Hyper Backup (und) Snapshots

[JuliusCaesar]

Hallo zusammen,
ich hätte mal eine Frage in die Runde bzgl. euerer Backup-Strategie.
Bisher verwende ich seit mehreren Jahren Hyper Backup. 1 Mal am Tag wird auf ein örtlich entferntes NAS alle home Ordner und ein paar geteilte Ordner gesichert.
Im Rahmen von DSM 7.2 hat die Snapshot Replikation wohl ein paar neue Features bekommen.
Dies bringt mich zu der Frage; nutzt jemand von euch (im privaten) Betrieb beides?
Wenn ich das richtig verstehe, macht die Snapshot Replikation ein komplettes Abbild vom System (inklusive der DSM Systemdateien + Einstellungen). Die Systemdateien + Einstellungen sicher ich bei Hyper Backup (meines Wissens) nicht mit.

Nun ist es natürlich wünschenswert möglichst viel zu sichern, aber mein entferntes NAS hat nur einen begrenzten Speicher, bringt Snapshot Replikation (im privaten Bereich) einen großen Mehrwert?

Viele Grüße
Julian

 

[plang.pl]

Also ich mache es so:
-Ich habe 2 ext. HDDs am Haupt Standort, die 1x pro Woche angeschlossen werden für ein Hyper Backup
-Mein Haupt-NAS sichert auf ein Remote NAS 2x die Woche via Hyper Backup (nicht alle Daten)
-die restlichen Daten, die nicht im Hyper Backup inkludiert sind, werden via ShareSync synchronisiert
-das Remote NAS fertigt von allem 1x pro Woche Snapshots an
-am Remote Standort gibt es auch eine ext. HDD, die einmal pro Woche ans NAS für ein Hyper Backup gehängt wird

Systemdateien + Einstellungen sicher ich bei Hyper Backup (meines Wissens) nicht mit.

Systemeinstellungen werden bei jedem Hyper Backup obligatorisch mitgesichert.
Paketeinstellungen kannst du auch mitsichern. Dafür solltest du die versionierte Sicherung nehmen. Die Einzelversion-Sicherung kann nur wenige Pakete sichern.

macht die Snapshot Replikation ein komplettes Abbild vom System

Nein. Damit erstellst du Snapshots von freigegebenen Ordnern. Der Clue dabei ist, dass die (solange keine Daten geändert werden) keinen zusätzlichen Speicherplatz brauchen.
Das allerwichtigste bei Snapshots ist aber, dass diese Read-Only sind. Also kann dir die keine Ransomware verschlüsseln (zumindest solange sie nicht das NAS befällt, was aber meines Wissens noch nie passiert ist, da DSM eine sehr spezielle Linux "Distro" ist, wo keine Ransomware eine Chance hat). Selbst wenn also ein Client mit hinterlegten Admin-Zugangsdaten zum NAS Opfer von Ransomware wird, wird die Ransomware sich an den Snapshots die Zähne ausbeißen

 

[RichardB]

Ich würde zwischen privat und Business jetzt keinen großen Unterschied machen. Wichtige Daten sind wichtige Daten. Meine 218+ sichert täglich per Hyperbackup auf die 418play und macht einen Schnappschuss auf die 1019+ (dazu kommt das externe Backup). Da ich die 218+ nun (endlich) auf DSM 7.xxx habe, werde ich zukünftig mit ABfB eine bare-metal-Sicherung auf die 418play machen. Schnappschuss und externes Backup bleiben unverändert.

Und was den begrenzten Speicher betrifft: Da können größere HDDs helfen.

 

[plang.pl]

Das mit dem AB4B Bare Metal Backup würde ich auch gerne machen. Wenn da nicht das Problem mit den (inoffiziellen) M.2 Storage Pools wäre.
Man sollte halt immer nicht nur 1 Backup haben, sondern mehrere. Dabei sollten nicht alle auf die gleiche Weise angefertigt sein (Software-Bug zB).

Und was den begrenzten Speicher betrifft: Da können größere HDDs helfen

aber mein entferntes NAS hat nur einen begrenzten Speicher

Speicherplatz ist immer begrenzt
Die Frage ist, was einem die Daten wert sind und infolgedessen auch, was man bereit ist, für ein vernünftiges Backup auf den Tisch zu legen

 

[JuliusCaesar]

Vielen Dank für deine schnelle und ausführliche Antwort.
Ein paar Rückfragen

Systemeinstellungen werden bei jedem Hyper Backup obligatorisch mitgesichert.
Paketeinstellungen kannst du auch mitsichern. Dafür solltest du die versionierte SIcherung nehmen. Die Einzelversion-Sicherung kann nur wenige Pakete sichern.

Hier meinst du das mit automatischer Drehung, oder? Falls ja, habe ich hier Smart Recycle eingestellt, mit 256 Versionen. Ein paar Anwendungen sichere ich hier auch mit.

