Serveur de backup hors site

Le serveur

Caractéristiques

• QNAP TS-809U-RP turbo NAS

  • S/N : 0099806463; P/N : 52100-00909-RS
  • Firmeware : v3.2.4 Build 0315 (à la date du 27 avril 2010)

  • Touche d'accès au BIOS : DEL

• Processeur : Intel Processor Core 2 Duo 2.8 GHz
• RAM : 2GB DDRII RAM
• Disques durs :
  • Disque Flash : 128MB DOM
  • Disque SATA : 4 x 1TB x Western Digital Caviar Black WD1001FALS.
    • On a 4 disques identiques de réserve

Installation de Debian

.. ça n'a pas été facile, mais ts-809-u a été dompté ...

• partitionnement :
  • /boot : /dev/sde1 (flash disk) (128 MB)
  • /dev/md0 (RAID5 [sda1,sdb1,sdc1] + spare [sdd1]) : LVM
    • lvm vg : auf
    • lvm lv :
      • / : /dev/auf/racine (2Go)
      • /var : /dev/auf/var (2Go)
      • /var/lib/backuppc : /dev/auf/var-lib-backuppc (2000Go)
      • swap : 2Go
  • pour partitionner : on boote normalement le NAS et ensuite on s'y connecte en ssh (ssh admin:admin@IP). Ensuite :
    • on supprime les partitions du disque flash (bien sûr on a fait un backup préalable). Et on crée notre /dev/sde1 pour le /boot
    • avec mdadm on crée notre RAID5.
    • la suite (/dev/md0 en LVM) se passe lors de l'installation de Debian

• PARTICULARITE ou bizarrerie : GRUB est dans /boot/boot/grub

  • au boot, après l'installation de Debian, "error 15" de grub
  • une ré-installation du grub (grub-install), depuis un liveCD, crée un dossier boot/grub sur la partition /boot (dev/sde1). Il a aussi fallu corriger le disque de démarrage (remplacer (hd4,0) par (hd0,0))

  • conclusion : /boot/grub et /boot/boot/grub existent mais c'est le second qui est utilisé.

Configuration réseau

• IP publique : 204.136.13.26/255.255.255.248
• Tunnel openvpn
  • connecté sur new-openvpn
  • IP openvpn : 10.36.8.5
  • certificat PKI-AUF utilisateur : backup-horsite.ca-auf-org

Firewall

• règles de base :
  • tous les INPUT sont rejetés par défaut
  • tous les OUPUT sont autorisés
  • tous les FORWARD sont entièrement fermés
• les accès
  • tout depuis le gateway de Montréal (199.84.140.254) est accepté
  • tout depuis le RPV AUF (10.0.0.0/8) est accepté
  • le ssh est accepté en port knocking

Backuppc

• installation classique de backuppc
• ensuite copie des config du backuppc sur site
• changements :
  • full backup : 1 fois par mois
  • increment backup : 2 fois par semaine
  • serveurs sauvegardés (taille total d'environ 330GB au départ):
    • tous les vz (auforg, intranet, tech, www, superca, mail)
    • nfs-auth.ca.auf
    • fw.ca.auf
    • toip.ca.auf.org
• serveur web
  • accessible en https uniquement (avec certificat serveur-ssl PKI-AUF, compte backup-horsite.ca-auf-org.https)
  • http redirigé vers www.auf.org