Backup der Firewall

Die mp-Firewall bietet verschiedene Möglichkeiten zur Sicherung Ihrer Daten an.

• Das Backup nur lokal auf der mp-Firewall speichern.
  Das Backup wird dabei lokal im Home-Verzeichnis des Benutzers backuser abgelegt. Dieses Backup wird bei jeder Sicherung automatisch erstellt und bleibt dort so lange liegen, bis es entweder manuell gelöscht wird oder das Verfallsdatum erreicht ist und damit das Backup automatisch gelöscht wird.
• Das Backup auf einem Bandlaufwerk sichern.
• Das Backup auf einer DVD+-RW sichern.
• Das Backup auf einem Backup-Server sichern.

Bevor Sie erstmals ein Backup erstellen können, müssen Sie zunächst die Backup-Konfiguration einrichten. Dazu melden Sie sich bitte als Benutzer backuser an und wählen den Menüpunkt Konfiguration aus. Es gibt folgende Konfigurationseinstellungen:

ACHTUNG: Denken Sie bitte daran, dass Sie nach Änderungen im Konfigurationsmenü diese über den Menüpunkt Speichern in der Konfigurationsdatei sichern müssen, damit sie wirksam werden.

Zur Erstellung eines Backups für mp-Firewall melden Sie sich bitte als Benutzer backuser an.

Nachdem die Konfiguration für das Backup vorgenommen wurde, sollte ein erstes Backup manuell gestartet werden. Auch wenn das automatische Backup ausgewählt wurde, ist es sinnvoll ein erstes Backup manuell zu erstellen, um die einwandfreie Funktion zu überprüfen.

Stellen Sie sicher, dass sich bei einem Backup auf ein Band/DVD-Laufwerk ein entsprechendes Medium im Laufwerk befindet.

Als nächstes starten Sie das Backup unter dem Menüpunkt Backup. Die mp-Firewall sammelt nun alle Daten für das Backup zusammen und erstellt die Backup-Datei. Sobald diese erstellt wurde, wird es auf das ausgewählte Medium bzw. den konfigurierten Backup-Server geschrieben.

Anmerkung: Auf der mp-Firewall Server liegt das Backup immer unverschlüsselt.

Die Sicherung eines Backups auf einem Backupserver bietet den Vorteil, dass die Sicherung nicht an den Standort der mp-Firewall gebunden ist. So ist es möglich einen Backupserver auch an einen anderen Ort auszulagern. Dafür sollten Sie aber besondere Sicherheitsvorkehrungen treffen, denn auch hier schafft der Abstand die Sicherheit. Deshalb sollten Backups die nicht auf der mp-Firewall liegen verschlüsselt werden.

Melden Sie sich als Benutzer config an und wechseln Sie im Menü Einstellungen in das Menü Uplink-Server.

• unter Backup-Server tragen Sie Ihren Backupserver ein
• sichern Sie die Einstellungen mit dem Menüpunkt Speichern
• jetzt wenden Sie die geänderten Einstellungen mit Sanft Anwenden an

Danach können Sie sich als config abmelden und als backuser neu anmelden. Wechseln Sie ins Menü Konfiguration.

1. im Menüpunkt Upload-Verfahren wählen Sie bitte das gewünschte Verfahren für die Datenübertragung aus
2. der Backupserver wird im Menüpunkt Upload-Server ausgewählt, wenn hier nicht der Richtige angezeigt wird muss dieser noch wie oben beschrieben eingetragen werden
3. den Benutzer auf dem Backupserver tragen sie im Menüpunkt Upload-User ein
4. dazu geben Sie ggf. das Passwort unter dem Menüpunkt Upload-Password an
5. das Verzeichnis des Backupservers auf dem gesichert werden soll muss unbedingt unter Upload-Remote-Dir eingetragen werden
6. sichern Sie die Konfiguration unter Speicher ab
7. wechseln Sie zurück zum vorherigen Backuser-Hauptmenü und starten Sie mit Backup eine Sicherung

Bitte überprüfen Sie abschließend, ob die Sicherung auf den Backupserver geschrieben wurde.

