Schritt 6: Überprüfen und Anpassen der Konfiguration, Absichern der Dienste (Firewall)
Das Backup kann nur funktionieren, wenn folgende Bedingungen erfüllt sind:
- Sie haben Ihren Rechner beim Backup-Service angemeldet.
- Ihr Betriebssystem wird von der aktuellen Version der Backup-Software unterstützt.
- Sie haben die Software nach unserer Anleitung erfolgreich installiert.
- Sie konnten die Zertifikate für ihren Backup-Client erzeugen lassen und herunterladen.
- Fehlende Bibliothekspakete Ihrer Distribution sind jetzt installiert.
- Die Initsskripte sind in /etc/init.d/ gelandet und werden bei Systemstart gestartet.
- Ihr Firewall lässt Verbindungen aus dem Backup-Netz zu den Backup-Diensten auf Ihrem Rechner zu.
- Sie haben uns die erfolgreiche Installation der Backup-Software mitgeteilt
und wir haben Ihnen den erfolgreichen Beginn der Datensicherung bestätigt.
- Die Uhr Ihres Rechners wird regelmäßig mit einem Time-Server (z.B. time.fu-berlin.de) synchronisiert.
Prüfen Sie nach der Installation das Vorhandensein und
den Inhalt der Konfigurationsdatei
/usr/openv/netbackup/bp.conf und
gleichen Sie den Inhalt mit einer möglicherweise bereits von einer
früheren NetBackup-Installation bestehenden Version dieser Datei ab.
Der Name des Backup-Servers muss buchstabengetreu hoovix.zedat.fu-berlin.de
lauten und die CLIENT-Zeile muss mindestens den Namen ihres Backup-Clienten in Kleinbuchstaben mit
Domain (FQDN) enthalten:
SERVER = hoovix.zedat.fu-berlin.de
CLIENT_NAME = rechnername.mit.domain.in.kleinschreibung
Statt
rechnername.mit.domain.in.kleinschreibung
setzen Sie hier den Namen
Ihres Rechners mit voller Domain in Kleinschreibung ein. Wenn Sie die Angabe
der DNS-Domain vergessen und rechnername anstatt rechnername.mit.domain.in.kleinschreibung
schreiben, werden Sie zumindest keine Restores machen können.
Wenn vorher bereits eine ältere Version der Software installiert war,
ergänzen Sie fehlende Einträge aus der ursprünglichen bp.conf,
z.B. die Hinweise auf ein bestimmtes zu benutzendes Netzwerkinterface oder Debug-Parameter.
In der Informationsdatei /etc/services oder
/usr/etc/services müssen
die Dienste bpcd, vnetd, bpjava-msvc und veritas_pbx mit den passenden Ports
aufgeführt sein und ggf. ergänzt werden:
[root]% egrep '(bpcd|vnetd|bpjava-msvc)' /etc/services
Ergänzen Sie fehlende Einträge wie folgt:
Die Datei
/etc/services
muss sinngemäß mindestens folgende Einträge enthalten:
#
# ZEDAT NetBackup services
#
bpcd 13782/tcp # ZEDAT Netbackup client daemon
vnetd 13724/tcp # ZEDAT Netbackup vnetd
bpjava-msvc 13722/tcp # ZEDAT Netbackup Java GUI
veritas_pbx 1556/tcp # VERITAS Private Branch Exchange
Um die Backup-Dienste beim Systemstart zu starten, müssen Sie bei
Suse-Linux beispielsweise eingeben
init-System:
[root@suse]% chkconfig netbackup on
[root@suse]% chkconfig vxpbx_exchanged on
systemd-System:
[root@suse]% systemctl enable netbackup
[root@suse]% systemctl enable vxpbx_exchanged
Bei anderen alten Linux-Distributionen reicht dazu die
passende Verlinkung der init.d-Skripte in die rcx.3 Verzeichnisse aus,
die NetBackup bei der Installation selbst vollzieht:
Adding system startup for /etc/init.d/netbackup ...
/etc/rc0.d/K01netbackup -> ../init.d/netbackup
/etc/rc1.d/K01netbackup -> ../init.d/netbackup
/etc/rc2.d/S95netbackup -> ../init.d/netbackup
/etc/rc3.d/S95netbackup -> ../init.d/netbackup
/etc/rc5.d/S95netbackup -> ../init.d/netbackup
Sie erkennen das Laufen der drei Dienste an den Ausgaben des ps-Befehls:
# ps -lfC bpcd,vnetd,pbx_exchange
F S UID PID PPID C PRI NI ADDR SZ WCHAN STIME TTY TIME CMD
1 S root 1202 1 0 80 0 - 10522 poll_s 11:06 ? 00:00:00 /opt/VRTSpbx/bin/pbx_exchange
1 S root 1258 1 0 80 0 - 14612 poll_s 11:06 ? 00:00:00 /usr/openv/netbackup/bin/vnetd -standalone
1 S root 1261 1 0 80 0 - 17257 poll_s 11:06 ? 00:00:00 /usr/openv/netbackup/bin/bpcd -standalone
Falls Ihre Installation die Dienste nicht über init.d sondern weiterhin über (x)inetd
startet, prüfen Sie die Installation wie in der
Anleitung
für die Version 6.5 dieser Software.
