Je suis en train de r=C3=A9fl=C3=A9chir =C3=A0 la meilleure mani=C3=A8re de=
mettre en route un syst=C3=A8me de bakup bas=C3=A9 sur rdiff-backup [1] et=
un serveur qui tourne sous Jessie.
rdiff-backup fournit dans sa doc' un setup o=C3=B9 le serveur initie les ba=
ckups [2].
En deux mots, c'est un serveur qui "pulle" les clients =C3=A0 partir d'un c=
ron.
Avantage :
- setup minimal sur les clients;
- centralisation des logs;
D=C3=A9savantage :
- demande un serveur ssh sur tous les client;
Une autre option est de faire des pushes =C3=A0 partir des clients. Ce qui =
me semble plus logique.
J'aimerai avoir votre avis : d'un pull ou d'un push depuis les clients ? Qu=
el setup aurait votre pr=C3=A9f=C3=A9rence ?
Cette action est irreversible, confirmez la suppression du commentaire ?
Signaler le commentaire
Veuillez sélectionner un problème
Nudité
Violence
Harcèlement
Fraude
Vente illégale
Discours haineux
Terrorisme
Autre
JF Straeten
LO,
On Tue, May 03, 2016 at 08:13:40PM +0200, Jean-Marc wrote:
J'aimerai avoir votre avis : d'un pull ou d'un push depuis les clients ? Quel setup aurait votre préférence ?
Ça dépend quand même beaucoup de la machine qui fait serveur de backup...
Sur un NAS Intel SS4000-E (petit machin ARM), je lui avais fait faire des pulls, à son aise, de manière séquentielle sur une série de machines, pour que la charge dessus soit ± tout le temps la même...
Sinon, quand tous les clients balancent leur push, ça la mettait sur les genoux, et le backup durait des plombes, avec certains parfois toujours en cours à l'heure suivante, quand les suivants recommençaient.
Pas glop...
Ou alors, il faut régler une fenêtre de temps différente sur chaque client, mais alors c'est autant faire un pull et que le serveur de backup se débrouille pour passer sur chacune à son tour...
Maintenant, si t'as deux Xeons E5 dans ton serveur de backup sur des disques SAS, tu t'en fous un peu, c'est clair, et tu peux faire des pushes :-)
Hih,
--
JFS.
LO,
On Tue, May 03, 2016 at 08:13:40PM +0200, Jean-Marc wrote:
J'aimerai avoir votre avis : d'un pull ou d'un push depuis les
clients ? Quel setup aurait votre préférence ?
Ça dépend quand même beaucoup de la machine qui fait serveur de
backup...
Sur un NAS Intel SS4000-E (petit machin ARM), je lui avais fait faire
des pulls, à son aise, de manière séquentielle sur une série de
machines, pour que la charge dessus soit ± tout le temps la même...
Sinon, quand tous les clients balancent leur push, ça la mettait sur
les genoux, et le backup durait des plombes, avec certains parfois
toujours en cours à l'heure suivante, quand les suivants
recommençaient.
Pas glop...
Ou alors, il faut régler une fenêtre de temps différente sur chaque
client, mais alors c'est autant faire un pull et que le serveur de
backup se débrouille pour passer sur chacune à son tour...
Maintenant, si t'as deux Xeons E5 dans ton serveur de backup sur des
disques SAS, tu t'en fous un peu, c'est clair, et tu peux faire des
pushes :-)
On Tue, May 03, 2016 at 08:13:40PM +0200, Jean-Marc wrote:
J'aimerai avoir votre avis : d'un pull ou d'un push depuis les clients ? Quel setup aurait votre préférence ?
Ça dépend quand même beaucoup de la machine qui fait serveur de backup...
Sur un NAS Intel SS4000-E (petit machin ARM), je lui avais fait faire des pulls, à son aise, de manière séquentielle sur une série de machines, pour que la charge dessus soit ± tout le temps la même...
Sinon, quand tous les clients balancent leur push, ça la mettait sur les genoux, et le backup durait des plombes, avec certains parfois toujours en cours à l'heure suivante, quand les suivants recommençaient.
Pas glop...
Ou alors, il faut régler une fenêtre de temps différente sur chaque client, mais alors c'est autant faire un pull et que le serveur de backup se débrouille pour passer sur chacune à son tour...
Maintenant, si t'as deux Xeons E5 dans ton serveur de backup sur des disques SAS, tu t'en fous un peu, c'est clair, et tu peux faire des pushes :-)
Hih,
--
JFS.
Sébastien Dinot
Bonsoir,
Jean-Marc a écrit :
En deux mots, c'est un serveur qui "pulle" les clients à partir d'un cron.
