NetApp NDMP备份详解（对接Veritas BE）

赶在年底前做了个Veritas BE通过NDMP备份NetApp共享数据的项目POC，以前NetApp基本都是通过node-scope-mode，现在BE支持vserver对接后测试中碰到不少坑，以此作为记录及分享

NDMP简介

NDMP的历史有20余年了，以下是从NetApp官网截取的一段介绍

Network Data Management Protocol (NDMP) is an open network protocol for controlling communications between your main storage and secondary storage systems. It is commonly used for NAS backup and recovery operations in heterogeneous network environments.
NDMP provides a shared architecture for backing up network file servers, making it possible to run backups on file servers running on multiple platforms, using one agent and centralized management software.

简单来说NDMP协议是一个用于两个存储之间通讯的网络协议，主要用于NAS环境的备份，作为一个成熟的通用协议，他多平台，多硬件，多软件的支持绝对是一大优势

项目POC背景

用户当前生产环境有一套Veritas BE用于备份当前的私有云环境，有一套NetApp FAS提供办公及生产业务的核心CIFS共享，目前需要评估BE对接NetApp进行备份，上次NetApp配置NDMP对接BE还是Symantec的时代​🤣​​，当时与BE工程师沟通过确认只支持node-scope，但本次我查了下官方信息BE不但支持svm-mode并且也是最佳实践

所谓的Recommend，在实际使用中确实也深有体会，以下会讲到，另外由于以前测试svm-scope的时候不是太顺利，因此本次POC还是先开始进行node-scope的配置

测试环境：

• NetApp：C-Mode Ontap 9.1
• Veritas NetBackup：10.1.1

Node-Scope-Mode配置

注：这部分当时未做记录，以官方文档结合实际操作进行说明
ONTAP默认使用的是svm-scope-mode，因此先需要开启mode-scope-mode

cluster1::> system services ndmp node-scope-mode on
NDMP node-scope-mode is enabled.

针对每个节点启用NDMP，并配置root密码

cluster1::> system services ndmp on -node *

Please enter password:
Confirm password:
2 entries were modified.

确认启用状态（为了安全可以关闭明文，不过这个不影响应用），另外默认root用户名也可直接modify更改为其他用户名

cluster1::> system services ndmp show
Node                  Enabled   Clear text  User Id
--------------------- --------- ----------- ---------
cluster1-1            true      false        root
cluster1-2            true      false        root
2 entries were displayed.

接下来直接BE内添加NDMP服务器即可
然后再使用过程中发现了一个问题，添加成功后可以看到Vol路径，但无法看到卷下面的实际共享路径，也就无法定义备份二级的共享备份内容，只是因为在node模式下只是针对存储底层的内容，无法对实际的共享业务进行感知，也就无法看到下层路径

因此未来都建议使用svm模式，当然未来官方也有可能停止对node模式的支持

SVM-Scope-Mode配置（重点）

进入svm模式配置，此模式下的配置还是有不少需要注意的细节，首先清楚两个概念其实配置思路就清楚了

1. 用户分单独的SVM下与Cluster SVM下，Cluster下账号可以管理所有SVM，最佳实践还是建议使用SVM下的账户
2. NDMP使用一套独立的密码（自动生成），不影响原有账户的正常使用密码，原则上可以复用现有账户

一个是用户

在开启node-scope-mode的情况下，关闭该模式就默认启用了svm-scope-mode

FAS2720::> system service ndmp node-scope-mode off
NDMP node-scope-mode is disabled.

SVM添加支持NDMP协议（一般创建svm的时候不会选）

FAS2720::> vserver show -fields allowed-protocols 
vserver allowed-protocols 
------- ----------------- 
CIFS    cifs              
FAS2720 -      

FAS2720::> vserver add-protocols -vserver FAS2720 -protocols ndmp

FAS2720::> vserver show -fields allowed-protocols                
vserver allowed-protocols 
------- ----------------- 
CIFS    cifs,ndmp         
FAS2720 -     

对应SVM开启NDMP（建议把业务SVM及集群SVM都开启）

FAS2720::> vserver services ndmp modify -vserver CIFS -enable true                

FAS2720::> vserver services ndmp modify -vserver FAS2720 -enable true

FAS2720::> vserver services ndmp show                                
VServer       Enabled   Authentication type
------------- --------- -------------------
CIFS          true      challenge
FAS2720       true      challenge

本次实际POC直接使用了对应SVM的vsadmin账号进行对接备份，为该正好自动生成密码

FAS2720::> security login show -vserver CIFS

Vserver: CIFS
                                                                 Second
User/Group                 Authentication                 Acct   Authentication
Name           Application Method        Role Name        Locked Method
-------------- ----------- ------------- ---------------- ------ --------------
vsadmin        http        password      vsadmin          yes    none
vsadmin        ontapi      password      vsadmin          yes    none
vsadmin        ssh         password      vsadmin          yes    none
3 entries were displayed.

FAS2720::> vserver services ndmp generate-password -vserver CIFS -user vsadmin

 Vserver: CIFS
    User: vsadmin
Password: A02rgKAXPXGG3MDz

至此，进入BE配置添加NDMP服务器即该SVM的IP及vsadmin的账号即可正常使用，并配置相应的备份任务，也可正常看到所有路径

最后再提个小注意事项，如果因为合规性要去需要创建新的NDMP账号的时候一定要记得指定对应的SVM，否则会出现找不到账号的情况（默认在集群下）

FAS2720::> vserver services ndmp generate-password -vserver vserver_name -user [user name]

Error: show failed: Cannot get password for user [user name]

#确认该用户是否再SVM内
FAS2720::> security login show -vserver [vserver_name]

#单独创建NDMP Backup用户
FAS2720::> security login create -user-or-group-name vsbackup_admin1 -application ssh -authmethod password -role vsadmin-backup -vserver [vserver_name]