HINWEIS!
Bei der Verbindung über SFTP muss der SSH-Keys mit einem Fingerabdruck bestätigt werden. Um dies zu tun, können Sie den Menüpunkt Upload-Public-key hochladen benutzen. Bestätigen Sie den Fingerabdruck und beenden Sie die Verbindung danach mit der Tastenkombination Strg + C.

Für die Sicherung eines Backups auf einer USB-Festplatte bedarf es einiger Voraussetzungen. Als erstes muss die USB-Festplatte einen Label-Namen bekommen.
ACHTUNG! Für den Fall, das mehrere Festplatten zum Einsatz kommen, müssen diese alle den selben Label-Namen bekommen!
Die USB-Festplatte muss im Dateiformat ext3 journal formatiert sein. Da dies ein auf Linux basierendes Dateiformat ist, bezieht sich die folgende Anleitung Vorbereitung der Festplatten auf eine Linux-Distribution. Danach muss die mp-Firewall eingerichtet werden.

Melden Sie sich als backuser an der mp-Firewall an und wechseln Sie ins Menü Konfiguration. Führen Sie hier bitte die folgenden Schritte durch.

1. im Menüpunkt Backup-Disk-Label bitte den Label-Namen eintragen (TG-Backup – auf die Schreibweise ist zu achten)
2. unter Backup-Disk-Lebensdauer tragen Sie die Zeit in Tagen ein, die die Backups auf der USB-Festplatte aufgehoben werden sollen.
3. sichern Sie über den Menüpunkt Speichern die Einstellungen
4. schließen Sie die USB-Festplatte an der mp-Firewall an
5. wechseln Sie zurück zum vorherigen Backuser-Hauptmenü und starten Sie mit Backup eine Sicherung

Bitte überprüfen Sie abschließend, ob die Sicherung auf die Festplatte geschrieben wurde.

Um den ungewollten Zugriff auf Backups die nicht auf der mp-Firewall abgelegt sind zu verhindern, können diese Backups mit einem GnuPG-Key verschlüsselt werden. Dafür muss der öffentliche Schlüssel eines GnuPG-Schlüssel-Paares dem backuser zur Verfügung gestellt werden. Der öffentliche GnuPG-Key muss dafür via SCP ins "keys" Verzeichnis des backuser kopiert werden.

Hinweise zum GnuPG-Key finden Sie unter http://www.gnupg.org/

Bitte melden Sie sich als backuser an der mp-Firewall an. Wechseln sie danach ins Menü Konfiguration und führen Sie die folgenden Schritte durch.

1. importieren Sie unter "Neuer GnuPG-Schlüssel" Ihren Schlüssel aus dem Verzeichnis "keys" (sollten Sie diesen schon zu einem früheren Zeitpunkt importiert haben lassen Sie diesen Schritt aus)
2. wählen Sie unter "GnuPG-Schlüssel" die GnuPG-Keys für die Verschlüsselung aus
3. unter "Speicher" müssen die Einstellungen noch gesichert werden
4. im übergeordneten Menü unter "Backup" kann jetzt ein Backup erstellt werden

Bitte prüfen Sie die Verschlüsselung der Backups und die Backups selbst. Die Verschlüsselten Backups sollten die Endung .gpg besitzen. Eine Verschlüsselung der Backups geschieht ausschließlich bei Sicherungen die nicht direkt auf der mp-Firewall gespeichert werden.

Falls Sie das automatische Backup eingestellt haben, können Sie sich als backuser unter dem Menüpunkt Show Last Log das Protokoll des letzten automatischen Backups ansehen. Hier finden Sie z.B. Fehlermeldungen oder Hinweise, falls ein Backup nicht funktioniert hat. Werden Backups manuell erstellen, wird kein Protokoll erzeugt.

