102 lines
4.1 KiB
Markdown
102 lines
4.1 KiB
Markdown
|
# Runbook — Sauvegardes vers Dedibackup
|
||
|
|
|
||
|
|
## Principe
|
||
|
|
|
||
|
|
Chaque jour à 03:15 (±5 min aléatoires), le timer systemd `sauvegarde-dedibackup.timer`
|
||
|
|
déclenche `sauvegarde-dedibackup.service`, qui exécute
|
||
|
|
`/usr/local/sbin/sauvegarde-dedibackup.sh` (déployé par le rôle Ansible
|
||
|
|
`sauvegardes`, voir `ansible/roles/sauvegardes/`).
|
||
|
|
|
||
|
|
Le script :
|
||
|
|
|
||
|
|
1. Archive `/etc`, `/home`, `/root` en `tar.zst` (streaming, sans fichier intermédiaire en clair).
|
||
|
|
2. Chiffre le flux avec **age**, avec la clé publique du serveur (`/root/.age/cle-sauvegardes.txt`).
|
||
|
|
3. Envoie l'archive chiffrée en FTP vers Dedibackup (`dedibackup-dc3.online.net`, joignable uniquement depuis ce serveur).
|
||
|
|
4. Le dimanche (jour 7), duplique aussi l'archive du jour comme hebdomadaire.
|
||
|
|
5. Applique la rotation : garde les 7 quotidiennes et 4 hebdomadaires les plus récentes, supprime le reste sur Dedibackup (qui est limité à 1000 fichiers).
|
||
|
|
|
||
|
|
Le FTP de Dedibackup n'est pas chiffré en transport, mais le contenu de
|
||
|
|
l'archive l'est déjà (age) avant l'envoi : une interception du transfert ne
|
||
|
|
révèle rien.
|
||
|
|
|
||
|
|
## Où est la clé de déchiffrement
|
||
|
|
|
||
|
|
- Clé privée age : `/root/.age/cle-sauvegardes.txt`, permissions `600`, **ne quitte jamais le serveur**.
|
||
|
|
- Clé publique (sans risque à diffuser) : voir la sortie de `age-keygen` lors du déploiement, ou :
|
||
|
|
```
|
||
|
|
sudo grep 'public key' /root/.age/cle-sauvegardes.txt
|
||
|
|
```
|
||
|
|
|
||
|
|
**⚠️ Rappel pour Adam (pas fait automatiquement par Claude) : garder une copie de
|
||
|
|
`/root/.age/cle-sauvegardes.txt` en dehors du serveur** (gestionnaire de mots de
|
||
|
|
passe, clé USB chiffrée, etc.). Si le serveur est perdu, cette clé est la seule
|
||
|
|
façon de déchiffrer les sauvegardes existantes. Exemple pour la récupérer (à
|
||
|
|
lancer depuis le Mac, le fichier arrive en clair sur le Mac donc à stocker
|
||
|
|
immédiatement dans un endroit sûr puis à effacer du téléchargement) :
|
||
|
|
```
|
||
|
|
scp paillasse:/root/.age/cle-sauvegardes.txt ~/Desktop/
|
||
|
|
# puis la mettre immédiatement dans un gestionnaire de mots de passe,
|
||
|
|
# et supprimer la copie en clair sur le Desktop.
|
||
|
|
```
|
||
|
|
|
||
|
|
## Identifiants Dedibackup
|
||
|
|
|
||
|
|
Dans `/root/.dedibackup` (permissions `600`, jamais dans Git) :
|
||
|
|
`DEDIBACKUP_HOST`, `DEDIBACKUP_USER`, `DEDIBACKUP_PASS` — **valeurs entre
|
||
|
|
guillemets simples** si elles contiennent des caractères spéciaux (`#`, `$`,
|
||
|
|
espace…), sinon `bash` les tronque silencieusement en les lisant.
|
||
|
|
|
||
|
|
## Lancer une sauvegarde manuellement
|
||
|
|
|
||
|
|
```
|
||
|
|
ssh paillasse
|
||
|
|
sudo systemctl start sauvegarde-dedibackup.service
|
||
|
|
sudo journalctl -u sauvegarde-dedibackup.service --no-pager | tail -20
|
||
|
|
```
|
||
|
|
|
||
|
|
## Lister les sauvegardes présentes sur Dedibackup
|
||
|
|
|
||
|
|
```
|
||
|
|
sudo bash -c '
|
||
|
|
source /root/.dedibackup
|
||
|
|
lftp -u "$DEDIBACKUP_USER,$DEDIBACKUP_PASS" "$DEDIBACKUP_HOST" \
|
||
|
|
-e "set ftp:ssl-allow no; cls -1 *.tar.zst.age; quit"
|
||
|
|
'
|
||
|
|
```
|
||
|
|
|
||
|
|
## Restaurer un fichier (procédure testée le 2026-10-07)
|
||
|
|
|
||
|
|
```
|
||
|
|
ssh paillasse
|
||
|
|
sudo bash -c '
|
||
|
|
set -e
|
||
|
|
source /root/.dedibackup
|
||
|
|
RESTORE_DIR=/tmp/restauration-$(date +%Y%m%d-%H%M)
|
||
|
|
mkdir -p "$RESTORE_DIR"
|
||
|
|
|
||
|
|
# 1. Télécharger l'archive voulue depuis Dedibackup
|
||
|
|
lftp -u "$DEDIBACKUP_USER,$DEDIBACKUP_PASS" "$DEDIBACKUP_HOST" \
|
||
|
|
-e "set ftp:ssl-allow no; get quotidienne-AAAAMMJJ.tar.zst.age -o $RESTORE_DIR/archive.tar.zst.age; quit"
|
||
|
|
|
||
|
|
# 2. Déchiffrer puis extraire (tout le contenu, ou un chemin précis en argument de tar)
|
||
|
|
age -d -i /root/.age/cle-sauvegardes.txt "$RESTORE_DIR/archive.tar.zst.age" \
|
||
|
|
| tar -I zstd -xf - -C "$RESTORE_DIR" etc/un/fichier/precis
|
||
|
|
|
||
|
|
ls -la "$RESTORE_DIR"
|
||
|
|
'
|
||
|
|
```
|
||
|
|
|
||
|
|
Pour tout restaurer (sans préciser de chemin après `-xf -`), **ne jamais le
|
||
|
|
faire directement vers `/etc`, `/home` ou `/root`** sans réfléchir : ça
|
||
|
|
écraserait l'état actuel. Toujours restaurer vers un répertoire temporaire
|
||
|
|
(`/tmp/...`) puis copier à la main ce qui est nécessaire.
|
||
|
|
|
||
|
|
Les chemins dans l'archive n'ont **pas** de `/` ni de `./` au début (ex.
|
||
|
|
`etc/hostname`, pas `/etc/hostname` ni `./etc/hostname`) — `tar` les a retirés
|
||
|
|
à la création.
|
||
|
|
|
||
|
|
## Vérifié le 2026-10-07
|
||
|
|
|
||
|
|
- Sauvegarde envoyée : `quotidienne-20261007.tar.zst.age`, confirmée présente sur Dedibackup via `cls`.
|
||
|
|
- Restauration testée : `etc/hostname` extrait dans `/tmp/test-restauration-20261007/`, contenu conforme (`sd-124443`).
|