Nein. Damit erstellst du Snapshots von freigegebenen Ordnern. Der Clue dabei ist, dass die (solange keine Daten geändert werden) keinen zusätzlichen Speicherplatz brauchen.
Das allerwichtigste bei Snapshots ist aber, dass diese Read-Only sind. Also kann dir die keine Ransomware verschlüsseln (zumindest solange sie nicht das NAS befällt, was aber meines Wissens noch nie passiert ist, da DSM eine sehr spezielle Linux "Distro" ist, wo keine Ransomware eine Chance hat). Selbst wenn also ein Client mit hinterlegten Admin-Zugangsdaten zum NAS Opfer von Ransomware wird, wird die Ransomware sich an den Snapshots die Zähne ausbeißen

Aber die eigentlichen Hyper Backup Versionen (auf dem Remote NAS) sind doch auch Read-only. Wo ist der Unterschied?
Der initiale Snapshot ist der genauso groß wie der zu sichernde Ordner? Wenn die Read-only sind, kann ich die Snapshots ja auch auf meiner lokalen DS sichern oder (das Remote NAS hat nicht so viel Speicher wie meine lokale DS)

 

[plang.pl]

Hier meinst du das mit automatischer Drehung, oder?

Naja. Wenn du im Backup-Task nicht etwas mit dem Namen "Einzelversion" ausgewählt hast, kannst du die meisten Pakete mitsichern.

Aber die eigentlichen Hyper Backup Versionen (auf dem Remote NAS) sind doch auch Read-only.

Nein, sind sie nicht. Ein Client mit Admin Zugangsdaten kann den gesamten Backup Container löschen.

Der initiale Snapshot ist der genauso groß wie der zu sichernde Ordner?

Nein. Der initiale Snapshot braucht gar keinen Speicher. Genau so wie die folgenden Snapshots. Die brauchen erst dann Speicher, wenn Daten in der Kette geändert werden (vorausgesetzt, man hat btrfs und nicht ext4 als Dateisystem, aber ich glaube, dass im letzteren Fall Snapshot Replication gar nicht läuft)

Wenn die Read-only sind, kann ich die Snapshots ja auch auf meiner lokalen DS sichern

Genau. Das geht auch und so mache ich das auch:

-das Remote NAS fertigt von allem 1x pro Woche Snapshots an

 

[RichardB]

Falls ja, habe ich hier Smart Recycle eingestellt, mit 256 Versionen.

256? Echt? Da würde meine 418play schnell volllaufen. Meine Daten sind mir wichtig - sehr sogar - trotzdem:

Das reicht selbst dem Finanzamt.

 

[plang.pl]

Das kann ich bestätigen. Wenn du länger zurück willst, verwende lieber die "Benutzerdefnierte Aufbewahrung". Bei längeren Zeiträumen kommt es nicht auf die Häufigkeit der Versionen an, sondern nur auf die Älteste

 

[JuliusCaesar]

Hui das sind aber viele noch wach

Nein, sind sie nicht. Ein Client mit Admin Zugangsdaten kann den gesamten Backup Container löschen.

Wenn ein Client mit Admin Rechten einfach das Paket Snapshot Replikation löscht, habe ich dann nicht das gleiche Problem? (Falls nein, sollte ich mich irgendwann mal gegen Snapshots entscheiden, wie lösche ich die denn wieder?)

Genau. Das geht auch und so mache ich das auch:

ok, das heißt ganz konkret, da ich die Schnappschüsse erstmal nur auf meinem lokalen Gerät halten will, reicht es aus nur unter "Schnappschüsse" Ordner auszuwählen. Unter "Replikation" brauche ich nichts einstellen?

256? Echt? Da würde meine 418play schnell volllaufen. Meine Daten sind mir wichtig - sehr sogar - trotzdem:

Ja aktuell sind, ist 256. Meine älteste Sicherung ist mittlerweile von Januar 2021 (ich glaube im Dez 2020 hatte ich mit dem Sichern begonnen, also da wurde schon die älteste Sicherung entfernt. Also 4 Jahre (so wie es in der Vorschau steht) komme ich damit nicht zurück

Habt ihr nicht so viele Versionen?

 

[maxblank]

Du kannst immutable snapshots nutzen, wenn dein NAS es unterstützt. Die sind selbst als Admin für den festgelegten Zeitraum nicht zu löschen.

https://kb.synology.com/de-de/DSM/tutorial/what_is_an_immutable_snapshot

https://kb.synology.com/de-de/DSM/t...models_support_WriteOnce_and_secure_snapshots

 

[metalworker]

Also ich nutze HB Privat wie auch Dienstlich.

Das große Problem bei HB ist aktuell das der Client die Backups löschen kann.
Wenn also aus irgend einem Grund dein NAS korrumpiert wird, dann könnte ein Angreifer erstmal die HB Backups löschen und danach mit verschlüsseln anfangen.
Das betrifft aber nur richtige Attacken , und keine Ransomware Bots.

