Backup - ubtue/ub_tools GitHub Wiki
Infrastruktur
Das Backupsystem besteht aus einem GlusterFS-Volume names glusterbackup, das ein RAID-1-Netzwerkmirroring zwischen sobek und ptah darstellt. Grundlage sind eine 1 TB und eine 3 TB Platte in jedem der beiden Rechner, die per LVM zusammengefasst werden. Die Kommunikation zwischen sobek und ptah erfolgt durch eine dedizierte Direktverbindung mit gesonderten Netzwerkkarten.
Netzwerksetup
Sowohl sobek als auch path verfügen über je eine TG-3448 GB-Ethernet-Karte (Interface: enp2s0).
Die Konfiguration erfolgt in Analogie zu ifcfg-enp0s25
durch die neu anzulegende Datei /etc/sysconfig/network-scripts/ifcfg-enp2s0
in für ein 192.168.0.0-Netzwerk.
(ptah: 192.168.0.1, sobek: 192.168.0.2).
Das direkte Routen wird durch Eintragen des jeweils anderen Rechners in /etc/hosts erzielt, also 192.168.0.2 sobek sobek.ub.uni-tuebingen.de
auf ptah und 192.168.0.1 ptah ptah.ub.uni-tuebingen.de
auf sobek.
LVM Setup
Vorgehensweise LVM auf ptah und sobek
3 TB ist /dev/sdb
1 TB ist /dev/sdc
Partionierung mit parted
auf jeder Partition
mklabel gpt
mkpart primary 0% 100%
set 1 lvm on
Das Volume erstellen
pvcreate /dev/sdb1 /dev/sdc1
vgcreate space /dev/sdb1 /dev/sdc1
lvcreate --name backup --extent 953862 space
Formatieren
mkfs -t xfs /dev/mapper/space-backup
In fstab mountbar machen
/dev/mapper/space-backup /mnt/backup xfs defaults 1 2
und mounten
Glusterfs Installation und Setup
Anleitung nach https://wiki.centos.org/SpecialInterestGroup/Storage/gluster-Quickstart
yum install centos-release-gluster
yum install glusterfs-server
systemctl enable glusterd
systemctl start glusterd
Auf ptah
gluster peer probe sobek.ub.uni-tuebingen.de
Auf sobek
gluster peer probe ptah.ub.uni-tuebingen.de
Volume erstellen (entweder ptah oder sobek)
gluster volume create glusterbackup replica 2 ptah.ub.uni-tuebingen.de:/mnt/backup sobek.ub.uni-tuebingen.de:/mnt/backup
gluster volume start glusterbackup
gluster volume info
Gluster zum lokalen mounten in fstab eintragen
ptah.ub.uni-tuebingen.de:/glusterbackup /mnt/glusterbackup glusterfs defaults 0 0
sobek.ub.uni-tuebingen.de:/glusterbackup /mnt/glusterbackup glusterfs defaults 0 0
Gluster absichern
http://blog.gluster.org/author/zbyszek/
openssl genrsa glusterfs.key 2048
openssl req -new -x509 -key glusterfs.key -subj '/CN=Anyone' -out glusterfs.pem
Die Schlüssel auf beiden Servern müssen identisch sein, ansonsten bricht die Kommunikation mit einem SSL-Error ab !!!!
Außerdem muss die auth.ssl-allow Option auf den CN (bei uns Anyone) gesetzt werden.
Das Managementprotokoll auf SSL umstellen (http://www.gluster.org/community/documentation/index.php/SSL)
touch /var/lib/glusterd/secure-access
auf beiden Maschinen. [Edit: Aufgrund eines Bugs funktioniert in Version 3.6.7 das "healing" nicht, wenn secure-access existiert und server.allow-insecure: on
nicht gesetzt ist.]
[Edit: Wegen der direkten physischen Verbindung zwischen sobek und ptah und Problemen im Zusammenspiel zwischen glusterfs und SSL wurde der SSL modus deaktiviert (20.2.16)]
Iptables:
Durch iptables werden die Ports 111 (Portmapper), 24007-24047, 49152:49160 (Gluster) für alle Zugriffe auf der 134.2.67.* Adresse gesperrt.
Zur persistenten Speicherung der Daten wurde iptables-service installiert und der defaultmäßig verwendete firewalld deaktiviert (vgl: https://www.thomas-krenn.com/de/wiki/Iptables_Firewall_Regeln_dauerhaft_speichern)
Backup Infrastruktur
Auf dem glusterbackup-Volume stehen für sobek und ptah jeweils 1 T und für die Laptops 500 GB zur Verfügung in den in den jeweiligen Unterverzeichnissen zur Verfügung.
Backup von sobek und ptah.
