proxmox-backup-client transport Verschlüsselung

[TheMrg]

Ist ein Backup welches auf einem Debian Client erstellt wird mit
proxmox-backup-client
transportverschlüsselt?
Ich meine nicht die Verschlüsselung des Backup Files, sondern die Verschlüsselung der Übertragung (wie zb per scp).
Ich Frage weil ich einen Client backuppen will und der PBS nur über das Internet von diesem Client erreichbar ist.

Vielen Dank.

 

[CoolTux]

Das halte ich für keine so gute Idee den PBS über das Internet an zu klemmen.
Meine Empfehlung ist das ganz schnell wieder ab zu bauen.

Dann lieber über VPN!

 

[TheMrg]

Danke für die Antwort.
Wir wollen einen externen Debian Client so sichern.

Warum? Ist der Datenstrom also nicht verschlüsselt?

 

[CoolTux]

Kann ich Dir nicht sagen. Müsste ich in den Code schauen.
Aber dennoch ist dein Backup Server dann erreichbar. Der Client verwendet den Port 8007 wo sowohl die API als auch die WebGui drüber erreichbar ist.
Ob der Transport verschlüsselt läuft musste bitte "Proxmox" beantworten

 

[TheMrg]

Danke.
Ja Firewall steht davor und erlauft nur die gewünschten Remote IPs.
Wichtig wäre zu wissen ob mit
proxmox-backup-client backup root.pxar:/ --repository backupserverpublicip:backupds
der Datentransfer (Traffic) verschlüsselt wird (zb mit SSH). Laut Quelltext sieht es so aus, sind uns aber nicht sicher.

 

[CoolTux]

https://pbs.proxmox.com/docs/faq.ht...-servers-do-i-have-to-trust-the-remote-server

Proxmox Backup Server supports client-side encryption, meaning your data is encrypted before it reaches the server.

 

[TheMrg]

Danke, das bezieht sich aber auf die Daten selber.
Mir geht es darum ob der Transport verschlüsselt ist.
Data encryption ist nicht aktiv.

 

[CoolTux]

stimmt, habe ich im Bus lesend wohl falsch verstanden. sorry. dann doch warten auf Antwort

 

[TheMrg]

Kein Thema, jede Antwort ist irgendwie hilfreich, und wenn es z.B. für andere mitlesende ist

 

[ph0x]

Doku lesen hilft. ;-)

"Zur Gewährleistung der Datenintegrität wird jeglicher Client-Server-Datenaustausch verschlüsselt."

 

[TheMrg]

Doku lesen hilft. ;-)

"Zur Gewährleistung der Datenintegrität wird jeglicher Client-Server-Datenaustausch verschlüsselt."

Bezieht sich doch aber auf die verschlüsselung der Backupdaten, nicht des Transports. Dafür muss encrypted aktiviert werden:
Wir wollen die Backups selber aber nicht verschlüsseln, sondern nur die Übertragung der Daten und der Login Credentials.

Verschlüsselung​

Zur Gewährleistung der Datenintegrität wird jeglicher Client-Server-Datenaustausch verschlüsselt. Die Verschlüsselung erfolgt bereits auf Client-Seite, was eine höhere Performance garantiert. Verwendet wird dazu die authentifizierte Verschlüsselung mit AES-256 im Galois/Counter (GCM) Modus. Da Daten bereits verschlüsselt sind bevor sie den Server erreichen, sind sie für nicht autorisierte Benutzer, die auf den Server zugreifen, nutzlos.

 

[ph0x]

Erstens lese ich das anders, denn es heißt, jeglicher Datenverkehr ist verschlüsselt, während die Verschlüsselung der Backups aktiv eingestellt werden muss.
Zweitens sagt der Wikipedia-Artikel etwas anderes.
Drittens gibt das Benchmark-Tool mittels des Wert "TLS Speed" die maximale Backup-Geschwindigkeit an, was für mich eindeutig auf eine Verschlüsselung des Transports hinweist.
Falls dir das noch nicht ausreicht, wirf Wireshark an und schau selbst, was in den Paketen steht.

 

[H4R0]

Sämtlicher traffic ist via TLS verschlüsselt und authentifiziert durch Key Pinning.

Zusätzlich können die Daten mit AES-GCM-256 verschlüsselt werden.