Externes Backup per HBS3 (RTRR)

    Hallo in die Runde, ich möchte um eure Unterstützung bitten. Dazu ist's wohl ganz gut, zuerst mal die Konfiguration, Erfahrungen, das Ziel und meinen Kenntnisstand zu umreißen:


    Seit einiger Zeit nutze ich als Dateiserver in meinem Unternehmen zwei QNAP TS-932X und ein TS-832X (jeweils mit 8 GB RAM) und komme damit inzwischen soweit gut klar. Wir arbeiten im grafischen Gewerbe (Fotografie, Gestaltung, Digitaldruck), 12 Mitarbeiter arbeiten in Teams mit Adobe Software unter MacOS (über AFP) direkt am Server, klappt soweit prima.


    Die an sich einfachen Geräte mit dem Annapurna-64-Bit-Prozessor sind als reine Dateiserver angenehm flink, das 10 GBit-Netzwerk ist zumindest kein Nachteil, teuer waren die Dinger auch nicht wirklich. Eingebaut sind zwei 2-TB-SSDs im RAID-1 als "latenzfreies" Arbeitsvolume und zwei einzelne 8-TB-Festplatten für archivierte Daten und als Backupziel, im TS-832X gleich 8 Stück davon als RAID-5. Mit den Anwendungen Speicher & Snapshots, FileStation, QSirch und der Basis-Netzwerkkonfiguration im aktuellen QTS komme ich ganz gut zurecht, bin mit meinen gut 50 Jahren soweit computeraffin, solange es nicht allzusehr in die Tiefe geht.


    Das "normale" tägliche Backup ist eine kreuzweise Sicherung der Freigabeordner per HBS3 "Einwegsynchronisierung" mittels RTRR auf das jeweils andere Gerät. Es gibt auch weiter entfernt im Gebäude den dritten QNAP Server TS-832X, der ebenso täglich synchronisiert wird und auf dem Snapshots gemacht werden, um auch eine Historie des Backups zu haben. (Snapshot Replica funktioniert leider nicht wirklich mit Extended Attributes, einer Besonderheit des MacOS.) Das funktioniert alles gut und hat sich bewährt, auch Wiederherstellungsversuche haben tadellos funktioniert.


    Aktuell sind zwei QNAP TS-431X2 (8 GB) von meinen ersten QNAP-Versuchen übrig und eines davon möchte ich bei mir zuhause als externes Backupziel verwenden. Im Büro wie zuhause habe ich statische IP-Adressen und verwende LTE als Internetzugang mit Flatrate. LTE funktioniert erstaunlich gut und stabil, reale Geschwindigkeiten sind 15-50 Mbit im Down- wie im Upstream. Im Unternehmen fungiert ein Linux-Rechner als Firewall, Mail-, Web-, FTP- und VPN-Server, daheim gibt es nichts als den LTE-Router von ZTE, der von meinem Internet-Provider zur Verfügung gestellt wurde. Der Linux-Rechner wird von einem Verwandten betreut, der kennt sich soweit gut aus, ist aber etwas eigensinnig und ein NAS-Verweigerer, MacOS-Schlechtredner, Windows-Hasser ... nur Linux ist die Wunderlösung ... daher will ich ihn in dieser eigentlich überschaubaren Angelegenheit nicht unbedingt bemühen, auf die Diskussionen kann ich ganz gut verzichten. :ziped:


    Das Ziel dieses externen Backups ist schlicht und einfach, ein diebstahls-, vandalismus- wie brandschadensicheres externes Backup für den Ernstfall zu haben. Weitere Funktionalität außer der Erreichbarkeit per RTRR ist von extern (also über das Internet) prinzipiell nicht erforderlich.


    Nun habe ich zum Testen das eine TS-431X2 daheim in Betrieb genommen, ihm eine feste interne IP (außerhalb des DHCP-Range) zugewiesen, bei myQNAPcloud registriert und den LTE-Router per uPNP konfiguriert. Nachdem ich am Router das Port-Forwarding für die Ports 80, 443 und 8081 noch manuell eingetragen habe ist das Web-Interface des Servers per HTTP erreichbar.


