Unraid to Unraid over Internet

[X-E-Qt-R]

Hallo zusammen,

 

hab nun viel rum gesucht und komme leider zu keinem Ergebnis und finde auch keine Lösung. Also folgendermaßen siehts aus:

 

Hab mir einen 2. Unraid Server gebaut als Backup zuhause.

In der Firma steht auch ein Unraid Server die etwas besser bestückt ist und quasi alles macht und ist somit mein Hauptserver.

Der bei mir zuhause soll einfach nur rein als Backup Server dienen. Ich will im Backupserver ein SMB Share freigeben auf dem mein Hauptserver Vollzugriff hat. Und der Hauptserver soll eben alles was ich brauche da rein schieben. Wie mache ich das am besten?

Mir fällt nichts besseres ein als VPN aber Unraid to Unraid wie geht das? Mir kommt es vor als könnte es nur VPN Server Hosten aber nicht als Client agieren. Wenn ich mein iPhone oder Windows Rechner mit Wireguard verbinde geht das instant ohne Probleme mit den selben Settings an BEIDEN Servern. Nur die Server unter sich wollen ums verrecken nicht miteinander kommunizieren.

 

Gestern habe ich mir den VPN Manager genauer unter die Lupe genommen und da gibt es verschiedene Funktionen, "Server to Server" z.B. klang für mich interessant, hab mich an beide Server verbunden und damit dann rum gespielt 6h lang aber komme zu kein Erfolg xDD

 

Der Hauptserver in der Firma hat eine Statische IP und eine richtige Domain <-- funzt auch tadellos

Der Backupserver bei mir zuhause hat Provider bedingt eine Dynamische IP und das habe ich dann mit DuckDNS gelöst, über den Link komme ich auch auf den interface Problemlos drauf.

Nun gebe ich die Daten an beiden Servern ein und mache Apply und teste dann die Ping Funktion dann bekommt der Backupserver vom Hauptserver request aber umgekehrt bekommt der Hauptserver vom Backupserver KEIN request.... Auch sehe ich keine reaktion wie Handshake oder so obwohl aktiv, senden tun sie aber Empfangen nichts. Mit mein iPhone komme ich aber auf den Backupserver via VPN und Mobiler Netz drauf wie oben schon erwähnt.... an beide sogar... ich blick da nich mehr durch  Brauch ich irgend nen Docker der mir nicht bekannt ist oder gibts Sichere alternativen zu mein vorhaben?

 

Router zu Router VPN wird wohl nicht gehen währe das einfachste sogar, in der Firma steht ein Unify Dream Machine hinter einer FritzBox. Durch Portforwardings usw. gebe ich ihm gewisse Ports frei die ich verwende damit der Unraid Server freie Bahn hat. Bei mir zuhause ist jedoch dummerweise ein Speedport Hybrid mit dem man leider nicht viel machen kann (Portforwarding geht aber zum Glück, nur VPN technisch nichts xD), aber um bessere Bandbreite zu bekommen hier wo ich wohne bin ich gezwungen diesen zu verwenden weil ich keine andere Hybrid Router kenne bisher.

 

Danke schon mal im Voraus

[Revan335]

Vielleicht eine VM die dann den VPN Client nutzt?

 

Die müsste dann Zugriff auf die Shares oder so haben damit dort agiert werden kann.

Es geht ja nur um Datenübertragung bspw. Backups der Docker, Config, Dateien... ?

 

Oder wie es bspw. mguts Favorit ist. Das Backup System liest vom Hauptsystem. Das Hauptsystem kann das Backup also nicht durch Malware .... verändern da Read Only.

Edited August 17, 2022 by Revan335

[X-E-Qt-R]

31 minutes ago, Revan335 said:

Vielleicht eine VM die dann den VPN Client nutzt?

 

Die müsste dann Zugriff auf die Shares oder so haben damit dort agiert werden kann.

Es geht ja nur um Datenübertragung bspw. Backups der Docker, Config, Dateien... ?

 

Oder wie es bspw. mguts Favorit ist. Das Backup System liest vom Hauptsystem. Das Hauptsystem kann das Backup also nicht durch Malware .... verändern da Read Only.

