Archiv:Verschlüsseltes Backup - Versionsgeschichte

Tommes: Tommes verschob die Seite Verschlüsseltes Backup nach Archiv:Verschlüsseltes Backup

2025-03-15T07:31:35Z

Tommes verschob die Seite Verschlüsseltes Backup nach Archiv:Verschlüsseltes Backup

← Nächstältere Version	Version vom 15. März 2025, 07:31 Uhr
(kein Unterschied)

imported>Hutauf: /* Vorgehen */

2013-01-27T19:56:28Z

Vorgehen

← Nächstältere Version		Version vom 27. Januar 2013, 19:56 Uhr
Zeile 26:		Zeile 26:
	:(alles in einer Zeile)		:(alles in einer Zeile)

	:Im Verzeichnis "@~~backu~~@" landen die verschlüsselten Daten, daher sollte man dort selber nichts anfassen. Der Zugriff erfolgt über das Verzeichnis "backup".		:Im Verzeichnis "@backup@" landen die verschlüsselten Daten, daher sollte man dort selber nichts anfassen. Der Zugriff erfolgt über das Verzeichnis "backup".

	'''5. Durchführen des Backups.'''		'''5. Durchführen des Backups.'''
Zeile 33:		Zeile 33:
	'''6. Das verschlüsselte Dateisystem aushängen''', wenn das Backup abgeschlossen ist und der Datenträger entfernt werden soll.		'''6. Das verschlüsselte Dateisystem aushängen''', wenn das Backup abgeschlossen ist und der Datenträger entfernt werden soll.
	<pre style="margin-left:20px">DS> /bin/umount /volumeSATA/satashare/backup/</pre>		<pre style="margin-left:20px">DS> /bin/umount /volumeSATA/satashare/backup/</pre>


	== Fertiges Script ==		== Fertiges Script ==

imported>Merthos: vereinfacht, Passwort direkt im Skript angeben

2012-12-20T18:10:12Z

vereinfacht, Passwort direkt im Skript angeben

← Nächstältere Version		Version vom 20. Dezember 2012, 18:10 Uhr
Zeile 10:		Zeile 10:

	== Vorgehen ==		== Vorgehen ==
	'''1. ~~Erstellen eines verschlüsselten Ordners~~'''~~, ganz normal übers [[Verschlüsselung gemeinsamer Ordner\|DSM]].~~		'''1. Die externe Platte anhängen.'''

	~~:Der Name ist egal, wir brauchen davon nur den Schlüssel, daher kann der Ordner auch versteckt werden und es braucht auch keiner Rechte drauf. Wichtig ist, den Ordner zu verschlüsseln.~~ '''~~Das verwendete Passwort~~''' ~~sollte man sich '''gut merken''', da man es im Falle eines Ausfalls der DS wieder benötigt.~~		'''2. Konsole auf die DS öffnen.'''

	~~:Da der Schlüssel nur für die externen Platten verwendet wird, kann er auch dauerhaft auf der DS liegen. Dieser Ordner darf nicht gelöscht werden, weil dann auch der Schlüssel verloren geht.~~		'''3. Auf der externen Platte die notwendigen Verzeichnisse anlegen.'''

	~~:Dieser Schritt ist nur ein einziges Mal durchzuführen.~~

	:Anmerkung: Die Schlüsselverwaltung ist scheinbar etwas fragil. Änderungen an den Freigaben können dazu führen, dass der <code>mount</code>-Befehl nicht mehr funktioniert (mit der nichtssagenden Fehlermeldung "No such file or directory"). In dem Fall den Ordner löschen und erneut anlegen.

	~~'''2. Die externe Platte anhängen.'''~~

	'''3~~. Konsole auf die DS öffnen.'''~~

	~~4'''~~. Auf der externen Platte die notwendigen Verzeichnisse anlegen.'''
	<pre style="margin-left:20px">DS> cd /volumeSATA/satashare/		<pre style="margin-left:20px">DS> cd /volumeSATA/satashare/
	DS> mkdir @backup@		DS> mkdir @backup@
	DS> mkdir backup</pre>		DS> mkdir backup</pre>

	:~~Auch dieser~~ Schritt ist nur ~~ein einziges~~ Mal durchzuführen.		:Dieser Schritt ist nur beim ersten Mal durchzuführen.

	'''5. Das verschlüsselte Dateisystem mounten.'''		'''4. Das verschlüsselte Dateisystem mounten.'''
	~~:Die notwendigen Daten erfährt man durch die Eingabe von "<code>mount</code>".~~		<pre style="margin-left:20px">DS> /usr/syno/sbin/mount.ecryptfs /volumeSATA/satashare/@backup@ /volumeSATA/satashare/backup
	<pre style="margin-left:20px">DS> mount		-o ecryptfs_cipher=aes,ecryptfs_key_bytes=32,ecryptfs_passthrough=n,no_sig_cache,ecryptfs_enable_filename_crypto,passwd=PASSWORD</pre>
	...		:(alles in einer Zeile)
	/~~volume1~~/@~~test~~@ on /~~volume1~~/~~test type ecryptfs (rw,ecryptfs_sig=d1a01d50c3f21e00,~~
	~~ecryptfs_fnek_sig=d1a01d50c3f21e00,~~ecryptfs_cipher=aes,ecryptfs_key_bytes=32)</pre>
	:(~~Die~~ Zeile wurde zur besseren Lesbarkeit umgebrochen. Anstelle von "test" den oben angelegten Ordnernamen suchen. Die Buchstaben-Ziffer-Kombination - im Beispiel "<code>d1a01d50c3f21e00</code>" - hängt vom jeweiligen Passwort ab.)

