Externes RAID-Startvolume verschlüsseln

Question

Wir betreiben als Server einen 2012 QuadCore Mac mini, der von einem externen Promise Pegasus2 RAID System startet (8TB in RAID 6, angeschlossen über Thunderbolt). Bisher ist das Startvolume/das RAID unverschlüsselt, was wir gerne ändern würden. Hat jemand Erfahrung mit einer Filevault Verschlüsselung auf einem externen RAID-System? Der Tomedo-Support meinte, es sollte funktionieren. Müssen wir mit relevanten Perfomanceproblemen rechnen? Was passiert wenn eine Platte ausfällt, kann die ohne weiteres ersetzt werden? Wäre es ev. klüger das Startvolume auf eine interne, verschlüsselte  SSD  im MacMini umzuziehen?

Und noch ein kurze Frage: Kennt jemand einen IT-Dienstleister  in/um München, der Ahnung in IT Sicherheit hat?

Vorweg herzlichen Dank für die Antworten und frohe Weihnachten!

Answer 1

Wäre es ev. klüger das Startvolume auf eine interne, verschlüsselte  SSD  im MacMini umzuziehen?
 

Ich mache das seit Jahren so und kann das Laufwerk und die CCC mit filevault verschlüsseln. Dazu startet man das System vom externen abckup und aktiviert dort auch filvault und lässt es durchlaufen. Ab dann ist das CCC backup auf verschlüsselt. Ausserdem ist mein Server dadurch deutlich schneller. Nachteil Verlust der Daten des Tages wenn was passiert interessiert mich aber nicht wirklch, die Daten kann ich nachtragen. 

Verschlüsselung Raid keine Ahnung, IT Mac Sicherheitsprofi in M, da bin ich auch, keine Ahnung.

Comments

Danke für die Antwort. Werden jetzt auch auf die interne Festplatte/SSD umziehen. Ist es eigentlich inmer noch so, dass der Tomedo-Server während des CCC Backups nicht laufen soll? Kann man sich bei einem inkrementellen Backup darauf verlassen, dass die Datenbank noch stimmt?

---

Ich schalte den Server nicht ab, hier sollte Zollsoft einige Tests machen ob die Datenbank intakt bleibt. Wichtig ist ja erstmal ein laufendes Tomedo über das CCC-Backup zu haben, die Datenbank kann dann vom einem Tomedo-Backup eingespielt werdem.

Ich glaube im Forum gab es ein Skript die Datenbank herunterzufahren.

---

Lieber mkgpc, noch eine Frage zum Umzug. Glauben Sie das ein CCC Clone vom Raid auf die neue interne SSD sinnvoll ist ( mit anschließender Unstellung der UDID) oder sollte man die Server-Tools komplett neu aufspielen lassen?

---

Ich denke nicht, ich habe einfach am internen Clone des RAID weitergearbeitet und eben das ist ja der Vorteil des CCC backups. Wenn die Interne Festplatte aufgeben sollte (mit DriveDx monitoren) statet man mit gedrückter alt Taste vom Backup und ändert die UUID und arbeitet den Tag von der externen Platte zuende. Die verlorenen Daten des Tages trägt man nach und kopiert das CCC auf den neuen Rechner wenn er da ist. Ich wüsste nicht warum die Servertools einen Neuinstall bräuchten.

---

Lieber mkgpch, noch einmal herzlichen Dank für Ihre superschnellen und ausführlichen Antworten. Das erspart mir eine Menge Zeit mit ausprobieren und mit dem Support telefonieren.

Noch schöne Feiertage und einen guten Rutsch.

Answer 2

Keine UDID Abfrage mehr in den Servertools? Servertools konnte vom falschen Laufwerk (CCC Klon/Vollbackup) nicht starten. Ist dese Einstellung aus den Servertool genommen worden? Ich sehe die Einstellung nicht mehr. Wenn ja warum?

Answer 3

Moin, Moin in die Runde,

ich steuere nochmal meinen dritten Weg bei, auch wenn ich evtl. etwas spät dran bin: für meinen Geschmack war die interne SSD zu teuer, wenn man ein wenig Platz braucht. Außerdem war mir dieses hin- und her-klonen immer ein Dorn im Auge und sollte dem Notfall vorbehalten bleiben. Was ich deshalb gemacht habe, ist den Server auf eine NVME-SSD zu kopieren, z.B. so eine:

https://www.alternate.de/html/product/1670614

diese in ein Thunderbolt-3 Gehäuse zu verbauen, z.B. so eines:

https://www.alternate.de/Sonnet/Echo-Express-SE-I-Thunderbolt-3-Edition-Geh%C3%A4use/html/product/1554733?event=search

(dafür braucht man eine PCIe-Karte, z.B. so eine:

https://www.alternate.de/html/product/1666796

und das dann anden SSD-mäßig kleinsten Mac Mini 2018 zu hängen. Damit ist der Computer schön schnell, es gibt täglich nachts CCC backups auf eine externe SSD. Soll der Computer gewechselt werden, muss die NVME-SSD samt Gehäuse nur umgestöpselt werden und nix muss geklont werden. File-Vault kann einfach über die Systemeinstellungen aktiviert werden.

