광고
개요
Veeam Backup & Replication 13에서는 원격 서버를 Veeam 인프라에 추가할 때 계정과 비밀번호만 사용하는 방식 외에 Veeam Deployment Kit을 이용한 인증서 기반 인증을 사용할 수 있습니다.
Deployment Kit을 대상 서버에 미리 설치하면 Veeam Backup & Replication이 사용자 이름과 비밀번호를 전달하는 대신 인증서를 이용해 서버를 식별합니다. Kerberos를 사용할 수 없는 환경이나 자격 증명 노출을 줄이고 싶은 환경에서 특히 유용합니다.
이 글은 Veeam Backup & Replication 13.1.1.18 기준입니다. Deployment Kit은 단순 설치 패키지가 아니라 Veeam Installer/Deployer 구성 요소와 인증서를 함께 배포해 이후 관리 통신을 인증서 기반으로 전환하는 방식입니다.
Deployment Kit을 사용하는 경우
대표적인 사용 목적은 다음과 같습니다.
Kerberos를 사용할 수 없거나 비활성화한 환경
원격 Windows 서버를 계정/비밀번호 대신 인증서로 추가하려는 경우
Veeam Agent 컴퓨터를 Protection Group에 인증서 방식으로 등록하는 경우
보호 대상 Windows VM에서 Persistent Agent Component를 사용하려는 경우
자격 증명 사용 범위를 줄이고 인증서 기반 운영을 적용하려는 경우
Veeam Infrastructure Appliance에서 배포된 구성 요소에는 필요한 Deployment Kit 구성 요소가 미리 포함됩니다. 이 경우 별도 설치보다 Backup Server와 Pairing하는 흐름을 사용합니다.
인증서는 어떻게 동작할까
Deployment Kit을 생성하면 초기 연결에 사용할 임시 인증서가 포함됩니다.
기본 임시 인증서 유효기간은 30일(720시간)입니다. 대상 서버와 최초 연결이 성공하면 Veeam Backup & Replication이 장기 사용 인증서로 자동 교체하고, 이후 연결부터는 해당 인증서를 사용합니다.
새 Deployment Kit을 다시 생성하더라도 이미 발급된 기존 임시 인증서가 즉시 폐기되는 것은 아닙니다. 각 Kit의 임시 인증서는 자체 만료 시점까지 유효하므로, 보안상 불필요한 Kit 파일은 공유 폴더 등에 장기간 남겨두지 않는 편이 좋습니다.
Deployment Kit 생성
Veeam Backup & Replication 콘솔에서 다음 위치로 이동합니다.
Backup Infrastructure
→ Managed Servers
→ Create Veeam deployment kit환경에 따라 Inventory 또는 Protection Group 화면에서도 Deployment Kit 생성 메뉴를 사용할 수 있습니다.
생성된 폴더에는 플랫폼별 설치 파일과 인증서, 설치 스크립트가 포함됩니다. Windows 대상에서는 InstallDeploymentKit.BAT, Linux Agent 대상에서는 install-deployment-kit.sh를 이용한 자동 설치도 가능합니다.
이번 글에서는 내부 보안망이나 자동 스크립트를 사용할 수 없는 상황을 가정해 수동 설치 절차를 중심으로 정리합니다.
Windows 서버에 수동 설치
1. Windows 하위 폴더 전체 복사
생성한 Deployment Kit의 Windows용 파일을 대상 서버의 임시 경로로 복사합니다.
예:
C:\Temp\VeeamDeploymentKit인증서 파일만 따로 복사하지 말고, 해당 Kit에 포함된 패키지와 인증서를 한 세트로 관리하는 편이 안전합니다.
2. OpenSSL과 Veeam Installer Service 설치
Deployment Kit에 포함된 Windows용 OpenSSL 패키지와 Veeam Installer Service 패키지를 설치합니다.
Veeam Installer Service는 원격 구성 요소 배포와 관리에 사용되며 기본적으로 TCP 6160을 사용합니다.
