài` mạng đã được cấu hình và đang chạy
* Veeam Backup & Replication được triển khai dưới dạng một VM trên nhà cung cấp — trong hướng dẫn này là một **máy chủ VBR** VM lưu trữ cả máy chủ sao lưu và một kho lưu trữ sao lưu
* Xem xét [Các lưu ý và hạn chế](https://helpcenter.veeam.com/docs/vbr/userguide/uh_limitations.html?ver=13) về những gì tích hợp này hỗ trợ và không hỗ trợ trước khi lên kế hoạch triển khai
**Chỉ đường tenant:**
* Một tenant hiện có (hướng dẫn này dùng `VeeamTenant1` làm ví dụ), được thêm vào Veeam như một VergeOS Manager riêng của nó
## Bước 1: Triển khai máy chủ VBR trên mạng External của nhà cung cấp
Triển khai máy chủ Veeam Backup & Replication của bạn dưới dạng một VM với NIC gắn trực tiếp vào `Bên ngoài` mạng của nhà cung cấp, và cấp cho nó một IP tĩnh trong subnet đó (ví dụ `10.1.2.214`).
{% hint style="info" %}
VM này là cấu hình VM VergeOS tiêu chuẩn — ở đây không cần mạng đặc biệt. Nó chỉ cần nằm trên cùng `Bên ngoài` mạng mà bạn sẽ bắc cầu sang tenant ở các bước tiếp theo.
{% endhint %}
## Bước 2: Gán cho tenant một Virtual IP của UI trên mạng External
Điều này giữ cho UI quản trị của tenant có thể truy cập trên cùng mạng với máy chủ VBR, độc lập với cơ chế chuyển tiếp Layer 2 được cấu hình sau này.
1. Đi đến **Bên ngoài** bảng điều khiển mạng của nhà cung cấp.
2. Nhấp **Địa chỉ IP** trong menu bên trái, rồi **Mới**.
3. **Loại**: `IP ảo`
4. **Địa chỉ IP**: địa chỉ bạn muốn UI của tenant sử dụng (ví dụ `10.1.2.10`)
5. **Loại chủ sở hữu**: `tenant`
6. **Chủ sở hữu**: chọn tenant của bạn (ví dụ `VeeamTenant1`)
7. Nhấp **Gửi**.
8. Từ **Bên ngoài** bảng điều khiển mạng, nhấp **Áp dụng quy tắc**.
9. Đi đến bảng điều khiển mạng của tenant (**Mạng** > **Bảng điều khiển** > **Các tenant** > nhấp đúp vào tenant) và nhấp **Áp dụng quy tắc** ở đó cũng vậy.
Chi tiết đầy đủ: [Gán địa chỉ IP External cho một tenant](/run-the-platform/tenants/assign-ip-to-tenant.md).
## Bước 3: Tạo kết nối mạng Tenant Layer 2
Điều này bắc cầu tenant trực tiếp lên `Bên ngoài` mạng của nhà cung cấp ở Layer 2.
1. Từ menu trên cùng, đi đến **Các tenant** > **Danh sách**.
2. Nhấp vào tên tenant (ví dụ `VeeamTenant1`) để mở bảng điều khiển tenant.
3. Trong thanh điều hướng bên trái, mở rộng **Mạng** và nhấp **Mạng Layer2**.
4. Nhấp **Mới**.
5. **Mạng**: chọn `Bên ngoài` mạng của nhà cung cấp.
6. Chuyển **Đã bật** sang BẬT (màu xanh).
7. Nhấp **Gửi**.
VergeOS tự động cấp phát một NIC trên nút của tenant được kết nối với `Bên ngoài`, cộng với một **Vật lý - External** mạng bên trong tenant được cắm vào nó.
{% hint style="warning" %}
**Không gắn thẻ cho mạng tự động tạo**
Nếu VergeOS tự động tạo một mạng External khớp bên trong tenant, hãy để nó không gắn thẻ — giao diện đã ở đúng mạng. Xem [Cấu hình mạng Tenant Layer 2](/run-the-platform/tenants/layer-2-networks.md) để xem giải thích đầy đủ về các thành phần được tạo tự động.
{% endhint %}
Chi tiết đầy đủ và các bước gỡ bỏ/dọn dẹp: [Cấu hình mạng Tenant Layer 2](/run-the-platform/tenants/layer-2-networks.md).
