Backup сервер на чем лучше организовать windows или Linux (что бы шифровальщик не поработал)?

Question

[Олег Шевченко]

Дайте совет как поступить лучше. Нужен Backup сервер. Имеется платформа supermicro на 4 корзины, i5, 16 гб. 4 корзины с 6ТБ дисками. какую ОС лучше использовать .Ваше мнение на счет XPE?

Answer 1

[Дмитрий]

Bareos на линуксе

Answer 2

[АртемЪ]

какую ОС лучше использовать

Без разницы, вся соль в настройках, а какая ось неважно, и выбирается исходя из удобства и прочих факторов. При грамотной настройке шифровальщик не поработает.

Ваше мнение на счет XPE?

Не слышал о таком.

Comments

[Олег Шевченко]

Если честно то удобно Windows, сейчас там вообще стоит Hyper-v 2016 а на нем гостем windows который выступает в роли файл сервера, задумался о бэкапах так как растет инфраструктура и соответственно объем- важность данных ... спасибо! буду думать. А что скажете на счет Veem? в бесплатной версии (гос учреждение=)) )

Answer 3

[Александр Черных]

на линуксе. поднять ftp или rsync. шифровальщики юзают smb

Answer 4

[fdroid]

ZFS + снапшоты = профит. На самом деле, самый простой и удобный способ организации бэкапов, имхо. Снимок ZFS делает моментально. Можно хоть каждую секунду снимок состояния снимать, при этом размер снимка занимает не полный объём бэкапируемой инфы, а разницу между прошлым снимком и новым. Очень удобно и рационально используется дисковое пространство. Потыкать палочкой можно в NAS4Free, в продакшн ставить FreeBSD (для него ZFS нативная система) или Linux+ZFS On Linux.

Comments

[nfire]

ntfs точно также снапшотит. Только это не бэкап.

[fdroid]

nfire, это именно бэкап. Если всё пожрал шифровальщик, инфа восстанавливается из предыдущего снапшота, в котором файлы целые. Или из вчерашнего снапшота или из недельной давности - в общем, периодичность снапшотов настраивается на усмотрение админа. Как вариант, ещё можно использовать rdiff-backup, тот же механизм снапшотов, но не на уровне файловой системы, поэтому архаичен, медленен и не особо удобен по сравнению с ZFS. Для rdiff-backup также есть веб-гуй - rdiffweb.

[nfire]

sanrega, бэкап на тех же томах, что и резервируемые данные не слишком надежен. И шифровальщики под никсы как-то не слишком распространены. Если же это спец. устройство (сервер) для бэкапов, то никакого моментального сохранения не будет.

[fdroid]

nfire, почему не надёжен? При использовании RAIDZ с избыточностью (не путать с RAID) очень даже надёжен. Я так понимаю, у автора вопроса есть сервер (1 штука), на которую клиентские машины будут бэкапить инфу (по любому протоколу) и чтобы были разные версии бэкапа, чтобы можно было восстановить в случае работы шифровальщика. Эти задачи ZFS решает так как нужно. Если речь о ненадёжности складывания всех яиц в одну корзину, т.е. на один сервер, то это уже другой вопрос, т.к. в ТЗ сервер только один.

[nfire]

sanrega, зачем на сервере для бэкапа моментальные снимки тома, если измененные данные поступают извне?

[fdroid]

nfire, затем чтобы целые данные не были заменены испорченными шифровальщиком. Предположим, раз в сутки на бэкап сервер заливаются по ftp файлы с файлового сервера. Кто выступает инициатором - неважно, главное - заливаются. И если файлы в момент процесса бэкапа будут зашифрованы и этого никто не заметил, то они заменят нормальные. Если же на бэкап-сервере раз-в-сколько-то-времени по крону будут делаться снапшоты, то шифрованные заливаемые бэкапы никак не затронут данные предыдущих снапшотов.

[nfire]

sanrega, ну только что если бэкапятся данные целиком. Просто я встречал в основном бэкапы в виде архивов, которые подготавливались на клиенте. И уже архивы копировались на отдельный сервер. Ну там все эти инкрементальные, дифференциальные и проч. И если зашифруется data231117.bup ничто не мешает восстановить все из data221117.bup
В вашем случае придется каждый раз копировать данные целиком, что несколько накладно. Хотя в том же нтфс можно указать другой том для теневых копий.

[fdroid]

nfire, можно и bup-ы отправлять на бэкап-сервер с ZFS и дополнительно снапшотить, благо, эта операция не накладна по расходу дискового пространства и выполняется моментально за счёт самого механизма работы ZFS. Насколько мне известно, особо продвинутые шифровальщики и bup-ы тоже шифруют. Впрочем, дальнейшее раскрытие этой темы уже больше из области самой стратегии бэкапа, которая может быть очень индивидуальной в каждом конкретном случае.

