Linux-Server
Alle Themen
NAS-Backup mit Hyper Backup, Hybrid Backup Sync und rsync
Cloud-Speicher · Synology, QNAP, Linux
Zuletzt überarbeitet am
Für NAS-Geräte, die mit Bordmitteln sichern sollen. Am Ende schiebt das NAS seine Freigaben selbst zu uns, über rsync — eingerichtet im Sicherungsprogramm des Herstellers, ohne zusätzliche Software.
Verschlüsseln Sie, bevor die Daten hochgehen
Der Speicher gehört uns. Wir könnten jederzeit ihr Passwort zurücksetzen und hineinsehen — technisch, ohne dass es jemand verhindern könnte. Verschlüsseln Sie auf Ihrem eigenen Rechner, dann liegt bei uns Zeichensalat: Wir sehen, wie groß Ihre Sicherung ist, und sonst nichts.
Das Werkzeug dürfen Sie sich aussuchen — jedes auf dieser Seite kann es. Die Passphrase gehört nur Ihnen. Wir speichern sie nicht, wir kennen sie nicht, und wir können sie Ihnen nicht wiederbeschaffen: Ohne Passphrase ist die Sicherung verloren. Genau das ist der Sinn — und der Preis. Sie gehört in Ihren Passwortspeicher und nicht auf den Rechner, den Sie sichern.
Passphrase erzeugen
Entsteht in Ihrem Browser und verlässt dieses Fenster nicht — es geht kein Aufruf an uns hinaus. Übertragen Sie sie in Ihren Passwortspeicher, bevor Sie weiterlesen.
24 Zeichen aus einem Alphabet ohne verwechselbare Buchstaben — rund 117 Bit. Die Bindestriche sind nur zum Lesen da; sie gehören mit in die Passphrase.
Sie brauchen Server, Benutzername und Passwort Ihres Speichers. Sie stehen im Kundenbereich unter Cloud-Speicher. Der Server heißt kunde1-7.speicher.idodns.de, der Benutzername kunde1 — in den Beispielen unten stehen sie als Platzhalter. Der SSH-Port ist 23, nicht 22; das ist die häufigste Ursache für „Verbindung abgelehnt“. Und Ihr Verzeichnis ist /home/ — im Wurzelverzeichnis dürfen Sie nicht schreiben.
Diese Anleitung gehört zu Cloud-Speicher von IDO DNS Service — was die Leistung kann und was sie kostet.
rsync verschlüsselt nicht. Es überträgt zwar durch einen SSH-Tunnel — bei uns liegen die Dateien danach aber im Klartext, mit Namen und Inhalt. Für ein Backup-Ziel, das uns gehört, ist das genau das, was nicht passieren soll. Nehmen Sie deshalb Hyper Backup mit Verschlüsselung (Synology), Hybrid Backup Sync (QNAP) — oder, wenn es reines rsync sein muss, den Umweg über einen verschlüsselten Behälter weiter unten.
Was Sie brauchen
- Ein Synology-NAS mit Hyper Backup (aus dem Paket-Zentrum) oder ein QNAP-NAS mit Hybrid Backup Sync (aus dem App Center) — für den rsync-Weg einen Linux-Rechner mit cryptsetup und lokal so viel Platz, wie die Sicherung groß ist.
- Server, Benutzername und Passwort Ihres Speichers aus dem Kundenbereich unter Cloud-Speicher — die NAS-Programme melden sich damit an, ein Schlüssel ist nicht nötig.
- Die Passphrase aus dem Kasten oben — für die clientseitige Verschlüsselung, im Passwortspeicher, bevor es losgeht.
Einrichten
Drei Fassungen derselben Einrichtung — nehmen Sie die, die zu Ihrem Gerät passt.
Synology: Hyper Backup
-
Hyper Backup öffnen und ein neues Ziel anlegen
Sicherungsziel → rsync → rsync-kompatibler Server.
-
Zugang eintragen
Servername kunde1-7.speicher.idodns.de, Port 23, Benutzername kunde1, dazu das Passwort Ihres Speichers. Als gemeinsamen Ordner tragen Sie einen Namen unter home/ ein, etwa home/nas-sicherung.
Der Port ist der übliche Stolperstein: Das Feld steht in der Maske unscheinbar neben dem Servernamen und ist mit 22 vorbelegt.
Der Ordner muss unter home/ liegen. Im Wurzelverzeichnis dürfen Sie nicht schreiben — ein SSH-Zugang, der in ein Verzeichnis eingesperrt ist, bekommt genau dieses schreibgeschützt. Ein Ziel direkt in / scheitert mit einer Meldung, die das nicht sagt.
-
Verschlüsselung einschalten — im Schritt „Sicherungseinstellungen“
Haken bei Clientseitige Verschlüsselung aktivieren und die Passphrase aus dem Kasten oben eintragen. Synology bietet danach eine .pem-Schlüsseldatei zum Herunterladen an — speichern Sie sie, zusammen mit der Passphrase, außerhalb des NAS.
Ohne diesen Haken landet alles lesbar bei uns. Er lässt sich später nicht nachträglich setzen; die Sicherung müsste dann neu angelegt werden.