## Bước 4: Tạo mạng External phía tenant để gắn worker
Nếu tenant của bạn đã có mạng mặc định riêng tên `Bên ngoài` (dùng cho truy cập outbound/NAT bình thường), VergeOS sẽ không tạo mạng thứ hai cùng tên đó — vì vậy bạn sẽ thêm thủ công một mạng lên trên mạng được tạo tự động `Vật lý - External` mạng backend, dưới một tên khác (ví dụ này dùng `ExternalL2`).
1. Đăng nhập vào **giao diện tenant**.
2. Điều hướng tới **Mạng** > **Ngoài mới**.
3. **Tên**: `ExternalL2`
4. **Kiểu Layer 2**: `Không có` (đây là chuyển tiếp thuần túy — VLAN/gắn thẻ, nếu có, đã được xử lý bởi giao diện Physical - External)
5. **Mạng giao diện**: `Vật lý - External`
6. **Loại địa chỉ IP**: `Không có`
{% hint style="info" %}
**Tại sao Loại địa chỉ IP: None**
Veeam tự gán và quản lý địa chỉ IP của worker khi nó triển khai VM worker. Để Loại địa chỉ IP ở `Không có` giúp VergeOS không can thiệp vào việc cấp địa chỉ đó — đây là một cơ chế chuyển tiếp Layer 2 thuần túy, tương tự như cách [mạng Layer 2 nội bộ](/run-the-platform/networking/internal-layer2.md) hoạt động khi bên thứ ba quản lý việc cấp địa chỉ IP.
{% endhint %}
7. Nhấp **Gửi**, sau đó **Bật nguồn** mạng.
Để xem tài liệu tham chiếu đầy đủ về việc tạo mạng external (tùy chọn VLAN, IP tĩnh, quy tắc định tuyến), xem [Cách tạo mạng bên ngoài](/knowledge-base/vi/networking/create-external-network.md).
## Bước 5: Triển khai các worker
Triển khai các worker từ bên trong Veeam bằng tích hợp VergeOS của nó — ở đây VergeOS không cần cấu hình bổ sung nào ngoài các mạng đã tạo ở trên. Tham khảo [tài liệu của Veeam](https://helpcenter.veeam.com/docs/vbr/userguide/uh_workers_add.html?ver=13) để biết chính xác các bước triển khai worker cho phiên bản Veeam của bạn.
* **Worker phía nhà cung cấp**: gắn vào `Bên ngoài` mạng của nhà cung cấp. Cấp cho nó một IP tĩnh nằm ngoài dải DHCP của mạng External của bạn (trong ví dụ này, mạng External cấp phát `10.1.2.200`–`10.1.2.201` thông qua DHCP, nên `10.1.2.30` là lựa chọn tĩnh an toàn).
* **Worker phía tenant**: gắn vào `ExternalL2` mạng. Một lần nữa, dùng IP tĩnh nằm ngoài dải DHCP của nhà cung cấp (ví dụ `10.1.2.13`).
{% hint style="warning" %}
**Tránh xung đột dải DHCP**
Vì đây là các địa chỉ tĩnh được đặt bên trong worker Veeam (không yêu cầu từ VergeOS DHCP), hãy kiểm tra kỹ để chúng không xung đột với phạm vi DHCP của mạng External hoặc bất kỳ địa chỉ tĩnh nào khác trên subnet đó.
{% endhint %}
Khi cả hai worker đã hoạt động, chúng và máy chủ VBR đều nên có thể truy cập trực tiếp trên `10.1.2.0/24`, và UI của tenant vẫn có thể truy cập được tại Virtual IP của nó (`10.1.2.10`) trên cùng mạng.
## Xác minh
* Từ máy chủ VBR, xác nhận cả hai worker đều hiển thị là có thể truy cập/khỏe mạnh trong bảng điều khiển Veeam.
* Từ mỗi worker, xác nhận nó có thể truy cập trực tiếp máy chủ VBR và worker kia (ví dụ `ping`) mà không cần tuyến đi qua cổng NAT của tenant.
* Xác nhận UI quản trị của tenant có thể truy cập tại Virtual IP của nó từ cùng mạng với máy chủ VBR.
* Trong UI của tenant, bên dưới **Mạng** > **Danh sách**, xác nhận `Vật lý - External` và `ExternalL2` đều hiện diện và đang chạy.
## Khắc phục sự cố
{% hint style="warning" %}
**Các sự cố thường gặp**
* **Worker không thể truy cập máy chủ VBR hoặc worker kia**: xác nhận `ExternalL2` (phía tenant) đã bật nguồn và **Mạng giao diện** là `Vật lý - External`, không phải `Bên ngoài` mạng của nhà cung cấp.