[athacker]

sanrega, когда у вас в RAIDZ вылетят два диска с интервалом в пару часов, то ценность мысли, что снапшоты -- это не бэкап, дойдёт до вас со всей пугающей ясностью :-)

[Максим Гришин]

athacker, если вылет будет на сервере с бэкапами - не так чтобы критично, если основные носители ещё никто не пожевал. А так да, правильная стратегия бэкапов имеет несколько уровней.

[Александр Кубинцев]

снепшоты можно делать и с помощью ext4 + lvm

Answer 5

[Сергей Горностаев]

Под бэкап лучше использовать программно-аппаратные комплексы типа EMC Data Domain.

Comments

[Сергей Горностаев]

poisons, с багами в них ни разу не сталкивался. Но цена не маленькая - это да.

Answer 6

[Алексей Черемисин]

Рекомендую взглянуть на https://www.urbackup.org - очень удобна в небольших инсталляциях. В больших не ставил, в больших ставлю bareos (bakula).
Ставится и под винду и под линукс, как сервер, так и клиенты.

Answer 7

[younghacker]

Можно оставить и обычную самбу или ftp
Только поставить крон задачу которая пробегает по каталогам бэкапа и выполняет одну команду
chattr +i *
После этой команды все файлы становятся readonly для всех, даже для рута.
И шифровальщик не сможет ничего сделать.

[root@localhost ~]# lsattr test-file.txt
-------------e-- test-file.txt
[root@localhost ~]# chattr +i test-file.txt
[root@localhost ~]# lsattr test-file.txt
----i--------e-- test-file.txt
[root@localhost ~]# rm test-file.txt
rm: remove regular file ‘test-file.txt’? y
rm: cannot remove ‘test-file.txt’: Operation not permitted

Аналогично можно передвигать файлы в другой каталог который readonly либо который клиентам вообще не доступен.

Чистить каталоги с бэкапом нужно противоположной командой.

chattr -i test-file.txt
rm test-file.txt

Но BareOS и другие специализированные продукты как советовали выше никто не отменял. :)

Answer 8

[Виктор Таран]

И так давайте разберемся.
1. Сам дистрибутив особого значения не имеет по сути любой *nix подобный подойдет, желательно конечно стабильную ветку centos debian ( без фанатизма к mint ubuntu это ващет самые нестабильные ветки)
2.Стабильную ФС ext4 - как вариант даеж ext2 с ним проще работать.
3. Облачные бэкап сервера - возможно дороже но явно надежней чем самопал, тут можно спорить но факт.
4. https://ru.hetzner.com/hosting/storagebox/bx50 - дешево и сердито, доступы по ftp webdov ( частичный ssh) - да и если вы юр лицо цена еще на 13% ниже будет ( вернут НДС)
В последних двух случаях ты берешь услугу а не сервер и его поддержку в будущем а следовательно экономишь свое время.
В первых делаешь все сам.

Answer 9

[fpir]

Пользуюсь Acronis, потому, что удобно и могу. Ось на сервере я выбрать не мог, а на программу резервного копирования денег дали. Не жалуюсь. Полный архив можно открывать winrar, инкрементное-дифференциальное, всё как положено. Шифровальщики пока вроде не умеют, но на всякий случай доступ на запись имеет только учётка акрониса.

Answer 10

[loderunner84]

Если xpe - это xpenology, то сам пользуюсь таким решением для бэкапа. Главное - чтобы дисковый контроллер подхватился

Answer 11

[Алексей Русаков]

Можно бекапить средствами самой Windows на подключенный отдельный RAID (только под бекапы), его Windows архиватор сам может отформатировать и использовать только под бекапы. Бекапить можно каталоги, базы, виртуалки. Это не дорогой вариант и вполне надежный. Нужны только диски под нужный объем.

Я использую отдельный RAID под бекапы, без форматирования архиватором Windows. И дополнительно скриптом бекаплю на WD MY CLOUD, который на Linux.

Важно знать, если шифровальщик запустился под юзером у которого нет прав на доступ к архиву, то шифровальщик ничего не зашифрует. Поэтому доступ на каталоги архива даем только Администратору (даже не группе Администраторы). Ну и пароль задаем покрепче на Админа.

Answer 12

[Fleg]

Linux + Rsnapshot (более продвинутая утилитка чем rsync).
Сервак со своим отдельным логином - паролем. Собирает с других серверов все сам.
В прошлом году налетел с шифровальщиком, пришел к такой схеме.