Eine mp-Firewall kann nur aus einer funktionsfähigen Sicherungskopie (Backup) wieder hergestellt werden. Aus diesem Grund empfehlen wir, regelmäßig eine Sicherungskopie (Backup) auf einem externen Speichermedium zu erstellen.

Die Wiederherstellung einer mp-Firewall gliedert sich in zwei grundlegende Schritte: der Installation des Grundsystems aus den Installationsdateien (Grundinstallation) sowie der Wiederherstellung individueller Einstellungen und Benutzerverzeichnisse aus einer zuvor angelegten Sicherungskopie. Die Installationsdateien können Sie als ISO-File von unseren Servern abrufen. Wir empfehlen, vorsorglich die jeweils aktuelle Version zu laden und bereits abgerufene Dateien vor einer Verwendung auf Aktualität zu prüfen. Die heruntergeladene ISO-Datei können Sie auf einen CD-Rohling brennen und erhalten damit eine bootfähige Installations-CD-ROM zur Grundinstallation der mp-Firewall. Sollte das Zielsystem kein optisches Laufwerk aufweisen, ist zusätzlich ein externes optisches Laufwerk erforderlich. Falls nach einem Hardwaredefekt kein Start der mp-Firewall mehr möglich sein sollte und zugleich keine Installationsdateien vorliegen, setzen Sie sich bitte mit dem m-privacy-Kundendienst in Verbindung.

Wichtig: Bitte lesen Sie die nachfolgenden Hinweise vor Beginn der Wiederherstellung Ihrer mp-Firewall komplett durch und vergewissern Sie sich, dass Sie sich über jeden der auszuführenden Schritte im Klaren sind. Setzen Sie sich im Bedarfsfall mit dem m-privacy-Kundendienst in Verbindung, um Komplikationen im Zuge der Wiederherstellung und etwaigen Datenverlust zu vermeiden

• Melden Sie sich als Benutzer update an der Firewall an.
• Rufen Sie die aktuellen Installationsdateien über den Menüpunkt Install-ISO herunterladen von den Servern der m-privacy GmbH ab.
• Transferieren Sie die ISO-Datei nach Abschluss des Downloads mittels der Dateischleuse aus dem Transferverzeichnis des Benutzers config auf einen Arbeitsplatzrechner, der mit einem DVD-Brenner ausgestattet ist.
• Brennen Sie die ISO-Datei auf einen handelsüblichen DVD-Rohling. Sie erhalten damit eine Installations-DVD, mit der ein Systemstart und die nachfolgende Wiederherstellung einer Sicherungskopie möglich ist.

HINWEIS: Für den Fall, dass Sie Ihre Sicherungskopie (Backup) verschlüsselt auf dem externen Speichermedium abgelegt haben, müssen Sie diese vor der Wiederherstellung entschlüsseln. Stellen Sie weiterhin sicher, dass das System, auf dem Sie die mp-Firewall wiederherstellen möchten, mit dem Netzwerk verbunden ist und alle relevanten Ressourcen erreichen kann (internes Netzwerk, DMZ, Internet, Backupserver).

