wiki:2011-2012:sauvegardes [SIO Wiki]

Cette page est en lecture seule. Vous pouvez afficher le texte source, mais ne pourrez pas le modifier. Contactez votre administrateur si vous pensez qu'il s'agit d'une erreur.
~~SLIDESHOW~~
====== Sauvegardes ======

===== Avant-propos =====

**Maintenance des accès utilisateurs**

  * **Prévenir**  : configurer, sauvegarder, surveiller, intervenir
  * **Corriger** : détecter, diagnostiquer, réparer, valider et documenter
  * **Gérer** : outils des gestion de parc, gestion d'incidents, politique de maintenance, périmètre d'intervention, normes

===== Prévention =====

**Anticiper**

  * **Protection du système dans l'utilisation courante**
    * Qui a droit à quoi ? 
      * Vérifier et documenter les habilitations des utilisateurs en fonction des choix organisationnels
    * Quelle politique de droits et privilèges ?

===== Prévention =====

**Anticiper**

  * **Protection du système contre les malveillances**
    * antivirus
    * antispyware
    * risques
    * outils

===== Anticiper - Mises à jour =====

  * **Pourquoi mettre à jour** son système ?
    * failles de sécurité
  * Mise à jour automatiques Oui/Non ?
    * fréquence : chez Microsoft, les 2e et 4e mardi du mois
    * volume : plusieurs centaines des Mo pour certains Services Pack Microsoft 
    * versions : changement de version majeur 2.0 => 3.0 (cf base de données)
    * précautions : peuvent produire des blocages ou des plantages
    * temps d'installation, avec de multiples démarrage (Windows) => indisponibilité
    * types de mises à jour, chez Microsoft : **importantes**, **recommandées**, **facultatives**
 

===== Mises à jour : Windows =====
  * Mise à jour automatiques possibles
  * Service **SUS/WSUS** (Windows Software Update Service)
    * service centralisé (Client/Serveur) de mise à jour avec validation 
    * permet de limiter les volumes de transfert
    * permet la planification après les tests

===== Mises à jour : Linux =====
  * Système élaborés et efficaces
    * utilisation éventuelle de serveur **proxy**
  * **Debian/Ubuntu** : 
    * **aptitude update** pour télécharger les listes de version sur un dépôt externe
    * **aptitude upgrade** pour mettre à jour les paquets
  * **RedHat** :
    * **yum update** 

===== Anticiper - Nettoyage du système =====

  * Qu'est ce que le nettoyage ?
    * vidage des fichiers temporaires (fichiers d'installation, cache du navigateur, paquets debian dans le cache , points de reprise windows, ....)
  * Supprimer des fichiers ?
  * Supprimer des applications
  * Pourquoi mettre à jour son système ?
    * corriger les bugs
  * Supprimer un utilisateur ?


===== Anticiper - Surveillance =====
  * Observer ce qui se passe sur un système
  * Les **journaux système et applicatifs**
    * Windows
    * Linux
  * Services réseaux ouverts
    * port ouvert <=> un service en écoute
    * TCP/UDP
  * Audit d'activité : 
    * Pourquoi ?
    * Quels objets auditer ?
    * Quels évènements auditer ? (succès - échec)

===== Surveillance - Windows - 1 =====

  * l'observateur d'évènements ( **eventvwr**)
<code>
  c:\> eventvwr
</code>
  * {{:eventvwr1.jpg|}}

===== Surveillance - Windows - 2 =====
  * l'observateur d'évènements : le journal système 
  * {{:eventvwr2.jpg|}}