 

Habe ich mir auch schon überlegt aber wäre für mich eher die letzte Lösung wenn gar keine alternativen gibt, so wie ich Windows kenne wird der nur Probleme verursachen wie "Pfad zu lang kann nicht kopiert werden" und dann wartet der auf meine Reaktion gemütlich, kann ja nicht Stunden davor sitzen und warten das der brav kopiert, und all so Gedöhns Kennt man ja Vielleicht aber zu Lösen mit Robocopy? Außerdem wenn ich VPN Tunnel aufbaue mit dem Client steigt der ins Netz der Gegenstelle und das Lokale Netzwerk ist nicht mehr erreichbar, erst nachdem ich VPN aus mache dann ist Gegenstelle offline und Lokaler Netz wieder da.... Wenn ich beide Standorte die selbe IP range verwenden würde würde es evtl. funktionieren?!

 

Ich hab Videos von TheGeekFreaks angeguckt und der macht was ähnliches wie ich oben beschrieben hab mit LuckyBackup und schickt die Daten an Standort B durch VPN Tunnel. Nur hat der in dem Video leider nicht beschrieben wie er beide Server Tunnelt. Aber ich glaube die Gegenstelle war auch ein Synology oder so? Weil der nen Modelnamen erwähnt was mich an Synology erinnert. Hier das Video den ich meine:

 

https://www.youtube.com/watch?v=gk--X3TRUx0&list=PLk4WsoMYr8AKWBhabC6VihHcBwLwNY3SN&index=30 

 

 

EDIT: Anscheinend machts Sinn Videos mehrmals anzuschauen xDD Ich sehe da gerade auch das der im VPN Manager "Remote access to LAN" verwendet hat.... nun ist die Frage was hat der an der Gegenstelle eingerichtet. Im Video erwähnte andere Video was mit Wireguard zu tun hat geht der nur die Basics durch aber nicht im Detail.

 

Edited August 17, 2022 by X-E-Qt-R
Ergänzung

[mgutt]

2 hours ago, X-E-Qt-R said:

Ich will im Backupserver ein SMB Share freigeben ... Wie mache ich das am besten?

Am besten so nicht. SMB ist ja kein Protokoll, welches normalerweise über das Internet verwendet wird.

 

2 hours ago, X-E-Qt-R said:

Mir fällt nichts besseres ein als VPN aber Unraid to Unraid wie geht das?

Dann ging es, weil du beide Netzwerke verbindest (die Performance ist allerdings schlecht). Willst du allerdings, dass beide Netzwerke im jeweils anderen agieren können und das nur um ein Backup zu machen?

 

2 hours ago, X-E-Qt-R said:

auf dem mein Hauptserver Vollzugriff hat

Welchen Sinn hat ein Backup, was von der Quelle gelöscht werden kann? Also was passiert wohl, wenn jemand den Hauptserver hackt? Der Backup-Server ist dann auch gleich platt.

 

3 hours ago, X-E-Qt-R said:

Backup

Welches Tool willst du eigentlich verwenden, im Backups zu erstellen?

 

 

[X-E-Qt-R]

36 minutes ago, mgutt said:

Am besten so nicht. SMB ist ja kein Protokoll, welches normalerweise über das Internet verwendet wird.

 

Dann ging es, weil du beide Netzwerke verbindest (die Performance ist allerdings schlecht). Willst du allerdings, dass beide Netzwerke im jeweils anderen agieren können und das nur um ein Backup zu machen?

 

Welchen Sinn hat ein Backup, was von der Quelle gelöscht werden kann? Also was passiert wohl, wenn jemand den Hauptserver hackt? Der Backup-Server ist dann auch gleich platt.

 

Welches Tool willst du eigentlich verwenden, im Backups zu erstellen?

 

 

 

Also ich dachte eher so an Lucky Backup. Oder wie würdest du denn verfahren in meinem Fall?

Ich bin eher so nach dem gegangen was der Youtuber Alex von "The Geek Freaks" gemacht hat (siehe oben mein Antwort zu Revan335).

 

Was ich Backuppen möchte ist einfach nur die VM´s, Docker und deren Einstellungen plus die Unraid Einstellungen auch wenn möglich, welche aber später bei Bedarf auch einfach zu recovern wären. Und 1 Ordner in denen ich meine Absolut wichtigen Daten habe.

 

Wenn ich wirklich 1:1 alles backuppen wollen würde müsste ich auf dem Backupserver zuhause weitere 32TB an Festplatten anlegen. So viel Budget hab ich dann doch wieder nicht, hab hier 1x1TB und 1x4TB rum fliegen gehabt welches ich ohne Parity Drive zu definieren ins Array genommen habe. Ich brauch am Backupserver keine Parity Platte, wenn da 1 HDD Kaputt gehen würde könnte ich eine neue rein stecken, der Hauptserver würde sie ja wieder neu befüllen. Das an beiden Standorten gleichzeitig die Festplatten flöten gehen würden wäre ja wie eine 6er im Lotto  Außerdem hat der Hauptserver eine Parity Platte da darf einer kaputt gehen.

