Veeam Backup & Replication 13 : architecture et dimensionnement pour une PME

Périmètre et versions

Une installation Veeam de PME tient souvent sur un seul serveur qui cumule tous les rôles. C’est supportable, à condition de savoir ce que l’on concentre et ce qui se passe le jour où ce serveur tombe ou se fait chiffrer. Ce premier guide pose l’architecture ; les suivants traitent les dépôts immuables, la conception des tâches, la restauration et l’automatisation PowerShell.

Sur Windows, la mise à niveau vers 13.1 exige d’être en 12.3.1 (build 12.3.1.1139) ou plus récent sur un système d’exploitation supporté. Si votre objectif est de passer d’un serveur Windows à la Veeam Software Appliance, Veeam demande de ne pas monter en 13.1 : restez sur le dernier correctif 13.0 et contactez le support Veeam pour la migration.

Les composants et leur rôle

Veeam sépare le pilotage du transport des données. Le serveur de sauvegarde orchestre, les proxies lisent et compressent, les dépôts stockent. En version 13, chaque rôle peut tourner sur Windows ou sur Linux, et la Veeam Software Appliance livre le serveur de sauvegarde sur un Linux durci.

En mode VMware, le proxy choisit automatiquement le mode de transport dans l’ordre Direct storage access, puis Virtual appliance (HotAdd), puis Network. Veeam déconseille le mode Network sur un réseau 1 GbE et le juge adapté au 10 GbE. Pour une PME avec un cluster vSphere et un SAN iSCSI, un proxy virtuel en HotAdd par cluster est le point de départ le plus simple.

Dimensionner le serveur de sauvegarde

Les prérequis officiels de la version 13 sont identiques pour le processeur et la mémoire, que le serveur soit sous Windows ou sous forme d’appliance.

Exemple de calcul pour une PME de 40 VM sauvegardées en 4 tâches qui peuvent tourner en même temps : 16 Go + 4 × 0,5 Go = 18 Go de mémoire minimum, auxquels s’ajoutent les rôles cumulés (proxy, serveur de montage) si vous n’en déployez pas d’autres. Le catalogue invité représente environ 4 Go (10 Go par 100 VM). Ce sont des minima : prévoyez de la marge pour les restaurations instantanées, qui consomment le cache.

Base de configuration

La base de configuration est le cœur du serveur : sans elle, pas d’historique ni de paramètres. Le moteur par défaut a changé entre les versions.

• SQL Server 2025 Express est limité à 50 Go de base, les éditions Express antérieures à 10 Go.
• L’instance PostgreSQL doit utiliser l’encodage UTF-8 par défaut.
• Sur la Veeam Software Appliance, une base PostgreSQL distante sous Linux exige les paquets postgresql17 en version 17.6 ou plus.
• Le passage d’un moteur à l’autre (SQL Server vers PostgreSQL) n’est supporté qu’au sein d’une même version de Veeam Backup & Replication, via sauvegarde et restauration de configuration.

Pour une PME, gardez le PostgreSQL local fourni par le setup : il évite une licence SQL Server, un serveur de plus et la limite Express. L’analyseur Security & Compliance contrôle d’ailleurs que PostgreSQL est configuré avec les réglages recommandés.

Flux réseau et ports

En version 13, la console, la web UI et les clients REST parlent au serveur de sauvegarde sur le port 443. C’est un changement important par rapport à la 12.3, où la console utilisait les ports 9392 et 9420 et l’API REST le port 9419.

La matrice complète dépend des composants (hyperviseurs, agents, bandes, objet). Avant d’ouvrir un pare-feu, partez de la page Ports de votre version. Le script ci-dessous vérifie seulement que les ports principaux répondent depuis une machine de l’infrastructure ; il ne modifie aucune règle.

<#
.SYNOPSIS
    Read-only TCP reachability check for the main Veeam Backup & Replication 13
    ports, run from a machine of the backup infrastructure.

