Sao Lưu Windows Server Bằng Windows Server Backup: Cách Backup Và Khôi Phục An Toàn

Backup chỉ có giá trị khi bạn khôi phục được dữ liệu. Trên Windows Server, Windows Server Backup là công cụ tích hợp giúp tạo backup file, volume và phục vụ một số kịch bản recovery mà không cần cài phần mềm bên thứ ba ngay từ đầu.

Bài viết này tập trung vào quy trình thực tế: cài Windows Server Backup, chọn đích lưu, tạo backup thủ công hoặc theo lịch, kiểm tra version đã có và thử restore. Mục tiêu không phải chỉ tạo một file backup rồi quên nó, mà là xây dựng quy trình có thể kiểm chứng.

Lưu ý: không nên lưu bản backup duy nhất trên cùng ổ đĩa hoặc cùng VPS với dữ liệu gốc. Nếu máy ảo/VPS mất hoàn toàn, bản backup nội bộ cũng có thể mất theo.

Windows Server Backup phù hợp với trường hợp nào?

Công cụ này phù hợp khi bạn cần:

• backup file/thư mục quan trọng;
• backup volume;
• tạo backup phục vụ bare-metal recovery trong một số kịch bản;
• backup System State cho workload phù hợp;
• thực hiện backup one-time hoặc scheduled backup;
• khôi phục file bị xóa hoặc ghi đè nhầm.

Nếu bạn chỉ cần copy một thư mục nhỏ, công cụ khác có thể đơn giản hơn. Nhưng với server cần quy trình recovery rõ ràng, Windows Server Backup là điểm bắt đầu hợp lý.

Nguyên tắc 3-2-1 trước khi cấu hình

Một chiến lược backup tốt thường theo nguyên tắc:

• 3 bản dữ liệu: 1 bản đang sử dụng + ít nhất 2 bản sao;
• 2 loại media hoặc vị trí lưu khác nhau;
• 1 bản nằm ngoài máy chủ chính.

Ví dụ với Windows Server VPS:

1. dữ liệu đang chạy trên volume hệ thống;
2. backup vào volume riêng hoặc storage phụ;
3. một bản sao khác được đẩy tới storage ngoài server.

Nếu bạn đang vận hành cả Linux và Windows, có thể xem thêm bài Backup VPS bằng Restic để so sánh cách tiếp cận backup theo snapshot/repository.

Cài Windows Server Backup

Mở PowerShell với quyền Administrator và chạy:

Install-WindowsFeature Windows-Server-Backup

Kiểm tra:

Get-WindowsFeature Windows-Server-Backup

Nếu cột Install State là Installed, feature đã sẵn sàng.

Bạn cũng có thể cài qua Server Manager:

1. mở Add Roles and Features;
2. đi tới Features;
3. chọn Windows Server Backup;
4. hoàn tất wizard.

Chọn nơi lưu backup

Đích lưu có thể là:

• volume riêng;
• disk riêng;
• network share;
• storage được hệ điều hành nhìn thấy phù hợp với kịch bản backup.

Không nên xem thư mục khác trên cùng một volume là “backup an toàn”. Nếu volume hỏng hoặc filesystem lỗi, cả dữ liệu gốc và backup có thể cùng mất.

Với VPS, nếu nhà cung cấp có snapshot hoặc backup riêng ở tầng hạ tầng, bạn có thể dùng thêm như một lớp bảo vệ. Tuy nhiên snapshot hạ tầng không thay thế hoàn toàn backup ứng dụng vì retention, tính nhất quán và khả năng phục hồi từng file có thể khác nhau.

Tạo backup bằng giao diện

Mở Windows Server Backup từ Server Manager hoặc Start Menu.

Chọn Backup Once để tạo một bản backup thủ công.

Có hai hướng chính:

• Full server: backup toàn bộ thành phần cần cho server;
• Custom: chọn volume/file cụ thể.

Với production, nên bắt đầu bằng việc xác định rõ:

• dữ liệu nào là critical;
• RPO chấp nhận được bao lâu;
• RTO cần khôi phục trong bao lâu;
• có database hay ứng dụng cần pre/post-backup step không.

Backup bằng wbadmin

Microsoft cung cấp công cụ dòng lệnh wbadmin cho Windows Server.

Xem trợ giúp:

wbadmin /?

Ví dụ tạo backup một volume C: vào E::

wbadmin start backup -backupTarget:E: -include:C: -quiet

Lệnh phải chạy trong Command Prompt/PowerShell elevated và tài khoản cần quyền phù hợp.

-quiet bỏ bước hỏi xác nhận, vì vậy chỉ dùng khi bạn đã kiểm tra đúng target.

Backup nhiều volume

Ví dụ:

wbadmin start backup -backupTarget:E: -include:C:,D: -quiet

Hãy bảo đảm E: là đích backup và không nằm trên volume đang được backup theo cách gây xung đột.

