Backup Konzept

[phillow]

Hallo zusammen,

ich möchte mein Backup Konzept verbessern, um einen ziemlich guten Schutz meiner Daten zu erzielen.

Zu Hause habe ich 2 OMV Server stehen, die sich regelmäßig spiegeln, zusätzlich eine externe HDD für extrem wichtige Daten, die ich gelegentlich anstecke und die Daten aktualisiere.

Da meine Mutter jetzt in ihrem Server eine neue Platte braucht, dachte ich an eine größere und sichere meine Daten 3 x pro Woche zu ihr.
VPN zwischen unseren beiden Fritz Boxen ist per Wireguard bereits eingerichtet und funktioniert.

Jetzt meine Frage:
Ich würde meine Daten regelmäßig per rsync push zu ihr schieben.
Was passiert, wenn ich versehentlich meine Platte lösche. Dann werden doch automatisch beim nächsten rsync die Daten auch bei ihr gelöscht, oder?

Ich habe bei OMV rsync jetzt das gefunden:
Delete: Delete files on the receiving side that don't exist on sender.

Wenn ich das deaktiviere, müsste das doch genau meine gewünschte Funktion sein. Also wenn ich versehentlich zu Hause alles lösche, werden die Dateien bei meiner Mutter behalten und nicht gelöscht.

Sehe ich das richtig?

 

[StefanArbe]

ich habe mein nas per proxmox aufgebaut. und gesichert wird dann täglich per backup-job die VM. würde bei OMV vielleicht auch laufen. es ist einfach aufzusetzen.

versionierung beim backup macht schon sinn. dass du auch auf dateien von vor einem halben jahr zugreifen kannst.

 

[Nilson]

Was passiert, wenn ich versehentlich meine Platte lösche. Dann werden doch automatisch beim nächsten rsync die Daten auch bei ihr gelöscht, oder?

rsync hat einen dry-run mode:

-n, --dry-run
This makes rsync perform a trial run that doesn't make any changes (and produces mostly the same output as a real run). It is most commonly used in combination with the -v, --verbose and/or -i, --itemize-changes options to see what an rsync command is going to do before one actually runs it.

damit kannst du testen, was passieren würde, wenn du eine Datei löschst.

Ansonsten hört sich das für mich an, als würdest die

-a, --archive
This is equivalent to -rlptgoD. It is a quick way of saying you want recursion and want to preserve almost everything (with -H being a notable omission). The only exception to the above equivalence is when --files-from is specified, in which case -r is not implied.

oder

-b, --backup
With this option, preexisting destination files are renamed as each file is transferred or deleted. You can control where the backup file goes and what (if any) suffix gets appended using the --backup-dir and --suffix options.

Option suchen

https://linux.die.net/man/1/rsync

rsync ist aber kein klassisches Backupprogramm. Wenn du Versionierung, Komprimierung und inkrementelle Backups willst gibt es bessere Backups.

 

[phillow]

Danke schon mal für eure Antworten.

@Nilson:
Hast du eine bessere Empfehlung?
Rsync ist halt sehr fein einstellbar, also auf Ordnerebene.

Ich möchte nicht mein komplettes NAS sichern, sondern nur Daten, die nicht wieder beschafft werden können, Urlaubsvideos, private Fotos etc.

Auf meinem NAS habe ich nämlich auch viele Daten (Filme, Musik), bei denen mir ein Verlust egal ist, da ich sie wieder beschaffen könnte.

Und: das NAS meiner Mutter ist ein TS-119, meine 1 x HP Microsover Gen 8 mit OMV, einmal Selbstbau mit OMV.

Ich brauche also eine Lösung, die zwischen den NAS kompatibel ist.

 

[Stype]

Ich schiebe meine Daten derzeit mit Syncthing durch die Gegend.
Das hat verschiedene Modi (Senden, Empfangen, Beides) und unterstützt Versionierung von Dateien bei Änderung und Löschung.

Ist kein klassiches Backup tool, sondern eher onPrem Cloudspeicher Ansatz.

 

[Lenny88]

Ich nutze Syncthing für die Synchronisierung.
Für Backups nutze ich Duplicacy (nicht Duplicati!) - das bietet verschlüsselte Backups mit Versionierung und funktioniert im Gegensatz zu Duplicati bei mir problemlos.

 

[phillow]

Guten Abend zusammen,

ich feile immer noch an meinem Backup Konzept.

