Dotaz: zaloha pres rsync

[noguru]

Dobry den,

Existuje nejaka moznost jak zalohovat data z jednoho serveru na druhy pres rsync v crone aniz by bylo generovane rsa bez hesla? Predstahuju si nejlepe nejaky script kde budou udane hodnoty username,password,server nebo jen nejaky soubor s heslem na ktery bude v prikaze zalohy dotaz. Pouziva nekdo neco takoveho?

Odpovědi

[Jendа]

Předně se nabízí otázka „proboha proč?“

Každopádně to nebude tak jednoduché, minimálně pokud chceš rsync přes SSH. (samotný rsync jsem vždycky provozoval jenom v anonymním módu a tak nevím, jak je to tam s autentizací) Vývojáři OpenSSH totiž vědí lépe, co uživatel chce, než on sám, a tak tam třeba heslo nejde napipovat ze stdinu jako u normálních aplikací (cryptsetup, encfs…). Takže buď si patchneš SSH klienta, aby tam tohle kurvítko neměl, nebo to nějak ohackuješ přes expect.

[Filip Jirsák]

Určitě si můžete rsync upravit, aby něco takového uměl. Ale pochybuju o tom, že se vyplatí takhle investovat do snižování bezpečnosti.

[Peter Šantavý]

Znizovanie bezpecnosti sa nevyplati. Ak bez hesla, tak to uz radsej zalohovat rsyncom na nfs volume a medzi servermi mat vytvorene spojenie cez ipsec.

[Filip Jirsák]

Pak bych to ale neřešil přes rsync, ale klasickým kopírováním a mazáním podle ctime. rsync po síti se vyplatí v případě, kdy spolu komunikují rsync na lokálním a rsync na vzdáleném stroji. Pokud po síti půjde něco jiného (NFS, Samba, sshfs), s rsync se celkově přenese naopak větší objem dat. rysnc by se v takovém případě mohl vyplatit jen při asymetrické lince s pomalým uploadem, kde by mohlo být výhodné stáhnout raději víc dat, aby se uploadovalo méně – ale záleželo by to i na charakteru změn (nesměla by se přesouvat data uvnitř souborů, pouze přidávat na konec nebo od konce mazat).

[David Karban]

Nepomohlo by klíči nastavit příkaz, který se má spustit?

například do authorized_keys2 dát před klíč: command="rsync --server --sender -vlHogDtprx --numeric-ids . /",from="10.0.0.5",no-port-forwarding,no-X11-forwarding,no-agent-forwarding

viz, jak to je možno třeba udělat u dirvishe: http://apt-get.dk/howto/backup/#CLIENT

[Filip Jirsák]

To je ale způsob, jak bezpečnost zvýšit, tazatel ji chce (bůhvíproč) snížit.

[noguru]

Potrebuju zalohovat jen par stranek a nejake sql nerad bych kvuli tomu resit backuppc nebo jiny backup system. Potrebuju nejak jednoduse zalohovat na jiny stroj v internetu. Rsync bylo reseni ale mit mezi servery pristup bez hesla neni moc bezpecne a mit ho ve scriptu nebo souboru bude to same. Neni treba nejaky jednoduchy backup system client, server ktery by nebylo slozite nastavit?

[chinook]

Nechápu co řešíš. Přihlásit se pomocí klíčů a jak už tu někdo uvedl, tak povolit pod tím účtem spustit jen tu jednu aplikaci a v režimu čtení. Jinak bych použil rdiff_backup.

[Filip Jirsák]

Jakýkoli zálohovací systém musí umět zálohovaná data přečíst a na zálohovacím serveru je zapsat. Takže tam vždycky budete muset mít to, čeho se bojíte.

Doporučil bych na cílovém počítači vytvořit uživatele, který bude určen jenom pro to zálohování, a pro příslušný SSH klíč nastavíte omezení na spuštění jen rsync (vizte komentář č. 5). Pokud by tedy někdo ze zdrojového počítače klíč ukradl, dostane se na cílovém počítači jen k zálohovaným datům (a pokud není nějaká chyba v rsync, bude ve skutečnosti moci jen přepsat zálohu).

[scott]

Jestli jsem to dobre pochopil, stacilo by na na oba servery nainstalovat OpenVPN, propojit je pres VPN (treba se sdilenym klicem) a na ten server odkud chces zalohovat tak namountovat slozku z druheho serveru pres NFS nebo Sambu. Pak uz muzes pouzivat rsync,cp, nebo cokoliv jineho pro kopirovani do te slozky.