Avantage : - setup minimal sur les clients; - centralisation des logs;
Désavantage : - demande un serveur ssh sur tous les client;
Une autre option est de faire des pushes à partir des clients. Ce qui me semble plus logique.
Que nenni ! Le serveur de sauvegarde doit être le moins exposé possible car il est précieux. Il est donc largement préférable que le serveur de sauvegarde se connecte sur les serveurs à sauvegarder que le contraire.
Et pour durcir un peu la configuration sur les serveurs sauvegardés, il faut faire en sorte que la clé utilisée ne soit acceptée que depuis l'IP du serveur de sauvegarde, que les connexions interactives depuis celui-ci soient interdites et que les commandes exécutables dans ce contexte soient limitées via un petit script de filtrage.
Personnellement, j'utilise rdiff-backup ainsi pour sauvegarder depuis des années une grosse vingtaine de serveurs et j'en suis pleinement satisfait.
Sébastien
-- Sébastien Dinot, http://sebastien.dinot.free.fr/ Ne goûtez pas au logiciel libre, vous ne pourriez plus vous en passer !
Bonsoir,
Jean-Marc a écrit :
En deux mots, c'est un serveur qui "pulle" les clients à partir d'un cron.
Avantage :
- setup minimal sur les clients;
- centralisation des logs;
Désavantage :
- demande un serveur ssh sur tous les client;
Une autre option est de faire des pushes à partir des clients. Ce qui me
semble plus logique.
Que nenni ! Le serveur de sauvegarde doit être le moins exposé possible
car il est précieux. Il est donc largement préférable que le serveur de
sauvegarde se connecte sur les serveurs à sauvegarder que le contraire.
Et pour durcir un peu la configuration sur les serveurs sauvegardés, il
faut faire en sorte que la clé utilisée ne soit acceptée que depuis l'IP
du serveur de sauvegarde, que les connexions interactives depuis
celui-ci soient interdites et que les commandes exécutables dans ce
contexte soient limitées via un petit script de filtrage.
Personnellement, j'utilise rdiff-backup ainsi pour sauvegarder depuis
des années une grosse vingtaine de serveurs et j'en suis pleinement
satisfait.
Sébastien
--
Sébastien Dinot, sebastien.dinot@free.fr
http://sebastien.dinot.free.fr/
Ne goûtez pas au logiciel libre, vous ne pourriez plus vous en passer !
En deux mots, c'est un serveur qui "pulle" les clients à partir d'un cron.
Avantage : - setup minimal sur les clients; - centralisation des logs;
Désavantage : - demande un serveur ssh sur tous les client;
Une autre option est de faire des pushes à partir des clients. Ce qui me semble plus logique.
Que nenni ! Le serveur de sauvegarde doit être le moins exposé possible car il est précieux. Il est donc largement préférable que le serveur de sauvegarde se connecte sur les serveurs à sauvegarder que le contraire.
Et pour durcir un peu la configuration sur les serveurs sauvegardés, il faut faire en sorte que la clé utilisée ne soit acceptée que depuis l'IP du serveur de sauvegarde, que les connexions interactives depuis celui-ci soient interdites et que les commandes exécutables dans ce contexte soient limitées via un petit script de filtrage.
Personnellement, j'utilise rdiff-backup ainsi pour sauvegarder depuis des années une grosse vingtaine de serveurs et j'en suis pleinement satisfait.
Sébastien
-- Sébastien Dinot, http://sebastien.dinot.free.fr/ Ne goûtez pas au logiciel libre, vous ne pourriez plus vous en passer !
Que nenni ! Le serveur de sauvegarde doit être le moins exposé possible car il est précieux. Il est donc largement préférable que le serveur de sauvegarde se connecte sur les serveurs à sauvegarder que le contraire.
Et pour durcir un peu la configuration sur les serveurs sauvegardés, il faut faire en sorte que la clé utilisée ne soit acceptée que depuis l'IP du serveur de sauvegarde, que les connexions interactives depuis celui-ci soient interdites et que les commandes exécutables dans ce contexte soient limitées via un petit script de filtrage.
100% d'accord. Je fonctionne ainsi.
gaby -- Gabriel Moreau - IR CNRS http://www.legi.grenoble-inp.fr LEGI (UMR 5519) Laboratoire des Ecoulements Geophysiques et Industriels BP53, 38041 Grenoble Cedex, France mailto: tel:+33.476.825.015
Que nenni ! Le serveur de sauvegarde doit être le moins exposé possible
car il est précieux. Il est donc largement préférable que le serveur de
sauvegarde se connecte sur les serveurs à sauvegarder que le contraire.
Et pour durcir un peu la configuration sur les serveurs sauvegardés, il
faut faire en sorte que la clé utilisée ne soit acceptée que depuis l'IP
du serveur de sauvegarde, que les connexions interactives depuis
celui-ci soient interdites et que les commandes exécutables dans ce
contexte soient limitées via un petit script de filtrage.