	~~:Relevant ist der Teil in Klammern. Daraus ergibt sich dann folgender Befehl (alles in einer Zeile):~~
	~~<pre style="margin-left:20px">DS> mount -t ecryptfs /volumeSATA/satashare/@backup@ /volumeSATA/satashare/backup -o rw,ecryptfs_sig=d1a01d50c3f21e00,~~
	~~ecryptfs_fnek_sig=d1a01d50c3f21e00,ecryptfs_cipher=aes,ecryptfs_key_bytes=32</pre>~~
	:Im Verzeichnis "@backu@" landen die verschlüsselten Daten, daher sollte man dort selber nichts anfassen. Der Zugriff erfolgt über das Verzeichnis "backup".		:Im Verzeichnis "@backu@" landen die verschlüsselten Daten, daher sollte man dort selber nichts anfassen. Der Zugriff erfolgt über das Verzeichnis "backup".

	'''6. Durchführen des Backups.''''		'''5. Durchführen des Backups.'''
	:Jetzt kann man in "<code>/volumeSATA/satashare/backup</code>" ein Backup durchführen, hierbei kann man das Backupprogamm seiner Wahl verwenden ([[Backup über RSync auf einen angeschlossenen Datenträger\|rsync]], [[Rsnapshot\|rsnapshot]] oder was auch immer).		:Jetzt kann man in "<code>/volumeSATA/satashare/backup</code>" ein Backup durchführen, hierbei kann man das Backupprogamm seiner Wahl verwenden ([[Backup über RSync auf einen angeschlossenen Datenträger\|rsync]], [[Rsnapshot\|rsnapshot]] oder was auch immer).

	'''7. Das verschlüsselte Dateisystem aushängen''', wenn das Backup abgeschlossen ist und der Datenträger entfernt werden soll.		'''6. Das verschlüsselte Dateisystem aushängen''', wenn das Backup abgeschlossen ist und der Datenträger entfernt werden soll.
	<pre style="margin-left:20px">DS> umount /volumeSATA/satashare/backup/</pre>		<pre style="margin-left:20px">DS> /bin/umount /volumeSATA/satashare/backup/</pre>


	== Fertiges Script ==		== Fertiges Script ==
	Das folgende Script automatisiert den kompletten Vorgang (die Punkte 5. bis 7), zusätzlich mit:		Das folgende Script automatisiert den kompletten Vorgang (die Punkte 4. bis 6.), zusätzlich mit:
	* automatisches Ausführen beim Anstecken der Platte (mittels [http://www.synology-forum.de/showthread.html?t=18360 autorun])		* automatisches Ausführen beim Anstecken der Platte (mittels [http://www.synology-forum.de/showthread.html?t=18360 autorun])
	* Fehlerprüfungen		* Fehlerprüfungen
Zeile 83:		Zeile 67:
	echo "" >> $logfile		echo "" >> $logfile

	/~~bin~~/mount -t ecryptfs $device/@backup@ $device/backup \		/usr/syno/sbin/mount.ecryptfs $device/@backup@ $device/backup \
	-o rw,~~ecryptfs_sig~~=~~d1a01d50c3f21e00~~,~~ecryptfs_fnek_sig~~=~~d1a01d50c3f21e00~~,~~ecryptfs_cipher=aes~~,~~ecryptfs_key_bytes~~=32		-o ecryptfs_cipher=aes,ecryptfs_key_bytes=32,ecryptfs_passthrough=n,no_sig_cache,ecryptfs_enable_filename_crypto,passwd=PASSWORD
	if [ $? -eq 0 ]		if [ $? -eq 0 ]
	then		then
Zeile 134:		Zeile 118:
	Die folgenden Stellen muss man ggf. anpassen:		Die folgenden Stellen muss man ggf. anpassen:
	* 2. Script - "<code>/volume1/backup/backup-sata-`date +%Y-%V`.log</code>": Das ist die Logdatei. Hier muss ggf. der Pfad angepasst werden.		* 2. Script - "<code>/volume1/backup/backup-sata-`date +%Y-%V`.log</code>": Das ist die Logdatei. Hier muss ggf. der Pfad angepasst werden.
	* 2. Script - "<code>~~d1a01d50c3f21e00~~</code>": Das ~~ist der Schlüssel. Da er vom verwendeten~~ Passwort ~~abhängt muss er entsprechend angepasst werden~~.		* 2. Script - "<code>PASSWORD</code>": Das Passwort für die Verschlüsselung.
	* 2. Script - "<code>synomail ...</code>": Die Mailbenachrichtigung erfolgt über die eingebaute Funktion der DS, also muss sie auch in der Systemsteuerung konfiguriert sein. Die Texte sind in "/usr/syno/synoman/webman/texts/ger/mails" (bzw. die Sprache, die für die DS eingestellt ist), hier müssten die beiden Einträge "SATABackupFailed" und "SATABackupSuccess" hinzugefügt werden. Alternativ die Zeilen rausnehmen (keine Mail) oder durch eine [[Statusmail von der Diskstation\|alternative Variante]] ersetzen.		* 2. Script - "<code>synomail ...</code>": Die Mailbenachrichtigung erfolgt über die eingebaute Funktion der DS, also muss sie auch in der Systemsteuerung konfiguriert sein. Die Texte sind in "/usr/syno/synoman/webman/texts/ger/mails" (bzw. die Sprache, die für die DS eingestellt ist), hier müssten die beiden Einträge "SATABackupFailed" und "SATABackupSuccess" hinzugefügt werden. Alternativ die Zeilen rausnehmen (keine Mail) oder durch eine [[Statusmail von der Diskstation\|alternative Variante]] ersetzen.
	* 3. Script: Dieses muss man an seine Gegebenheiten anpassen, welches Backupprogramm, welche Verzeichnisse, .... Wichtig ist, dass immer absolute Pfadangaben zu den Programmen verwendet werden müssen, da bei Ausführen der Suchpfad ggf. eingeschränkt ist.		* 3. Script: Dieses muss man an seine Gegebenheiten anpassen, welches Backupprogramm, welche Verzeichnisse, .... Wichtig ist, dass immer absolute Pfadangaben zu den Programmen verwendet werden müssen, da bei Ausführen der Suchpfad ggf. eingeschränkt ist.


