Backup NAS bei Eltern - Empfehlungen (Hardware + Backup Software)?

[x.treme]

Hallo zusammen,

ich möchte die Daten von meinem Synology NAS bei meinem Eltern sichern, um diese auf einem weiteren Standort gesichert zu haben.

Anforderungen:

• 1-2 HDD 3.5 Slots
• Energiesparend
• Backup verschlüsselt

Via FritzBox könnte ich die Netzwerke miteinander verbinden, bevorzugt hat das NAS aber seinen eigenen (Wireguard) VPN Client.

DSL-Anschluss ist leider nicht der schnellste (10k), aber es ist ja eh vorrangig der Download und nicht Upload relevant.

Was könnt ihr da empfehlen, und mit welcher Software würdet ihr das verschlüsselte Backup umsetzen?

 

[cyberpirate]

Moin,

also ein Backup würde ich immer offline und extern haben wollen. Fängst Du Dir im Netzwerk was ein ist womöglich alles weg. Da würde ich mir besser 2 HDD kaufen und diese dann synchronisieren und an 2 verschd. Standorten aufbewahren.

MfG

 

[tifa]

Ein NUC oder rPI und alles per rsync

 

[H3llF15H]

Mit dem Beitrag von @cyberpirate ist alles gesagt.

Die Verschlüsselung erfolgt dann via BitLocker.

 

[conf_t]

Grundsätzlihch muss ich @cyberpirate Recht geben, es gibt aber "ein Aber":

Wenn man es richtig anstellt geht das auch relativ sicher umzusetzen

1. Pull (ziehen) statt Push (Drücken) Backups machen. Synology bietet für alle x86 NAS der letzten Jahre das Active Backup for Business an, das Pullbackups kann. Dabei wird mit einem eigenen User (der am Quell-NAS angelegt wird) vom Ziel-NAS auf das Quell-NAS zugegriffen (Entgegen der Transferrichtung, deshalb "Pull") und die Daten rübergeladen. Das immer aktive Quell-NAS braucht dafür keinen Zugriff auf das Ziel NAS zu haben und auch keine Anmeldedaten hinterlegt zu haben. Ein Pushbackup (z.B. Hyperbackup) kennt die Credentials des Ziel-NAS und bietet so gegen Angriffe keine Sicherheit und es greift was Cyberpirate schrieb. Wichtig ist dabei natürlich auch, soviele Dienste wie möglich am Ziel-NAS abzuschalten und die Benutzerdaten nirgends zu hinterlegen und sie dürfen sich nicht doppeln, Schadsoftware kann auch (entschlüsselte) Passwordsafes auslesen.
2. Das Backup NAS nur zum Backup einschalten (was aus ist kann nicht angegriffen werden).
3. Keines der NAS von außen (aus dem Internet) direkt erreichbar machen, wenn von unterwegs drauf zugegriffen werden muss, dann per VPN.

 

[fgordon]

Naja für Backup.Verschlüsselung würde ich aber nie auf eine closed source Lösung setzen - rein aus Prinzip.

 

[conf_t]

Da wäre ich nicht so dogmatisch, weil jeder annimmt, bei Open Source, würde schon irgendwer ein Audit machen. Und wenn sich jeder auf jeden verlässt, ist man verlassen......

 

[fgordon]

Naja wie hoch ist die Wahrscheinlichkeit dass z.B. ZIP und PGP auf keiner einzigen Plattform mehr verfügbar sein werden?

Bitlocker ist zwingend an ein funktionierendes MS Windows gebunden. An ein einziges Betriebssystem eines einzigen Herstellers - das ist wie Gas und Sonnenblumenöl nur aus Russland/Ukraine beziehen xD Dazulernen aus Fehlern ist das neue Dogma.

Wenn Du Bitlocker nicht selber entwicklst musst Du Dich da sogar auf einen einzigen(!) Anbieter verlassen.

 

[x.treme]

Offline-Backup ist keine Lösung, da wäre die Frequenz der Sicherung viel zu gering.

Risiko minimieren durch Deaktivierung aller nicht benötigten Service, NAS nur per Zeitplan für Backup aktivieren, nur Pull-Backup sowie Aktivierung der Snapshot-Funktionalität auf Filesystem-Level wäre die Idee.

Das nervige: Pull + Verschlüsselung bedeutet dann, dass das NAS verschlüsselt werden muss.
Und NAS Verschlüsseln (mit automatischen Unlock beim Aufwachsen aus dem Energiesparmodus) + Zeitplan geht weder bei QNAP noch Snyology.

 

[nc-daywalker]

Hyper Backup​

und

Hyper Backup Vault​

 

[fgordon]

Du könntest doch lokal ganz oft backuppen z.B. mit syncthing oder ähnlichem sogar sekündlich stündlich, täglich. So oft brennen doch Häuser auch nicht nieder oder werden ausgeräumt. Und dann halt alle 2-4 Wochen ein "Remote Backup".

 

[Z!mTst3rN]

Ich nutze dafür zwei Synologies mit Hyper Backup. Bietet auch Verschlüsselung.

 

[Pete11]

In der Zeitschrift c´t wurden vor ca. 2 Jahren unter dem Titel "Emotet-sicheres Backup" einige Überlegungen vorgestellt, die es wert sind, gelesen zu werden. Siehe hier, ist aber eventuell kostenpflichtig.

 

[conf_t]

Hyper Backup​

und

Hyper Backup Vault​

Ich nutze dafür zwei Synologies mit Hyper Backup. Bietet auch Verschlüsselung.

Nein, weil das vom Typ her ein Pushbackup und das nicht sicher ist, weil der Quelle die Zugangsdaten zum Ziel-NAS bekannt sind. Da kommt dann sowas wie Emotet und verschlüsselt dir deine Backups.....
Da greift wieder was @cyberpirate sagt.

 

[NJay]

Man kann zusätzlich auch noch Snapshots auf dem Zielsysten nutzen. Wenn sein Server infiziert wurde und der Nutzer auf dem Backup NAS nur rechte zum Schreiben in dem speziellen Ordner hat, kann er die snapshots auf dem System nicht löschen, also sind die Daten noch da.

Ich finde es erschreckend wie hier so zu offline Backups geraten wird. Ja das ist eine gute zusätzliche Idee, aber erstmal braucht man automatische Backups, sonst machen es die meisten Leute nie, oder alle X Tage/Wochen/Monate mal. Für den super super Ernstfall kann man auch noch offline Backups anlegen. Aber gescheit konfigurierte automatische Backups können 99% der Bedrohungsszenarien abdecken und haben halt auch Vorteile gegenüber offline backups

 

[fgordon]

Naja so wie ich vertanden habe ist sein Plan ein automatisches Permanent Backup Remote einzurichten (mit Snapshots) das ja schon prinzipiell ok.

Nur würde ich das permanente halt lokal machen und das remote nur ab und zu für die Riesenkatastrophen halt.

 

[x.treme]

Ich habe eh schon eine zweifache Absicherung:

• Synology NAS (in der Wohnung) synced sich mit Clients mit Snapshot 1x pro Tag und Versionierung
• QNAP NAS (im Keller, 2. UG) pulled Daten vom Synology via rsync 1x pro Tag und Snapshot 1x pro Tag
• Synology und QNAP sind in getrennten Netzwerken mit Firewall dazwischen, nur der rsync-Port ist offen

Damit sind es zwei verschiedene Systeme und maximal isoliert.

Das NAS bei den Eltern wäre dann die letzte "Verteidigungslinie", die ich eigentlich via Cloud machen wollte, aber bei >16TB Speicherbedarf ist das halt unbezahlbar. Das wäre dann aber eher das Haus stürzt zusammen Szenario ^^

Bei Offline-Backup kenne ich mich zu gut - würde ich irgendwann nicht mehr konsequent machen oder vergessen ^^
Und ich halte die Sicherheit sogar geringer, weil auf der HDD habe ich dann keine Snapshots, falls das Backup kompromittiert ist.

 

[fgordon]

Najo da kann man dann aber nicht meckern was Backup- und Datensicherheit angeht xD

Ich habe meine "Offline Backups" halt einfach automatisiert die wichtigsten Daten werden gesichert als ISO gemastert und auf den Desktop gelegt damit ich die dann auch brenne xD Allerdings sind das halt natürlich keine 16 TByte+ das also für Dich natürlich nicht hilfreich.

Ich synce die Daten zwischen meinem Büroserver und meinem Homeoffice-Server per syncthing und hab dazu auf beiden Seiten einen Odroid HC2 als permanenten Zwischensyncspeicher laufen die immer an sind - syncthing ist optimiert auf halbwegs schnelle Übertragung auch über langsame Medien wie Internet/VPN.

Grosser Nachteil ist man muss sich selber was implementieren für die Sicherstellung der Datenintegrität z.B. MD5.

Sobald die Server (oder Desktopsysteme/Notebooks) auf der jeweiligen Seite an sind syncen die sich automatisch mit den jeweils lokalen Odroids.

Aber sind halt vielleicht so 2-3 GByte am Tag die sich bei mir ändern.

 

[x.treme]

Syncthing (bzw. Resilio Sync) hatte ich auch überlegt!

Resilio Sync erlaubt ja auch verschlüsselten Sync. Ich brauche ich keinen VPN und auch die NAS-Encryption ist nicht mehr relevant. Kann trotzdem Snapshots nutzen, um einen früheren Stand als ganzes wiederherzustellen.

 

[fgordon]

Bei syncthing ist der sync auch optional komplett gecrypted (Untrusted Device Funktion)

Auf einem moderneren Odroid wie dem hier https://www.hardkernel.com/shop/odroid-m1-with-8gbyte-ram/ denke ich dürfte auch ZFS out of the box laufen, bin da am überlegen mein System auch mal upzudaten - da das MD5 erzeugen einfach richtig Zeit frisst auch wenn das automatisch erfolgt. ZFS lässt sich zwar auf 32bit kompilieren aber hmm naja ..... es "geht" irgendwie reicht halt nicht xD

Beim "Zwischen Sync Cache" ist mir halt wichtig - da die immer an sind - möglichst wenig Stromverbrauch und auf jeden Fall passiv gekühlt - eine 3,5" 20 TB HDD kann man an den m1 sicher anschliessen man muss halt die Stromversogung der HDD dann extern machen.