Belajar Veeam - Network & Ports

#Pendahuluan

Setelah hardening di episode 13, kita masuk ke detail paling operasional: jaringan. Veeam adalah sistem terdistribusi — server, proxy, repo, hypervisor, dan console saling bicara lewat berbagai port. Salah membuka firewall berarti backup gagal; terlalu terbuka berarti pintu untuk penyerang. Di episode 14 kita memetakan port-port penting dan aturan keamanannya.

Pendekatan yang benar: allow-list, bukan deny-list. Hanya port yang dibutuhkan yang dibuka, dan hanya antar host yang memang harus berkomunikasi.

#Port-Port Penting Veeam

#9392: Komunikasi Backup (Dapat Di-Custom)

Port 9392 (TCP) adalah default untuk komunikasi antara VBR server ↔ proxy ↔ repository dan agent. Angka ini selalu muncul di dokumentasi dan troubleshooting. Yang penting: bisa di-custom di Settings → Network. Jika jaringan kalian memakai port ini untuk hal lain, atau butuh isolasi, ganti dengan nilai lain — lalu pastikan konsisten di semua komponen.

Cek port komunikasi backup

Get-VBRServer | Select-Object Name,Port | Format-Table -AutoSize

#443/902: Hypervisor

443 (HTTPS) — koneksi API ke vCenter, Proxmox VE, Nutanix Prism, dan endpoint cloud.
902 (ESXi) — komunikasi hot-add/NBD proxy dengan host ESXi.

Jika proxy memakai HotAdd/NBD ke ESXi, pastikan 902 terbuka dari proxy ke host; jika SAN transport, tidak perlu (lewat storage network).

#445: SMB Repository

Share SMB (repository atau NAS) memakai 445 (TCP) dari VBR/proxy ke server file. Catatan dari episode 6: SMB umumnya lebih rentan ransomware — minimalisir penggunaannya untuk target backup yang bersifat immutable.

#Port Lain yang Sering Muncul

137/138/139 — legacy NetBIOS (hindari jika memungkinkan).
SSH (22) — untuk Linux repository dan agent (bisa custom).
SQL (1433) — jika VBR memakai SQL instance remote (episode 3).
Veeam ONE / console web — lihat episode 20 untuk port spesifik.

Note

Daftar di atas adalah subset — daftar lengkap port (termasuk untuk Enterprise Manager, Veeam Agent, cloud, tape) tersedia di helpcenter.veeam.com → System Requirements → Used Ports. Selalu buka hanya port yang benar-benar dipakai topologi kalian.

#Firewall & Segmentasi

#Aturan Allow-List

Buat aturan firewall eksplisit antar segmen:

Contoh matriks port

VBR Server ──▶ vCenter        : 443
VBR Server ──▶ Proxmox node   : 443
Proxy      ──▶ ESXi           : 902
Proxy      ──▶ Repository     : 9392 (atau custom)
VBR/Proxy  ──▶ SMB repo       : 445
Console    ──▶ VBR Server     : 135 / dynamic

Terapkan di Windows Defender Firewall (untuk server Windows) dan firewall network (untuk segmen).

#Segmentasi Jaringan

Jangan letakkan semua komponen Veeam di satu VLAN produksi. Desain yang disarankan:

Segmen manajemen backup — VBR, proxy kontrol, repo management.
Segmen storage backup — akses repo (Linux/object) terisolasi dari LAN produksi.
Segmen produksi — hypervisor dan workload (hanya port yang dibutuhkan yang menyeberang).

Pemisahan ini memperlambat lateral movement ransomware: bahkan jika produksi terinfeksi, jalur ke repo immutable terputus.

#Keamanan Akses

#Jangan Ekspos Veeam ke Internet

Aturan emas: Veeam (console, server, repo) tidak pernah boleh punya IP publik. Semua komponen adalah internal. Jika remote admin dibutuhkan:

Gunakan VPN (WireGuard/OpenVPN/IPsec) sebagai gerbang terenkripsi.
Gunakan jump host / bastion dengan MFA.
Batasi sumber IP yang boleh terhubung.

#Multifactor untuk Console

Aktifkan MFA untuk akun yang mengakses konsol VBR dan Enterprise Manager. Kredensial yang dicuri tanpa faktor kedua tidak berguna bagi penyerang. Veeam mendukung authenticator app dan smart card.

Hierarki akses aman

Internet ──X── Veeam (blokir!)
Admin ──▶ VPN ──▶ Jump host (MFA) ──▶ Console VBR (MFA)

Warning

Memaparkan console VBR ke internet "cuma untuk sesekali akses" adalah salah satu cara tercepat membuat infrastruktur backup hancur — attacker memindai port, mencoba credential, dan memanfaatkan akun lemah. Jika ada satu aturan yang wajib diingat dari episode ini: Veeam = internal-only + VPN.

#Verifikasi

Pastikan setelah episode ini:

Port 9392/custom, 443, 902, 445 terbuka hanya antar host yang dibutuhkan.
Matriks firewall terdokumentasi dan diterapkan.
VBR/proxy/repo tidak punya alamat IP publik.
VPN aktif untuk akses remote; console memakai MFA.

#Penutup

Inti yang harus dibawa pulang:

9392 (customizable) untuk komunikasi backup; 443 vCenter/Proxmox; 902 ESXi; 445 SMB.
Buka hanya port yang dipakai topologi — allow-list, bukan deny-list.
Segmentasi: manajemen backup, storage backup, dan produksi dipisah.
Jangan ekspos Veeam ke internet — gunakan VPN dan jump host.
MFA untuk console dan Enterprise Manager adalah wajib.

Di episode 15 selanjutnya kita akan membahas encryption & key management — enkripsi backup AES-256 per job untuk ransomware dan compliance, pengelolaan backup encryption key, serta audit berupa log, report, dan cyber event response. Data kalian akan terkunci aman!