UGREEN NAS zu NAS mit rsync sichern: ohne Rechte-Falle

Eine zweite NAS ist ein ideales Sicherungsziel: im Keller, bei den Eltern oder im Büro, mit eigenen Platten und eigenem Netzteil. Zwischen zwei NAS-Geräten ist rsync das übliche Werkzeug, auch in UGOS Pro. Dabei lauert eine Falle, die leicht übersehen wird: Bei einer Kopie mit rsync per SSH gehen die Ordnerrechte von UGOS verloren. Diese Anleitung zeigt Schritt für Schritt, wie Sie eine UGREEN NAS per rsync auf eine zweite NAS sichern, und was unser Test zu den Rechten ergeben hat.

Die Screenshots stammen von einer UGREEN DXP4800 Pro mit UGOS Pro 1.21.0.0190, die Kopiertests haben wir dort mit rsync 3.4.1 in Testordnern durchgeführt.

Voraussetzungen

• Zwei NAS im selben Netz oder per VPN verbunden, das Ziel mit rsync-Unterstützung
• Je ein Konto mit Administratorrechten
• Ein eigenes Konto für die Sicherung auf der Ziel-NAS
• Die App Sync & Backup auf der Quell-NAS, bei zwei UGREEN-Geräten laut UGREEN auf beiden, siehe Teil 53
• Etwa 30 Minuten plus Zeit für die erste Übertragung

Schritt 1: Den rsync-Dienst auf der Ziel-NAS aktivieren

Ist das Ziel ebenfalls eine UGREEN NAS, öffnen Sie dort die Systemsteuerung, Dateidienste, Reiter rsync.

Die Oberfläche erklärt: Wenn diese Funktion aktiviert ist, können andere UGREEN NAS oder andere rsync-fähige Geräte Daten per Fernzugriff auf diesem UGREEN NAS sichern. Setzen Sie den Haken, wählen Sie unter rsync-Konto das Konto aus, mit dem sich die Quell-NAS anmeldet, und geben Sie dessen Passwort ein. Nehmen Sie dafür ein eigenes Standardkonto, das nur auf den Sicherungsordner schreiben darf, wie in Teil 23 und Teil 26 beschrieben.

Unter Erweitert steht der Port, laut UGREEN standardmäßig 873. Laut UGREEN können Sie ihn ändern, etwa damit Scanner den Dienst nicht sofort finden. Bestätigen Sie den Dialog mit Speichern und klicken Sie danach auf Übernehmen. Ist die Ziel-NAS von einem anderen Hersteller, aktivieren Sie dort deren rsync-Dienst, die Bezeichnung heißt je nach Gerät etwa rsync-Dienst oder Netzwerksicherung.

Verifizieren: Der rsync-Dienst ist auf dem Ziel aktiv, und Konto, Passwort und Port sind im Passwortmanager hinterlegt.

Schritt 2: Die Sicherungsaufgabe auf der Quell-NAS anlegen

Öffnen Sie auf der Quell-NAS Sync & Backup, Sichern & Wiederherstellen, und legen Sie eine neue Aufgabe an.

Die Richtung entscheidet über den Typ:

• Dieses UGREEN NAS sichern: Die Quell-NAS schiebt ihre Daten auf die Ziel-NAS. Laut UGREEN der Weg für eine Sicherung auf ein anderes UGREEN NAS, mit Versionen und standardmäßig verschlüsselten Sicherungsdateien.
• Server sichern: Die NAS holt Daten von einem anderen rsync-Server ab. Das passt, wenn die zweite NAS die Sicherungen aktiv einsammeln soll. Die Aufgabe legen Sie dann auf der einsammelnden NAS an, und der rsync-Dienst muss auf der Quell-NAS laufen.

Für die meisten Fälle ist „Dieses UGREEN NAS sichern“ richtig.

Wählen Sie als Server-Typ rsync und tragen Sie Adresse, Port, Benutzername und Passwort der Ziel-NAS ein. Schalten Sie die Übertragungsverschlüsselung auf Ein. Laut UGREEN kann das die Übertragung bremsen. Über das Internet sollten Sie die Verschlüsselung immer einschalten. Liegt die Ziel-NAS außer Haus, verbinden Sie beide Standorte am besten per VPN und geben nicht Port 873 im Router frei.

Danach wählen Sie wie in Teil 53 beschrieben Quelle, Ziel, Zeitplan und auf Wunsch eine Versionsrichtlinie.

Verifizieren: Die Aufgabe steht nach dem ersten Lauf auf Erfolgreich, und auf der Ziel-NAS wächst der Sicherungsordner.