 

Aber zurück zum Thema: In den Settings bei Unraid ist mir auch noch die Option aufgefallen die "VM Backup" heißt und habe da etwas durchgelesen und das Teil bietet einige coole features.. Ich würde damit z.B. von jeder VM wöchentliche Backups ziehen wollen 4 Stück pro VM so das 1 Monat gedeckt ist und danach soll er die älteste dann einfach überschreiben und so weiter machen im loop. Somit hätte ich immer 1 Monat safe und würde am Backupserver an Speicher sparen.

 

Dann kenne ich noch den USB Flash Drive Backup (da sichert der glaub ich nur den Unraid OS mit Einstellungen und die Lizenz und mehr nicht?) 

 

Docker sind im Array da reicht es aus die System Files denk ich mal zu sichern die von Anfang an schon dabei waren wie appdata, isos ... usw..

 

Zu guter letzt eben mein File Ordner indem alle Daten gespeichert sind, sowohl unwichtige als auch wichtige. Die nehmen halt gut 16TB ein momentan. Davon sind grob geschätzt ca. 3-4 TB mir besonders wichtige Dateien... Die restlichen wären verzichtbar. Die unverzichtbaren würde ich in einen anderen Ordner schieben welches dann auch zum Backup Server gehen soll. Dann sollte der Backupserver gut befüllt sein.  

 

So der Wunsch von mir. Das Umsetzen ist die andere Sache  

[mgutt]

LuckyBackup stoppt keine Container oder VMs. Damit hätte man schon mal keine konsistenten Backups.

 

Aktuell gibt es in unRAID nur zwei wirklich zuverlässige Optionen:

- man skriptet sich was

- man nutzt Plugins (appdata Backup und VM Backup)

 

Allerdings bist du nicht auf meine Anmerkung eingegangen: Willst du beide Seiten gegen Angriffe schützen oder nicht?

 

Es ist einfach konsistente Backups auf ein Ziel zu schreiben, aber genauso gut kann sie ein Angreifer dann löschen. Konsistente Backups rein lesend abzuholen ist dagegen mit einem höherem Aufwand verbunden.

 

Wie ich das machen würde:

- Hauptserver mit rsync-server Container

- Portfreigabe auf diesen Container

- im Container den Pfad /mnt/user/Backups rein lesend hinzufügen 

- DynDNS einrichten, damit der Backupserver den Hauptserver erreichen kann

- Appdata Backup Plugin erstellt (durch stoppen der Container) in /mnt/user/Backups/appdata lokal das konsistente Backup zb täglich für 7 Tage

- auf dem Backupserver holt ein simpler rsync Befehl (LuckyBackup sollte es denke ich auch können) diese Backups 1:1 ab (erlaubt dann auch Bandbreitenbeschränkung)

 

Analog lässt sich das dann auch für Backups von libvirt, VMs und dem USB-Stick nutzen.

[X-E-Qt-R]

2 hours ago, mgutt said:

LuckyBackup stoppt keine Container oder VMs. Damit hätte man schon mal keine konsistenten Backups.

 

Aktuell gibt es in unRAID nur zwei wirklich zuverlässige Optionen:

- man skriptet sich was

- man nutzt Plugins (appdata Backup und VM Backup)

 

Allerdings bist du nicht auf meine Anmerkung eingegangen: Willst du beide Seiten gegen Angriffe schützen oder nicht?

 

Es ist einfach konsistente Backups auf ein Ziel zu schreiben, aber genauso gut kann sie ein Angreifer dann löschen. Konsistente Backups rein lesend abzuholen ist dagegen mit einem höherem Aufwand verbunden.

 

Wie ich das machen würde:

- Hauptserver mit rsync-server Container

- Portfreigabe auf diesen Container

- im Container den Pfad /mnt/user/Backups rein lesend hinzufügen 

- DynDNS einrichten, damit der Backupserver den Hauptserver erreichen kann

- Appdata Backup Plugin erstellt (durch stoppen der Container) in /mnt/user/Backups/appdata lokal das konsistente Backup zb täglich für 7 Tage

- auf dem Backupserver holt ein simpler rsync Befehl (LuckyBackup sollte es denke ich auch können) diese Backups 1:1 ab (erlaubt dann auch Bandbreitenbeschränkung)

 

Analog lässt sich das dann auch für Backups von libvirt, VMs und dem USB-Stick nutzen.