1. Booten Sie das Zielsystem von der Installations-DVD.
2. Wählen Sie erforderlichenfalls die jeweilige Option, falls eine solche im Zuge des Bootvorgangs angezeigt wird.
3. Sobald ein LOGIN erscheint, geben Sie root ein und bestätigen Sie mit der Eingabetaste.
4. Wählen Sie im folgenden Menü gateway-install und danach den Menüpunkt Auto.
5. Bei Abfrage der zu installierenden Komponenten wählen Sie firewall aus (Leertaste markiert den Eintrag) und bestätigen danach mit der Eingabetaste.
6. Wählen Sie als Installationsziel die Festplatte des Zielsystems (Leertaste markiert den Eintrag) und bestätigen mit der Eingabetaste.
7. Verwenden Sie das Dateisystem ext4.
8. Belassen Sie das Boot-Passwort für den Wartungszugang beim vorgegebenen Wert, indem Sie mit okay bestätigen. Wichtig: Notieren Sie dieses Passwort zur späteren Verwendung unbedingt!
9. Im nächsten Schritt können Sie erforderlichenfalls eine serielle Konsole installieren. Falls Sie eine solche benötigen, können Sie yes auswählen. Andernfalls bestätigen Sie die Voreinstellung mit der Eingabetaste.
10. In dem dann erscheinenden Editorfenster drücken Sie die Tastenkombination STRG+C und bestätigen die unten eingeblendete Abfrage mit „y“ (für yes - abschließend Eingabetaste).
11. Wählen Sie jetzt den Kernel, der für Ihr Zielsystem erforderlich ist. Dieser richtet sich nach dem verwendeten Prozessor. Sie können den Prozessortyp der Angabe oberhalb des Auswahlmenüs entnehmen.
12. Bestätigen Sie die folgende Meldung mit der Eingabetaste.

Damit ist die Grundinstallation des Zielsystems abgeschlossen. Zur Wiederherstellung der Einstellungen und Benutzerverzeichnisse der mp-Firewall können Sie einen der beiden folgenden, alternativen Wege wählen.

Die Vorgehensweisen zur Wiederherstellung einer Sicherungskopie von einer externen USB-Festplatte oder DVD unterscheiden sich nicht. Wählen Sie das Quellmedium aus, auf dem sich Ihre Sicherungskopie (Backup) befindet.

• Unmittelbar nach Abschluss der Grundinstallation erfolgt die Abfrage, ob Sie eine Sicherungskopie (Backup) einspielen möchten - bestätigen Sie mit yes.
• Wählen Sie beispielsweise eine USB-Festplatte aus und bestätigen im nächsten Menü /dev/sdb1.
• Wählen Sie jetzt die Sicherungskopie (Backup) aus, aus der die Daten wiederhergestellt werden sollen. Eine geeignete Datei ist am Dateinamen erkennbar. Dieser setzt sich wie folgt zusammen: back-YYYY-MM-DD-hh-mm.tar.gz mit den Parametern YYYY – Jahr, MM - Monat, DD - Tag, hh - Stunde, mm - Minute des Aufzeichnungszeitpunkts der Sicherungskopie.
• Nach Auswahl der Backupdatei startet der Wiederherstellungsprozess. Bitte schalten Sie das System bis zu dessen Abschluss nicht aus!
• Bestätigen Sie den Abschluss des Wiederherstellungsprozesses mit okay und starten Sie das System neu.
• Nehmen sie nun entsprechend des angezeigten Hinweises die Installations-CD-ROM aus dem Laufwerk und bestätigen Sie mit okay. Das System startet daraufhin im RECOVER-Modus.
• Geben Sie das Passwort ein, das Sie in Schritt 9 der Grundinstallation als Boot-Passwort für den Wartungszugang angegeben haben, und bestätigen Sie mit der Eingabetaste. Das System übernimmt jetzt selbstständig die Angaben aus dem Backup.
• Es erfolgt eine Abfrage nach dem gemeinsamen Initialpasswort, das für sämtliche Administratorzugänge vergeben wird. Geben Sie es ein, wie angezeigt, und bestätigen Sie mit der Eingabetaste.

Damit ist die Zurücksicherung (Recovery) abgeschlossen. Führen Sie jetzt die "Abschließenden Arbeiten nach der Wiederherstellung“ aus.