Schritt 3: Die Rechte-Falle verstehen

UGOS speichert Ordnerrechte nicht als klassische Linux-Rechte, sondern im erweiterten Attribut system.ugacl_self, wie in Teil 27 gezeigt. Wir haben auf unserer NAS geprüft, was rsync damit macht. Als Probe diente ein Ordner, in dem das Testkonto testuser ausdrücklich gesperrt ist. Diesen Ordner haben wir auf drei Arten kopiert und danach geprüft, ob das Attribut vorhanden ist und wer zugreifen darf:

Kopie                    system.ugacl_self   testuser     Administrator
Original                 ja                  gesperrt     Zugriff
cp -a                    ja                  gesperrt     Zugriff
rsync -a                 nein                Zugriff      Zugriff
rsync -aX                nein                gesperrt     gesperrt

Das Ergebnis ist eindeutig:

• rsync -a lässt das Attribut weg. Der Ordner erbt die Rechte seines neuen Elternordners. Die Sperre für testuser war weg, das Konto durfte plötzlich in den vertraulichen Ordner.
• rsync -aX überträgt erweiterte Attribute, aber nicht den Namensraum system. Das UGOS-Attribut fehlte also auch hier. Mitgekommen sind die Attribute user.acl.v="1" und ug.archive_*. user.acl.v dient UGOS vermutlich als Merker für eigene Rechte. Ohne das eigentliche Rechte-Attribut sperrt der Ordner dann offenbar aus: Danach kamen weder testuser noch das Administratorkonto in den Ordner. rsync -aAX brach auf der NAS mit „ACLs are not supported on this client“ ab.
• cp -a auf derselben NAS übernahm das Attribut korrekt.

Ordner ohne eigene Rechte, die einfach die Rechte des Elternordners erben, kamen in unserem Test mit rsync -a und rsync -aX unverändert zugänglich an. Betroffen sind also genau die Ordner mit besonderen Rechten, und das sind meist die wichtigsten.

Verifizieren: Prüfen Sie bei sich mit SSH, ob ein Ordner eigene Rechte hat. Ausgabe vorhanden heißt: Dieser Ordner verliert seine Rechte bei einer Kopie mit rsync -a oder -aX.

sudo getfattr -n system.ugacl_self /volume1/Daten/Vertraulich

Schritt 4: Mit der Falle umgehen

Für die Sicherung selbst ist der Verlust der Rechte meist kein Problem, denn auf der Ziel-NAS greift ohnehin nur das Sicherungskonto zu. Wichtig wird es beim Zurückholen und beim Umzug. Daraus folgen vier Regeln:

1. Rechte dokumentieren: Notieren Sie, welche Ordner eigene Rechte haben und wie sie aussehen. Ein Screenshot des Reiters Berechtigung je Ordner reicht.
2. Nach einer Rückholung Rechte neu setzen: In der App Dateien unter Eigenschaften, Berechtigung, und mit „Berechtigungen anwenden auf“ auf die Unterordner übertragen, siehe Teil 27.
3. Mit einem Testkonto prüfen: Melden Sie sich nach jeder größeren Rückholung mit einem Standardkonto an und prüfen Sie, ob gesperrte Ordner wirklich gesperrt sind.
4. Innerhalb einer NAS cp -a statt rsync: Für Kopien per SSH auf derselben UGREEN NAS übernimmt cp -a die Rechte, rsync nicht.

Nutzen Sie rsync von Hand per SSH, ist rsync -a ohne -X die bessere Wahl. Der Ordner bleibt zugänglich, allerdings auch für Konten, die vorher gesperrt waren. Setzen Sie die Rechte deshalb sofort neu, bevor andere Benutzer zugreifen. Mit -aX sperren Sie sich womöglich selbst aus.

Verifizieren: Für jeden Ordner mit eigenen Rechten liegt eine Notiz vor, wie die Rechte aussehen.