Backup tới network share

Ví dụ dạng tổng quát:

wbadmin start backup -backupTarget:\\backup-server\windows-backup -include:C: -user:DOMAIN\backupuser -password:* 

Dùng -password:* để được hỏi password thay vì ghi plaintext trực tiếp trong command history.

Với network share, cần cân nhắc:

• băng thông;
• quyền share và NTFS;
• account dùng cho backup;
• mã hóa đường truyền;
• retention;
• nguy cơ ransomware truy cập cùng credential.

Một tài khoản backup không nên có quyền rộng hơn cần thiết.

Tạo scheduled backup

Trong Windows Server Backup, chọn Backup Schedule và cấu hình:

1. loại dữ liệu cần backup;
2. thời điểm chạy;
3. destination;
4. xác nhận schedule.

Lịch phù hợp phụ thuộc RPO.

Ví dụ:

• website ít thay đổi: 1 lần/ngày có thể đủ;
• file server hoạt động liên tục: cần thường xuyên hơn;
• database giao dịch: cần chiến lược chuyên biệt hơn, có thể kết hợp native database backup/log backup.

Đừng dùng một lịch chung cho mọi workload.

Kiểm tra các backup version bằng wbadmin

Sau khi backup xong, liệt kê version:

wbadmin get versions

Nếu backup nằm ở location khác, dùng tham số phù hợp với môi trường.

Mỗi version có identifier dùng cho restore.

Việc wbadmin start backup trả về thành công mới chỉ chứng minh job hoàn tất. Bạn vẫn cần test restore.

Khôi phục file bằng giao diện

Trong Windows Server Backup:

1. chọn Recover;
2. chọn nơi chứa backup;
3. chọn ngày/version;
4. chọn Files and folders;
5. chọn dữ liệu cần phục hồi;
6. chọn original location hoặc alternate location;
7. kiểm tra tùy chọn overwrite;
8. thực hiện recovery.

Khi test, nên khôi phục vào thư mục khác trước để so sánh dữ liệu thay vì ghi đè ngay file production.

Khôi phục file bằng wbadmin

Microsoft hỗ trợ wbadmin start recovery với version identifier và item cần khôi phục.

Quy trình tổng quát:

wbadmin get versions

Sau đó dùng version phù hợp:

wbadmin start recovery -version:MM/DD/YYYY-HH:MM -itemtype:File -items:C:\Data\report.xlsx -recoveryTarget:C:\RestoreTest

Cú pháp version phụ thuộc output thực tế của hệ thống. Luôn copy identifier từ wbadmin get versions thay vì tự đoán.

Với file/folder, có thể cần thêm tùy chọn như -recursive hoặc policy overwrite tùy nhu cầu.

Bare-metal recovery là gì?

Bare-metal recovery nhằm khôi phục toàn bộ server khi hệ điều hành hoặc disk hệ thống không còn dùng được.

Microsoft có lệnh:

wbadmin start sysrecovery

Lệnh này phải chạy từ Windows Recovery Environment trong kịch bản phù hợp, không phải từ session Windows đang hoạt động như một restore file thông thường.

Để bare-metal recovery thành công, bạn cần chuẩn bị backup đúng thành phần từ trước. Đừng chờ tới khi server hỏng mới kiểm tra xem backup có hỗ trợ recovery kiểu này hay không.

System State backup khi nào cần?

System State có thể bao gồm các thành phần hệ thống quan trọng tùy role của server.

Một Domain Controller, Certificate Authority hoặc server có role đặc biệt có yêu cầu backup khác file server thông thường.

Nếu máy chạy Active Directory, hãy đọc hướng dẫn recovery AD/DC riêng của Microsoft. Không nên áp dụng quy trình restore file thông thường cho toàn bộ directory service.

Database trên Windows Server cần chú ý gì?

Nếu server chạy SQL Server hoặc database khác, file-level backup không phải lúc nào cũng đủ để đảm bảo application-consistent recovery.

Nên sử dụng cơ chế backup native của database khi phù hợp, ví dụ:

• full database backup;
• differential backup;
• transaction log backup;
• consistency check;
• restore test.

Windows Server Backup có thể là một lớp bổ sung nhưng không thay thế chiến lược database backup đã được thiết kế đúng.

Backup trước khi cập nhật hoặc thay đổi lớn

Trước các thao tác như:

• nâng cấp ứng dụng;
• thay đổi IIS;
• update Windows quan trọng;
• migration dữ liệu;
• thay đổi role/server feature;
• chỉnh registry hoặc policy lớn;

hãy tạo backup và xác nhận version đã hoàn tất.

Nếu server của bạn thường quản trị qua RDP, có thể tham khảo bài Bảo mật RDP Windows Server để giảm rủi ro truy cập trái phép tới máy chủ chứa dữ liệu và backup.