100% d'accord. Je fonctionne ainsi.
gaby
--
Gabriel Moreau - IR CNRS http://www.legi.grenoble-inp.fr
LEGI (UMR 5519) Laboratoire des Ecoulements Geophysiques et Industriels
BP53, 38041 Grenoble Cedex, France
mailto:Gabriel.Moreau@legi.grenoble-inp.fr tel:+33.476.825.015
Que nenni ! Le serveur de sauvegarde doit être le moins exposé possible car il est précieux. Il est donc largement préférable que le serveur de sauvegarde se connecte sur les serveurs à sauvegarder que le contraire.
Et pour durcir un peu la configuration sur les serveurs sauvegardés, il faut faire en sorte que la clé utilisée ne soit acceptée que depuis l'IP du serveur de sauvegarde, que les connexions interactives depuis celui-ci soient interdites et que les commandes exécutables dans ce contexte soient limitées via un petit script de filtrage.
100% d'accord. Je fonctionne ainsi.
gaby -- Gabriel Moreau - IR CNRS http://www.legi.grenoble-inp.fr LEGI (UMR 5519) Laboratoire des Ecoulements Geophysiques et Industriels BP53, 38041 Grenoble Cedex, France mailto: tel:+33.476.825.015
Dernier point, le paquet base-passwd [1] fournit un user backup (UID 34). Est-ce un bon candidat ou dois-je créer mon propre user ?
J'utilise le compte root. Je sais, c'est mal mais cela me simplifie la tâche sachant que je n'autorise que les connexions par clés SSH et que je blinde particulièrement cet accès octroyé au serveur de sauvegarde qui est lui-même aussi durci que je le peux.
Sébastien
-- Sébastien Dinot, http://sebastien.dinot.free.fr/ Ne goûtez pas au logiciel libre, vous ne pourriez plus vous en passer !
Jean-Marc a écrit :
Un peu de détail avec ma compréhension de ce passage.
. connexion SSH restreinte à une connexion par clés uniquement;
Oui.
. pas de connexion interactive = shell du user = /usr/sbin/nologin,
voire /bin/false;
Non. Dans le fichier /root/.ssh/authorized_keys, il faut indiquer sur la
ligne de la clé « no-pty » (pas de terminal donc pas de session
interactive).
Dans les faits, j'indique les restrictions suivantes :
Dernier point, le paquet base-passwd [1] fournit un user backup (UID 34).
Est-ce un bon candidat ou dois-je créer mon propre user ?
J'utilise le compte root. Je sais, c'est mal mais cela me simplifie la
tâche sachant que je n'autorise que les connexions par clés SSH et que
je blinde particulièrement cet accès octroyé au serveur de sauvegarde
qui est lui-même aussi durci que je le peux.
Sébastien
--
Sébastien Dinot, sebastien.dinot@free.fr
http://sebastien.dinot.free.fr/
Ne goûtez pas au logiciel libre, vous ne pourriez plus vous en passer !
Dernier point, le paquet base-passwd [1] fournit un user backup (UID 34). Est-ce un bon candidat ou dois-je créer mon propre user ?
J'utilise le compte root. Je sais, c'est mal mais cela me simplifie la tâche sachant que je n'autorise que les connexions par clés SSH et que je blinde particulièrement cet accès octroyé au serveur de sauvegarde qui est lui-même aussi durci que je le peux.
Sébastien
-- Sébastien Dinot, http://sebastien.dinot.free.fr/ Ne goûtez pas au logiciel libre, vous ne pourriez plus vous en passer !
Vincent Danjean
Le 04/05/2016 11:24, Gabriel Moreau a écrit :
Que nenni ! Le serveur de sauvegarde doit être le moins exposé possible car il est précieux. Il est donc largement préférable que le serveur de sauvegarde se connecte sur les serveurs à sauvegarder que le contraire.
Et pour durcir un peu la configuration sur les serveurs sauvegardés, il faut faire en sorte que la clé utilisée ne soit acceptée que depuis l'IP du serveur de sauvegarde, que les connexions interactives depuis celui-ci soient interdites et que les commandes exécutables dans ce contexte soient limitées via un petit script de filtrage.
100% d'accord. Je fonctionne ainsi.
Pareil, mais avec backuppc. Et comme j'ai plusieurs machines, avec des serveur backuppc différents, j'ai fait des paquets debian pour automatiser l'installation sur les clients, comme celui-ci : http://moais.imag.fr/membres/vincent.danjean/debian/pool/main/v/vdanjean-backuppc/
ATTENTION : seul le paquet *source* peut être intéressant. Si quelqu'un installe mon paquet binaire (ie sans changer la clé publique), il m'autorise à backupper tout son système...