===== Surveillance - Linux - 1 =====
  * les **logs** 
  * **les fichier de logs** sont récupérés par le démon **syslog** (**rsyslog** sous Debian) et **stockés** dans le répertoire **/var/log**
    * le fichier **/var/log/syslog** est le fichier principal de logs mais il en existe d'autres (/var/log/apache2/access.log pour apache, ...)
    * on peut les examiner en temps réel avec la commande **tail -f fichier** (**Ctrl-C** pour interrompre)
<code>
root@marge:~#> tail -f /var/log/syslog
Jan 26 13:49:01 marge dhcpd: DHCPDISCOVER from 00:1e:c1:06:78:60 via eth0: network 10.121.32.0/25: no free leases
Jan 26 13:49:04 marge dhcpd: DHCPDISCOVER from 00:1f:3c:4a:ca:4c (pmpor-10) via 10.121.39.254
Jan 26 13:49:04 marge dhcpd: DHCPOFFER on 10.121.39.205 to 00:1f:3c:4a:ca:4c (pmpor-10) via 10.121.39.254
Jan 26 13:49:08 marge named[22440]: client 10.121.32.42#59293: update 'ldij-lecastel.lan/IN' denied
Jan 26 13:49:08 marge named[22440]: client 10.121.32.42#58656: update '10.in-addr.arpa/IN' denied
Jan 26 13:49:13 marge dhcpd: DHCPDISCOVER from 00:1e:c1:06:78:60 via eth0: network 10.121.32.0/25: no free leases
Jan 26 13:49:14 marge dhcpd: DHCPREQUEST for 10.121.39.195 (10.121.32.22) from 0c:df:a4:84:0a:0b via 10.121.39.254
Jan 26 13:49:14 marge dhcpd: DHCPACK on 10.121.39.195 to 0c:df:a4:84:0a:0b via 10.121.39.254
Jan 26 13:49:14 marge dhcpd: DHCPREQUEST for 10.121.39.195 (10.121.32.22) from 0c:df:a4:84:0a:0b via 10.121.39.254
Jan 26 13:49:14 marge dhcpd: DHCPACK on 10.121.39.195 to 0c:df:a4:84:0a:0b via 10.121.39.254
Jan 26 13:49:25 marge dhcpd: DHCPDISCOVER from 00:1e:c1:06:78:60 via eth0: network 10.121.32.0/25: no free leases

</code>


===== Surveillance - Linux - 2 =====
  * gestion des volumes 
  * durée de la période stockée (1 semaine ... 1 an)
  * **obligations légales**
  * comment faire pour limiter le volume et ne pas saturer les partitions (**logrotate**)
  * compression
  * mécanisme de **centralisation** : 1 serveur de log par site (cf **syslog** Castel) et plus des logs locaux

===== Surveillance - Supervision =====
  * installation d'outils de supervision (Nagios, Zabbix, ...) 
  * scan de ports distants : **nmap** sous Linux :!: Attention aux contraintes légales
<code>
root@vm2:/home/sio# nmap    ns1
Starting Nmap 5.00 ( http://nmap.org ) at 2012-01-26 14:24 CET
Interesting ports on marge.ldij-lecastel.lan (192.168.0.1):
Not shown: 998 closed ports
PORT   STATE SERVICE
22/tcp open  ssh
53/tcp open  domain
Nmap done: 1 IP address (1 host up) scanned in 0.27 seconds
</code>


===== Anticiper - Les Sauvegardes =====
  * mise en place de solutions de récupération => dispositifs de sauvegardes
  * caractéristiques
    * totale
    * partielle
  * contraintes
    * volume 
    * débit
    * historique

===== Sauvegardes - Caractéristiques - 1 =====
  * **totale**
    * gros volume
    * long
  * **partielle**
    * volume limité
    * incohérence potentielle
    * plusieurs sauvegardes à restaurer
    * 2 variantes
      * **différentielle**
      * **incrémentale**

===== Sauvegarde différentielle =====
  * effectue une copie des fichiers** créés ou modifiés depuis la dernière sauvegarde complète**, quelles que soient les sauvegardes intermédiaires.
  * En d'autres termes, la sauvegarde complète du jour J sert de référence pour identifier les fichiers créés, modifiés ou ajoutés et ainsi ne sauvegarder que ces derniers du jour J+1 au jour J+6.
  * la restauration nécessite la recopie sur disque de la dernière sauvegarde complète et de la sauvegarde différentielle la plus récente.
  * utilise un attribut de fichier qui passe à 1 s'il est sauvegardé


===== Sauvegarde incrémentale =====
  * sauvegarde les fichiers créés ou modifiés **depuis la dernière sauvegarde** **quel que soit son type** (complète, différentielle ou incrémentielle).
  * exemple : une sauvegarde complète est réalisée le jour J. Le jour J+1, la sauvegarde incrémentale est réalisée par référence au jour J. Le jour J+2, la sauvegarde incrémentale est réalisée par référence au jour J+1. Etc
  * si la restauration se porte sur un disque sauvegardé le jour J+4, on doit alors restaurer la sauvegarde du jour J et les sauvegardes incrémentales des jours J+1, J+2, J+3 et J+4 afin d'obtenir la dernière version 