Backup erfolgt mit rsnapshot jeweils auf das lokale /mnt/glusterbackup
In etc/rsnapshot.conf
sind folgende Anpassungen notwendig:
-
snapshot_root auf /mnt/glusterbackup/{sobek,ptah} anpassen
-
no_create_root einkommentieren (Verhindet Backup, falls glusterbackup nicht gemounted ist)
-
da für /dev, /proc, /sys und /mnt Rekursionen entstehen können: exclude patterns werden in
/usr/local/etc/rsnapshot_exclude_patterns
angegeben und diese muss als exclude-file angegeben werden -
Eintrag für Logfile einkommentieren
Cronjobs aktivieren
0 22 * * * /usr/bin/rsnapshot daily
0 1 * * 1 /usr/bin/rsnapshot weekly
0 2 1 * * /usr/bin/rsnapshot monthly
Backupstrategie Laptops
Da das exportieren des gluster-Volumes als NFS-Laufwerk ohne Einrichtung einer Kerberos-Infrastruktur zu Sicherheitsproblemen führt, erfolgt der Zugriff über sshfs. Dieses kann per apt-get install sshfs
nachinstalliert und durch
[email protected]:/mnt/glusterbackup/$MACHINEDIR /mnt/backup fuse.sshfs noauto,_netdev,identityfile=/home/$USERNAME/.ssh/id_rsa,default_permissions
in fstab
regulär als root gemounted werden.
Um keine Probleme mit Dateien von root zu haben, wird ein kryptographischer Container als Datei angelegt, dieser mittels LUKS geöffnet ein eigenes Dateisystem angelegt.
Zuächst kann durch den wiederholten Aufruf von
time openssl enc -aes-256-ctr -pass pass:"$(dd if=/dev/urandom bs=128 count=1 2>/dev/null | base64)" -nosalt < /dev/zero | pv -s 20G -S >> backup_$HOSTNAME.img
eine randomisierte Datei angelegt werden. Aus Performancegründen sollte dies direkt auf einem der beiden Server in das Verzeichnis /mnt/glusterbackup/$MACHINENAME
geschehen. Wichtig ist, darauf zu achten, die Datei als User, nicht als root anzulegen.
Diese Datei kann auf dem Laptop als Loopbackdevice eingebunden werden.
losetup /dev/loop0 /mnt/backup/backup_$HOSTNAME.img
mkdir /mnt/glusterbackup_$HOSTNAME
Formatieren
cryptsetup luksFormat /dev/loop0
cryptsetup luksOpen /dev/loop0 backup_$HOSTNAME
mkfs -t ext4 /dev/mapper/backup_$HOSTNAME
cryptsetup luksClose /dev/mapper/backup_$HOSTNAME
losetup -d /dev/loop0
Öffnen
losetup /dev/loop0 backup_$HOSTNAME.img
cryptsetup luksOpen /dev/loop0 backup_$HOSTNAME
mount /dev/mapper/backup_$HOSTNAME /mnt/glusterbackup_$HOSTNAME
Für das eigentlich Backup kann dann ebenfalls rsnapshot verwendet werden. Zunächst rsnapshot mit apt-get installieren. Unter ptah:/mnt/glusterbackup/backupscripts
finden sich einige Skripte. rsnapshot.conf auf den lokalen Rechner nach /etc/
kopieren. rnsnapshot_exclude_patterns lokal nach /usr/local/etc kopieren.
In /etc/rsnapshot.conf
müssen folgende Sachen angepasst werden.
root_directory
auf das Mountverzeichnis des geöffneten LUKS-Containers (oben/mnt/glusterbackup_$HOSTNAME
)- Im Abschnitt Backup-Points das Zielverzeichnis auf $MACHINENAME
Die Skripte mount_$HOSTNAME_backup erleichtern das Einbinden und Mounten des Containers. Hier sollte die Variable BACKUP_FILE
und BACKUP_MOUNT
angepasst werden.
rsnapshot -t daily
zeigt als Testlauf die Parameter für das intern verwendete rsync
an.
Ein Backup kann manuell als root per rsnapshot daily
angestoßen werden.
Zur Automatisierung ist eine mögliche crontab-Konfiguration folgende:
0 21 * * * mount -o remount,rw /mnt/glusterbackup_$HOSTNAME &&/usr/bin/rsnapshot daily && mount -o remount,ro /mnt/glusterbackup_$HOSTNAME
0 23 * * 1 mount -o remount,rw /mnt/glusterbackup_$HOSTNAME && /usr/bin/rsnapshot weekly && mount -o remount,ro /mnt/glusterbackup_$HOSTNAME
0 1 1 * * mount -o remount,rw /mnt/glusterbackup_$HOSTNAME && /usr/bin/rsnapshot monthly && mount -o remount,ro /mnt/glusterbackup_$HOSTNAME