	~~'''Getestet mit'''~~
	* [[Benutzer:Merthos\|Merthos]]: DS1010 - DSM 2.3, externe Platte am eSATA-Anschluss (LogiLink QuickPort Docking Station) - ohne Auswerfen der Platte
	* [[Benutzer:Merthos\|Merthos]]: DS1010 - DSM 3.0, externe Platte am eSATA-Anschluss (LogiLink QuickPort Docking Station)


	== Wiederherstellung ==		== Wiederherstellung ==
	'''Sofern auf ~~der~~ DS ~~noch alles OK ist~~''' ~~(ursprünglicher verschlüsselter Ordner noch vorhanden):~~		'''Sofern man Zugriff auf eine DS hat'''

	1. Externe Platte anhängen.		1. Externe Platte anhängen.
Zeile 151:		Zeile 130:
	2. Konsole auf die DS öffnen.		2. Konsole auf die DS öffnen.

	3. Das verschlüsselte Dateisystem mounten.		3. Das verschlüsselte Dateisystem mounten (siehe oben).
	~~<pre style="margin-left:20px">DS> mount -t ecryptfs /volumeSATA/satashare/@backup@ /volumeSATA/satashare/backup -o rw,ecryptfs_sig=d1a01d50c3f21e00,~~
	~~ecryptfs_fnek_sig=d1a01d50c3f21e00,ecryptfs_cipher=aes,ecryptfs_key_bytes=32</pre>~~

	4. Daten aus "<code>/volumeSATA/satashare/backup</code>" wiederherstellen, manuell kopieren oder wieder rsync, ....		4. Daten aus "<code>/volumeSATA/satashare/backup</code>" wiederherstellen, manuell kopieren oder wieder rsync, ....

	5. Nach Abschluss das verschlüsselte Dateisystem wieder aushängen.		5. Nach Abschluss das verschlüsselte Dateisystem wieder aushängen (siehe oben).
	~~<pre style="margin-left:20px">DS> umount /volumeSATA/satashare/backup/</pre>~~


	~~'''Wenn der verschlüssselter Ordner auf der DS weg ist bzw. man eine neue DS hat'''~~

	~~1. Verschlüsselten Ordner übers DSM anlegen. Hierbei das gleiche Passwort wie ursprünglich eingeben.~~

	~~2. Punkte 1-5 wie vorstehend~~.

imported>RudiWiesmayr am 24. Mai 2012 um 14:07 Uhr

2012-05-24T14:07:25Z

← Nächstältere Version		Version vom 24. Mai 2012, 14:07 Uhr
Zeile 1:		Zeile 1:
			[[Category:Backup and Recovery]]
	Die hier beschriebenen Methode dient zur Verschlüssung eines Backups mit Hilfe von [https://launchpad.net/ecryptfs eCryptfs]. Dieses ist seit DSM 2.3 mit in der Standard-Firmware enthalten. Sie kann prinzipiell für alle an der DS angeschlossenen Datenträger verwendet werden (interne, USB, eSATA).		Die hier beschriebenen Methode dient zur Verschlüssung eines Backups mit Hilfe von [https://launchpad.net/ecryptfs eCryptfs]. Dieses ist seit DSM 2.3 mit in der Standard-Firmware enthalten. Sie kann prinzipiell für alle an der DS angeschlossenen Datenträger verwendet werden (interne, USB, eSATA).

imported>Raymond: /* Wiederherstellung */ typo

2011-07-27T13:23:32Z

Wiederherstellung: typo

← Nächstältere Version		Version vom 27. Juli 2011, 13:23 Uhr
Zeile 144:		Zeile 144:

	== Wiederherstellung ==		== Wiederherstellung ==
	'''Sofern auf der DS noch alles OK ist''' (ursprünglicher ~~verschlüssselter~~ Ordner noch vorhanden):		'''Sofern auf der DS noch alles OK ist''' (ursprünglicher verschlüsselter Ordner noch vorhanden):

