Dotaz: Zálohy na NAS odolné proti ransomware?

[Aleš Janda]

Chtěl bych se zeptat, jaké řešení máte na domácí zálohování. Hledám nějaký NAS na sdílení souborů A na zálohy. Možná úplně nerozumím tomu, co to NAS vlastně je, ale mám zato, že je to prostě malý (linuxový?) počítač s nějakým předinstalovaným softwarem pro sdílení, DLNA apod. Jednotlivé NASy se pak liší počtem disků, rozhraními a tím předinstalovaným softwarem. Nikde ale neumím najít, co ten software přesně umí.

Chtěl bych NAS použít primárně jako zálohovací zařízení. Celý ten koncept by měl být odolný proti ransomware (žádné zařízení nesmí mít právo zápisu do jiného zařízení). Tedy:

1. nebudu zálohovat z (potenciálně zavirovaného) počítače na NAS, ale z NASu budu zálohovat centrálně počítače
2. počítače bude k zálohám na NAS pouze read-only přístup, aby virus neměl možnost stávající zálohy zničit. Bude tam jen možnost udělat inkrementální zálohu
3. ekvivalentně z toho NASu bude do počítačů také jen read-only přístup (kdyby byl naopak zavirovanej NAS) (tohle umím)
4. ideálně inkrementy dělat jako BTRFS snapshoty
5. mít na NASu i jinou část disku, která je na veškeré ostatní sdílení jako běžný NAS

Je toto možné? Jsou ty NASy prostě jen linuxové distribuce, na kterých bych pravidelně spouštěl rsync? A lze tam mít BTRFS? A kdybych přeplácl ten originální software, tak zálohování rozchodím, ale jak moc je těžký rozchodit i ty NAS funkce / jak moc je škoda je zahodit?

Díky moc

Odpovědi

[Josef Kufner]

NAS je krabička, kde běží osekaný Linux a poskytuje pár služeb. Situace je dost podobná routerům a podobným jedno účelovým zařízením.

Já bych se na NAS krabičku vykašlal a postavil si to z běžných komponent. Pak budeš mít jistotu, že nejsi svázaný nevhodným firmwarem.

Zálohoání iniciované ze serveru používám, funguje to hezky, navíc se server nezblázní z více souběžně běžících zálohovacích procesů. Doporučuju rsync přes SSH a inkrementy dělat jako hardlinky (rsync --link-dest). Rsnapshot je celkem fajn, vlastně jen volá rsync, ale nelíbí se mi jak pár věcí dělá.

BTRFS snapshoty by byly i celkem fajn, ale reálně potřebuješ každý zálohovaný stroj rotovat jinak. Pokud je jeden stroj nezálohovaný (notebook je pár týdnů pryč na cestách), tak nemůžeš jeho zálohy jen tak odrotovat a zahodit.

Alternativně můžeš dělat zálohy neinkrementálně z jednotlivých strojů (prostý rsync, zálohovaný stroj se připojí k serveru) a pak v druhém kroku inkrementálně ze zapisovatelného úložiště na nezapisovatelné úložiště (pro zálohované stroje). Případný útočník by mohl zničit jen včerejší zálohu, ale nemohl by zničit její kopii, ani nic staršího. Nevýhodou je větší spotřeba místa na discích (jedna plná kopie navíc). Výhodou je snadné zálohování cestujících strojů, na které je obtížné se připojit, ale které se mohou snadno připojit samy. Tento způsob používám na zálohování telefonu, který se čas od času rsyncne na server a ten server se pak zálohuje inkrementálně.

[Jendа]

NAS bývá dokriplený Linux se zastaralým jádrem, bez funkcí, bez aktualizací a s dírama. Doporučuji najít nějaký, kam půjde nainstalovat tvoje vlastní distribuce, nebo to postavit jako x86 PC.

BTRFS snapshoty by byly i celkem fajn, ale reálně potřebuješ každý zálohovaný stroj rotovat jinak.

Každý stroj může mít subvolume. Ten se pak rotuje jak je potřeba.

[Josef Kufner]

BTRFS snapshoty by byly i celkem fajn, ale reálně potřebuješ každý zálohovaný stroj rotovat jinak.

Každý stroj může mít subvolume. Ten se pak rotuje jak je potřeba.

Vidíš, to by šlo. Už jsou subvolumes a snapshoty dostatečně stabilní pro produkční nasazení?

[Aleš Janda]

Díky moc oběma za ujištění, co vlastně ten NAS je. Asi si tedy postavím spíš nějaké MiniPC. Jde mi o to, abych to bylo úsporné, tiché a splňovalo to ty parametry na zálohování. NAS to tedy úplně přesně asi nesplňuje. Díky.

Už jsou subvolumes a snapshoty dostatečně stabilní pro produkční nasazení?

Já je používám na hlavním počítači dlouhodobě (jako ochranu proti náhodnému smazání) a spokojenost.

Rsync do adresáře + snapshot adresáře by tedy mělo zastat svoji práci dobře.

[Václav "Darm" Novák]

To už snad dlouho :)

[jmk]

NAS bývá dokriplený Linux se zastaralým jádrem, bez funkcí, bez aktualizací a s dírama.

Tvrdí někdo kdo asi nikdo žádný NAS neviděl ani zdálky. Několik let (cca 6-7) používám k plné spokojenosti Synology DS213j. Zálohovacích funkcí to má bezpočet - včetně nativních linuxových klientů, umí pochopitelně i verzovat. Navíc to umí VPN, video station, foto station do linuxu i Androidu, NFS, Sambu, CUPS atd., atd. Aktualizace na to vycházejí vcelku pravidelně každý měsíc a upgrade z verze 3.xx na současnou 6.xx vždy proběhla korektně bez nějakých problémů. Umí to pochopitelně SSH, kterým se dostanu do balíčkovacího subsystému - i když jsem neměl zatím potřebu doinstalovávat vlastní balík, protože vše jsem našel v defaultu, nebo doinstaloval z dostupného repositáře. Takže za mně určitě můžu doporučit. Nikdy se nestalo, že by něco záhadně přestalo samo od sebe fungovat. FreeNAS neznám, takže nebudu kritizovat, ale na zálohy chci opravdu něco trochu robustního co se mi nerozsype po nějaké cool aktualizaci Jinak uptime je vždy od aktualizace k aktualizaci (dělám cca 1x 3 měsíce). Mám nastaven silent mód, takže když se vypnou HDD tak ani nevím o tom že to žije - jen si tak poblikává. HDD jsem koupil dražší, to je pravda - řada RED od WD, ale za těch 6-7 let jsem na ně nemusel sáhnout.

[Jendа]

Tvrdí někdo kdo asi nikdo žádný NAS neviděl ani zdálky.

Viděl jsem dvě Synology, model si nepamatuju, a za tímhle si stojím.

[Max]

Jen bych chtěl podotknout, že souhlasím s jmk. Mám stejnou zkušenost (provozuji cca 7ks od dvoudiskových až po 1U verze)
Zdar Max

[Jendа]

Ale tak se zeptám: co tam máš aktuálně za kernel? Funguje ti tam btrfs RAID1 se snapshotama na LUKSu, aniž by ti jejich systém kecal do toho, jak to máš udělat?

[Max]

Aktuální DSM 6.0 má myslím kernel 3.10.77.
Jinak tvůj další dotaz nedává smysl. "jnk" hlavně narážel na to tvé
"bez funkcí, bez aktualizací a s dírama."

- funkcema je to nabité hodně (hlavně toto ocení klikači)
- když vše to, co má funguje, tak verze kernelu nikoho nezajímá (a navíc je irelevantní, protože nevíš, jak moc je to opatchovaný)
- vše mají dobře propojeno a odladěno
- update jsou dost časté a life time produktu je asi 4-5 let
- taktéž se mi nikdy nestalo, že by to update zabil, vždy vše prošlo bez problémů
- dodávají i sw pro zálohu klientů
- systém mají otevřený, máš možnost plného přístupu na ssh (roota), máš návody, jak si dělat vlastní balíky, což je podtrženo oss
- celý systém není 100% oss, ale to se asi nedá nic dělat

Ještě bych se chtěl vrátit k tomu tvému dotazu s btrfs + luks apod. Asi takhle, co oficiálně nepodporuje web ksicht, do toho se moc nevrtá, protože s tím to rozhraní nepočítá a pak by se možná mohlo něco stát při upgrade. Já takové věci neměl zapotřebí. Možná to tedy jde, ale nešel bych do toho. To je prostě daň za all-in-one klikací řešení
Nicméně to moc asi nevypovídá o řešení jako takovém, ale spíš o tom, pro koho je vhodné.
Zdar Max

[Jendа]

Aktuální DSM 6.0 má myslím kernel 3.10.77.

Čili tři a čtvrt roku starý. Na tom bych si btrfs opravdu provozovat netroufal.

- když vše to, co má funguje, tak verze kernelu nikoho nezajímá

Nezajímá, ale jakmile narazím na to, že je tam staré btrfs s tehdy-nic-moc podporou RAIDu, dlouho opravený bug, nepodporuje to různé wifiny (Alfa), modemy, USB-sériové převodníky (CH340) a tak, tak ostrouhám.

- funkcema je to nabité hodně

vs.

Asi takhle, co oficiálně nepodporuje web ksicht, do toho se moc nevrtá, protože s tím to rozhraní nepočítá a pak by se možná mohlo něco stát při upgrade.

Ale vždyť o tom přesně píšu. A vzhledem k tomu, že tazatel je zkušený linuxák, který různé pokročilé věci přímo zmiňoval, myslím, že můj komentář byl zcela odůvodněný.

[Max]

Né, o tom nepíšeš, ty jsi se jasně vyjádřil, jak je to dokriplený linux plný děr a bez funkcí. A to není pravda.
To, že ti tam chybí nějaké tvé obskurtní fce nic neznamená.
Zdar Max

[Jendа]

Šifrování a FS s RAIDem a snapshotama jsou obskurní funkce, ještě k tomu v kontextu diskuze, kde se tazatel na snapshoty přímo ptal? LOL.

[Max]

Raid a snapshoty to umí (snapshoty u vyšších verzí přes btrfs, jinak u nižších verzí rozdílovým backupem, který je jednoduše přístupný jako možnosti VSS ve windows - můžeš si filtrovat verze na souboru do historie a obnovovat, jak je libo), tak nepřekrucuj. Pokud jde o šifrování, tak to umí taky.
Netuším, o co ti jde.
Zdar Max

[Jendа]

Raid a snapshoty to umí

Znovu, btrfs RAID bych se bál používat na kernelu 3.10.

Pokud jde o šifrování, tak to umí taky.

To je nějaké encfs-like „šifrování“ leakující adresářovou strukturu a velikosti a data modifikace souborů, navíc se taková věc podle mě bude dost obtížně používat spolu s btrfs snapshoty.

Netuším, o co ti jde.

Celou dobu mi jde o to upozornit tazatele, že pokud si jako pokročilý linuxák koupí NAS „s linuxem“, tak bude nejspíš zklamaný, že tam nebude moct udělat některé věci, které jsou v „normálním“ linuxu běžné, ale tady s nimi výrobce nepočítal a buď nejsou podporovány, nebo jejich nastavení způsobí konflikt s konfiguračním systémem výrobce.

[Max]

Těch NASek provozuji dost, hafec Synology, nějaké linux storage a jeden větší BSD se ZFS a fakt nevím, co by mi mělo chybět.
Resp. na linuxu by mi třeba chyběl kamerový systém. Synology ho má, ale v linuxu nic smysluplně použitelného není (ZoneMinder je vtip).
Zdar Max

[Jendа]

a fakt nevím, co by mi mělo chybět

RAID přes různě velké disky, šifrování, snapshoty. Píšu to celou dobu.

[Max]

Opravdu vtipný.
Zdar Max

[ET]

Tak zalezi, co od toho vsechno chces, ale IMHO souhlas s Jendou. Snad vsechny NASy, co jsem se v nich hrabal byl stary kernel s busyboxem (SYNOLOGY neznam, ale pochybuju, ze to tam bude jinak), potkal jsem i jeden starsi (12 disku) NETAPP kde nebyl ani shell, ale nejaka proprietarni lajna === dokriplený Linux (chybejici shell, chybejici parametry v BB, chybejici pkg-mgmt/updaty, etc... ). Rozjet nad takovym zarizenim detailnejsi monitoring (SNMP/NAGIOS/ZABBIX/etc...) nebo neco dalsiho je pak vopruz, obcas to konci nejakym http wraperem, nebo v lepsim pripade bastl skriptem spoustenym pres ssh/cron (ale ne kazdej to potrebuje/ma na to cas/ma na to skill ;).

Nejlepsi NASka je ta, co si sam postavis :)

[Filip Jirsák]

A teď zkuste hádat. Budeme víc věřit vašemu názoru založenému na tom, že Synology neznáte, nebo názoru Maxe, který několik Synology NAS provozuje? Jako shell je na Synology ash, pokud si nenainstalujete jiný, na vyšších modelech je rovnou mezi balíčky Docker, SNMP podporuje rovnou v základu, na webu máte návod, jak si vytvářet vlastní balíčky, a pokud chcete používat neoficiální balíčky, dá se tam doinstalovat ipkg.

