rsync ile güvenli otomasyon: pratik yönergeler ve dikkat edilmesi gerekenler

İş akışlarınızda verilerin güvenli ve güvenilir şekilde senkronize edilmesini sağlamak için rsync’i bir otomasyon kartı olarak nasıl güvenli biçimde kullanabileceğinizi anlatacağım. Bu yazı, temel kurulumdan kapsayıcı güvenlik önlemlerine kadar adım adım ilerler; yalnızca pratik, uygulanabilir noktalar üzerinde durulur.

• rsync, dosya bütünlüğünü koruyarak değişen blokları sadece transfer eder. Bu, ağ üzerinde bant genişliği tasarrufu ve zaman kazancı sağlar.
• Otomasyonla kullanıldığında periyodik yedekler, uzak sunucu ile eşitlemeler ve çalışma zamanında hatasız geri yüklemeler mümkün olur. Ancak güvenlik olmazsa, otomasyon bir açıdan risk taşır.

• SSH üzerinden iletimin güvenliğini sağlamak en önemli adımdır. rsync’i SSH ile kullanmak için basit bir yapılandırma:
• rsync -avz -e "ssh -p 22" kaynak hedef
• Bu komut, sıkıştırma ile hız kazanır, ayrıntılı çıktı verir, arşiv modunda dosyaları taşır ve SSH üzerinden güvenli bağlantı kurar.
• Kimlik doğrulama için anahtar tabanlı erişim tercih edin. Parola yerine anahtar ve kısıtlı yetkili kullanıcılarla çalışın.
• Uzak taraf için kısa süreli anahtarlama (time-limited keys) veya tek kullanımlık anahtarlar düşünün. Anahtarları düzenli olarak yenileyin ve anahtar geçmişini yönetin.

• rsync’i çalıştıran hesap minimum yetkilerle olmalı. Yedekler için yazma izinleri farklı bir kullanıcıya verilebilir; kaynak taraf okunabilir, hedef taraf yazılabilir ama kök erişimi gerektirmemeli.
• Dosya izinlerini korumak için -a seçeneği (arşiv modu) kullanılır; bu, mod, zaman damgası, sahiplik ve bağlantıları da taşır. Ancak güvenlik politikalarına göre belirli dizinleri istisna etmek için --exclude ile temizleyin.

• Otomasyon işlerini bir cron göreviyle veya sistemd timer ile çalıştırırken log kaydı şarttır. rsync çıktılarını dosyaya yönlendirin ve başarısızlık durumunda e-posta/alert tetikleyin.
• Transferin özdeşliğini sağlayan --checksum veya --size-only gibi seçenekler ihtiyaca göre kullanılır; checksum maliyetli olabilir, bu yüzden çoğu durumda -a ile gelen yapıyı güvenli şekilde güvenilir tutmak yeterlidir.
• Lojlama: Rsync’in balyaları ve dizin yapısını izlemek için --itemize-changes ile ayrıntılı değişiklik raporu alın.

• Gerekirse rsync üzerinden SSH için murtaza paketleri veya güvenlik katmanı ekleyin: Fail2Ban ile SSH brute-force engellenebilir, güvenli konfigürasyon için hesap kilitleme politikaları uygulanabilir.
• Yedekler için doğrulama adımı ekleyin: rsync’in exit kodu ve son senkronizasyon timestamp’i doğrulayın; gerektiğinde rsync --dry-run ile test parapetleri kurun.
• Network segmentasyonu: rsync trafiğini sadece güvenli ağlar üzerinden yönlendirin; mümkünse VPN veya zorlanmış NAT üzerinden bağlantı kurun.

• Basit yerel senkronizasyon: rsync -avh /kaynak/ /hedef/
• SSH üzerinden güvenli uzak senkronizasyon: rsync -avz -e "ssh -p 22" /kaynak/ kullanıcı@uzak:/hedef/
• Yedek için zaman damgalı hedef: rsync -avz --link-dest=/yedek/son.yml /kaynak/ /yedek/gunluk/