Mac OS X
Die Aufgaben des (x)inetd wurden ab Version Mac OS X 10.5 vom launchd übernommen.
In der Zedat wurde die Installation mit Mac OS X 10.6.8 erfolgreich durchgeführt.
Da NetBackup 7.x nun keinen (x)inetd mehr verwendet, nutzt NetBackup auch keinen launchd mehr.
Die Dienste werden beim Systemstart über das StartupItem "netbackup" gestartet.
Im graphischen Konfigurationstool von Mac OS X Server namens Server Admin, kann
der Service Firewall gestartet werden.
Unter Firewall --> Settings --> Services können dann Ports freigegeben werden.
Geben Sie dort bpcd (13782/tcp) und vnetd (13724/tcp) für Zugriffe von Außen frei,
Exclude-Listen
Die Pfade, die von Ihrem Rechner im Backup sind, sind
nur auf dem Backup-Server(!) konfiguriert. Dabei werden symbolische Links,
Netzwerklaufwerke (nfs, cifs, sshfs, ...) und Mountpoints in Unterverzeichnissen nicht verfolgt.
Enthalten die gesicherten Pfade Verzeichnisse oder Dateimuster, die nicht
gesichert werden sollen, müssen diese in eine Datei
/usr/openv/netbackup/exclude_list aufgenommen werden.
Das Upgrade einer Installation lässt diese Datei unangetastet. Diese Datei
kann beispielsweise wie folgt aussehen:
*.tmp
*.[mM][pP]3
[cC]ache/*
/tmp/*
Im Regelfall empfehlen und erwarten wir von unseren Kunden die Konfiguration dieser
Datei!
Ausführlichere Informationen finden Sie im Handbuch und in unseren
FAQs.
Die Nutzer-Oberflächen bp und jbpSA
Das alte Motif-GUI aus NetBackup bis Version 4.5 xbp entfiel in NetBackup ab Version 6.
Es wird ersetzt durch
ein Java-GUI /usr/openv/netbackup/bin/jbpSA, falls
das für Ihr Betriebssystem zur Verfügung steht. Das curses-Interface /usr/openv/netbackup/bin/bp und die Kommandozeilenwerkzeuge stehen immer zur Verfügung, auch wenn es wie bei Mac OS X kein Java-GUI gibt.
Firewall konfigurieren
Auf die nun auf Ihrem Rechner installierten Dienste soll nur der
Backup-Server (und der eigene Rechner) zugreifen, sichern Sie Ihre Dienste daher ab.
Die Backup-Dienste berücksichtigen keine tcp-wrappers Konfiguration ( /etc/hosts.allow u.s.w)
mehr, da sie nicht mehr über den (x)inetd gestartet werden.
Jede Distribution hat jedoch zumindest einen Personal Firewall, der die
Dienste zuverlässig schützen kann.
Ihren Firewall konfigurieren Sie so, dass ESTABLISHED-Verbindungen
immer durchgelassen werden. Außerdem erlauben Sie NUR aus dem Backup-Netz
130.133.8.64/255.255.255.224 (in anderer Schreibweise 130.133.8.64/27 )
Verbindungen auf die Ports der Backup-Dienste (s.o.: 13724, 13782 und 1556).
Bei Suse-Linux 9 bis 11.4 und SLES 9 und 10 mit aktiviertem Firewall "SuSEfirewall2"
erweitern Sie in der Datei /etc/sysconfig/SuSEfirewall2 die Liste
der Variable FW_SERVICES_EXT_TCP um die vier NetBackup-Dienste vnetd,
vopied, bpcd und bpjava-msvc, also beispielsweise:
FW_SERVICES_EXT_TCP="ssh www"
ändern zu
FW_SERVICES_EXT_TCP="ssh www vnetd bpcd veritas_pbx"
Bei openSuSE ab 11.2 und SLES 11 erweitern Sie stattdessen in der Datei /etc/sysconfig/SuSEfirewall2 die Liste
der Variable FW_CONFIGURATIONS_EXT um den String netbackup, also beipielsweise
FW_CONFIGURATIONS_EXT="sshd"
ändern zu
FW_CONFIGURATIONS_EXT="sshd netbackup"
und legen eine Datei
/etc/sysconfig/SuSEfirewall2.d/services/netbackup an mit dem Inhalt
## Name: netbackup
## Description: Open ports for NetBackup
# space separated list of allowed TCP ports
TCP="bpcd vnetd veritas_pbx"
Dann starten den Firewall neu:
[root]% SuSEfirewall2 restart
Den ufw Firewall bei Ubuntu ab Version 9.04 konfigurieren Sie wie folgt.