 

Das hört sich alles super an. Ich schaue mir die Docker und Plugins mal genauer an heute Abend

 

Schutz gegen Angriffe an beide Seiten wäre schon von Vorteil (wenn das nicht all zu ein Großer Akt sein wird).

Der Hauptserver muss auf alle Fälle sicher sein, beim Backupserver kommt es darauf an um was für eine Art Angriff es sich handelt. Wenn es ein Angriff ist welches den Server einfach nur Platt machen soll würde ich das verkraften, dann würde ich einfach den Backupserver neu Aufsetzen. Wenn es aber darum geht meine Empfindliche Daten zu klauen oder zu manipulieren dann ist das ein No-Go. Denke mal besser wäre es wenn der Hauptserver die Backup Dateien verschlüsselt oder mit PW verseht bevor er das in den Backupserver schickt?

 

Evtl. würde ich den Backupserver auch einfach ausschalten nachdem der Job erledigt ist. Strom technisch gesehen wäre es ja auch unnötig das der ständig läuft weil er soll ja wöchentliche Backups ziehen nur z.B. jeden Sonntag oder so soll der Hauptserver da Backups rein ballern und nachdem es fertig ist kann der Backupserver wieder aus sein, entweder manuell oder eleganter wäre es wenn der Sonntags dann automatisch bootet kurz vor Backup beginn und dann automatisch herunterfahren wenn fertig.

Muss nicht sein, ist nur nice 2 have.

 

Aber bevor wir das alles einrichten, müssen die Server ja erst mal miteinander Kommunizieren können irgendwie.

[mgutt]

6 hours ago, X-E-Qt-R said:

Denke mal besser wäre es wenn der Hauptserver die Backup Dateien verschlüsselt oder mit PW verseht bevor er das in den Backupserver schickt?

Kann man machen, aber ich hatte schon einen verschlüsseltes Archiv das korrupt war und entsprechend die Daten weg waren. Wenn von 1000 Dateien eine korrupt geht verschmerzt man das aber wenn ein paar Bytes von einem verschlüsselten Container kaputt gehen und man den nicht mehr entpacken kann tut das weh.

 

Grundsätzlich wäre der ja bei dem Konzept auch gar nicht erreichbar. Wenn kann er also nur noch lokal am externen Standort gehackt werden.

 

6 hours ago, X-E-Qt-R said:

Evtl. würde ich den Backupserver auch einfach ausschalten nachdem der Job erledigt ist

Das lässt sich ideal mit dem vorgeschlagenen Konzept umsetzen. 

[X-E-Qt-R]

On 8/18/2022 at 5:36 PM, mgutt said:

Kann man machen, aber ich hatte schon einen verschlüsseltes Archiv das korrupt war und entsprechend die Daten weg waren. Wenn von 1000 Dateien eine korrupt geht verschmerzt man das aber wenn ein paar Bytes von einem verschlüsselten Container kaputt gehen und man den nicht mehr entpacken kann tut das weh.

 

Grundsätzlich wäre der ja bei dem Konzept auch gar nicht erreichbar. Wenn kann er also nur noch lokal am externen Standort gehackt werden.

 

Das lässt sich ideal mit dem vorgeschlagenen Konzept umsetzen. 

 

Richtig doof aber hab gestern mal VPN Server to Server eingestellt am Coreserver und einfach mal die Config gedownloaded und diesen dann am Backupserver hochgeladen und siehe da... es tut.... in 2min erledigt....... und ich hab da Tage recherchiert und nichts gefunden bis mir zufällig der "Download" Button aufgefallen ist an der stelle mit dem QR Code -.- Man kann sich aber auch unnötig das Leben schwer machen  Wer lesen kann ist klar im Vorteil 🙄 

 

Jetzt schau ich mir mal das genauer an und versuche das ganze so einzurichten mit euren Vorschlägen je nachdem welches mir einfacher fällt. Oder hätte ich das VPN gar nicht erst gebraucht? Weil du sagtest ich soll Portfreigabe auf rsync Container machen...

 

Und nee dann will ich das mit den Daten verschlüsseln doch nicht haben, daran hab ich nicht gedacht das es auch korrupt gehen kann.

 

Danke nochmal an euch.