Comments 21
Хорошая статья, особенно понравилось понимание проблем с безопасностью HyperV. Вопрос к автору: а почему просто не перевести всю виртуализацию на ProxMox?
Компания не моя, там и с освоением HyperV проблемы, до Proxmox им пока далеко (понимания)... Но надеюсь когда нибудь их скиллы (админов) подрастут и до таких технологий!
Это что ж за компания такая? :)
P.s. Proxmox, ceph, zfs, pfsense и все-все-все https://forum.netgate.com/topic/163435/proxmox-ceph-zfs-pfsense-и-все-все-все-часть-2/
Нужно было или сразу ставить собственника перед фактом, что нужен отдельный компьютер, который будет забирать, получать бэкапы, или никак больше. При этом настройки не так уж и важны, т.к. тут масса вариантов, начиная от запущенного .cmd файла в цикле.
И позвольте дать совет, если Интернет безлимитный, то ночью можно ещё всё выгружать в какое-нить облако, благо 1Тб сейчас по скидки от того же маил.ру(1045 руб\год) выходит дешевле использования HDD.
В облако можно как выгружать, так и удалять с него. Так что проблему оно не очень решает. Да и терабайт - это вообще ни о чем. Разве что для совсем микро бизнеса.
Можно развернуть minio - там есть Object Locking. C ним просто так удалить не получится.
MinIO Object Locking https://min.io/docs/minio/linux/administration/object-management/object-retention.html
Using MinIO with Veeam https://min.io/docs/minio/linux/integrations/using-minio-with-veeam.html
И при чём здесь ChatGPT4? Очередной кликбейт. С таким же успехом статью можно назвать "Защита бекапов с помощью Google", "Защита бекапов с помощью Васи Пупкина", "Защита бекапов с помощью такой-то матери". В статье практически только в одном месте нужно подставить имя помощника и всё.Удалите из статьи упоминание ChatGPT - это не повлияет ни на что.
Не решена главная задача - злоумышленник всё ещё может попасть по сети и испортить бекапы.
Вариант:
1) Отдельная NAS ZFS которая не управляется по сети
2) Ежедневные снепшоты ZFS
VEEAM имеет версию для Linux. Почему бы не использовать ее для управления резервными копиями вместо скриптов? Это также добавит функциональность иммутабилити.
Просто для информации:
https://wiki.debian.org/iptables
NOTE: iptables was replaced by nftables starting in Debian 10 Buster
Осталась минимальная альтернатива iptables-legacy
Развернуть минимальный Debian 12 (Bookworm) на отдельный диск(желательно SSD NVMe) и поставить OMV 7.x(OpenMediaVault). Пул для nas - любые диски.
Удобнй web interface и много плагинов. Легкий порог вхождения для одминов локалхостов этой фирмы.
https://github.com/orgs/OpenMediaVault-Plugin-Developers/repositories
Ручна установка на Debian:
wget https://github.com/OpenMediaVault-Plugin-Developers/installScript/raw/master/install
chmod +x install
sudo ./install -nTruenas scale тогда. Оч удобная админка + возможность установки приложений одним кликом (apps).
Я не знаю, как без скрипта обеспечить на TrueNAS или на OMV тот алгоритм выгрузки VBR, как мне написал GPT4 ИИ...чтобы из кучи файлов, среди которых Full, инкременты и метаданные, вытаскивались только VBK (Full Backup), копировались куда нужно, хранились в нужном количестве и ротировались по дискам.
А если это можно только скриптом реализовать, зачем мне лишние сервисы и консоли? Все это может увеличивать "поле атаки".
Защита бекапов с помощью ChatGPT4 — строим LastHope сервер