Aktueller Stand:
Ich platziere meinen zweiten Server (HP Gen8) bei meiner Mutter, und fahre darauf das Backup.

Jetzt hat sich allerdings mein Stiefvater die Tage einen Trojaner eingefangen, er klickt gerne alles und jeden Link an.

Frage:
Der HP Gen8 hat vier Slots. Meiner Mutter würde ich Slot 1 geben, mir Slot 2.
Sollte Slot 1 durch einen Trojaner verschlüsselt, beschädigt oder sonst irgendetwas werden, besteht Gefahr für Slot 2? Die beiden sind sonst nicht verbunden, nicht gespiegelt oder sonstiges.

Frage 2:
Stelle ich einen weiteren Server bei meiner Mutter nur und ausschließlich für meine Daten auf, besteht im Falle eines Befalls ihres Servers irgendeine Gefahr für den zweiten Server, da gleiches Netzwerk?

 

[gymfan]

Nur mal so als ziemlicher Netzwerk-Laie:

Der HP Gen8 hat vier Slots. Meiner Mutter würde ich Slot 1 geben, mir Slot 2.
Sollte Slot 1 durch einen Trojaner verschlüsselt, beschädigt oder sonst irgendetwas werden, besteht Gefahr für Slot 2? Die beiden sind sonst nicht verbunden, nicht gespiegelt oder sonstiges.

Da auf dem HP nur ein OS läuft (OMV), kann jeder Trojaner in der Theorie auch das Basissystem befallen und damit den gesamten Server verschlüsseln. OMV wird wohl über irgendeinen User/PW mit Admin-Rechten verfügen müssen. Das PW kann der Trojaner erraten, u.U. abfangen oder durch einen Bug in OMV sonstwie OMV übernehmen.

Erwartest Du das nicht, sollte es aus Datensicht (ohne Betrachtung eines HW-Ausfalls) völlig egal sein, ob Du die Freigaben streng nach HW (Slot 1 und 2) aufteilst oder nur logisch.

Stelle ich einen weiteren Server bei meiner Mutter nur und ausschließlich für meine Daten auf, besteht im Falle eines Befalls ihres Servers irgendeine Gefahr für den zweiten Server, da gleiches Netzwerk?

Wie soll das ganze Netzwerkmäßig aufgeteilt werden? Eigene Subnetze, von denen (per Switch/Router, oder wie auch immer, wie gesagt, ich bin da relativer Laie) das eine Subnetz nur über das VPN von außen und das andere nur von "innen" zu erreichen ist? Dann wären beide Netze getrennt und so lange Du nicht damit rechnest, dass der Trojaner den Switch/Router übernehmen oder umkonfigurieren kann, dürfte "Dein" NAS auch nicht von innen erreichbar sein.

Bevor Du auf die Idee kommst, zwei OMV-Instanzen per VMs auf dem HP zu trennen: auch da ist theoretisch die Übernahme des Server-OS durch einen Trojaner denkbar, wenn dieses ebenfalls aus dem (selben) Netzwerk erreichbar ist. In der Theorie sogar auch ohne die Erreichbarkeit aus dem Heimnetz, wenn es dem Trojaner gelingt, die OMV-Instanz Deiner Mutter zu übernehmen und darüber aus der VM auszubrechen. Für mich ist das zwar extrem unwahrscheinlich, aber es hatten (im Gegensatz zu mir) bei Spectre/Meltdown und co auch millionen von Privatnutzern im Heimbereich panische Angst, dass ihnen jemand mit Wochenlangen JS-Scripten PWs aus dem Ram auslesen würde.

 

[phillow]

Danke dir für deine Antwort. Punkt eins leuchtet mir ein, habe ich nicht weit genug gedacht. Bei einem Befall von OMV wäre natürlich alles betroffen was in entsprechendem Server an Platten hängt.

Punkt 2:
Folgende Situation: Bei meiner Mutter steht ein Windows Rechner, verbunden mit einer FritzBox. Daneben ein Qnap NAS ebenfalls verbunden mit der FritzBox. Darauf wird einmal in der Woche das Backup vom Rechner gefahren.
Ich plane jetzt, in dieses Netzwerk, also an dieselbe FritzBox, meinen HP Server zu hängen und auf diesen per VPN meine Backups zu fahren, um ein räumlich getrenntes Backup zu haben.