.DESCRIPTION
    Tests TCP connections with Test-NetConnection (-Port, -InformationLevel Quiet)
    and returns one row per target and port. Nothing is configured: no firewall
    rule is added or changed.

    The default checks are taken from the "Ports" page of the Veeam Backup &
    Replication 13 User Guide:
      - 443   console / web UI / REST client -> backup server
      - 6162  proxies, repositories, gateway and mount servers -> backup server
              (fallback range 2500-3300 is not scanned here)
      - 10443 web UI / Host Management -> backup server (Veeam Software Appliance only)
    Use -Check to supply your own list (for example after reading the ports
    matrix for your version and components).

.PARAMETER BackupServer
    Name or address of the backup server.

.PARAMETER Appliance
    Also test 10443 (Veeam Software Appliance deployments).

.PARAMETER Check
    Custom list of hashtables @{ ComputerName = '...'; Port = 0; Purpose = '...' }.
    When provided, the default checks are ignored.

.EXAMPLE
    .\Test-VBRPortReachability.ps1 -BackupServer vbr01.mgmt.local | Format-Table

.EXAMPLE
    .\Test-VBRPortReachability.ps1 -Check @(@{ ComputerName = 'repo01'; Port = 6162; Purpose = 'Data Mover' })

.NOTES
    Windows PowerShell 5.1 or PowerShell 7 on Windows (NetTCPIP module).
    A successful TCP test does not prove that the Veeam service behind the port
    is healthy; a failed one points to routing, DNS or firewall.
    Source: ANYSYS ICT, https://www.anysys.be/articles/
#>
[CmdletBinding(DefaultParameterSetName = 'Default')]
param(
    [Parameter(Mandatory, ParameterSetName = 'Default')]
    [string]$BackupServer,

    [Parameter(ParameterSetName = 'Default')]
    [switch]$Appliance,

    [Parameter(Mandatory, ParameterSetName = 'Custom')]
    [hashtable[]]$Check
)

$ErrorActionPreference = 'Stop'

if ($PSCmdlet.ParameterSetName -eq 'Default') {
    $Check = @(
        @{ ComputerName = $BackupServer; Port = 443; Purpose = 'Console / web UI / REST -> backup server' }
        @{ ComputerName = $BackupServer; Port = 6162; Purpose = 'Infrastructure components -> backup server (Data Mover)' }
    )
    if ($Appliance) {
        $Check += @{ ComputerName = $BackupServer; Port = 10443; Purpose = 'Web UI / Host Management (Veeam Software Appliance)' }
    }
}

foreach ($item in $Check) {
    $ok = Test-NetConnection -ComputerName $item.ComputerName -Port $item.Port -InformationLevel Quiet -WarningAction SilentlyContinue
    [pscustomobject]@{
        Source       = [System.Net.Dns]::GetHostName()
        ComputerName = $item.ComputerName
        Port         = $item.Port
        Purpose      = $item.Purpose
        TcpOpen      = [bool]$ok
        TestedAt     = Get-Date
    }
}

Isolation, comptes et domaine

La recommandation figure dans l’outil de Veeam lui-même : le contrôle « Backup server should not be a part of the production domain » de Security & Compliance Analyzer. Pour les grands environnements, Veeam recommande un domaine de gestion dans une forêt Active Directory séparée ; pour les petits et moyens, un groupe de travail suffit. Le contrôle n’est « Passed » que si le serveur n’est joint à aucun domaine.

Les bulletins de 2026 donnent un argument concret : CVE-2026-21666, CVE-2026-21667 et CVE-2026-44963 permettaient une exécution de code à distance sur le serveur de sauvegarde par un utilisateur de domaine authentifié (versions 12.3.2 antérieures aux builds correctifs). Veeam précise que CVE-2026-44963 ne touche aucun build 13.x. Un serveur hors domaine réduit cette classe de risque, quelle que soit la version.