Ich habe es nicht hinbekommen, ab Catalina von einem Raid zu booten.

Wichtig: bei der Verwendung von Samsung NVME-SSDs ist es ratsam, einen Windows-Computer parat zu haben, um die Firmware der NVME-SSD zu aktualisieren. Ansonsten kann es Probleme bei der Verwendung unter MacOS geben.

Viele Grüße,

Jan Wessig

Comments

Hallo Herr Wessig,

wir machen es ähnlich wie Sie, aber noch einfacher, dennoch ausreichend: eine "nackte" Samsung-SSD hängt via SATA/USB 3 Adapter (gibts für deutlich unter 20 Euronen) am USB3 Anschluss des MacMini-Server late2012 6.2 mit interner SSD. Das CCC-Backup wird 2x tgl automtisch durchgeführt (Mittagspause/nachts), dauert keine 5 Min. Ist auch ausreichend schnell, wenn man im Notfall (Rechner defekt) diese FP als Startvolumen an einem anderen Rechner startet.

 Zusätzlich regelmäßige CCC auf weitere FP, die extern gelagert werden: Dauer jeweils unter 30 Min. Machen wir zB bei Quartalswechsel (also heute).

"Luxus-Variante" wäre das externe U3-RAID von Raidon (doppelt so schnell): da kann man dann die 2. FP regelmäßig kopieren und extern lagern (man braucht also mindestens  3 SSD: 2 im RAID, 1 zum wechseln). Habe ich in einem früheren Beitrag beschrieben. Hier aber nicht als externes Startvolumen, sondern als Backup (interne SSD ist deutlich schneller...)

https://forum.tomedo.de/index.php/979/usb3-raid-als-gunstige-alternative-zum-thunderbolt-raid-v-a-fur-kleinere-praxen?show=979#q979

Gruß aus dem wilden Süden

Answer 4

Herr Wessig das mache ich seit Jahren so und habe es auch mehrmals im Forum beschrieben. Nur braucht man kein teures Thunderbolt 3 und Adapter, die Geschwindigkeit ist nachts irrelevant. USB-C hub und 10 Laufweke daran. Täglich ein backup und monatlich, dreimonatlich, halbjährlich etc. gegen Verschlüsselungstrojaner. Nur der erste Klon auf das Laufwerk dauert und auch der ist über USB3 schnell. Zu beachten ist, dass man den Klon starten muss und auch dort FileVault durchlaufen lassen muss (steht auch in der CCC Anleitung). Verschlüsselt man Server und Klon mit Filevault (nochmal auch am Klon starten und filevault aktiveiren!) ist Quelle und Ziel ab dann beim nächsten Backup verschlüsselt.

Was mich stört ist, dass ich die UDID Abfrage nicht mehr in den Servertools sehe. Die Servertools sollen auf dem Klon nur starten wenn  im Notfall die UDID, die die Servertools akzeptieren, geändert wird. Sonst wie es aktuell weder ist läuft man Gefahr zeitweise vom falschen Laufwerk zu arbeiten und die Datenbank kommt durcheinander.

-Zollsoft wollte den Support für Leute die CCC benutzen schon einstellen vor ein par Jahren, weil Kollegen versehenrlich vom falschen Laufwerk gearbeitet haben.

- Habe die Idee der UDID Überprüfung eingeworfen und diese wurde umgestetzt. Arbeiten vom falschen Laufwerk war nicht mehr möglich.

- UDID kontrolle scheint aktuell weg zu sein, Servertools startet und arbeitet fleissig am Klon, was es ja nicht soll und darf.

Warum?

 

UDID

Beschreibung

Aus dem Englischen übersetzt-UDID ist eine Abkürzung für Unique Device Identifier. Die UDID ist eine Funktion der iOS-Geräte von Apple. Dies ist eine eindeutige Kennung für ein einzelnes Gerät, die von Apple-Servern abgerufen wird, wenn ein Benutzer versucht, das Gerät mit iCloud oder der Setup-App zu aktivieren.

Comments

Sie haben Recht - keine UDID Einstellung mehr in den Server-Tools.

Und auch keine Email-Nachricht über Ihren Kommentar von gestern.

Eventuell wäre es sinnvoll angesicht vielerlei Murren im Forum mit Zollsoft in einen systematischen Dialog zu treten, welche langjährig offenen Baustellen geschlossen werden und welche nicht, bevor die Leute zu andenen Terminkalendern, Videosprechstunden etc. abwandern. Mich selber nervt es auch, wenn immer wieder und gerade vor 2 Tagen eine Kollegin einen Online-Termin aus technischen Gründen nicht buchen konnte.

