Synology: Rechner mittels rsync und SSH ohne Passwort-Eingabe auf das NAS sichern

Ich habe ja nun dieses wunderschöne kleine NAS (Synology), auf das ich wunderbar meine Daten sichern kann. Das Gerät lässt sich über die wirklich gut gemachte Web-Oberfläche sehr schön administrieren und das Freigeben von CIFS/SMB, NFS und Mac File System ist wirklcih ein Kinderspiel.

Damit kann man schon jede Menge anfangen und auch rsync würde funktionieren, wenn ich eine dieser Freigaben in meinen Rechner einbinden würde. Das Synology basiert auf Linux und bringt sowohl SSH als auch rsync mit sich. Demnach sollte es also möglich sein, meinen Linux-Rechner via rsync und ssh ohne Passwort-Eingabe auf das NAS zu sichern. Es ist auch möglich, allerdings gibt es da Stolpersteine, die ich hier zeigen möchte.

Vorbereitung

Zunächst müssen wir sicherstellen, dass der SSH-Dienst auf dem Synology läuft. Dazu klickst Du im Kontroll-Zentrum auf Terminal und setzt den Haken bei SSH-Dienst.

Synology: Kontrollzentrum

Synology: SSH-Dienst aktivieren

Nun kannst Du Dich via SSH am Synology anmelden. Das root-Passwort ist übrigens gleich dem admin-Kennwort. Ich zeige die Prozedur mit dem root-Konto, was eigentlich nicht ganz optimal ist. Hier intern ist mir das allerdings egal, weil sowieso nur 2 Leute auf das NAS Zugriff haben und ein Einbrecher auch zunächst meine Schlüssel klauen müsste. Sollte mir das Notebook gestohlen werden, käme der Einbrecher allerdings nicht auf das NAS, weil es nicht aus dem Internet erreichbar ist. Somit ist die Verwendung von root in meinem Fall ein für mich akzeptables Risiko.

Du kannst das Ganze auch auf Benutzerebene machen, dann musst Du aber die Home-Verzeichnisse der Benutzer aktivieren. Das kannst Du in der Benutzer-Administration des Geräts festlegen. Danach funktioniert die Anleitung genau gleich, außer dass das zu verwendende Verzeichnis anstelle von /root/.ssh/ eben (in meinem Fall, nur ein Volume) /volume1/homes/<Anwendername>/.ssh/ wäre.

Hinweis: Auch wenn sich der Anwender nicht via ssh anmelden kann, funktioniert ein rsync via ssh dennoch! Also hier nicht stecken bleiben und einen Fehler suchen, der nicht da ist.

Synology: Home aktivieren

Hinweis (Danke an Sven): Bei (auf jeden Fall) DSM 5.2 muss der Haken bei Netzkwersicherungs-Dienst aktivieren unter Datensicherung & Replikation > Sicherungsdienste > Netzwerksicherungsziel gesetzt sein. Port ist 22, wenn man über Standard-SSH sichern möchte.

Netzwerk-Sicherungsdienst aktivieren

RSAAuthentication aktivieren

Man könnte rsync nun bereits benutzen, allerdings verlangt die Prozedur ein Passwort. Ich will aber meinen Rechner alle Stunde über einen Cronjob sichern und da ist eine Passwort-Abfrage alles andere als optimal. Da gibt es ja diese Möglichkeit, eine Anmeldung über Schlüssel zu realisieren. Diese ist auf dem Synology allerdings deaktiviert und lässt sich nicht über die Web-Oberfläche einstellen. Deswegen musst Du Dich via ssh als root auf der Kiste anmelden und danach die Datei /etc/ssh/sshd_config anpassen.

• ssh root@<IP-Adresse-des-Synology>
• vi /etc/ssh/sshd_config

Hier suchst Du nun nach der Zeile #RSAAuthentication yes und löscht die Doppelkreuze vor den beiden darunterliegenden Zeilen. Das Ganze sollte dann so aussehen:

Synology: RSAAuthentication aktivieren

Nun machen wir zunächst auf dem Client weiter.

Schlüsselpaar auf dem Client erzeugen

Der Befehl ssh-keygen -t rsa -b 2048 -f rsync-key erzeugt ein Schlüsselpaar (rsync-key kannst Du beliebig austauschen). Du wirst nach einem Passwort gefragt, das Du zwei Mal mit Drücken der Eingabetaste überspringst – also kein Passwort festlegen, sonst würden wir beim Einsatz von rsync wieder danach gefragt. Ist das Schlüsselpaar erzeugt, sicherst Du den privaten Schlüssel noch maximal ab: chmod 600 rsync-key. Am besten ist es wohl, wenn man das Schlüsselpaar unter /home/<Anwender>/.ssh/ ablegt – aber entscheiden kannst Du das selbst. Hier ein Beispiel der Prozedur (nein, ich verwende diesen Schlüssel nicht 😉 )

SSH: Schlüsselpaar erzeugen

Solltest Du beim erzeugen des Schlüsselpaars die Option -f rsync-key weglassen, schlägt die Software sowieso /home/<Anwender>/.ssh/ vor und wird als Dateinamen id_rsa und id_rsa.pub verwenden.