Falls Ihre Sicherungskopien (Backups) auf einem entfernten Server (Backupserver) gespeichert wurden, führen Sie die folgenden Schritte aus:

• Unmittelbar nach Abschluss der Grundinstallation erfolgt die Abfrage, ob Sie eine Sicherungskopie (Backup) einspielen möchten - bestätigen Sie mit no.
• Nehmen sie nun entsprechend des angezeigten Hinweises die Installations-CD-ROM aus dem Laufwerk und bestätigen Sie mit okay. Das System startet daraufhin im RECOVER-Modus.
• Geben Sie das Passwort ein, das Sie in Schritt 9 der Grundinstallation als Boot-Passwort für den Wartungszugang angegeben haben und bestätigen Sie mit der Eingabetaste.
• Es erfolgt eine Abfrage nach dem gemeinsamen Initialpasswort, das für sämtliche Administratorzugänge vergeben wird. Geben Sie es ein, wie angezeigt, und bestätigen Sie mit der Eingabetaste. Wichtig: Halten Sie dieses Passwort zur späteren Verwendung unbedingt fest!
• Melden Sie sich nach Neustart des Systems als Benutzer config an und wechseln Sie ins Menü Einstellungen. Sie benötigen jetzt das im vorherigen Schritt festgehaltene Passwort.
• Zur Verbindungsaufnahme des neu installierten Systems mit einem Backupserver (der die Sicherungskopie der Benutzerverzeichnisse und Einstellungen enthält) ist zunächst die Netzwerkschnittstelle zu konfigurieren. In den meisten Fällen muss das Interne Netzinterface gewählt werden. Wechseln Sie in diesen Menüpunkt und konfigurieren Sie die Schnittstelle. Beachten Sie insbesondere, dass Sie auch die MAC-Adresse zuweisen müssen.
• Führen Sie nach Abschluss der Konfiguration ein Speichern und Voll Anwenden durch.
• Starten Sie die mp-Firewall neu und wählen Sie im Bootmenü den SOFTMODE aus.
• Stellen Sie sicher, dass die Sicherungskopie auf dem entfernten Backupserver zuvor ggf. ordnungsgemäß entschlüsselt wurde und benennen Sie diese in backup-recover.tar.gz um.
• Kopieren Sie die umbenannte Datei ins Verzeichnis /home / der TightGate-Firewall. Nutzen Sie hierfür die von der m-privacy GmbH bereitgestellte Schleuse oder ein anderes SSH-fähiges Kopierprogramm. (z.B. WinSCP für Windows, gftp für Linux)
• Melden Sie sich jetzt als maint an der mp-Firewall an und starten Sie das System neu. Wählen Sie im Bootmenü den RECOVER-Modus aus.
• Geben Sie jetzt das Passwort ein, das Sie als Boot-Passwort für den Wartungszugang angegeben haben und bestätigen Sie mit der Eingabetaste. Es werden jetzt die Einstellungen aus dem Backup wiederhergestellt.
• Bestätigen Sie die Abfrage nach dem RSBAC-Restore mit yes.

Damit ist die Zurücksicherung (Recovery) von einem entfernten Backupserver abgeschlossen. Führen Sie jetzt die „Abschließenden Arbeiten nach der Wiederherstellung“ aus (Kapitel 3).

Sie können entscheiden, ob die Backupdatei gelöscht werden soll. Bestätigen Sie die Löschung, falls gewünscht, und starten das System erneut. Damit ist die vollständige Wiederherstellung der mp-Firewall abgeschlossen.

HINWEIS
Es empfiehlt sich, die Sicherungskopien erst nach erfolgreichem Test des wiederhergestellten Systems zu löschen. Eine aktuelle Sicherungskopie der mp-Firewall sowie eine möglichst aktuelle Fassung der ISO-Datei zur Grundinstallation sollte auf einem externen Speichermedium stets vorgehalten werden, um längeren Ausfallzeiten und Datenverlusten im Fall eines Hardwaredefekts vorzubeugen.

ACHTUNG
Sollte während der Installation des Zielsystems keine Verbindung zum Internet bestanden haben, konnten u. U. wichtige Zusatzpakete nicht installiert werden. In diesem Fall muss die Installation manuell auf fehlende Pakete geprüft und diese ggf. nachinstalliert werden, um einwandfreie Funktion zu gewährleisten. Verfahren Sie in diesem Fall unbedingt gemäß Kapitel 4 „Zusätzliche Maßnahmen bei der Nutzung eines Ersatzrechners“ ab Punkt 5.

