PC exklusiv für Sicherungen

[Titus Bunge]

Hallo Miteinander,
ich möchte für unser kleines Firmennetzwerk einen Slim-PC exklusiv für die Tagessicherung im lokalen Netzwerk einrichten. Timer-gesteuert über Stromanschluss
Am liebsten mit Robocopy (finde ich ein super Programm, dafür habe ich auch schon die Parameter, die ich brauche), Betriebssystem Win7 oder Win10 letzlich egal. Ohne Internetverbindung, d.h. ohne Windows-Updates (wofür dann auch?), ohne RDP. Nur Zugang zum lokalen Netzwerk zum runterziehen der Daten. Netzwerk-Zugang zu diesem PC soll gesperrt sein. Diese Lösung scheint mir die sicherste zu sein.
(Wie) ist das möglich?
Für eine Lösung danke im Voraus.

 

[madmax2010]

Nimm etwas von einem Systemhaus mit Wartungsvertrag über die geplante Nutzungszeit.

Windows 7 -> Nein. Alleine schon weil du nicht wissen kannst ob nicht doch jemand auf die Idee kommt ihn mal ins Netz zu hängen. Auch kann robocopy da ggf. Schadsoftware aufspielen.
Robocopy ist Nett, erfüllt aber nur wenige Anforderungen an Backups.
Versionierung beispielsweise.

 

[Rickmer]

Für ordentliche Backups sollte zumindest eine Versionierung vorhanden sein und wenn du damit einen Notfall-Restore von Geräten statt nur Dateien machen kannst ist noch besser.

Außerdem solltest du die 3-2-1-1-0 Regel befolgen.
Oder zumindest die vereinfachte 3-2-1 Regel.

ohne Windows-Updates (wofür dann auch?)

Wenn ein anderer PC infiziert wird und das Virus sich über eine Lücke in z.B. dem SMB-Protokoll verbreitet ist dein Sicherungs-PC auch tot

 

[Titus Bunge]

Danke für die schnelle Antwort, war mir nicht bekannt mit SMB. Also doch Win10 mit Updates.
Versionierung machen wir schon zusätzlich auf eine Synology Disk Station.
Auf den neuen PC (der in einem Nebengebäude steht) soll eine tägliche Mirror-Sicherung (im 2-Tagesrhythmus auf ein anderes Ziel-Verzeichnis, nur Benutzerdaten). Nach wie vor gern mit Robocopy. Was ich noch nicht verstehe: Robocopy kann evtl. Schadsoftware kopieren, aber die wird ja nicht gestartet, weil niemand an dem PC arbeiten wird, oder?

 

[madmax2010]

spätestens der windows defender wird die dateien lesen und verarbeiten.
Das ist aber nur ein Beispiel.
Der dateimanager erstellt vorschaubilder und liest sie dazu..
usw.

 

[Titus Bunge]

ok ok, ich habs verstanden. An was man alles denken muss...
Danke für die Hilfe.

 

[t-6]

Du redest von einem Synology NAS, dann aber Tagessicherungen per Robocopy..

Was genau soll denn jetzt überhaupt gesichert werden? Die Daten auf dem Synology NAS? Die Daten auf den PCs? Gibt es evtl. noch irgendeinen Server dessen Daten auch gesichert werden sollten? Alles drei?

 

[Titus Bunge]

Hallo,
gesichert werden sollen nur die Daten auf dem Server (3 Partitionen). Versions-Sicherungen per Robocopy (Ordner bekommen Datumsstempel) auf die Synology NAS (im Nebenraum; auf dem NAS ist nichts anderes drauf). Die kompletten Partitionen werden auf dem fernen PC auch per Robocopy gesichert

• kumulativ 2-wöchentlich
• als Mirror täglich im 2-Tagesrhythmus abwechselnd in verschiedene Ordner

Letzteres dachte ich mir, falls ein Verschlüsselungs-Trojaner auf dem Server schon aktiv war, und eine Sicherung schon überschrieben wurde, bleibt noch 1 Tag für die 2. Spiegel-Sicherung.
Gibt es noch Verbesserungsvorschläge?