Tipp: Danke an Dakira für den Hinweis, dass man den Schlüssel auch mittels ssh-copy-id auf das NAS bringen kann: ssh-copy-id root@NAS (würde die Standard-Dateien nehmen) und mit -i kannst Du eine spezielle Datei angeben. Mehr Informationen dazu in man ssh-copy-id.

Zurück auf dem NAS

Nun kopierst Du den öffentlichen Schlüssel (mit der Endung .pub) irgendwie auf das NAS (Samba-Freigabe, NFS, was auch immer). Ich habe nun im Verzeichnis /root/ (Erinnerung hier an die Home-Verzeichnisse, wie weiter oben beschrieben!) das Unterverzeichnis .ssh angelegt (mkdir .ssh) und in diesem Unterverzeichnis mittels touch authorized_keys die gleich benötigte Authentifizierungs-Datei erschaffen. Diese kannst Du auch wieder mit chmod 600 authorized_keys besser schützen (wobei nur root Zugriff auf das Verzeichnis /root/ hat, aber notwendig, wenn Du das mit einem andern Anwender realisierst).

authorized_keys im Verzeichnis .ssh

Nun übertragen wir den öffentlichen Schlüssel in die Datei authorized_keys. Das sieht in diesem Fall so aus: cat /<Pfad zu Schlüssel>/rsync-key.pub >> authorized_keys. Nun solltest Du die .pub-Datei wieder löschen.

Hinweis: Will man sich mit einem Anwender ohne Passwort auf dem Synology anmelden, dann muss das Home-Verzeichnis die Berechtigung 755 und die Datei authorized_keys 644 haben. So hat das zumindest bei einem Leser geklappt, wie in den Kommentaren nachzulesen ist.

rsync auf dem Client abfeuern

Wieder auf dem Client kannst Du nun ausprobieren, ob alles funktioniert. Ich habe zum Beispiel eine Freigabe juergen, die auf dem Synology unter /volume1/juergen/ liegt. Dahin möchte ich auch meine Sicherung machen. Der Befehl sieht zum Beispiel so aus (die IP-Adresse meines Synology ist 192.168.100.10):

rsync -avuz --delete -e '/usr/bin/ssh -i /home/bitblokes/.ssh/rsync-key' /home/bitblokes/ root@192.168.100.10:/volume1/juergen

Das würde mir das komplette Home-Verzeichnis meines Notebooks auf das NAS sichern. Das Ganze kannst Du natürlich an Deine Gegebenheiten anpassen.

Die Geschichte automatisieren

Wenn ich nun das Ganze automatisieren möchte, lege ich dazu auf meinem Client einen Cronjob an. rsync sichert bekanntlich nur die Änderungen und somit ist nach einer Erstsicherung ein Backup in der Regel schnell durchgeführt. Mir reicht es dennoch, wenn meine Daten alle 2 Stunden gesichert werden.

Dazu öffnest Du die Crontab mittels crontab -e und gibst entsprechend die gewünschte Zeile ein. Bei mir würde das nun so aussehen:

0 */2 * * * /usr/bin/rsync -avuz --delete -e '/usr/bin/ssh -i /home/bitblokes/.ssh/rsync-key' /home/bitblokes/ root@192.168.100.10:/volume1/juergen >> /dev/null 2>&1

Es ist der selbe Befehl wie oben, nur bei rsync der komplette Pfad angegeben. Das /dev/null 2>&1 bewirkt, dass keine Log-Dateien geschrieben werden. Die Zahlen-Sternchen-Kombination steht für alle 2 Stunden. Eine Stunde würde dazu äquivalent 0 */2 * * * sein un alle 30 Minuten sähen so aus: */30 * * * *

Cronjob mit rsync anlegen

Das Ganze hört sich vielleicht komplizierter an, als es ist. Aber Du kannst das leicht in 15 Minuten selbst einrichten. Der Vorteil liegt auf der Hand: Meine Daten werden automatisch gesichert und ich kann das Backup nicht vergessen. Wenn der Rechner läuft, wird auch ein Backup durchgeführt.