[ET]

ja (se) nehadam a je mi vcelku jedno cemu budete vic verit... ucelem prispevku bylo upozornit na chybejici funkce/featury nekterych domacich NASek (moje zkusenost se shoduje s Jendovou) a ne kopat do SYNOLOGY - pokud je SYNOLOGY svet slunickovy, tak proc ne, osobne uz nic jinyho nez full-tuxe domu nechci

[Max]

+ dodám, že jsem měl v ruce i NAS v Dellu a tam byl plnohodnotný debian včetně apt rep apod. + přístupný přes ssh (bash)
Zdar Max

[ET]

jo a v SANce od Dellu je BSD, ale neni to SOHO zelezo... tak si uzivejte SYNOLOGY a pro vsechny ostani - bacha na to, co kupujete ;)

[Josef Kufner]

Aktuální DSM 6.0 má myslím kernel 3.10.77.

Né, o tom nepíšeš, ty jsi se jasně vyjádřil, jak je to dokriplený linux plný děr a bez funkcí. A to není pravda.

?

[Max]

1) Jaká funkce ti v tom kernelu u NASka přesně chybí?
2) Jaký exploit je u toho synology kernelu zneuživatelný? Tady máš zdrojáky : DSM 6.0 Tool Chains
I když nevím, zda budou plně aktuální, protože si Synology dost hraje na bezpečnost. Jednak vydává verzi za verzí (kvůli openssl, btrfs aj. věcem), viz příklad changelogu :
Release Notes
dále má různé security advisory, které tě notifikují a nutí k aktualizacím v závislosti na tom, co máš nainstalovaný, viz příklad : Synology Product Security Advisory
Já vím, že je strašně jednoduché dělat nějaké závěry nad jedním zveřejněným číslem kernelu, ale kurnik, to tak bolí trochu se zamyslet?
Zdar Max

[Max]

1) důležitá data mají být někde na serveru (a tam můžeš dělat snapshoty, nebo VSS třeba každou hodinu a držet historii třeba měsíc)
2) pokud má u nás uživatel notebook, tak buď si sám dělá zálohu na externí disk (je to jeho boj), nebo si může odlévat data k nám na storage (nějakým sw, co to dělá inkrementáln ě každý den), kde se opět dělají snapshoty
3) ransomware přijde v 99% buď mailem, nebo přes net, obojí řeší proxy server a vhodné filtry na mail gw (u nás zákaz spustitelných souborů + zákaz vnořených archivů - zip v zipu apod.)
Pokud jde o NASka, tak já používám jeden vlastní storage (FreeNAS s 1x 30TiB polem RAID-Z3, 1x 24TiB polem RAID-10 a 1x 20TiB polem RAID60) + používáme Synology NASka. Některé silnější verze mají btrfs, jiné to řeší jinak a mají to docela inteligentně klikací + synology zpřístupňuje ssh, takže můžeš psát vlastní skripty apod.
S jinými NAS systémy zkušenosti nemám.
Zdar Max

[Aleš Janda]

1) důležitá data mají být někde na serveru (a tam můžeš dělat snapshoty, nebo VSS třeba každou hodinu a držet historii třeba měsíc)

Když je to „někde“, je tam zase problém s únikem dat. Protože ta se budou šifrovat až na cílovém disku. (Jo, mohl bych rsyncovat rovnou šifrovaná data, ale pak se špatně používá nějaký exclude list, co nezálohovat.)

2) pokud má u nás uživatel notebook, tak buď si sám dělá zálohu na externí disk (je to jeho boj)

Externí disk je na tohle nepoužitelný; vir bude mít právo zápisu na celý disk a zálohy může zničit. Zálohovací stroj musí být autonomní a rozhodovat, co povolit a co ne. Samotný pasivní disk to nesplňuje.

nebo si může odlévat data k nám na storage (nějakým sw, co to dělá inkrementáln ě každý den), kde se opět dělají snapshoty

To je právě otázka na ten SW

3) ransomware přijde v 99% buď mailem, nebo přes net, obojí řeší proxy server a vhodné filtry na mail gw (u nás zákaz spustitelných souborů + zákaz vnořených archivů - zip v zipu apod.)

Tak jasně. On vlastně ransomware pro Linux prakticky ani neexistuje. Nicméně není žádný důvod, proč by v budoucnu být nemohl. A není ani důvod, proč bych ho neměl spustit já sám (např. díky nějakému evil open source vývojáři, který ho přibalil ke svému programu a pak ho použije na pár vybraných uživatelích). Sebelepší antivir není řešením, pokud to lze vyřešit koncepčně.