===== Sauvegardes - Caractéristiques - 2 =====
  * **stockage** 
    * **local** : gros volume - débit élevé (100 Mo/s)- accessible sur une seule machine
    * **réseau** : accessible partout mais problème éventuel de débit => goulet d'étranglement (100 Mb/s)
  * **mode** 
    * **image** : archive une image de partition (**/dev/sda1**) ou du disque dans sa globalité (**partclone**, **partimage**, **ntfsclone**, **dd**, ...)
    * **fichiers** : archive les fichiers individuellement - plus souple (**cp**, **copy**, **rsync**, **scp**...)
  * **compression**
    * **compression** : permet plus de stockage - moins rapide
    * **sans compression (natif)** : plus rapide - moins de pb en cas d'archive corrompue

===== Sauvegardes - Caractéristiques - 3 =====
  * **machine** 
    * **physique** : sauvegarde en **mode fichiers** indispensable
    * **virtuelle** : sauvegarde en mode fichier mais également sauvegarde de la machine virtuelle dans sa globalité (**mode image**) : plus pratique mais attention au volume global de la partition (40 Go dont 5 occupés ...)

===== Sauvegardes - Caractéristiques - 4 =====
  * une sauvegarde ne peut s'effectuer que si un fichier n'est **pas ouvert** par une application  (Winword ...)
    * => nécessité que les utlisateur soient **déconnectés** ou que le volume soit en **lecture seule**
  * une **base de donnée** ne peut être sauvegardée que si elle est **arrêtée** ou si la sauvegarde est faite par un **agent spécifique**

===== Sauvegardes - Que sauvegarder ? =====
  * les **répertoires utilisateurs**
    * **Linux** : **/home**
    * **Windows** : **c:\Documents and Settings** pour XP, **c:\users** pour Vista et Seven
  * les **répertoires système**
    * fichiers de librairies système
    * comptes utilisateurs
    * la base de registre Windows
    * sous Linux : le répertoire /**etc** qui comporte les fichiers de configuration

===== Sauvegardes - Les bases de données =====
  * des outils de vidage existent 
  * pour **Mysql** : **mysqldump**
<code>
  root@debian:~# mysqldump -u root -p mabase > mabase-dump.sql
</code>
  * pour **Postgresql** : **pg_dump**
<code>
  root@debian:~# pg_dump -f mabase-dump.sql -U root mabase
</code>
  * ces deux logiciels fonctionnent à **chaud** (avec la base en fonctionnement)
  * ces 2 commandes peuvent être éxécutées à distance à travers un tunnel sécurisé ssh au travers de l'outil de compression **gzip**
<code>
  root@debian:~# ssh root@srv "mysqldump -u root -pxxxx mabase | gzip"  > mabase-dump.sql.gz
</code>

===== Sauvegardes - les outils =====
  * **Windows** 
    * BackupExec, Acronis, Arcserve, Netbackup (Symantec), Bacula, BackupPC, Cobian Backup, ntbackup (système)
  * **Linux**
    * système : tar, cp, scp, rsync
    * BackupPC, Bacula, Unisson
    * Timemachine (Mac/OS)
    * partclone, partimage, ntfsclone, dd
  * les **LiveCD** : Redo Backup, System Rescue CD, Clonezilla, ...  
  * DriveImage XL : création d'images de partitions

===== Sauvegardes - les protocoles =====
  * dans le cas où l'on effectue une sauvegarde sur ou depuis une ressource qui n'est pas une ressource **locale**, on doit utiliser un protocole **réseau**
  * les plus utilisés sont les suivants (couche application):
    * **SMB/CIFS** (Microsoft) : le standard de fait pour le partage/transfert de fichiers en environnement Windows - utilisable avec **Samba** ou **smbclient** sous Linux
    * **NFS** - Network File System (Unix/Linux) : le standard pour le partage de fichier en environnement Unix - pas adapté a l'internet
    * **HTTP** : moins fréquemement utilisé - surtout pour les méthodes **get** (téléchargement)
    * **FTP** : utilisé également mais ancien et peu souple - très peu sécurisé (mots de passe en clair)
    * **SSH** : utilisé pour copier des fichiers avec **scp** : Secure Copy, ou comme tunnel chiffré pour **rsync** avec des clés publiques 

===== Sauvegardes - exemple 1 : tar =====
  * **tar** (**Tape ARchive**) est la commande de base pour l'archivage sous Unix/Linux
  * elle permet de créer un fichier d'archive sur disque ou sur bande 
  * fonctionne en local
<code>
 tar cvf /bu/home-sv.tar /home
</code>