    Die App "myQNAPcloud" zeigt bei "Übersicht" und "Web-Konnektivität" das grüne Häkchen. Im Bereich "automatische Router-Konfiguration" allerdings auch "Fehler" bei Port 80 ("Web Server") und Port 443 ("Sichere NAS Web") an. Die Zugriffskontrolle habe ich auf "Privat" und "Nur ich" eingestellt. Bei "Dienste veröffentlichen" habe ich alles, was angehakt (aktiv) ist auch auf "privat" angehakt. -- Wie man hier schon rauslesen kann, hab ich von all dem nicht wirklich viel Ahnung. 8o


    Von der Firma aus ist dieser Server nun per RTRR erreichbar und empfängt gerade sein erstes Backup per "Einwegsynchronisierung". Dieses brach anfangs alle paar Stunden mal ab ("broken pipe"), seitdem ich das Tempo auf 1 Mbit/s gedrosselt habe läuft das schon seit Tagen stabil durch. Das Backup wird auch noch eine ganze Weile dauern ... ich werde das Tempo noch schrittweise erhöhen und beobachten, wie sich das dann entwickelt. Wollte mir jetzt sicherheitshalber fürs lange Wochenende aber nicht den ganzen Internet-Zugang vollklotzen, daher erstmal eher sehr moderat eingestellt.


    Beim Einloggen von der Firma aus ins heimische NAS per Web-Browser in die NAS Benutzeroberfläche nervte mich der Hinweis "unsichere Verbindung". Daher habe ich -- wohl etwas vorschnell -- ein QNAP-Zertifikat erworben und auch im NAS installiert. Allerdings ist nun nichts anders, wenn ich nun zB vom Mobiltelefon-Browser über "ServerXYZ.myqnapcloud.com" mit "sichere Verbindung" verbinde kommt noch immer der Hinweis zu der "unsicheren Verbindung".-- Hier wird klar: Ich habe keine Ahnung. :beer:


    Daher suchte ich nun im Web herum, welche Konfigurationsfehler ich da wohl gemacht habe. Und beim Lesen frage ich mich inzwischen auch, ob ich myQNAPcloud überhaupt brauche (weil eh statische IP) und ob es nicht besser wäre, das Port-Forwarding für das an sich nicht zwingend nötige Web-Interface besser wieder rauszunehmen, was ja wohl wieder das SSL-Zertifikat obsolet macht. Vielleicht auch RTRR zur Erhöhung der Sicherheit (Vernebelungsstrategie?) auf einen anderen Port umverlegen?


    Danke schon mal fürs Lesen meines elendslangen Beitrags und für eure fachkundige Meinungen und die Unterstützung schon im Voraus!

    Zitat von Austro-Diesel

    bei myQNAPcloud registriert und den LTE-Router per uPNP konfiguriert. Nachdem ich am Router das Port-Forwarding für die Ports 80, 443 und 8081 noch manuell eingetragen habe ist das Web-Interface des Servers per HTTP erreichbar.


    Das ist ein no go.

    VPN ist das minimum.

    Hab mal diese Portweiterleitungen rausgenommen und bei der "Automatischen Router-Konfiguration" alles außer RTRR abgewählt.


    Das NAS kann ich jetzt nicht mehr übers Web erreichen -- besser?

    Nein wenn du auch nur im Ansatz Daten nach DSGVO verarbeitest.


    Günstig und schnell ist ein Mikrotik HEX, aber auch ein wenig eigenwillig.

    Mega flexibel ist eine SG-1100 von Netgate, aber das könntest du deinem Bekanntem verkaufen, ist ein FreeBSD Unterbau auf dem die Firewall aufsetzt.


    Das schöne an pfSense ist die gute Dokumentation und die gute Community, bei der jedes Problem mögliche Lösungen ausspuckt.


    Hier baust du dann einen Tunnel über IPsec oder L2TP auf und kannst regeln definieren wer auf die NAS drauf darf und wer nicht.


    Solltest die bei dir @home am besten separieren in einem eigenem Netz, da hier ja DSGVO Daten deiner Kunden liegen.

    DSGVO-relevante Daten gibt's eigentlich keine. Aber der Hinweis ist natürlich richtig -- alles was man nicht erklären muss ist einfach besser.


    Okay, das muss ich also kompetenter angehen, bring ich aber momentan nicht auf die Reihe.


    Dann lass ich das ganze Thema fürs erste und mach 1x die Woche per USB-Festplatte ein "mechanisch abgesichertes" Backup. Muss mal reichen.