3. 서버 인증서 등록
Deployment Kit에 포함된 서버 인증서와 개인키 경로를 지정해 등록합니다.
C:\Windows\Veeam\Backup\VeeamDeploymentSvc.exe --install-server-certificate C:\Temp\VeeamDeploymentKit\server-cert.pem --key C:\Temp\VeeamDeploymentKit\server-key.pem실제 파일명과 경로는 생성된 Kit의 내용을 기준으로 지정해야 합니다.
광고
4. 클라이언트 인증서 등록
Backup Server 측 인증에 사용될 인증서를 등록합니다.
C:\Windows\Veeam\Backup\VeeamDeploymentSvc.exe --install-certificate C:\Temp\VeeamDeploymentKit\client-cert.pem5. Veeam Installer Service 재시작
인증서를 반영하기 위해 서비스를 재시작합니다.
net stop VeeamDeploySvc
net start VeeamDeploySvcPowerShell을 사용한다면 다음처럼 확인할 수도 있습니다.
Get-Service VeeamDeploySvc6. Veeam에서 인증서 방식으로 추가
Veeam 콘솔에서 대상 서버를 추가할 때 다음 옵션을 선택합니다.
Connect using certificate-based authentication정상적으로 Deployment Kit이 설치되어 있다면 사용자 이름과 비밀번호 대신 인증서로 연결합니다.
Windows에서는 BAT 자동 설치도 가능
수동 설치가 꼭 필요한 상황이 아니라면 Veeam에서 제공하는 스크립트를 사용하는 편이 단순합니다.
관리자 권한 명령 프롬프트에서 Kit 폴더로 이동한 뒤 다음 파일을 실행합니다.
InstallDeploymentKit.BAT수동 설치는 패키지 배포를 별도로 통제해야 하거나 각 단계를 확인해야 하는 환경에서 사용하는 편이 좋습니다.
Linux Veeam Agent에 수동 설치
Linux Agent 컴퓨터도 Deployment Kit을 이용할 수 있습니다.
1. Linux용 Kit 파일 복사
Deployment Kit의 Linux 하위 폴더를 대상 서버로 복사합니다.
2. Veeam Deployer Service와 OpenSSL 설치
Kit에 포함된 배포 패키지를 현재 Linux 배포판의 패키지 관리자에 맞게 설치합니다.
패키지명과 설치 명령은 배포판에 따라 달라질 수 있으므로 생성된 Kit의 readme.txt와 현재 Veeam Agent 버전의 가이드를 우선 확인합니다.
3. 서버 인증서 등록
Linux에서는 Veeam Deployment Service 실행 파일을 이용합니다.
/opt/veeam/deployment/veeamdeploymentsvc --install-server-certificate /path/to/server-cert.p124. 클라이언트 인증서 등록
/opt/veeam/deployment/veeamdeploymentsvc --install-certificate /path/to/client-cert.pem5. 서비스 재시작
/opt/veeam/deployment/veeamdeploymentsvc --restart그 다음 Veeam의 Protection Group에서 해당 컴퓨터를 certificate-based authentication으로 연결합니다.
Linux 자동 설치 스크립트
Linux용 Kit에는 자동 설치에 사용할 수 있는 스크립트도 제공됩니다.
./install-deployment-kit.sh운영 환경에서는 실행 전에 파일 권한과 스크립트 내용을 확인하고, 지원되는 OS/Agent 조합인지 먼저 확인하는 것이 좋습니다.
방화벽에서 확인할 포트
Deployment Kit 자체의 핵심 관리 통신은 Veeam Installer/Deployer Service와 연결되는 TCP 6160입니다.
다만 서버 역할이 Proxy, Repository, Agent 등으로 추가된 뒤에는 실제 데이터 전송을 위해 다른 포트가 추가로 필요합니다.