Aber das nur am Rande. Zu der Intern-Extern Frage nur eine letzte Anmerkung: ich habe einen Mac-Mini 2014, der von jetzt auf gleich sich nicht mehr starten ließ, nichts half und die SSD ist in 2 Portionen onboard verbaut. In sofern fühle ich mich sehr wohl mit der extrenen NVME-Variante und die Kosten sind geringer als die für internen Mac-Speicher. Aber Sie haben Recht: Viele Wege führen nach Rom.

Ein Gutes jahr 2021, JA Wessig

---

Die UDID Kontrolle wegzulassen ist gefährlich für jeden der Vollbackups macht, sollte wieder engebaut werden. Ich habe es jetzt zwei mal geschrieben, jetzt reicht es auch.

---

Hallo München,

Zustimmung aus dem wilden Süden.

UDID Kontrolle sollte unbedingt wieder eingebaut werden. Ich arbeite mit einem MacMini Server late 2012 mit eingebauter SSD (ist schnellste Variante und völlig ausreichend), der intern auf die 2. FP mit CCC und extern regelmäßig auf eine 2./3. etc FP via USB klont. Im Notfall (den vor einigen Jahren schon life hatte...) wäre das extrem hilfreich und sicher. Dann könnte man ohne Telefonschleife (seit Corona die Regel...) etc den Praxisbetrieb mit kurzer Unterbrechung weiter führen.

"Zollsoft wir haben ein Problem"

Answer 5

Sehr geehrte tomedo® Nutzer,

vielen Dank für Ihre Rückmeldungen und Beiträge. Die Überprüfung der UDID/UUID wurde in den alten Server-Tools aufgrund von Kompatibiliätsproblemen (insbes. bei OS-Aktualisierungen) ausgebaut und führte häufig zu Verwirrung und Problemen in den Praxen. Stattdessen gibt es momentan eine einfachere Überpürfung, nämlich ob sich das Booten von intern / extern (oder andersherum) geändert hat. Sollte dies der Fall sein, verweigern die (alten) Server-Tool den Dienst bzw. geben eine Warnung aus. Wir werden das Thema weiter beobachten und ggf. eine Lösung dafür umsetzen (momentan aber keinen konkreten Zeitplan dafür).

 

Viele Grüße und einen reibungslosen Praxisbetrieb wünscht

Martin Liebeskind

Comments

Wie verhalten sich denn die neuen Server-Tools bei Start von einer Backup-Platte? Ich habe das noch nicht ausprobiert ...

---

Eine derartige Überprüfung des Boot-Mediums ist in den neuen Server-Tools (noch) nicht integriert.

---

Das stimmt nicht, man kann aktuell problemlos von extern booten wenn man vorher von intern gebootet hat, das ist ja die Gafehr ohne UDID Kontrolle. Eine UDID überprüfung gibt Kompatibilätsprobleme? Wie das denn? Es wird nur eine Seriennummer überprüft die das Laufwerk ausgibt.

Bitte das nächste mal die Kunden informieren bevor sowas einfach heimlich ausgebaut wird.

Kein Konkreter Zeitplan... einfach reaktivieren bitte.

---

Durch Mac OS-Updates kam es vor das Partitionen eine neue UUID/UDID bekamen. Dies hat in bestimmten Konstellationen

zu nicht startenden Server-Tools geführt, obwohl es diegleiche Festplatte war.

---

Das waren angeblich ein par Security updates und bei mir ist das nie passiert. Na und? Tomedo startet nicht, Meldung

 "wenn sie gerade security update gemacht haben und sich sicher sind auf der richtigen Platte zu arbeitem, erlauben sie in den Servertools die UDID des Laufwerks (Festplattenidentifikation) damit Tomedo starten kann."

So schlimm? So verwirrend? Der UDID Check ist eine grosse Sicherheit bei backups auf startbare Laufwerke mit CCC. Da CCC verschlüsselt auvon filevault auf verschlüsselt Filevault arbeiten kann ist es ein geniales Tool für den Backup. Es geht nicht besser. Ohne einen Mac neu aufsetzen zu müssen weiterarbeiten zu können wenn Festplatte oder Mac abraucht (Kosten, Zeit) ist wirklich toll.

Bitte schalten sie den UDID check wieder ein und machen sie eine passende Meldung. Tomedo muss vom richtigen laufwerk arbeiten, das sollten sie sicher stellen!

Und das nächste mal bescheid sagen!

---

Zustimmung aus dem wilden Süden! Arbeite wie Herr Balogh mit CCC auf externe Backups. Und da ist der UUID-Check extrem hilfreich, wenn Problem auftreten.

---

Ich denke auch: es ist ein nicht zu unterschätzendes Feature um Fehler zu vermeiden. Im Streß nach einem Festplattencrash kann man schon mal die Übersicht verlieren von welchem Laufwek man aktuell gestartet hat!

---

Die UUID nicht freischalten zu können ist ein kurzer Supportanruf bei Zollsoft oder dem Netzadmin. Auf der falschen Platte weiterarbeiten kann ein dreimonatiger Datenverlust sein (speichere täglich, ein Monat, drei Monate). Das geht nicht.