J'ai aussi un script + quelques indications pour mettre en place la même chose sur MacOS X.
A+ Vincent
-- Vincent Danjean GPG key ID 0xD17897FA GPG key fingerprint: 621E 3509 654D D77C 43F5 CA4A F6AE F2AF D178 97FA Unofficial pkgs: http://moais.imag.fr/membres/vincent.danjean/deb.html APT repo: deb http://people.debian.org/~vdanjean/debian unstable main
-- Vincent Danjean GPG key ID 0xD17897FA GPG key fingerprint: 621E 3509 654D D77C 43F5 CA4A F6AE F2AF D178 97FA Unofficial pkgs: http://moais.imag.fr/membres/vincent.danjean/deb.html APT repo: deb http://people.debian.org/~vdanjean/debian unstable main
Le 04/05/2016 11:24, Gabriel Moreau a écrit :
Que nenni ! Le serveur de sauvegarde doit être le moins exposé possible
car il est précieux. Il est donc largement préférable que le serveur de
sauvegarde se connecte sur les serveurs à sauvegarder que le contraire.
Et pour durcir un peu la configuration sur les serveurs sauvegardés, il
faut faire en sorte que la clé utilisée ne soit acceptée que depuis l'IP
du serveur de sauvegarde, que les connexions interactives depuis
celui-ci soient interdites et que les commandes exécutables dans ce
contexte soient limitées via un petit script de filtrage.
100% d'accord. Je fonctionne ainsi.
Pareil, mais avec backuppc. Et comme j'ai plusieurs machines, avec des
serveur backuppc différents, j'ai fait des paquets debian pour
automatiser l'installation sur les clients, comme celui-ci :
http://moais.imag.fr/membres/vincent.danjean/debian/pool/main/v/vdanjean-backuppc/
ATTENTION : seul le paquet *source* peut être intéressant. Si
quelqu'un installe mon paquet binaire (ie sans changer la clé
publique), il m'autorise à backupper tout son système...
J'ai aussi un script + quelques indications pour mettre en place
la même chose sur MacOS X.
A+
Vincent
--
Vincent Danjean GPG key ID 0xD17897FA vdanjean@debian.org
GPG key fingerprint: 621E 3509 654D D77C 43F5 CA4A F6AE F2AF D178 97FA
Unofficial pkgs: http://moais.imag.fr/membres/vincent.danjean/deb.html
APT repo: deb http://people.debian.org/~vdanjean/debian unstable main
--
Vincent Danjean GPG key ID 0xD17897FA vdanjean@debian.org
GPG key fingerprint: 621E 3509 654D D77C 43F5 CA4A F6AE F2AF D178 97FA
Unofficial pkgs: http://moais.imag.fr/membres/vincent.danjean/deb.html
APT repo: deb http://people.debian.org/~vdanjean/debian unstable main
Que nenni ! Le serveur de sauvegarde doit être le moins exposé possible car il est précieux. Il est donc largement préférable que le serveur de sauvegarde se connecte sur les serveurs à sauvegarder que le contraire.
Et pour durcir un peu la configuration sur les serveurs sauvegardés, il faut faire en sorte que la clé utilisée ne soit acceptée que depuis l'IP du serveur de sauvegarde, que les connexions interactives depuis celui-ci soient interdites et que les commandes exécutables dans ce contexte soient limitées via un petit script de filtrage.
100% d'accord. Je fonctionne ainsi.
Pareil, mais avec backuppc. Et comme j'ai plusieurs machines, avec des serveur backuppc différents, j'ai fait des paquets debian pour automatiser l'installation sur les clients, comme celui-ci : http://moais.imag.fr/membres/vincent.danjean/debian/pool/main/v/vdanjean-backuppc/
ATTENTION : seul le paquet *source* peut être intéressant. Si quelqu'un installe mon paquet binaire (ie sans changer la clé publique), il m'autorise à backupper tout son système...
J'ai aussi un script + quelques indications pour mettre en place la même chose sur MacOS X.
A+ Vincent
-- Vincent Danjean GPG key ID 0xD17897FA GPG key fingerprint: 621E 3509 654D D77C 43F5 CA4A F6AE F2AF D178 97FA Unofficial pkgs: http://moais.imag.fr/membres/vincent.danjean/deb.html APT repo: deb http://people.debian.org/~vdanjean/debian unstable main
-- Vincent Danjean GPG key ID 0xD17897FA GPG key fingerprint: 621E 3509 654D D77C 43F5 CA4A F6AE F2AF D178 97FA Unofficial pkgs: http://moais.imag.fr/membres/vincent.danjean/deb.html APT repo: deb http://people.debian.org/~vdanjean/debian unstable main