	1. Externe Platte anhängen.		1. Externe Platte anhängen.

imported>Merthos: umgestellt auf autorun

2011-02-12T09:18:58Z

umgestellt auf autorun

← Nächstältere Version		Version vom 12. Februar 2011, 09:18 Uhr
Zeile 52:		Zeile 52:
	== Fertiges Script ==		== Fertiges Script ==
	Das folgende Script automatisiert den kompletten Vorgang (die Punkte 5. bis 7), zusätzlich mit:		Das folgende Script automatisiert den kompletten Vorgang (die Punkte 5. bis 7), zusätzlich mit:
			* automatisches Ausführen beim Anstecken der Platte (mittels [http://www.synology-forum.de/showthread.html?t=18360 autorun])
	* Fehlerprüfungen		* Fehlerprüfungen
	* Logging (es wird eine Logdatei pro Woche angelegt)		* Logging (es wird eine Logdatei pro Woche angelegt)
	* Mailbenachrichtigung		* Mailbenachrichtigung
	* Auswerfen des Datenträgers nach Abschluss ~~des Backups~~		* Auswerfen des Datenträgers nach Abschluss


	Das ~~erste Script findet sich auf der DS und steuert das Mounten~~:		Das Backup wird mittels [http://www.synology-forum.de/showthread.html?t=18360 autorun] gestartet. Daher brauchen wir ein passendes autorun-Skript (<code>/volumeSATA/satashare/autorun</code>):
	<pre style="margin-left:20px">#!/bin/sh		<pre style="margin-left:20px">#!/bin/sh
			/volume1/backupSATA $1
			exit $?</pre>
			Dieses startet das Mount-Skript, welches sich auf der DS befindet (weil dort Angaben zur Verschlüsselung drin sind).

	~~logfile="/volume1/backup/backup-sata-`date +%Y-%V`.log"~~
	~~device="/volumeSATA/satashare"~~

	if [ -e $~~device/do.backup~~ ]		Das zweite Script findet sich auf der DS (<code>/volume1/backupSATA</code>) und steuert das Mounten:
			<pre style="margin-left:20px">#!/bin/sh

			if [ -z "$1" ]
	then		then
	~~echo "device connected, starting backup"~~		exit 1
	~~else~~
	~~echo "no device connected, aborting backup"~~
	~~return~~
	fi		fi

			logfile="/volume1/backup/backup-sata-`date +%Y-%V`.log"
			device=$1

	echo "########################################################################" >> $logfile		echo "########################################################################" >> $logfile
Zeile 77:		Zeile 82:
	echo "" >> $logfile		echo "" >> $logfile

	mount -t ecryptfs $device/@backup@ $device/backup \		/bin/mount -t ecryptfs $device/@backup@ $device/backup \
	-o rw,ecryptfs_sig=d1a01d50c3f21e00,ecryptfs_fnek_sig=d1a01d50c3f21e00,ecryptfs_cipher=aes,ecryptfs_key_bytes=32		-o rw,ecryptfs_sig=d1a01d50c3f21e00,ecryptfs_fnek_sig=d1a01d50c3f21e00,ecryptfs_cipher=aes,ecryptfs_key_bytes=32
	if [ $? -eq 0 ]		if [ $? -eq 0 ]
Zeile 85:		Zeile 90:
	echo "Error while mounting the encrypted filesystem" >> $logfile		echo "Error while mounting the encrypted filesystem" >> $logfile
	echo "" >> $logfile		echo "" >> $logfile
	synomail SATABackupFailed		/usr/syno/bin/synomail SATABackupFailed
	~~return~~		exit 1
	fi		fi

Zeile 95:		Zeile 100:
	echo "" >> $logfile		echo "" >> $logfile

	umount $device/backup >> $logfile		/bin/umount $device/backup >> $logfile
	if [ $? -eq 0 ]		if [ $? -eq 0 ]
	then		then
Zeile 102:		Zeile 107:
	echo "Error while unmounting the encrypted filesystem" >> $logfile		echo "Error while unmounting the encrypted filesystem" >> $logfile
	echo "" >> $logfile		echo "" >> $logfile
	synomail SATABackupFailed		/usr/syno/bin/synomail SATABackupFailed
	~~return~~		exit 1
	fi		fi

	echo "" >> $logfile		echo "" >> $logfile
	df -h $device >> $logfile		/bin/df -h $device >> $logfile
	echo "" >> $logfile		echo "" >> $logfile
	echo "Backup finished on `date +%Y-%m-%d` `date +%k:%M:%S`" >> $logfile		echo "Backup finished on `date +%Y-%m-%d` `date +%k:%M:%S`" >> $logfile
	echo "" >> $logfile		echo "" >> $logfile

	~~synosata -umount sdg1~~		/usr/syno/bin/synomail SATABackupSuccess
	~~if [ $? -eq 0 ]~~		exit 100</pre>
	~~then~~
	~~echo "Drive unmounted" >> $logfile~~
	~~echo "" >> $logfile~~
	~~else~~
	~~echo "Error while unmounting the drive" >> $logfile~~
	~~echo "" >> $logfile~~
	~~synomail SATABackupFailed~~
	~~return~~
	fi
	~~echo 1 > /sys~~/~~block~~/~~sdg~~/~~device~~/~~delete~~

	synomail SATABackupSuccess</pre>


	Das ~~zweite~~ Script findet sich auf der Platte selbst ("<code>/volumeSATA/satashare/backup/run.backup</code>"). Dadurch können verschiedene Platten mit unterschiedlichen Backupaufgaben verwenden werden. Zusätzlich dient die Datei "<code>/volumeSATA/satashare/do.backup</code>" als Sicherheitsmechanismus. Wenn diese nicht existert, passiert auch nicht, für den Fall, dass mal eine andere Platte angeschlossen ist.		Das dritte Script findet sich auf der Platte selbst ("<code>/volumeSATA/satashare/backup/run.backup</code>"). Dadurch können verschiedene Platten mit unterschiedlichen Backupaufgaben verwenden werden.
	<pre style="margin-left:20px">echo ""		<pre style="margin-left:20px">echo ""
	echo "-- homes ---------------------------------------------------------------"		echo "-- homes ---------------------------------------------------------------"
	rsync -avh --delete --exclude=#recycle --exclude=Thumbs.db /volume1/homes/ $1/backup/homes		/usr/syno/bin/rsync -avh --delete --exclude=#recycle --exclude=Thumbs.db /volume1/homes/ $1/backup/homes

	...</pre>		...</pre>
Zeile 139:		Zeile 132:

	Die folgenden Stellen muss man ggf. anpassen:		Die folgenden Stellen muss man ggf. anpassen:
	* 1. Script - "<code>/volume1/backup/backup-sata-`date +%Y-%V`.log</code>": Das ist die Logdatei. Hier muss ggf. der Pfad angepasst werden.		* 2. Script - "<code>/volume1/backup/backup-sata-`date +%Y-%V`.log</code>": Das ist die Logdatei. Hier muss ggf. der Pfad angepasst werden.
	* ~~1. Script - "<code>/volumeSATA/satashare</code>: Dies ist das Gerät, auf dem die Backups landen sollen. An dem Pfad müssen sich die beiden Verzeichnisse "@backu@" und "backup" befinden.~~		* 2. Script - "<code>d1a01d50c3f21e00</code>": Das ist der Schlüssel. Da er vom verwendeten Passwort abhängt muss er entsprechend angepasst werden.
	* 1. Script - "<code>d1a01d50c3f21e00</code>": Das ist der Schlüssel. Da er vom verwendeten Passwort abhängt muss er entsprechend angepasst werden.		* 2. Script - "<code>synomail ...</code>": Die Mailbenachrichtigung erfolgt über die eingebaute Funktion der DS, also muss sie auch in der Systemsteuerung konfiguriert sein. Die Texte sind in "/usr/syno/synoman/webman/texts/ger/mails" (bzw. die Sprache, die für die DS eingestellt ist), hier müssten die beiden Einträge "SATABackupFailed" und "SATABackupSuccess" hinzugefügt werden. Alternativ die Zeilen rausnehmen (keine Mail) oder durch eine [[Statusmail von der Diskstation\|alternative Variante]] ersetzen.
	* 1. Script - "<code>synomail ...</code>": Die Mailbenachrichtigung erfolgt über die eingebaute Funktion der DS, also muss sie auch in der Systemsteuerung konfiguriert sein. Die Texte sind in "/usr/syno/synoman/webman/texts/ger/mails" (bzw. die Sprache, die für die DS eingestellt ist), hier müssten die ~~beiden~~ beiden Einträge "SATABackupFailed" und "SATABackupSuccess" hinzugefügt werden. Alternativ die Zeilen rausnehmen (keine Mail) oder durch eine [[Statusmail von der Diskstation\|alternative Variante]] ersetzen.		* 3. Script: Dieses muss man an seine Gegebenheiten anpassen, welches Backupprogramm, welche Verzeichnisse, .... Wichtig ist, dass immer absolute Pfadangaben zu den Programmen verwendet werden müssen, da bei Ausführen der Suchpfad ggf. eingeschränkt ist.
	* 1. Script - "<code>synosata -umount sdg1</code>" + der darauf folgende if-Block + "<code>echo 1 > /sys/block/sdg/device/delete</code>": Damit wird die externe Platte am eSATA-Anschluss [http://www.synology-forum.de/showthread.html?t=17384 ausgeworfen]. Das ist ein nicht offiziell von Synology unterstützter Befehl, kann also in zukünftigen Versionen ggf. nicht mehr funktionieren.
	* 2. Script: Dieses muss man an seine Gegebenheiten anpassen, welches Backupprogramm, welche Verzeichnisse, ....

imported>Merthos: Anmerkungen

2011-02-07T17:47:48Z

Anmerkungen

← Nächstältere Version		Version vom 7. Februar 2011, 17:47 Uhr
Zeile 16:		Zeile 16:

	:Dieser Schritt ist nur ein einziges Mal durchzuführen.		:Dieser Schritt ist nur ein einziges Mal durchzuführen.

			:Anmerkung: Die Schlüsselverwaltung ist scheinbar etwas fragil. Änderungen an den Freigaben können dazu führen, dass der <code>mount</code>-Befehl nicht mehr funktioniert (mit der nichtssagenden Fehlermeldung "No such file or directory"). In dem Fall den Ordner löschen und erneut anlegen.

	'''2. Die externe Platte anhängen.'''		'''2. Die externe Platte anhängen.'''

imported>Merthos: link geändert

2011-02-06T15:34:14Z

link geändert

← Nächstältere Version		Version vom 6. Februar 2011, 15:34 Uhr
Zeile 176:		Zeile 176:
	'''Wenn man keine DS mehr besitzt'''		'''Wenn man keine DS mehr besitzt'''

	Wie [~~http://forum.synology.com/enu/viewtopic.php?p=89581#p91990~~ hier beschrieben] vorgehen. Auch hierbei ist das ursprünglich eingegebene Passwort notwendig.		Wie [[Wiederherstellen verschlüsselter Ordner\|hier beschrieben]] vorgehen. Auch hierbei ist das ursprünglich eingegebene Passwort notwendig.