Soll die mp-Firewall auf einem anderen Zielsystem als dem ursprünglich gesicherten Rechner wiederhergestellt werden, sind weitergehende Maßnahmen erforderlich. Da sich die MAC-Adressen infolge unterschiedlicher Hardware geändert haben, wird es in der bisherigen Konfiguration zunächst nicht möglich sein, eine Verbindung zum System bzw. eine Verbindung nach außen aufzubauen.
Gehen Sie wie folgt vor:

1. Melden Sie sich als Benutzer config an.
2. Wechseln Sie ins Menü Einstellungen.
3. Ändern Sie mit dem Menüpunkt MAC-Adresse jeweils in den Untermenüs Internes Netzwerk, Externes Netzwerk und ggf. in den weiteren Menüs mit Interface-Definition (DMZ, Fallback, Zusatz-Netzwerk, Custom-Interfaces) die Mac-Adressen der gewünschten Netzwerkschnittstelle. Werden nicht alle MAC-Adressen angezeigt, weil sich der Typ einer Netzwerkkarte geändert hat, müssen evt. erst ein anderer Treiber gewählt, Voll Anwenden ausgeführt und die Auswahl wiederholt werden.
4. Wechseln Sie ins übergeordnete Menü und führen Speichern und Voll Anwenden aus, um die Änderungen wirksam werden zu lassen.
5. Melden Sie sich als Benutzer config ab und als Benutzer update an
6. Wechseln Sie ins Menü Zusatzaufgaben und das Untermenü Optionale Pakete.
7. Es sind alle Zusatzpakete vorausgewählt, die auf Ihrer alten mp-Firewall installiert waren und die in der Neuinstallation noch fehlen. Bestätigen Sie mit OK.
8. Die benötigten Pakete werden jetzt heruntergeladen und installiert. Bestätigen Sie die angezeigten Abfragen wie voreingestellt.
9. Wechseln Sie danach ins übergeordnete Menü und führen Sie ein Auto-Update durch. Das System ist hiernach voll einsatzfähig.

Ein effektives Backup von Daten und Software ist einer der wichtigsten Schritte, um hohe Sicherheit im Netz zu erreichen. Regelmäßig Backups von allen wichtigen Daten zu erstellen, ist die einzige Methode, um sich vor Datenverlust als Folge von Betriebsstörungen etc. zu schützen. Eine effektive und in den meisten Fällen ausreichende Vorgehensweise ist es, jeden Tag nach Ende der allgemeinen Arbeitszeit ein Backup zu erstellen. In der Regel werden die täglichen Backups eine Woche lang aufbewahrt, wöchentliche Backups einen Monat und die monatlichen Backups ein Jahr archiviert. Anzuraten ist, dass Sie jeweils ein "Meilenstein-Backup" vor und nach kritischen und wichtigen Begebenheiten durchführen, wie z.B. das Upgrade auf eine neue Version. Auch frisch installierte Server sollten so einem "Meilenstein-Backup" unterzogen werden.

Hinweise zur sicheren Arbeit mit Backup-Bändern
Bewahren Sie die Backup-Bänder in sicherer Umgebung auf: kühl und fern von direkter Sonneneinstrahlung, Wärme und kräftigen Magnetfeldern. Als Sicherung gegen Diebstahl oder Brand sollten Bänder grundsätzlich isoliert von dem System, das sie repräsentieren bzw. absichern, aufbewahrt werden. Am sichersten ist es deshalb, wenn Sie zwei Sätze von Sicherheitskopien herstellen; den einen Satz können Sie in einem feuerfesten Schrank aufbewahren, den zweiten Satz extern aufbewahren und durch die Auslagerung zusätzliche Sicherheit schaffen. Kennzeichnen Sie Sicherheitskopien sorgfältig und systematisch, d.h. notieren Sie jeweils Quelle, Datum und Inhalt.