Wie groß ist jetzt die Wahrscheinlichkeit, dass falls der Windows Rechner mit einem Trojaner befallen wird, das Auswirkungen auf meinen HP Server hat?
HP Server und Qnap Server haben bis auf die Tatsache, dass sie beide an derselben FritzBox hängen, keine Verbindung untereinander. Damit meine ich, es werden keine Dateien zwischen den beiden Servern kopiert.

Ich weiß, alles Spekulation, ich würde mich jedoch über eure Einschätzungen freuen.

 

[gymfan]

HP Server und Qnap Server haben bis auf die Tatsache, dass sie beide an derselben FritzBox hängen, keine Verbindung untereinander.

So lange Du Dich mit dem VPN der FritzBox in das Netzwerk Deiner Mutter einloggst und dann dort auf Dein NAS zugreifst, muss es eine Netzwerkverbindung zwischen den Heimnetz und Deinem NAS geben.

Selbst, wenn der HP Server nicht im Netzwerk sichtbar ist (keine Antwort auf PING), kann ein Trojaner blind alle möglichen IP-Adressen und Ports scannen und landet dann sowohl auf der Login-Seite des HP wie auch auf den Freigaben. Auf beides hat er zwar keinen Zugriff, ist davon aber nur einen Bug in OMV entfernt. Hoffentlich zwingt Dich OMV für administrative Zwecke auf eine HTTPS Seite, sonst könnte der Trojaner mit HTTP u.U. sogar die Login-Daten im Klartext abfangen.

Da Du sicherlich SMB V3 mit Verschlüsselung oder sonst ein verschlüsseltes Protokoll zur Datenübertragung nutzen wirst (und nicht ein veraltetes SMB v1 oder FTP) kann der Trojaner nach aktuellem Wissenstand weder Dein PW noch die Daten abfangen/manipulieren.

Gibt es aber eine 0-Day Lücke in OMV (oder eine von Dir noch nicht gepatchte, bekannte Lücke in OMV), kann der Trojaner u.U. machen, was er möchte. Das wäre dann z.B. ein Nachfolger von sowas (OMV before 5.5.12):
https://www.cvedetails.com/cve/CVE-2020-26124/
"Successful exploitation allows arbitrary command execution on the underlying operating system as root. "

Im Gegensatz zum Zugriff auf die Shares durch den Trojaner nützt es Dir hier auch nichts, wenn Du auf dem HP Server interne inkrementelle Bachups/Snapshots hättest oder die Shares verschlüsselt sind. Einfach ein "cat /dev/random > /sdb" als root ausgeführt und die Daten inkl. Backups sind weg.

Ich weiß, alles Spekulation, ich würde mich jedoch über eure Einschätzungen freuen.

Es sind alles nur Spekulationen, deren Wahrscheinlichkeit Du für Dich abschätzen musst. Wie wahrscheinlich ist es überhaupt, dass es eine Zero-Day Lücke in OMV gibt, welche der Trojaner ausnutzt um dann die Daten auf OMV zu verschlüsseln/zu löschen.

Alternativen, die mir dazu einfallen:
- Du könntest auf der FB ein Port-Forwarding auf einen zusätzlichen RaspPi einrichten, dort ein eigenes Wireguard laufen lassen, welcher Dich einzig auf den HP-Server weiter leiten kann, der an einem zweiten Netzwerkport des RaspPi hängt. Das ganze noch mit einer Firewall auf dem RaspPi, welche nur den einen Port von der FB aus zulässt. Dann müsste schon extrem viel zusammen kommen, damit der Trojaner zum HP Server eine Verbindung aufbauen kann.

- U.U. kann man auch das VPN auf der FB so konfigurieren, dass es Dir immer eine feste interne IP-Adresse zuteilt. Dann noch die Firewall auf dem HP-Server so konfigurieren (falls OVM sowas kann), dass nur diese IP auf OVM zugreifen kann.

Oder, falls nur Du aus dem Internet auf das Netz Deiner Mutter zugreifen musst/willst und dies einzig auf den HP-Server (kein Remote-Support):
- U.U. kann man das VPN auf der FB auch so konfigurieren, dass man damit nur Zugang zum Gastnetz der FB erhält. Dann könntest Du auch den HP Server ins Gastnetz hängen (im dem aktuell hoffentlich noch keine IoT Geräte sind) und wärst damit mittels FB komplett vom Heimnetz getrennt, so lange die FB keinen Bug hat.