	__NOTOC__		__NOTOC__

imported>Merthos: Sauberes Trennen der SATA-Platte ergänzt

2011-02-06T14:08:09Z

Sauberes Trennen der SATA-Platte ergänzt

← Nächstältere Version		Version vom 6. Februar 2011, 14:08 Uhr
Zeile 121:		Zeile 121:
	return		return
	fi		fi
			echo 1 > /sys/block/sdg/device/delete

	synomail SATABackupSuccess</pre>		synomail SATABackupSuccess</pre>
Zeile 140:		Zeile 141:
	* 1. Script - "<code>d1a01d50c3f21e00</code>": Das ist der Schlüssel. Da er vom verwendeten Passwort abhängt muss er entsprechend angepasst werden.		* 1. Script - "<code>d1a01d50c3f21e00</code>": Das ist der Schlüssel. Da er vom verwendeten Passwort abhängt muss er entsprechend angepasst werden.
	* 1. Script - "<code>synomail ...</code>": Die Mailbenachrichtigung erfolgt über die eingebaute Funktion der DS, also muss sie auch in der Systemsteuerung konfiguriert sein. Die Texte sind in "/usr/syno/synoman/webman/texts/ger/mails" (bzw. die Sprache, die für die DS eingestellt ist), hier müssten die beiden beiden Einträge "SATABackupFailed" und "SATABackupSuccess" hinzugefügt werden. Alternativ die Zeilen rausnehmen (keine Mail) oder durch eine [[Statusmail von der Diskstation\|alternative Variante]] ersetzen.		* 1. Script - "<code>synomail ...</code>": Die Mailbenachrichtigung erfolgt über die eingebaute Funktion der DS, also muss sie auch in der Systemsteuerung konfiguriert sein. Die Texte sind in "/usr/syno/synoman/webman/texts/ger/mails" (bzw. die Sprache, die für die DS eingestellt ist), hier müssten die beiden beiden Einträge "SATABackupFailed" und "SATABackupSuccess" hinzugefügt werden. Alternativ die Zeilen rausnehmen (keine Mail) oder durch eine [[Statusmail von der Diskstation\|alternative Variante]] ersetzen.
	* 1. Script - "<code>synosata -umount sdg1</code>" + der darauf folgende if-Block: Damit wird die externe Platte am eSATA-Anschluss ~~ausgeworfen~~. ~~Ob das wirklich so gedacht ist, kann ich nicht sagen, bislang hatte ich damit unter DSM 3~~.~~0 keine Probleme~~. ~~Mit DSM 2~~.~~3 hat sich die Kiste aber vollkommen aufgehängt, so dass nur~~ ein ~~reset übrig blieb~~, ~~von daher~~ also ~~Benutzung auf eigene Gefahr~~. ~~Im Zweifel rausnehmen. Für USB gibt es das passende "<code>synousb</code>" (ungetestet)~~.		* 1. Script - "<code>synosata -umount sdg1</code>" + der darauf folgende if-Block + "<code>echo 1 > /sys/block/sdg/device/delete</code>": Damit wird die externe Platte am eSATA-Anschluss [http://www.synology-forum.de/showthread.html?t=17384 ausgeworfen]. Das ist ein nicht offiziell von Synology unterstützter Befehl, kann also in zukünftigen Versionen ggf. nicht mehr funktionieren.
	* 2. Script: Dieses muss man an seine Gegebenheiten anpassen, welches Backupprogramm, welche Verzeichnisse, ....		* 2. Script: Dieses muss man an seine Gegebenheiten anpassen, welches Backupprogramm, welche Verzeichnisse, ....


	'''Getestet mit'''		'''Getestet mit'''
	* [[Benutzer:Merthos\|Merthos]]: DS1010 - DSM 2.3, externe Platte am eSATA-Anschluss (LogiLink QuickPort Docking Station) - ohne ~~"synosata"~~		* [[Benutzer:Merthos\|Merthos]]: DS1010 - DSM 2.3, externe Platte am eSATA-Anschluss (LogiLink QuickPort Docking Station) - ohne Auswerfen der Platte
	* [[Benutzer:Merthos\|Merthos]]: DS1010 - DSM 3.0, externe Platte am eSATA-Anschluss (LogiLink QuickPort Docking Station)		* [[Benutzer:Merthos\|Merthos]]: DS1010 - DSM 3.0, externe Platte am eSATA-Anschluss (LogiLink QuickPort Docking Station)

Zeile 175:		Zeile 176:
	'''Wenn man keine DS mehr besitzt'''		'''Wenn man keine DS mehr besitzt'''

	Wie [http://forum.synology.com/enu/viewtopic.php?p=89581#p91990\|hier beschrieben] vorgehen. Auch hierbei ist das ursprünglich eingegebene Passwort notwendig.		Wie [http://forum.synology.com/enu/viewtopic.php?p=89581#p91990 hier beschrieben] vorgehen. Auch hierbei ist das ursprünglich eingegebene Passwort notwendig.

	__NOTOC__		__NOTOC__

imported>Merthos: vom Forum übertragen

2010-10-22T11:55:27Z

vom Forum übertragen

Neue Seite

Die hier beschriebenen Methode dient zur Verschlüssung eines Backups mit Hilfe von [https://launchpad.net/ecryptfs eCryptfs]. Dieses ist seit DSM 2.3 mit in der Standard-Firmware enthalten. Sie kann prinzipiell für alle an der DS angeschlossenen Datenträger verwendet werden (interne, USB, eSATA).