용도 | 대표 포트 | 비고 |
Installer / Deployer Service | TCP 6160 | 구성 요소 배포 및 관리 |
Data Mover / Transport | TCP 6162 | 기본 데이터 전송 채널 |
Data Transfer Fallback | TCP 2500-3300 | 6162를 사용할 수 없을 때 또는 기능별 전송 |
기존 Windows 원격 배포 | TCP 445, 137, 139 | Deployment Kit 사용 시 일부 관리 시나리오에서 불필요. 137/139는 레거시 NetBIOS 포트 |
Deployment Kit을 사용한다고 해서 Veeam 인프라의 모든 통신이 6160 하나로 끝나는 것은 아닙니다. Proxy, Repository, Guest Processing, Agent 데이터 전송에 필요한 포트는 각 역할별 Ports 문서를 별도로 확인해야 합니다.
적용 범위에서 주의할 점
Deployment Kit은 모든 Linux 서버를 SSH 없이 등록하는 범용 대체 수단은 아닙니다.
Veeam 문서 기준으로 Veeam Infrastructure Appliance ISO를 통해 배포되지 않은 일반 원격 Linux Managed Server를 추가하는 경우에는 Deployment Kit만으로 연결할 수 없으며 SSH 자격 증명이 필요합니다.
즉 다음 두 상황을 구분해야 합니다.
Veeam Agent 컴퓨터에 Deployment Kit 적용 → 지원
일반 Linux Managed Server를 SSH 없이 무조건 추가 → 지원되지 않는 시나리오가 있음
또한 플랫폼과 역할마다 Deployment Kit 지원 여부가 다르기 때문에, 기존 SSH/SMB 포트를 모두 닫기 전에 실제 구성 요소 역할을 먼저 확인해야 합니다.
설치 후 확인
Windows:
Get-Service VeeamDeploySvcLinux:
ps -ef | grep -i veeamdeployment네트워크 확인이 필요하면 Backup Server에서 대상 서버의 6160 포트가 열리는지도 확인합니다.
Windows PowerShell:
Test-NetConnection <target-server> -Port 6160Linux:
nc -zv <target-server> 6160마지막으로 Veeam 콘솔에서 인증서 기반으로 서버를 추가하고 Rescan까지 정상적으로 완료되는지 확인합니다.
운영 환경에서 추가로 볼 부분
Deployment Kit 파일은 인증서와 키를 포함하므로 일반 설치파일처럼 공개 공유 폴더에 보관하지 않습니다.
임시 인증서 만료 전에 최초 Pairing을 완료합니다.
새 Kit을 만들었다고 기존 Kit 인증서가 즉시 폐기되는 것은 아니라는 점을 기억합니다.
서버 역할별 추가 포트를 따로 확인합니다.
대상 서버 시간 오차가 크지 않은지 NTP 동기화를 확인합니다.
Veeam Agent/Server 버전이 Backup Server와 호환되는지 확인합니다.
Linux 서버는 Deployment Kit 적용 범위를 확인하고, 필요한 경우 SSH 방식으로 추가합니다.
정리
Veeam Deployment Kit의 핵심은 비밀번호 기반 원격 관리 대신 인증서 기반으로 Veeam 구성 요소를 연결하는 것입니다.
Windows 서버에서는 OpenSSL과 Veeam Installer Service를 설치한 뒤 서버/클라이언트 인증서를 등록하고 VeeamDeploySvc를 재시작하면 됩니다. Linux Agent에서도 동일한 개념으로 Veeam Deployment Service에 인증서를 등록합니다.
특히 Veeam 13에서는 Linux 기반 Backup Server 사용이 늘어나면서 NTLM에 의존하지 않는 인증 방식의 중요성이 더 커졌습니다. Kerberos를 사용할 수 없는 환경이라면 Deployment Kit을 사전에 배포해두는 방식이 실무에서 꽤 유용합니다.
다만 Deployment Kit이 모든 원격 Linux 관리 연결을 대체하는 것은 아니므로, 대상 역할 → 지원되는 인증 방식 → 필요한 포트 순서로 확인하고 적용하는 것이 안전합니다.
공식 참고자료
광고