 

[t-6]

Würde ich gar nicht mit Robocopy machen sondern mit einer Kombination aus regelmäßigen Volumenschattenkopien ("Vorgängerversionen") & einer imagebasierten Backupsoftware. Bspw. Veeam Agent wenn es sich um einen blech-installierten Server handelt (warum auch immer) bzw. Veeam Backup & Replication wenn es ein virtualisierter Server ist. Reden wir auch wirklich von Windows Server?

Imagebasiert damit man den Server in Gänze hat und nicht nur die Daten. Zwar schön dass man dann die Daten hat, aber wenn der Server wegbrennt, spart man sich enorm Aufwand wenn man gleich "alles" wiederherstellen kann und nicht nur die Daten. Installierte Programme, Einstellungen etc. frisst ungemein Zeit.
Natürlich kann man auch bei Bedarf einzelne Dateien wiederherstellen.
Das sind dann natürlich auch versionierte Sicherungen.

Anschließend regelmäßig auf ein dediziertes NAS (bzw. PC) schicken. An diesem Gerät dann rotierende/regelmäßig wechselnde HDDs anschließen & den Backupinhalt rüberkopieren. Oder per Tape/RDX.
Optional noch ein oder mehrere Offsite-Backups. Die Wechsel-HDDs müssen aber bleiben. Du willst mindestens immer einen Backupsatz haben der offline ist.

Wäre jetzt mal so eine Strategie.

Oder auch anders ausgedrückt: Robocopy ist zwar nett, aber im Hinblick auf Backups typische KMU-Teilzeit-Admin-Fitzelscheiße wo fast schon wieder zu feingranular und sehr speziell gedacht wird & dann das KISS-Prinzip komplett vergessen wird. Und noch nie habe ich gesehen, dass jemand es geschafft hat einen Robocopy-Backupjob auf ein NAS vernünftig abzusichern. Das Repo war immer durch mindestens einen Fleisch-Benutzer beschreibbar. Ist eben auch schwierig einen Robocopy-Job im Kontext eines anderen Nutzers (Servicekonto) laufen zu lassen der die einzigen Schreibrechte hat.
Hier mal ein Ördnerchen das an zwei Tagen gesichert werden soll, da ein zweiter Mirror wo ein paar Versionen hinsollen... Arschlecken.
Sicher einfach alles weg und zwar so oft wie nötig und auf so vielen Medien wie erträglich. Mindestens täglich mindestens ein mal, und Vorgängerversionen einschalten damit man noch mehr Versionen hat.

 

[Titus Bunge]

Hallo,
auch wenn Deine Ausdrucksweise etwas "kräftig" für meinen Geschmack ist, danke ich Dir als "KMU-Teilzeit-Admin-Fitzelscheißer" für Deine wertvollen Infos.
Volumenschattenkopien wäre dann erst mal die nächste Aktion für mich. Aus Zeitgründen geht das bei mir nur Schritt für Schritt - habe noch viele ganz andere Aufgaben...
Übrigens unser System: Windows Server 2019.

 

[nosti]

Nabend,
ich würde ebenso zu Veeam greifen. Da hast du gleich die Absicherung für den Desaster Recovery Fall. Kopieren auf Dateiebene ist nur ein schlechter Kompromiss und hilft im Worst Case nicht viel. Das hat @t-6 aber alles schon geschrieben. Zumal solche Custom Scripte auch immer wieder mal angepasst werden müssen. Wer übernimmt das, wenn du nicht verfügbar bist?

Grüße

 

[Art Vandelay]

+1 für Veeam Agent for Windows free
Und das obwohl ich großer Freund von robocopy bin, aber das Thema mit versionierten & ggf. auch verschlüsselten Backups macht es mit einer Software, die extra dafür da ist am Ende doch einfacher wie per Kommandozeilen Tool.