    EDIT -- Eine Frage noch zum Thema: Bestehen eure Bedenken wegen der schlechten/unglücklichen Konfiguration oder aufgrund der allgemein schwachen "Einbruchssicherheit" des QTS-Systems? In meiner naiven Denkweise könnte ich ja einfach alles komplett "zumauern" und nur dem RTRR von der fixen IP der Backupquelle den Zugriff gestatten.

    Zitat von Austro-Diesel

    DSGVO-relevante Daten gibt's eigentlich keine.

    Hatte von Deiner Einleitung schon etwas ähnliches erwartet. Am ehesten habe ich erwartet, dass diese nur für eine kleine Teilmenge relevant sei. Was meintest Du mit eigentlich in diesem Zusammenhang?

    Zitat von Austro-Diesel

    das muss ich also kompetenter angehen, bring ich aber momentan nicht auf die Reihe.

    Daher die Hinweise von Dennis, sowohl auf Deinen Bekannten, als auch den Unterbau und Eigenschaften des Zieles, damit Dein Bekannter auch Lust darauf hat. FreeBSD und Linux haben große Ähnlichkeiten. Die Netzwerkprotokollstacks von beiden stammen aus der gleichen Quelle, BSD386. Linux hatte ursprünglich keine Netzwerkschnittstellen. Hast Du Deinen Bekannten bereits darauf angesprochen, ob er sich vorstellen könnte, dies für und mit Dir einzurichten, wann auch immer ihr gemeinsam Zeit findet?

    Zitat von Austro-Diesel

    Bestehen eure Bedenken wegen der schlechten/unglücklichen Konfiguration oder aufgrund der allgemein schwachen "Einbruchssicherheit" des QTS-Systems? In meiner naiven Denkweise könnte ich ja einfach alles komplett "zumauern" und nur dem RTRR von der fixen IP der Backupquelle den Zugriff gestatten.

    • Was meinst Du mit unglücklicher Konfiguration?
    • Und was meinst Du mit fixer IP, etwa eine statische, öffentliche IPv4-Adresse, verwaltet von welchem DNS?
    • Und was meinst Du wo mit zumauern?
    • Kann es sein, dass Du die Antworten von Jagi und Dennis noch nicht ganz verstanden hast?

    Kurz gesagt, beschränken sich die Bedenken nicht auf Konfiguration im engeren Sinne. Es macht halt einen Unterschied zwischen Firewall-Appliance und Personal Firewall. Deine angedachten Vorgehensweisen (Konfiguration im weiteren Sinne) klingen nach Personal Firewall ohne eine Firewall-Appliance oder vergleichbarem Ansatz.

    Fein, es gibt Antwort!


    Zur DSGVO: "Eigentlich" heißt, dass ich nichts von personenbezogenen Daten auf diesen Servern weiß. Es sind viele hunderttausend Dateien, ob da jemand mal eine E-Mail mit Kontaktdaten als .EML oder ähnliche Dinge abgelegt hat weiß niemand. Es gibt aber keine Kundendatenbanken, Versandadresslisten, Mitarbeiterkarteien o.ä. wo ein Fremdzugriff kritisch wäre.


    Die Gelegenheit auf ein Einbinden meines Bekannten hat sich noch nicht ergeben. Die Sache ist auch: Mein Bekannter ist fast ein Jahrzehnt älter als ich und hat mehr wenige Jahre bis zu seinem Wechsel in den Ruhestand. Ich suche daher schön langsam auch nach Lösungen, die ich mit meinem mittelprächtigen EDV-Verständnis selbst am Laufen halten kann. Das ist mir bei den Kernkompetenzen auch persönlich ein Anliegen. QTS erschien mir bis jetzt als einigermaßen brauchbare Basis. Daher hilft es mir auch nur bedingt, wenn irgendwer irgendwas Tolles zusammenstoppelt und das Wissen dazu wieder bei der Tür mit hinausnimmt. Mir ist klar, dass für gute Lösungen viel Know-how wichtig ist, ab und zu gibt es aber auch einfache "Gold-Standards", die einfach und trotzdem gut zum Ziel führen -- das hoffe ich halt.


    Die Hinweise von Crazyhorse und Jagi hab ich im Groben verstanden, aber noch nicht weiterverfolgt. Darf mich gerade mit genug komplexen Materien herumschlagen (Kurzarbeit, Homeoffice für alle Mitarbeiter organisieren und am Laufen halten etc.), das war mir jetzt mal zu fordernd mich da einzulesen.