Ordner mit eigenen Rechten finden

Damit Sie wissen, welche Ordner nach einer Rückholung Nacharbeit brauchen, listen Sie alle Ordner mit eigenem Rechte-Attribut auf. Dieser Befehl durchsucht einen freigegebenen Ordner bis zur zweiten Ebene und gibt nur die Treffer aus. Er liest nur und verändert nichts:

sudo find /volume2/S-EDV-Test -maxdepth 2 -type d -exec sh -c 'getfattr -n system.ugacl_self "$1" >/dev/null 2>&1 && echo "$1"' _ {} \;

Auf unserer NAS lieferte er für den Testordner:

/volume2/S-EDV-Test
/volume2/S-EDV-Test/#recycle
/volume2/S-EDV-Test/Vertraulich
/volume2/S-EDV-Test/Kopie-mit-Attributen
/volume2/S-EDV-Test/cp-a-Vertraulich

Der freigegebene Ordner selbst trägt eigene Rechte, das sind die Rechte, die Sie beim Anlegen vergeben haben. Auch der Papierkorb #recycle hat eigene Rechte. Interessant sind die Unterordner darunter, hier Vertraulich und zwei Kopien, die wir mit cp -a angelegt haben: Kopie-mit-Attributen aus Teil 27 und cp-a-Vertraulich. Die rsync-Kopien tauchen in der Liste nicht auf, weil ihnen das Attribut fehlt. Passen Sie Pfad und Tiefe für Ihre Ordner an und legen Sie die Liste zusammen mit Screenshots der Rechte neben Ihre Sicherungsdokumentation.

Schritt 5: Die Sicherung regelmäßig prüfen

Holen Sie wie in Teil 62 einmal im Quartal eine Datei von der Ziel-NAS zurück. Bei „Dieses UGREEN NAS sichern“ geschieht das über Wiederherstellen in Sync & Backup, mit Auswahl einer Version, sofern die Versionsrichtlinie aktiv ist. Prüfen Sie dabei auch die Rechte des zurückgeholten Ordners.

Verifizieren: Eine zurückgeholte Datei öffnet sich, und die Rechte sind wieder gesetzt.

Typische Fehler

Symptom	Ursache und Lösung
Verbindung zur Ziel-NAS scheitert	rsync-Dienst aus, falscher Port oder falsches Konto. Schritt 1 prüfen.
Vertraulicher Ordner nach Rückholung für alle offen	Die UGOS-Rechte sind bei der Kopie verloren gegangen. Rechte in der App Dateien neu setzen und mit einem Testkonto prüfen.
Ordner nach Kopie für niemanden zugänglich	rsync -aX hat user.acl.v ohne das Rechte-Attribut übertragen. Rechte über den Elternordner neu anwenden.
Sicherung über das Internet langsam	Verschlüsselung und Leitung. Erste Sicherung im eigenen Netz, danach nur Änderungen.
Port 873 im Router offen	Unnötiges Risiko. VPN zwischen den Standorten nutzen.

Häufige Fragen

Geht das auch mit einer Synology oder einem Linux-Server als Ziel?

Ja. Laut UGREEN muss das Zielgerät rsync oder WebDAV unterstützen und aktiviert haben. Die UGOS-Rechte kennt ein fremdes Gerät ohnehin nicht. Wie man Daten in die andere Richtung, von Synology auf UGREEN, umzieht, zeigt Teil 58.

Warum nicht einfach eine Synchronisierung?

Eine Synchronisierung spiegelt auch Löschungen. Für eine Sicherung brauchen Sie den Bereich Sichern, siehe Teil 53.

Wie schnell ist eine Sicherung zwischen zwei NAS?

Die erste Sicherung überträgt alles und hängt vor allem vom Netz ab. Mit 1 Gbit/s kommen Sie auf grob 100 MB pro Sekunde, für mehrere Terabyte also viele Stunden. Danach überträgt rsync nur Änderungen, und die nächtlichen Läufe dauern oft nur Minuten, bei sehr vielen Dateien länger. Bei einer Ziel-NAS außer Haus bremst die Upload-Leitung, deshalb lohnt es sich, die erste Sicherung im eigenen Netz zu machen und die NAS erst danach an ihren Standort zu bringen.

Ist ein anderer Port sicherer?

Ein anderer Port verringert automatische Scans, schützt aber nicht vor gezielten Angriffen. Wichtiger sind ein eigenes Konto, Verschlüsselung und kein offener Port im Router.

Fazit

Mit dem rsync-Dienst auf der Ziel-NAS und der Aufgabe „Dieses UGREEN NAS sichern“ ist eine zweite NAS schnell als Sicherungsziel eingerichtet. Bei rsync von Hand übernahm weder -a noch -aX die Ordnerrechte von UGOS. Dokumentieren Sie deshalb Ihre Rechte und prüfen Sie sie nach jeder Rückholung, auch nach einer Wiederherstellung über Sync & Backup.

Weiterführende Anleitungen und Quellen

• Teil 27: Rechte vererben
• Teil 53: 3-2-1-Backup
• Teil 62: Wiederherstellung testen
• UGREEN: Daten auf ein anderes UGREEN NAS sichern
• UGREEN: rsync-Dienst
• rsync-Handbuch