-
Zeitplan und Aufbewahrung
Täglich nachts, und unter „Rotationseinstellungen“ ein Schema, das zu Ihrem Platz passt — etwa „Smart Recycle“. Ohne Rotation läuft der Speicher irgendwann voll.
-
Einmal zurückspielen
In Hyper Backup Wiederherstellen → Einzelne Dateien, eine beliebige Datei zurückholen. Das ist der Beweis, dass Passphrase und Schlüsseldatei zusammenpassen — und der einzige Moment, in dem ein Fehler nichts kostet.
QNAP: Hybrid Backup Sync
Derselbe Weg: Sicherung → Neuer Sicherungsauftrag → Remote-NAS/rsync, Server kunde1-7.speicher.idodns.de, Port 23. Im Schritt Richtlinie die Option „Verschlüsselung des Ziels“ einschalten und die Passphrase eintragen. Ohne diesen Schritt gilt derselbe Satz wie oben: Es liegt lesbar bei uns.
Reines rsync, mit verschlüsseltem Behälter
Wenn es rsync sein muss — etwa von einem Linux-Server ohne Borg —, dann nicht direkt in den Speicher, sondern in ein verschlüsseltes Abbild, das lokal entsteht und als Datei hinübergeht:
# Einmalig: einen verschlüsselten Behälter anlegen (hier 200 GB)
truncate -s 200G /srv/sicherung.img
cryptsetup luksFormat /srv/sicherung.img
cryptsetup open /srv/sicherung.img sicherung
mkfs.ext4 /dev/mapper/sicherung
# Vor jeder Sicherung: öffnen und einhängen
cryptsetup open /srv/sicherung.img sicherung
mount /dev/mapper/sicherung /mnt/sicherung
# Daten hineinspiegeln
rsync -a --delete /etc /home /var/www /mnt/sicherung/
# Schließen und die Abbilddatei hochladen
umount /mnt/sicherung
cryptsetup close sicherung
rsync --progress -e 'ssh -p23' /srv/sicherung.img \
kunde1@kunde1-7.speicher.idodns.de:/home/
Ehrlich gesagt: Das ist der unbequemste Weg von allen. Die Abbilddatei geht bei jeder Änderung fast ganz neu hinüber, und Sie brauchen lokal so viel Platz wie die Sicherung groß ist. Wenn Sie die Wahl haben, nehmen Sie Borg oder restic — beide verschlüsseln von selbst und übertragen nur, was sich geändert hat.
Wenn es nicht klappt
Das NAS meldet „Verbindung fehlgeschlagen“
Port 23 statt 22 — und zwar im Feld neben dem Servernamen, nicht im Benutzernamen. Prüfen lässt es sich von jedem Rechner aus mit ssh -p 23 kunde1@kunde1-7.speicher.idodns.de.
„Failure“, „Zugriff verweigert“ oder „kann Ordner nicht anlegen“
Der Pfad. Er muss unter home/ liegen — im Wurzelverzeichnis dürfen Sie nicht schreiben. Prüfen lässt sich das mit einem SFTP-Programm wie WinSCP: Was Sie dort unter /home/ sehen, ist Ihr Bereich.
„Zu viele Verbindungen“
Ihr Speicher erlaubt zehn gleichzeitige Verbindungen. Läuft ein Auftrag noch, während der nächste startet, stoßen sie sich. Legen Sie die Zeitpläne auseinander.
Der Speicher ist voll
Erst die Rotation prüfen — ohne sie wächst die Sicherung endlos. Reicht das nicht, stocken wir im Kundenbereich auf: Er wird im laufenden Betrieb umgestellt, Servername und Zugangsdaten bleiben, und am NAS ist nichts zu ändern.
Wie es weitergeht
Nach dem ersten nächtlichen Lauf steht die Belegung im Kundenbereich — und ab dann gilt der Termin, den man sich gleich eintragen sollte: einmal im Quartal eine einzelne Datei zurückholen, in Hyper Backup unter „Wiederherstellen → Einzelne Dateien“. Passt die .pem-Schlüsseldatei nicht zur Passphrase, merken Sie es so an einem ruhigen Tag und nicht an dem, an dem das NAS ausgefallen ist.
Für den Server neben dem NAS ist BorgBackup der bessere Weg als rsync, für die Arbeitsplätze Duplicati. Und steht das NAS beim Kunden, wollen Sie es sehen, ohne hinzufahren: Der Fernzugriff bringt Sie per WireGuard hinein — ein QNAP-NAS holt dort sogar sein Zertifikat selbst ab, damit die Oberfläche ohne Warnung öffnet.
Weiter im selben Bereich
Linux, Windows, macOS
Laptop, Arbeitsplatzrechner
Windows, Linux, macOS
Linux, Windows, macOS
Ihr Gerät ist nicht dabei? Alle Anleitungen
Kommen Sie nicht weiter? Sehen Sie zuerst unter Häufige Fragen nach.
Steht die Antwort dort nicht, schreiben Sie uns an info@idodns.de — mit dieser Anleitung im Betreff. Was mehrfach gefragt wird, steht danach hier.