    Für die "feste IP-Adresse" (IP v4) meines heimischen LTE-Zugangs gibt es meines Wissens keinen DNS-Eintrag.


    Zum Thema Firewall bin ich recht unwissend. Weiß zwar was das Ziel davon ist, was - wie - wo aber keine Ahnung.


    Mit "zumauern" meinte ich:

    • der zuhause platzierte Backup-Server ist nur per RTRR ansprechbar, alles andere wird deaktiviert
    • der (per uPNP) konfigurierte LTE-Router leitet nur den RTRR-Port 8899 weiter
    • es werden vom RTRR-Dienst nur die beiden Firmen-Server von der festen IP-Adresse der Firma akzeptiert

    Dann kann nach meinem einfachen Verständnis ja nicht viel Missbrauch passieren -- alles Fremde wird ja konsequent abgewiesen. Mittels untypischer Port-Nummer könnte man das ja nochmal ein kleines bisserl kryptischer machen.


    Die Frage ist: Ist dieses "Zumauern" ein frommer Wunsch und praktisch doch nicht sicher oder schützt das allein schon angemessen verlässlich?

    Du müsstest in der Firewall nur die beiden Externen WAN IPs auf die Portfreigabe berechtigen, das geht mit einer echten Firewall.


    Aber halt nicht mit einem Fritz Home Spielzeugs.


    Wenn du dich wirklich reinarbeiten willst, dann ist eine pfSense ein sehr guter Einstieg.

    Die Doku ist umfassend und der Support über die Comunity ist mega.


    Gerade wenn Mitarbeiter ins Home Office müssen, aber per VPN rein sollen, ist das kein Problem.


    3 Zielen Powershell Code die mal als Admin bei Win 10 rein ballert und schon habe ich einen VPN Zugang hinterlegt.

    Fehler noch ein Zertifikat, was ich importieren muss (Vertrauenswürdies Stammzertifikat) und Username + Kennwort.


    Schon kann ich mich von extern einwählen und direkt in der Firma arbeiten.


    Bei einer Kleinen Bude reicht ja der lokale Radius.


    Musst ja nicht gleich wie wir in der Firma mit RSA Token und einem Monster Radius inkl. 3 Verschiedener VPN Einwahlprpfiele und x Gruppen inkl. eigenem IP Pool auffahren.



    Was die DSGVO angeht, da reicht schon eine Mail als export die ein Adressbuch enthält, was mal jemand für was auch immer erstellt hat.


    Aber es wir eine steile Lernkurve.

    Aber ggf. kannst du deinen Bekannten ja dazu bringen dir bei der Einrichtung als Berater zur Seite zu stehen und dann kannst du dich einfacher reinarbeiten.

    Das ist ein leider sehr frommer Wunsch!

    Wie von Jagnix und Crazyhorse schon erwähnt, ist VPN das Mittel der Wahl, wenn es um Zugriff von außen geht.


    Gruss

    VPN für Mitarbeiter ist aktuell kein Thema. Das funktioniert ja für den Zugriff auf den Firmenserver alles mit dem Linux-Rechner wie im Eingangsbeitrag beschrieben. Es gibt ausschließlich MacOS Clients, im Homeoffice mit Tunnelblick, funzt prima.


    Die DSGVO ist juristisch nicht zu unterschätzen, aber für diese Art von Daten nicht weiter relevant. Grundsätzlich sind keine "sensiblen Daten" auf diesen Servern gespeichert.


    Der LTE-Router ist kein Fritz-Dingsbums sondern (noch schlimmer?) ein ZTE-Gerät.


    Das einzige was ich will ist, die beiden QNA- Dateiserver, die im Firmennetz hinter der Firewall des Linux-Rechners sind, auf einen Server in meinem privaten Netz über RTRR zu sichern. Sonst ist keine Funktionalität gewollt.


    Wenn der LTE-Router nur Port 8899 per Port Forwarding weiterleitet ist das doch im Prinzip so gut wie eine Firewall. Zumindest in der Theorie -- das ist mein Wissensstand.

    Du musst das auf die Quell IP einschränken und das in der WAN Regel für einkommenden Datenverkehr.


    Das geht nur mit einer richtigen Firewall.


    Es gibt auch pfSense Systeme die man mit einer SIM Karte ausrüsten kann und dann als WAN Router im LTE Netz einsetzbar sind.


    Vielleicht ist das eine Option.

