Dotaz: Šifrovaná záloha.

[Jiřík 1435]

Dobrý den, mám následující problém. Z PC1(pc ve firme) chci zálohovat data na PC2 (pc mimo firmu) za pomocí rsync. Představoval bych si následující řešení. Na PC2 bude sifrovany adresar pripadne disk. Jednou denně si na PC1 pripojim tento šifrovaný adresář (disk) a data si zazálohuji. Následně adresář (disk odpojím).

Mohl by mi někdo poradit zda mám použít encfs či TrueCrypt ? Existuje případně nějaké vhodnějši hotové řešení ? Budu rád za každou radu.

Odpovědi

[NN]

Myslim, ze pripojovat disk na PC1 je zbytecne a data muzes prenaset na PC2 rovnou. Cele pres nejaky bezpecny tunel rovnou na sifrovanou partition. Nemusic nic odpojovat. Pouzil bych cryptsetup na partition na PC2 a rsync pres SSH/SSL tunel/ VPN muzes si vybrat.

NN

[Jiřík 1435]

Já potřebuji ať v případě přerušení spojení ten šifrovaný disk na vzdáleném stroji nezůstane připojen.

[NN]

Jak pripojeny ?

NN

[Jendа]

Předpokládáme nedůvěryhodný vzdálený stroj. Pokud bude šifrování probíhat až na něm, bude mít v paměti klíč a útočník ho může vyčíst (nebo rovnou nainstalovat backdoor).

[Jiřík 1435]

Presne tak.

[ES]

Co napriklad duplicity http://duplicity.nongnu.org/

[Jendа]

Kumuluje inkrementy.

[Atom321]

Však to je na zálohování dobře, ne?

[Jendа]

Ne, pokud máš 50 GB dat na zálohování, 2GB týdenní inkrement a tak ti to za pár let naroste na 300 GB.

[Atom321]

Inkrementální záloha zase umožňuje návrat v historii. Např. když někdo něco omylem změní/smaže a zjistí se to až za dva měsíce.

Když je inkrementů moc, udělá se kompletní záloha a začne se inkrementovat nanovo.

Zazálohovat 300 GB dat není dnes vůbec žádný problém.

[Sten]

Možná by bylo lepší řešení použít ATA-over-Ethernet nebo iSCSI přes VPNku, disk připojit vzdáleně na PC1 a až tam ho rozšifrovat. PC2 se tak vůbec nedostane k rozšifrovaným datům.

[Jendа]

S tím, že pokud mezi tím není alespoň stomegabit, umřeš sešlostí věkem, než se to odzálohuje.

[Sten]

Ani ne, mě to teda vždycky běželo docela svižně na 6 Mbps (podobně rychle jako kdybych kopíroval diff nešifrovaně). Ale je potřeba použít OpenVPN + iSCSI + lokální diff (třeba pomocí diff + LVM snapshot), ne SSH + encfs + rsync, to je špatně zvolená a tedy i extrémně pomalá kombinace (rychlostní limity SSH, pomalé encfs, rsync myslící se, že běží lokálně, a tedy drtící spojení).

[Jendа]

Řešil jsem to a jde to sakra blbě. Pokud je mezi stroji alespoň 100 Mb/s spojení, připojíš si vzdálený adresář přes sshfs, vytvoříš v něm encfs kontejner a do toho zálohuješ (je třeba patchnout rsync kvůli budu v encfs). Pokud je linka pomalejší, doporučuji zálohovat do lokálního encfs a až teprve ten rsyncovat. Ano, zabírá to místo, ale nic lepšího jsem nenašel .

[pht]

Já jsem používal tar+gnupg a nahrát kamkoliv. Dělal jsem teda vždy plnou zálohu, protože to je spolehlivější. Na inkrementální zálohy to jde nicméně adaptovat taky. Stačí tarovat jen to co se změnilo od minulého dne.

[Jendа]

Dělal jsem teda vždy plnou zálohu, protože to je spolehlivější.

No, já přenášet pokaždé 50 GB po 100 Mb/s a 5 GB po 1 Mb/s, tak se asi zblázním.

Na inkrementální zálohy to jde nicméně adaptovat taky. Stačí tarovat jen to co se změnilo od minulého dne.

Jasně, ale takhle nemůžeš držet například poslední tři verze.

[pht]

No, já přenášet pokaždé 50 GB po 100 Mb/s a 5 GB po 1 Mb/s, tak se asi zblázním.

Ono je to dost jedno, protože na hodně košatém FS ten tar+gnupg vydá tak 3MB/s. My jsme takhle tahali 100+ giga každou noc a stihlo se to akorát do rána.

Jasně, ale takhle nemůžeš držet například poslední tři verze.

To ne, ale zase než dělat nějaký pochybný rsync s verzováním tak bych raději použil git.

[michal]

Používám sshfs pro připojení vzdáleného adresáře na lokální systém a pak lokálně tento připojený adresář mountuji do dalšího adresáře pomocí encfs. Do tohoto "encfs" adresáře se pak zálohuje pomocí rsync. K šifrování tedy dochází už na zálohovaném systému. Nejdříve jsem se trochu obával, zda to bude dost spolehlivé (je to vlastně dvojnásobné "fuse" mountování), ale funguje to. Dokonce to jde přes domácí wifi. Používám to pro zálohování /home (cca 20 GB).