Aber ich hab vom Support erfahren das Synology da was ändern will. Es wird an einer neuen HB Version gearbeitet wo die Backups Clientseitig gesperrt sind. Und die Backups dann nur von der Vault aus gelöscht werdenen können

Wenn dann das Backup NAS komplett andere Zugangsdaten hat , dann ist das schon sehr sicher . Dann kommt ein Angreifer nicht mehr weiter,.

 

[Benie]

Habt ihr nicht so viele Versionen?

Ich habe es so eingestellt, daß 180 Versionen laufen und die dann teilweise bis 5 Jahre zurück greifbar sind. Letzere, dann halt nur noch 5 Jahre 1 pro Jahr, dann 3 Jahre 1 pro Monat und der Rest für 4 Monate tägliches Backup. Sichere die komplette HDD, Speicherplatzverbrauch auf der Backup HDD kaum größer als im Original.

 

[plang.pl]

Wenn ein Client mit Admin Rechten einfach das Paket Snapshot Replikation löscht, habe ich dann nicht das gleiche Problem?

Nein, selbst nach Deinstallieren der Snapshot Replication bleiben die Snapshots erhalten. Aber darum geht es nicht. Edit: Ein Client kann niemals Pakete deinstallieren. Das geht nur im DSM. Es sei denn, der ssh Zugang ist offen und der Client macht es darüber. Es geht darum, dass du Hyper Backup Dateien über einen SMB / AFP / FTP Zugang durch den Client löschen kannst, während du die Snapshots nur im DSM löschen kannst. Ein Hyper Backup ist letzten Endes ja nur eine Datei. Ein Snapshot ist aber eine Sicherung auf Dateisystemebene.
Das gilt natürlich nur, wenn der Client Zugriff auf das Backup Medium hat. Wenn du zB ein Backup NAS hast, wo am Client keine Zugangsdaten für SMB hinterlegt sind, kann die Ransomware da natürlich auch nicht ran. Gleiches gilt, wenn eine externe HDD am NAS hängt und der Benutzer, mit dem du dich am Client via SMB verbindest, dorthin keine Schreibrechte hat (eingestellt im DSM).

Unter "Replikation" brauche ich nichts einstellen?

Genau. Zu aller erst erstellst du ja ohnehin immer den Snapshot auf dem Haupt NAS. Mit der Replikation kannst du diesen lediglich auf eine andere NAS übertragen, wo er aber dann logischerweise auch Speicher belegt.

Habt ihr nicht so viele Versionen?

Nein. Und wenn du das nutzen möchtest, würd ich dir empfehlen, dass so zu machen wie @Benie. Denn wenn wie gesagt, wenn du weiter zurück willst, kommt es ja i.d.R. nicht mehr auf die Häufigkeit an

 

[JuliusCaesar]

ah vielen Dank für eure Klarstellungen. Ok verstehe bei HB habe ich eine Containerdatei (die ich auch löschen kann) bei den Snapshots geht das löschen nur via DSM.
Ich habe gerade nochmal geschaut auf dem Remote NAS sind nur Ports für die Survailance Station, OpenVPN und Hyperbackup Vault offen.
Der FTP Dienst läuft gar nicht erst auf dem Remote NAS, SMB Dienst ist zwar aktiv, aber es ist kein Port offen.
Nur Hyper Backup kennt die Zugangsdaten fürs Remote NAS (es sind auch andere wie auf dem Haupt NAS). Von daher dürfte das doch sicher sein, oder?

Aber nichtsdestotrotz werde ich noch Snapshots mitlaufen lassen. Bisher habe ich noch genügend Speicher, das mit dem Immutable in DSM 7.2 klingt auch sehr interessant.


Vielleicht reduziere ich echt mal die HB Versionen

 

[plang.pl]

Naja du kannst in Hyper Backup auch als Einzelversion sichern, dann hast du keine Containerdatei, sondern 1:1 den Datenbestand an das Sicherungsziel kopiert. Aber auch das könnte man einfach löchen.

Von daher dürfte das doch sicher sein, oder?

Absolut. Hatte ja oben geschrieben, dass das Risiko nur gilt, wenn der Client SMB / FTP / AFP Zugriff auf das Backup-Medium hat. Theoretisch wäre es jetzt möglich, das Backup zu verschlüsseln, wenn sich eben Ransomware auf der DS einnistet. Das könnte man umschiffen, in dem man Active Backup nutzt. Aber wie gesagt, so ein Fall ist mir nicht bekannt und technisch ist das sagen wir mal sehr schwierig. Es müsste eine Ransomware sein, die für die DS programmiert wurde.
Das wahrscheinlichere Szenario wäre, wenn sich eine Malware per ssh mit der Haupt DS verbindet. root Rechte erlangt und dann auf die zweite DS zugreift. Aber auch da müsste die Malware erst mal das Passwort von Hyper Backup auslesen. Also schon auch weit an den Haaren herbeigezogen.

 

[JuliusCaesar]

Alles klar, vielen Dank für die ganzen Informationen. Ich werde jetzt 2 Gleisig fahren. Mit HB und Snapshots, die aber nur lokal gespeichert werden

 

[plang.pl]

Solange du den Speicherplatz hast, ist das eine gute Option