== Voraussetzungen ==
* [[Verschlüsselung gemeinsamer Ordner|DiskStation mit Unterstützung für verschlüsselte Ordner]]
* [[Die Kommandozeile|Zugriff auf die Konsole (Telnet / SSH)]]
* einen entsprechenden Datenträger für das Backup (in den folgenden Beschreibungen wird eine externe Platte am eSATA-Anschluss als Beispiel verwendet - <code>/volumeSATA/satashare/</code>)

== Vorgehen ==
'''1. Erstellen eines verschlüsselten Ordners''', ganz normal übers [[Verschlüsselung gemeinsamer Ordner|DSM]].

:Der Name ist egal, wir brauchen davon nur den Schlüssel, daher kann der Ordner auch versteckt werden und es braucht auch keiner Rechte drauf. Wichtig ist, den Ordner zu verschlüsseln. '''Das verwendete Passwort''' sollte man sich '''gut merken''', da man es im Falle eines Ausfalls der DS wieder benötigt.

:Da der Schlüssel nur für die externen Platten verwendet wird, kann er auch dauerhaft auf der DS liegen. Dieser Ordner darf nicht gelöscht werden, weil dann auch der Schlüssel verloren geht.

:Dieser Schritt ist nur ein einziges Mal durchzuführen.

'''2. Die externe Platte anhängen.'''

'''3. Konsole auf die DS öffnen.'''

4'''. Auf der externen Platte die notwendigen Verzeichnisse anlegen.'''
<pre style="margin-left:20px">DS> cd /volumeSATA/satashare/
DS> mkdir @backup@
DS> mkdir backup</pre>

:Auch dieser Schritt ist nur ein einziges Mal durchzuführen.

'''5. Das verschlüsselte Dateisystem mounten.'''
:Die notwendigen Daten erfährt man durch die Eingabe von "<code>mount</code>".
<pre style="margin-left:20px">DS> mount
...
/volume1/@test@ on /volume1/test type ecryptfs (rw,ecryptfs_sig=d1a01d50c3f21e00,
ecryptfs_fnek_sig=d1a01d50c3f21e00,ecryptfs_cipher=aes,ecryptfs_key_bytes=32)</pre>
:(Die Zeile wurde zur besseren Lesbarkeit umgebrochen. Anstelle von "test" den oben angelegten Ordnernamen suchen. Die Buchstaben-Ziffer-Kombination - im Beispiel "<code>d1a01d50c3f21e00</code>" - hängt vom jeweiligen Passwort ab.)

:Relevant ist der Teil in Klammern. Daraus ergibt sich dann folgender Befehl (alles in einer Zeile):
<pre style="margin-left:20px">DS> mount -t ecryptfs /volumeSATA/satashare/@backup@ /volumeSATA/satashare/backup -o rw,ecryptfs_sig=d1a01d50c3f21e00,
ecryptfs_fnek_sig=d1a01d50c3f21e00,ecryptfs_cipher=aes,ecryptfs_key_bytes=32</pre>
:Im Verzeichnis "@backu@" landen die verschlüsselten Daten, daher sollte man dort selber nichts anfassen. Der Zugriff erfolgt über das Verzeichnis "backup".

'''6. Durchführen des Backups.''''
:Jetzt kann man in "<code>/volumeSATA/satashare/backup</code>" ein Backup durchführen, hierbei kann man das Backupprogamm seiner Wahl verwenden ([[Backup über RSync auf einen angeschlossenen Datenträger|rsync]], [[Rsnapshot|rsnapshot]] oder was auch immer).

'''7. Das verschlüsselte Dateisystem aushängen''', wenn das Backup abgeschlossen ist und der Datenträger entfernt werden soll.
<pre style="margin-left:20px">DS> umount /volumeSATA/satashare/backup/</pre>

== Fertiges Script ==
Das folgende Script automatisiert den kompletten Vorgang (die Punkte 5. bis 7), zusätzlich mit:
* Fehlerprüfungen
* Logging (es wird eine Logdatei pro Woche angelegt)
* Mailbenachrichtigung
* Auswerfen des Datenträgers nach Abschluss des Backups

Das erste Script findet sich auf der DS und steuert das Mounten:
<pre style="margin-left:20px">#!/bin/sh

logfile="/volume1/backup/backup-sata-`date +%Y-%V`.log"
device="/volumeSATA/satashare"

if [ -e $device/do.backup ]
then
echo "device connected, starting backup"
else
echo "no device connected, aborting backup"
return
fi

echo "########################################################################" >> $logfile
echo "" >> $logfile
echo "Starting backup on `date +%Y-%m-%d` `date +%k:%M:%S`" >> $logfile
echo "" >> $logfile

mount -t ecryptfs $device/@backup@ $device/backup \
-o rw,ecryptfs_sig=d1a01d50c3f21e00,ecryptfs_fnek_sig=d1a01d50c3f21e00,ecryptfs_cipher=aes,ecryptfs_key_bytes=32
if [ $? -eq 0 ]
then
echo "Encrypted filesystem mounted" >> $logfile
else
echo "Error while mounting the encrypted filesystem" >> $logfile
echo "" >> $logfile
synomail SATABackupFailed
return
fi