Pokud jde o NASka, tak já používám jeden vlastní storage (FreeNAS s 1x 30TiB polem RAID-Z3, 1x 24TiB polem RAID-10 a 1x 20TiB polem RAID60) + používáme Synology NASka. Některé silnější verze mají btrfs, jiné to řeší jinak a mají to docela inteligentně klikací + synology zpřístupňuje ssh, takže můžeš psát vlastní skripty apod.

To je zajímavý s tím Btrfs + SSH, díky. Škoda, že třeba na Alze nelze podle těchto parametrů vůbec vyhledávat.

[Jamie]

Co zkusit si koupit nějaký stroj/NAS, na který de hodit aktuální FreeNAS? Ten už v sobě má klikátko na periodické snapshoty.

[Aleš Janda]

Jo, to by bylo řešení. Otázkou je, které NASy podporují přemazání softwaru (pod čím to hledat ve specifikaci?).

Ten už v sobě má klikátko na periodické snapshoty.

Koukám, že FreeNAS umí sám od sebe ZFS snapshoty, paráda, díky

[Max]

"které NASy podporují přemazání softwaru"

Co si pod tím má člověk představit?
Zdar Max

[k3dAR]

unlock(able) bootloader + alternativni fw?

[Max]

K čemu to je dobrý? Buď chci NAS a jeho fce, nebo si prostě koupím miniitx desku a budu mít NAS vlastní (tak jsem to doma udělal já).
Uniká my smysl si něco kupovat a pak to mazat a bastlit tam vlastní řešení.
Zdar Max

[k3dAR]

podivej se na zacatek vetve ;) nerikam ze je to dobre reseni, ale pro nekoho to muze mit vyznam, bude chtit treba miniaturni case, spotrebu a nevadi arm (ani nejake celkem pomale) cpu, ale system bude chtit vlastni... jasne ze miniitx deska s j1900(napr.) bude mit vetsi vykon, ale take vetsi spotrebu, resi se napajeni (pokud nejde o desku s dc napajenim kterou bych preferoval), resi se case atd... oboje ma proste sve pro a proti ale pokud nekdo chce hotovej NAS a dat tam FreeNAS? proc ne...

[k3dAR]

jinak pokud si nekdo chce stavet vlastni reseni a neresi penize a/nebo vyzaduje pri rozumne nizke spotrebe hodne slusne AES (a obecne relativne slusnej vykon), hodne(12) sata portu(Intel,Marvell), ipmi, podporu ecc az 64GB ram atd... tak doporucuju:
http://www.asrockrack.com/general/productdetail.asp?Model=C2550D4I#Specifications
nebo
http://www.asrockrack.com/general/productdetail.asp?Model=C2750D4I#Specifications

[Max]

Na to jsem koukal v době, kdy jsem to řešil. Nakonec jsem se ale neodvážil a koupil "GIGABYTE N3150N-D2H - Intel N3150"
Provozuji :
tvheaded na stream dvb-t (4x usb tuner)
minidlna (pro stream na Samsung tv)
1x 32GiB bazar SSD (systém a věci klolem)
3x 2TB SATA RAID5 + btrfs (data)
A zbývá mi rozchodit nějaký cam systém na ukládání záznamů z tří kamer + rozchodit venkovní čidla do nějakého grafu.
Zdar Max

[R]

Trochu som analyzoval (pri oprave) jeden x86 Synology NAS a bol tam na internom flash disku normalny GRUB.

[k3dAR]

no je (asi) ta nejlepsi situace, resp. nejvetsi sance rozchodit neco jineho, kazdopadne zajimave :)

[Filip Jirsák]

NAS mají obvykle software založený na Linuxu – jak moc můžete dovnitř záleží na výrobci. Podpora btrfs opět závisí na výrobci i modelu. Třeba dražší a novější NASy od Synology podporují btrfs, do linuxu se tam také dostanete a dokonce je možné (s trochou nepohodlí) tam doinstalovat další balíčky. Třeba u těch Synology NASů je dost škoda jejich software zahodit, protože tvoří velkou část hodnoty toho NASu.

Btrfs snapshoty spolu se sledováním ubývajícího místa je podle mne nejjednodušší domácí ochrana proti ransomware.

[Vantomas]

Dodal bych, že i Synology je vhodné nějak zabezpečit firewallem a systém aktualizovat. Neboť zrovna na DSM 4.x byl ransomware, který běžel přímo nativně na Linuxu uvnitř Synology a šířil se dál na jiná DSM.