Hinweise zur Konfiguration finden Sie im
Ubuntu-Wiki und in der man page. Legen Sie eine Datei /etc/ufw/applications.d/netbackup-clients.ufw
an mit dem Inhalt
[NetBackupClient]
title=ZEDAT NetBackup-Client
description=Firewall Rules for ZEDAT NetBackup-Client 6.x and 7.x
ports=bpcd,vnetd,bpjava-msvc,veritas_pbx/tcp
Die Datei
/etc/services muss dazu folgende Zeilen mit enthalten, gegebenenfalls fügen Sie
diese Zeilen ein:
veritas_pbx 1556/tcp # VERITAS Private Branch Exchange
veritas_pbx 1556/udp # VERITAS Private Branch Exchange
bpcd 13782/tcp # VERITAS NetBackup
bpcd 13782/udp # VERITAS NetBackup
vnetd 13724/tcp # Veritas Network Utility
vnetd 13724/udp # Veritas Network Utility
bpjava-msvc 13722/tcp # BP Java MSVC Protocol
bpjava-msvc 13722/udp # BP Java MSVC Protocol
Laden Sie den firewall beim Systemstart, verifizieren Sie die NetBackup-Regeln und stellen Sie sicher, dass diese Liste verstanden wird:
# service ufw start
# ufw enable
# ufw app list
Verfuegbare Anwendungen:
...
NetBackupClient
...
# ufw app update NetBackupClient
Regeln fuer Profil 'NetBackupClient' aktualisiert
Neustart der Firewall übersprungen
# ufw app info NetBackupClient
Profil: NetBackupClient
Titel: ZEDAT NetBackup-Client
Beschreibung: Firewall Rules for ZEDAT NetBackup-Client 6.x and 7.x
Ports:
bpcd,vnetd,bpjava-msvc,veritas_pbx/tcp
Machen Sie die Regeln aktiv und verifizieren dies:
# ufw allow from 130.133.8.64/27 to any app NetBackupClient
Regel hinzugefuegt
# ufw status
Status: active
Zu Aktion Von
-- ------ ---
...
NetBackupClient ALLOW 130.133.8.64/27
...
Ihre Regeln sind nun in der Datei
/lib/ufw/user.rules gespeichert und werden beim nächsten Systemstart
erneut aktiv:
# grep 130.133 /lib/ufw/user.rules
### tuple ### allow tcp 1556,13722,13724,13782 0.0.0.0/0 any 130.133.8.64/27 NetBackupClient - in
-A ufw-user-input -p tcp -m multiport --dports 1556,13722,13724,13782 -s 130.133.8.64/27 -j ACCEPT -m comment --comment 'dapp_NetBackupClient'
Achtung: Bietet Ihr Rechner weitere Dienste an (z.B. ssh, http) und sind keine Regeln
dafür hinterlegt, sind diese Dienste nun blockiert. Mit
ufw reset setzen Sie alle Regeln auf
Auslieferungszustand zurück und mit
ufw disable schalten Sie den Firewall komplett aus.
Für ipfilters unter FreeBSD wurde folgende Konfiguration getestet:
oif="xl0" # name of the outbound interface
myip="xxx.yy.zz.abc" # my static IP address from ISP
/sbin/ipf -Fa -f - << EOF
...
# Allow out Zedat Netbackup
pass out log first quick on $oif proto tcp from $myip to 130.133.8.64/27 flags S keep state
pass in log first quick on $oif proto tcp from 130.133.8.64/27 to $myip port = 13782 flags S keep state
pass in log first quick on $oif proto tcp from 130.133.8.64/27 to $myip port = 13724 flags S keep state
pass in log first quick on $oif proto tcp from 130.133.8.64/27 to $myip port = 1556 flags S keep state
EOF
Lassen Sie außerdem bei bpjava-msvc und vnetd Verbindungen von Ihrer
eigenen IP-Adresse zu, sonst können Sie sich nicht in das Java-GUI
jbpSA einloggen (das es bei Mac OS X, Irix und FreeBSD sowieso nicht gibt)!
Die Uhrzeit auf Ihrem Rechner muss unbedingt richtig gehen, damit das
Backup korrekt funktioniert. Richten Sie einen ntp-Dienst ein,
der die Uhr regelmäßig mit dem Time-Server time.fu-berlin.de
abgleicht oder starten sie stündlich einen cronjob: Für den
Cronjob tragen Sie in die crontab von root ("crontab -e")
sinngemäß folgende Zeile ein:
13 * * * * /usr/sbin/ntpdate time.fu-berlin.de > /dev/null
um 13 Minuten nach jeder vollen Stunde die Uhrzeit zu justieren.
Holen Sie Dateien mit Zeitstempeln aus der Zukunft in die
Gegenwart zurück, damit Sie bei einem Restore die richtigen Versionen
zurückerhalten und die Dateien nicht jeden Tag erneut im Backup landen.
Solche Dateien kann man z.B. wie in unseren
FAQs
beschrieben behandeln.