$device/backup/run.backup $device >> $logfile 2>&1

echo "" >> $logfile
echo "------------------------------------------------------------------------" >> $logfile
echo "" >> $logfile

umount $device/backup >> $logfile
if [ $? -eq 0 ]
then
echo "Encrypted filesystem unmounted" >> $logfile
else
echo "Error while unmounting the encrypted filesystem" >> $logfile
echo "" >> $logfile
synomail SATABackupFailed
return
fi

echo "" >> $logfile
df -h $device >> $logfile
echo "" >> $logfile
echo "Backup finished on `date +%Y-%m-%d` `date +%k:%M:%S`" >> $logfile
echo "" >> $logfile

synosata -umount sdg1
if [ $? -eq 0 ]
then
echo "Drive unmounted" >> $logfile
echo "" >> $logfile
else
echo "Error while unmounting the drive" >> $logfile
echo "" >> $logfile
synomail SATABackupFailed
return
fi

synomail SATABackupSuccess</pre>

Das zweite Script findet sich auf der Platte selbst ("<code>/volumeSATA/satashare/backup/run.backup</code>"). Dadurch können verschiedene Platten mit unterschiedlichen Backupaufgaben verwenden werden. Zusätzlich dient die Datei "<code>/volumeSATA/satashare/do.backup</code>" als Sicherheitsmechanismus. Wenn diese nicht existert, passiert auch nicht, für den Fall, dass mal eine andere Platte angeschlossen ist.
<pre style="margin-left:20px">echo ""
echo "-- homes ---------------------------------------------------------------"
rsync -avh --delete --exclude=#recycle --exclude=Thumbs.db /volume1/homes/ $1/backup/homes

...</pre>

'''Anmerkungen'''

Die folgenden Stellen muss man ggf. anpassen:
* 1. Script - "<code>/volume1/backup/backup-sata-`date +%Y-%V`.log</code>": Das ist die Logdatei. Hier muss ggf. der Pfad angepasst werden.
* 1. Script - "<code>/volumeSATA/satashare</code>: Dies ist das Gerät, auf dem die Backups landen sollen. An dem Pfad müssen sich die beiden Verzeichnisse "@backu@" und "backup" befinden.
* 1. Script - "<code>d1a01d50c3f21e00</code>": Das ist der Schlüssel. Da er vom verwendeten Passwort abhängt muss er entsprechend angepasst werden.
* 1. Script - "<code>synomail ...</code>": Die Mailbenachrichtigung erfolgt über die eingebaute Funktion der DS, also muss sie auch in der Systemsteuerung konfiguriert sein. Die Texte sind in "/usr/syno/synoman/webman/texts/ger/mails" (bzw. die Sprache, die für die DS eingestellt ist), hier müssten die beiden beiden Einträge "SATABackupFailed" und "SATABackupSuccess" hinzugefügt werden. Alternativ die Zeilen rausnehmen (keine Mail) oder durch eine [[Statusmail von der Diskstation|alternative Variante]] ersetzen.
* 1. Script - "<code>synosata -umount sdg1</code>" + der darauf folgende if-Block: Damit wird die externe Platte am eSATA-Anschluss ausgeworfen. Ob das wirklich so gedacht ist, kann ich nicht sagen, bislang hatte ich damit unter DSM 3.0 keine Probleme. Mit DSM 2.3 hat sich die Kiste aber vollkommen aufgehängt, so dass nur ein reset übrig blieb, von daher also Benutzung auf eigene Gefahr. Im Zweifel rausnehmen. Für USB gibt es das passende "<code>synousb</code>" (ungetestet).
* 2. Script: Dieses muss man an seine Gegebenheiten anpassen, welches Backupprogramm, welche Verzeichnisse, ....

'''Getestet mit'''
* [[Benutzer:Merthos|Merthos]]: DS1010 - DSM 2.3, externe Platte am eSATA-Anschluss (LogiLink QuickPort Docking Station) - ohne "synosata"
* [[Benutzer:Merthos|Merthos]]: DS1010 - DSM 3.0, externe Platte am eSATA-Anschluss (LogiLink QuickPort Docking Station)

== Wiederherstellung ==
'''Sofern auf der DS noch alles OK ist''' (ursprünglicher verschlüssselter Ordner noch vorhanden):

1. Externe Platte anhängen.

2. Konsole auf die DS öffnen.

3. Das verschlüsselte Dateisystem mounten.
<pre style="margin-left:20px">DS> mount -t ecryptfs /volumeSATA/satashare/@backup@ /volumeSATA/satashare/backup -o rw,ecryptfs_sig=d1a01d50c3f21e00,
ecryptfs_fnek_sig=d1a01d50c3f21e00,ecryptfs_cipher=aes,ecryptfs_key_bytes=32</pre>

4. Daten aus "<code>/volumeSATA/satashare/backup</code>" wiederherstellen, manuell kopieren oder wieder rsync, ....

5. Nach Abschluss das verschlüsselte Dateisystem wieder aushängen.
<pre style="margin-left:20px">DS> umount /volumeSATA/satashare/backup/</pre>

'''Wenn der verschlüssselter Ordner auf der DS weg ist bzw. man eine neue DS hat'''

1. Verschlüsselten Ordner übers DSM anlegen. Hierbei das gleiche Passwort wie ursprünglich eingeben.

2. Punkte 1-5 wie vorstehend.

'''Wenn man keine DS mehr besitzt'''

Wie [http://forum.synology.com/enu/viewtopic.php?p=89581#p91990|hier beschrieben] vorgehen. Auch hierbei ist das ursprünglich eingegebene Passwort notwendig.

__NOTOC__