    Dann kannst du dich von der mit einem VPN Tunnel zu deinem Firmen Linus Server verbinden und gut ist.


    Aber, auch Linux ist nicht unverwundbar.

    Gut aufgesetzt sind das harte Nüsse, aber auch die haben hier oder da einen Macke im Panzer die richtig ausgenutzt für Schädlingsbefall sorgt.

    Wie oft werden auf der Kiste Sicherheitsupdates eingespielt?


    Wenn nicht regelmäßig, dann findet doch aber sicher eine Bewertung der aktuell bekannten Lücken und der möglichen Angreifbarkeit statt.

    Denn einige Patches muss man nicht installieren, wenn die System z.B. eine Lücke im Apache haben, du aber nur den openVPN Server von außen erreichbar hast, ist die von WAN Seite her egal.

    Arbeiten aber Clients auf einer Webapp die den Apache verwendet, dann wird das auch schon wieder relevant.


    Sicherheit muss Verhältnismäßig sein.


    Aber gerade bei Firmendaten und wenn es nur das Backup ist, hört der Spaß auf und der Ernst inkl. Haftung des Inhabers/Geschäftsführer, für entsprechende Verstöße gegen eine Grundlegende Sorgfaltspflicht.


    Und wir sprechen hier über ca. 200-300€ für so eine Firewall.



    Ich muss da aktuell immer an den Skandal mit Radiologischem Bildmaterial denken, war offen abrufbar, weil im Telekom Business Router ein Bug war.

    Hat jemand für den PACS Web Aufruf den Port 443 weiter geleitet, hat der Router 443-449 weiter geleitet.

    Tja doof nur, wenn hier auf 445 noch das gute alte SMB 1.0 läuft.


    Wäre mit einer Gescheiten Firewall nicht passiert.

    Zitat von Austro-Diesel

    Wenn der LTE-Router nur Port 8899 per Port Forwarding weiterleitet ist das doch im Prinzip so gut wie eine Firewall. Zumindest in der Theorie -- das ist mein Wissensstand.

    Nicht ganz. Es reicht nicht, zu betrachten, welche Weiterleitungen eingerichtet sind. Es braucht wenigstens auch die Prüfung, dass die Datenquelle diejenige ist, die sie behauptet, zu sein.

    Zitat von Austro-Diesel

    Zur DSGVO: "Eigentlich" heißt, dass ich nichts von personenbezogenen Daten auf diesen Servern weiß. Es sind viele hunderttausend Dateien, ob da jemand mal eine E-Mail mit Kontaktdaten als .EML oder ähnliche Dinge abgelegt hat weiß niemand. Es gibt aber keine Kundendatenbanken, Versandadresslisten, Mitarbeiterkarteien o.ä. wo ein Fremdzugriff kritisch wäre.

    Du hattest beim Datenmaterial aber auch Fotografie erwähnt. Selbst wenn keine Namenszuordnung enthalten sind, aber Personen auf den Fotos erkennbar sind, die der Veröffentlichung dieser Fotos nicht zugestimmt haben, handelt es sich um einen Verstoß gegen die DSGVO, wenn dieses Fotos in unberechtigte dritte Hände gelangt. Erkennbare Personen auf Fotos sind auch personenbezogene Daten im Sinne der DSGVO.

    1. Ist das das Thema "Man in the middle"?


    2. Und macht euch wegen der DSGVO nicht so fertig. Wir fotografieren Schultaschen, Radiergummis, Schreibunterlagen und Collegeblöcke. Auch mal Barbies, Monster Trucks, Osterdeko oder Weihnachtskrempel. Da ist nix mit DSGVO-Thema.

    Hier in dem Thread sind ja schon viele kompetente Leute vertreten.

    Wollte nur einen Absatz als sehr sinnvoll und zukunftssicher markieren.

    Zitat von Austro-Diesel

    Ich suche daher schön langsam auch nach Lösungen, die ich mit meinem mittelprächtigen EDV-Verständnis selbst am Laufen halten kann. Das ist mir bei den Kernkompetenzen auch persönlich ein Anliegen. QTS erschien mir bis jetzt als einigermaßen brauchbare Basis. Daher hilft es mir auch nur bedingt, wenn irgendwer irgendwas Tolles zusammenstoppelt und das Wissen dazu wieder bei der Tür mit hinausnimmt.

    :thumbup::handbuch: