Proxmox Backupverschlüsselung ohne Proxmox-Backup-Server realisieren

Wenn es um IT-Sicherheit geht, ist Verschlüsselung das A und O, insbesondere wenn es um Backups sensibler Daten geht. In einer typischen Proxmox-Umgebung könnte man denken, dass man einen Proxmox-Backup-Server (PBS) benötigt, um Backups sicher zu verschlüsseln. Aber hier kommt die Überraschung: Es gibt eine superklasse Möglichkeit, verschlüsselte Backups zu erstellen, ohne dass der PBS im Spiel ist. Und das Ganze läuft direkt über Proxmox, indem wir ein kleines, aber extrem effizientes Tool namens gocryptfs nutzen.

Zunächst erkläre ich Ihnen, was es mit gocryptfs auf sich hat, was gocrypt ist und dann installieren wir gemeinsamt das Tool und verknüpfen es mit einem Samba Share, in meinem Falle die Hetzner StorageBox. Sie haben bestimmt schon von dieser StorageBox gehört. Hetzner bietet ein unschlagbare Preis-Leistung für den Storage in Deutschland. Deshalb habe ich die Box natürlich auch und ich habe sie auch genau so in meinem Proxmox zu laufen.

Proxmox VE 8 Proxmox BS 3 Profibuch zum Clusteraufbau

Ich habe extra für den Aufbau von Clustern ein Buch geschrieben. Hier ist die Installation von 3 Proxmoxservern, die Installation von VMs, CTs und die Erstellung eines Clusters detailliert mit über 130 Screenshots beschrieben.

Alles in diesem Buch wird über die grafische Benutzeroberfläche (GUI) gelöst, ohne die Shell.

Was ist gocryptfs?

gocryptfs ist eine Verschlüsselungssoftware für Linux, die speziell für die sichere Speicherung von Dateien auf Dateisystemebene entwickelt wurde. Es verwendet eine sogenannte „pass-through“-Verschlüsselung. Diese Methode erlaubt es Ihnen, auf Ihre Dateien zuzugreifen, während sie im Hintergrund automatisch verschlüsselt oder entschlüsselt werden. Jede Datei wird einzeln verschlüsselt, was gocryptfs besonders effizient und für die tägliche Nutzung attraktiv macht.

Wozu brauche ich gocryptfs?

Wenn Sie Ihre Daten auf einem entfernten Speicher wie einer Samba Share oder Hetzner StorageBox sichern, sollten diese unbedingt vor unberechtigtem Zugriff geschützt werden. Gerade wenn es um sensible oder private Informationen geht, bietet gocryptfs hier eine Lösung. Durch die Verschlüsselung Ihrer Dateien wird sichergestellt, dass niemand ohne Ihr Passwort auf die Inhalte zugreifen kann. Selbst wenn jemand Zugriff auf Ihre Daten erhält, sieht er nur verschlüsselte und somit unlesbare Dateien.

Wie funktioniert das?

gocryptfs funktioniert auf einer Dateisystemebene und erstellt zwei Verzeichnisse:

1. Das verschlüsselte Verzeichnis, wo die verschlüsselten Dateien abgelegt werden.
2. Das entschlüsselte Verzeichnis, das den Zugriff auf die Dateien im Klartext erlaubt, sobald Sie das richtige Passwort eingegeben haben.

Ein Beispiel: Sie speichern eine Datei in Ihrem entschlüsselten Verzeichnis. Im Hintergrund verschlüsselt gocryptfs diese Datei und speichert sie im verschlüsselten Verzeichnis (z.B. auf Ihrer Samba Share). Wenn Sie die Datei erneut lesen oder bearbeiten wollen, mounten Sie das verschlüsselte Verzeichnis und geben Ihr Passwort ein, damit die Dateien wieder entschlüsselt erscheinen.

Wie sicher ist das?

gocryptfs verwendet die AES-GCM-Verschlüsselung, eine hochsichere Methode, die sogar in Banken und militärischen Anwendungen zum Einsatz kommt. Die Sicherheit Ihrer Daten hängt primär von der Stärke des von Ihnen gewählten Passworts ab. Da jede Datei einzeln verschlüsselt wird, bleibt die Verschlüsselung auch dann effizient, wenn viele Dateien geändert oder hinzugefügt werden.

Was passiert mit meinen Daten, wenn mein PC kaputt geht?

Wenn Ihr PC kaputtgeht, sind Ihre Daten nicht verloren, solange Sie eine Kopie Ihrer verschlüsselten Dateien, beispielsweise auf einer Samba Share, gespeichert haben und Ihr Passwort kennen. Sie können gocryptfs auf jedem anderen Linux-System installieren, das verschlüsselte Verzeichnis mounten und mit Ihrem Passwort wieder auf Ihre Daten zugreifen.

Die Verschlüsselung bleibt bestehen, und Ihre Daten bleiben geschützt. Solange Sie also das Passwort und die verschlüsselten Dateien haben, können Sie immer auf Ihre Informationen zugreifen.

Zusammenfassung

gocryptfs bietet eine sichere, effiziente Möglichkeit, sensible Daten zu verschlüsseln, besonders wenn diese auf entfernten Speichern wie einer Samba Share liegen. Dank der AES-GCM-Verschlüsselung sind Ihre Daten sicher vor fremdem Zugriff, solange Sie Ihr Passwort kennen. Auch bei einem Hardwareausfall können Sie Ihre verschlüsselten Daten auf einem anderen System wiederherstellen.

Verschlüsseltes Proxmoxbackup erstellen Ordner und Dateinamen

Die Ordnernamen können natürlich angepasst werden, müssen sich dann aber auch in der fstab entsprechend umbenannt werden. Dasselbe gilt für die Passwortdatei (.gocryptfspw), wenn diese anders benannt wird, muss auch der Link aus der fstab ensprechend geändert werden.

Unverschlüsseltes Verzeichnis einhängen

Ich habe diese Anleitung eben noch einmal ausprobiert. Die funktioniert auf jeden Fall. 

Wenn sie die gocryptfs installiert, die Ordner angelegt, die Anleitung befolgt haben und mount -a -vvv meldet, dass ihre Ordner eingehangen wurden, dann gehen sie zu Datacenter -> Storage -> Add und wählen Directory aus. Wenn sie die Ordner nicht umbenannt und nach der Anleitung benannt haben, tragen sie in ID einen Namen ein z.B. HetznerXXTBCrypt und in Directory geben sie den unverschlüsselten Ordner an: /mnt/StorageBox-NoCrypt/.

Haben sie die Ordner anders benannt, geben sie den entsprechenden Ordenernamen an. Dann häkeln sie Enable an und klicken OK. Der Ordner wird als Storage in Proxmox eingehangen und wird im Linken Menü als Festplatte angezeigt. Dann markieren sie den Neuen Storage in der Tabelle im Rechten Fenster und klicken Edit. Hier stellen sie unter Content VZDump backup files ein. Danach können sie Unter Datacenter -> Backup ihre VMs und Container auf diesen Speicher einrichten.

Wenn in diesen unverschlüsselten Ordner nun durch Proxmox VM Backups reingeschrieben werden, werden diese Backups Live von gocrypt verschlüsselt und dann in die StorageBox hochgeladen. Das geht mit allen DAVs. Sie können auch einen normalen Ordner Lokal verwenden um zu verschlüsseln statt einen Hetzner Storage.