Comptes à prévoir

• Administrateurs Veeam nominatifs avec MFA activée (contrôle « MFA for the backup console should be enabled »).
• Compte de service pour l’automatisation : la MFA n’est pas supportée pour PowerShell, il faut un compte dédié pour lequel la MFA est désactivée (voir le guide PowerShell).
• Comptes invités pour le traitement applicatif (AD, SQL, Exchange) : les comptes du domaine de production sont saisis dans le gestionnaire d’identifiants Veeam, le serveur n’a pas besoin d’être membre du domaine.
• Services Veeam sous Windows : l’analyseur attend qu’ils tournent sous le compte LocalSystem.
• Security Officer sur l’appliance et le dépôt durci : mot de passe de 15 caractères minimum, MFA configurée à la première connexion (sauf si elle a été désactivée à l’installation).

Pour la continuité du serveur lui-même, la version 13 propose un cluster haute disponibilité à deux nœuds basé sur l’appliance. Il exige la licence Veeam Data Platform Premium, interdit les dépôts locaux du serveur et ne se gère ni depuis la web UI ni depuis la console Host Management. Pour la plupart des PME, une sauvegarde de configuration chiffrée et testée reste la protection de base : voir le guide restauration.

Pièges fréquents

• Sauvegarder le serveur Veeam avec une tâche Veeam : la documentation le déconseille (gel de la VM au snapshot, déconnexion de la base). Utilisez la sauvegarde de configuration.
• Laisser la sauvegarde de configuration sur le serveur : l’analyseur exige qu’elle ne soit ni sur le serveur ni sur son dépôt par défaut.
• Système non supporté : les builds Insider de Windows ne sont pas supportés pour le serveur ni pour aucun composant.
• Monter en 13.1 en voulant migrer vers l’appliance : rester en 13.0 et passer par le support Veeam.
• Ports 12.3 dans les règles de pare-feu : après mise à niveau, la console passe sur 443 ; nettoyez les anciennes ouvertures après validation.
• Dépôt durci dans une VM : l’analyseur recommande une machine physique à stockage local (voir guide 2).

Vérification

1. 01

   Relevez le build installé : sur la console, menu principal, Help > About.

2. 02

   Lancez Security & Compliance Analyzer (onglet Home, bouton Security & Compliance). Dans la web UI, on ne peut que consulter les résultats ; l’analyse complète se fait depuis l’application de bureau.

3. 03

   Traitez chaque ligne « Not implemented » ou justifiez l’exclusion par écrit.

4. 04

   Exécutez Test-VBRPortReachability.ps1 depuis un proxy et depuis le dépôt, puis archivez le résultat.

5. 05

   Vérifiez que la sauvegarde de configuration part bien vers un dépôt distinct du serveur et qu’elle est chiffrée.

# Read-only: run from a proxy or repository server (Windows)
.\Test-VBRPortReachability.ps1 -BackupServer vbr01.mgmt.local | Format-Table -AutoSize

Sources

• Veeam KB4738 : Release Information for Veeam Backup & Replication 13 and Updates
• Veeam KB4696 : Release Information for Veeam Backup & Replication 12.3
• Veeam Product Lifecycle
• User Guide v13 : Backup Server (system requirements)
• User Guide v13 : Upgrading to Veeam Backup & Replication 13 on Windows
• User Guide v13 : Upgrade Checklist
• User Guide v13 : Ports
• User Guide 12 : Ports
• User Guide 12 : System Requirements
• User Guide v13 : VMware Backup Proxies
• User Guide v13 : Transport Modes
• User Guide v13 : Veeam Infrastructure Appliance, considerations
• User Guide v13 : Security & Compliance Analyzer
• User Guide v13 : High Availability cluster, limitations
• User Guide v13 : Configuration database
• Veeam KB4830 et KB4869 : vulnérabilités 12.3.2
• Microsoft Learn : Test-NetConnection