* **UI của tenant không truy cập được tại Virtual IP của nó**: xác nhận **Áp dụng quy tắc** đã được chạy trên cả `Bên ngoài` bảng điều khiển mạng của nhà cung cấp và của tenant sau khi gán Virtual IP.
* **Xung đột tên khi tạo mạng Layer 2**: nếu VergeOS dường như không tạo một mạng khớp `Bên ngoài` mạng bên trong tenant, rất có thể là vì tenant đã có một mạng mặc định với tên đó. Hãy tạo thủ công mạng hướng ra worker (Bước 4) dưới một tên khác, dùng `Vật lý - External` làm giao diện của nó.
* **Xung đột IP của worker**: xác minh rằng IP tĩnh được đặt bên trong worker Veeam không nằm trong dải DHCP của mạng External hoặc xung đột với một IP tĩnh/ảo khác đã được dùng trên subnet đó.
{% endhint %}
## Triển khai phức tạp hơn
Topology trong hướng dẫn này nhằm đưa Veeam vào hoạt động nhanh chóng — một miền Layer 2 phẳng, không có quy tắc tường lửa — và hoạt động tốt cho phòng lab, bản chứng minh khái niệm, và các môi trường sản xuất nhỏ hơn. Các môi trường lớn hơn hoặc nhạy cảm hơn về bảo mật có thể cần:
* **Một mạng sao lưu chuyên dụng.** Thay vì mở rộng mạng chính `Bên ngoài` mạng, hãy tạo một VLAN riêng cho lưu lượng sao lưu và chuyển nó vào từng tenant dưới dạng một VLAN-tagged [Tenant Layer 2 Network](/run-the-platform/tenants/layer-2-networks.md). Điều này giữ dữ liệu sao lưu tách khỏi mạng sản xuất của bạn và cho phép bạn điều chỉnh hoặc giới hạn lưu lượng đó một cách độc lập.
* **Truy cập định tuyến với các quy tắc tường lửa rõ ràng.** Nếu việc mở rộng một miền Layer 2 dùng chung vào các tenant là không chấp nhận được — ví dụ, yêu cầu cô lập tenant nghiêm ngặt — hãy giữ mỗi tenant phía sau các mạng routed/NAT của riêng nó và tạo quy tắc tường lửa cho các cổng cụ thể mà Veeam cần giữa máy chủ VBR, các worker và các repository. Xem [Các cổng](https://helpcenter.veeam.com/docs/vbr/userguide/uh_used_ports.html?ver=13) trong Veeam User Guide để xem danh sách đầy đủ. Điều này cho bạn khả năng kiểm soát chặt chẽ nhất nhưng đổi lại là phải bảo trì nhiều quy tắc hơn cho từng tenant.
* **Hạ tầng Veeam mở rộng quy mô.** Khi khối lượng sao lưu tăng lên, Veeam hỗ trợ vượt ra ngoài máy chủ VBR tất cả-trong-một — các repository sao lưu chuyên dụng, gateway server và các worker bổ sung. Việc định cỡ đó là quyết định thiết kế phía Veeam; xem [Veeam Backup & Replication User Guide](https://helpcenter.veeam.com/docs/vbr/userguide/universal_hypervisors.html?ver=13). Nguyên tắc mạng trong hướng dẫn này vẫn áp dụng: mỗi worker cần có khả năng truy cập trực tiếp đến các thành phần mà nó di chuyển dữ liệu giữa chúng.
## Tài liệu liên quan
* [Tích hợp Veeam với VergeOS](/automate-protect-and-extend/integrations-and-apis/veeam.md)
* [Cấu hình mạng Tenant Layer 2](/run-the-platform/tenants/layer-2-networks.md)
* [Gán địa chỉ IP External cho một tenant](/run-the-platform/tenants/assign-ip-to-tenant.md)
* [Cách tạo mạng bên ngoài](/knowledge-base/vi/networking/create-external-network.md)
* [Tạo mạng Internal Layer 2](/run-the-platform/networking/internal-layer2.md)
* [Tổng quan tenant](/run-the-platform/tenants/overview.md)
* [Veeam Backup & Replication User Guide — Universal Hypervisors](https://helpcenter.veeam.com/docs/vbr/userguide/universal_hypervisors.html?ver=13)
* [Veeam Backup & Replication User Guide — Các lưu ý và hạn chế](https://helpcenter.veeam.com/docs/vbr/userguide/uh_limitations.html?ver=13)
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://docs.verge.io/knowledge-base/vi/backup-dr/veeam-worker-networking.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.