  * Archive (**c** : Creation, **v**: Verbose, **f**: File) le répertoire **/home** dans l'archive **/bu/home-sv.tar**
  * on peut utiliser l'option **z**: gzip pour compresser l'archive au passage 
 <code>
 tar cvfz /bu/home-sv.tgz /home
</code>

===== Sauvegardes - exemple 2 : scp =====
  * **scp** - (**Secure Copy**) permet de copier des fichiers/répertoires dans un tunnel chiffré **ssh** de ou vers une machine distante disposant d'un serveur **ssh**
  * fonctionne sous Linux, il existe **pscp** pour Windows
<code>
 scp -rp root@machine:/home /sv/machine/home
</code>
  * copie tous les fichiers du répertoire **/home** de la machine distante **machine** et les stocke dans le répertoire local **/sv/machine/home**
  * la copie est récursive (option **-r**) et préserve (**-p**) les attributs et dates de changement des fichiers
  * scp ne tient pas compte des dates relatives des fichiers 

===== Sauvegardes - exemple 3 : rsync =====
  * **rsync** est une **application/protocole** qui permet de **synchroniser des fichiers/répertoires** en mode **local** ou à **distance**
  * rsync est le protocole le plus **économe en bande passante** car il effectue des comparaisons entre les fichiers et limite ses transferts aux seules (ou presque) différences entre les fichiers
  * rsync est devenu le **standard** de fait pour la **synchronisation** des sites miroirs 
<code>
 rsync -av -e ssh root@distant:/home /sv
</code>

  * la commande plus haut **synchronise** au travers d'un **tunnel ssh** (option **-e**) chiffré le répertoire **/home** de la machine **distant** avec son pendant dans le répertoire local **/sv** . La machine distante doit également disposer de **rsync** et d'un serveur **ssh**
  * l'option **-a** correspond au mode **archive** (récursion et préservation des attributs), l'option **-v** correspond au mode verbeux ...


===== Sauvegardes - SSH et les clés publiques =====
  * le système de clé publique permet de s'authentifier sans mot de passe sur un système distant qui dispose d'un serveur SSH auquel on a envoyé sa **clé publique**
  * Problème : la machine Linux **C1** veut se connecter sur la machine Linux **SRV** sans utiliser de mots de passe
  * depuis **C1**, on doit générer les clés RSA et DSA

  root@C1~#> ssh-keygen

  * ne saisir aucun mot de passe (passphrase)
  * envoyer la clé publique de root sur la machine **SRV**

  root@C1~#> ssh-copy-id root@srv

  * la machine demande alors le mot de passe **root** de **SRV**
  * on peut alors se connecter sur la machine **SRV** sans mot de passe 
  * le tunnel SSH peut alors être utilisé pour de l'administration distante ou une synchronisation de répertoires par **rsync**

===== Sauvegardes - Planification =====
  * il est impératif de pouvoir planifier les sauvegardes pour les lancer hors des périodes d'activité et déconnecter au besoin les utilisateurs
  * sous Linux, on dispose du démon **crontab** qui permet une grande souplesse dan la gestion de la programmation
<code>
#  crontab
 0 22 * * 1-5 /root/backup-sys
# par exemple, sauvegarde du répertoire /home
# a 5 h du matin chaque semaine:
# 0 5 * * 1 tar -zcf /var/backups/home.tgz /home/
</code>

  * la **crontab** décrite plus haut lance le script **/root/backup-sys** à 22h du lundi au vendredi
  * on peut également utiliser les répertoires cron-hourly, cron-daily, cron-weekly et cron-monthly 
  * sous Windows, le planificateur de tâches propose un fonctionnement similaire

===== Sauvegardes - Rotation =====
  * faire une sauvegarde est intéressant, mais il peut être intéressant d'effectuer plusieurs sauvegardes journalières en rotation **hebdomadaire** : la sauvegarde N remplace la sauvegarde N-7
  * exemple :
<code>
    DAT=`date "+%u"`  # $DAT contient le No de jour de la semaine
    # on compresse la base avec le filtre gzip
    mysqldump -u root --password=xxxxx -B mbase | gzip  > mabase-$DAT.dump.gz
</code>
  * on obtient des vidages de base de données appelés //mabase-0.dump.gz//, //mbase-1.dump.gz//, ...