Không để backup online với quyền ghi vô hạn

Ransomware có thể mã hóa cả backup nếu attacker dùng được cùng account hoặc backup storage luôn được mount với quyền ghi.

Một số biện pháp:

• tách credential backup;
• hạn chế quyền ghi/xóa;
• có immutable/offline copy nếu hệ thống hỗ trợ;
• không dùng cùng mật khẩu admin cho storage backup;
• giám sát job backup thất bại;
• định kỳ kiểm tra restore.

Backup chỉ thực sự mạnh khi attacker hoặc lỗi vận hành không thể xóa toàn bộ bản sao cùng lúc.

Kiểm thử restore định kỳ

Một quy trình tối thiểu:

1. chọn một file mẫu;
2. restore vào thư mục test;
3. mở và kiểm tra checksum/nội dung;
4. ghi lại thời gian restore;
5. xác nhận backup gần nhất có thể dùng;
6. thỉnh thoảng test một kịch bản lớn hơn.

Với hệ thống quan trọng, nên có runbook recovery rõ ràng thay vì phụ thuộc trí nhớ của một quản trị viên.

Monitoring backup

Các điểm nên theo dõi:

• job có chạy đúng lịch không;
• backup gần nhất cách hiện tại bao lâu;
• destination còn dung lượng không;
• backup duration có tăng bất thường không;
• có error event không;
• restore test cuối cùng là khi nào.

Một job backup thất bại ba tuần nhưng không ai biết gần như tương đương không có backup.

Sai lầm thường gặp

Chỉ backup vào ổ D: cùng VPS

Đỡ được lỗi xóa nhầm file ở C:, nhưng không bảo vệ khỏi mất toàn bộ VPS hoặc lỗi hạ tầng lớn.

Không kiểm thử restore

Backup “Completed successfully” không đảm bảo bạn biết cách recovery khi cần.

Dùng credential admin cho network share

Tăng blast radius nếu server bị compromise. Dùng account chuyên biệt và least privilege.

Không có retention

Backup tăng đến khi đầy ổ, khiến job mới thất bại. Cần policy giữ bao nhiêu phiên bản và kiểm tra capacity định kỳ.

Dùng cùng một chiến lược cho mọi workload

File server, domain controller và SQL Server có đặc điểm recovery khác nhau.

Checklist triển khai

• Cài Windows Server Backup.
• Xác định RPO/RTO.
• Chọn dữ liệu và role cần bảo vệ.
• Chọn destination tách khỏi dữ liệu gốc.
• Tạo backup thử.
• Kiểm tra bằng wbadmin get versions.
• Restore thử một file vào thư mục khác.
• Thiết lập schedule phù hợp.
• Theo dõi dung lượng destination.
• Có ít nhất một bản sao off-server.
• Ghi lại quy trình recovery.
• Test restore định kỳ.

FAQ

Windows Server Backup có sẵn mặc định không?

Feature có trong nhiều phiên bản Windows Server nhưng có thể chưa được cài. Bạn có thể cài bằng Server Manager hoặc Install-WindowsFeature Windows-Server-Backup.

Có thể backup vào network share không?

Có trong các kịch bản được hỗ trợ, nhưng cần thiết kế quyền, băng thông và retention cẩn thận. Không lưu password plaintext trong script nếu có lựa chọn an toàn hơn.

Backup thành công có cần test restore không?

Có. Test restore là bước duy nhất chứng minh bạn có thể lấy dữ liệu trở lại đúng lúc cần.

wbadmin có thể khôi phục từng file không?

Có. wbadmin start recovery hỗ trợ recovery theo item type và version, với cú pháp chi tiết tùy dữ liệu và đích khôi phục.

Windows Server Backup có thay thế snapshot VPS không?

Không hoàn toàn. Snapshot hạ tầng và backup trong guest OS giải quyết các lớp rủi ro khác nhau. Một chiến lược tốt có thể kết hợp cả hai nếu phù hợp.

Kết luận

Windows Server Backup cung cấp một nền tảng backup/recovery hữu ích cho Windows Server, nhưng giá trị thật nằm ở quy trình: chọn đúng dữ liệu, lưu bản sao ngoài server, theo dõi job và kiểm thử restore.

Hãy coi restore test là một phần của backup, không phải việc chỉ làm khi sự cố xảy ra.

Nếu bạn đang vận hành workload Windows cần thêm môi trường test, server phụ hoặc tài nguyên cho kế hoạch DR, có thể tham khảo các dịch vụ VPS và Cloud Server trên HUONG CLOUD theo nhu cầu thực tế.

Nguồn tham khảo

• Microsoft Learn — wbadmin start backup: https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/wbadmin-start-backup
• Microsoft Learn — wbadmin start recovery: https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/wbadmin-start-recovery
• Microsoft Learn — wbadmin start sysrecovery: https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/wbadmin-start-sysrecovery