Zalohovani: nacteni souboru do promenne a prevedeni do base64

tuxmartin

Ahoj,
aktualne zalohuji mikrotiky skriptem, ktery posle soubor s configem na mail. V /tool e-mail set se da nastavit i TLS a heslo.

Ale lakalo by me to jinak. Asi pres/tool fetch
Zde jde upload jen na nesifrovane ftp, takze to nejde.
Dalsi moznosti by bylo stahovat configy pres ssh, ale to by server musel mit na vsechny mikrotiky pristup.

Snazim se o:

/export file=backup
/tool fetch url="https://backup.example.net/export.php" mode=https http-method=post user="haplite_test1" password="tajneHeslo" http-data="export=TADY_BUDE_NEJAK_TEN_BACKUP_RSC_V_BASE64"

Na serveru mam zatim na test:

<?php
$post_data = $_POST['export'];
$currentDateTime = date('Y-m-d_H-i-s');
if (!empty($post_data)) {
  if (!file_exists('/var/www/mikrotik/'.$_SERVER['PHP_AUTH_USER'])) {
    mkdir($_SERVER['PHP_AUTH_USER'], 0755, true);
  }
  file_put_contents('/var/www/mikrotik/'.$_SERVER['PHP_AUTH_USER'].'/'.$currentDateTime.'.rsc', base64_decode($post_data));
}
?>

Podle uzivatele se vytvorit adresar a do nej se ukladaji configy. I base64 dekodovani funguje.

Otazka zni, jak lze na mikrotiku nacist soubor, prevest ho na base64 a ulozit do promenne, kterou predam u fetch v http-data.
A take, jestli je limitovana delka http-data.

Kazdy mikrotik by tak mel vlastniho uzivatele v htpasswd a tim by to bylo oddelene.

Snazil jsem se googlit base64 na mikrotiku, ale bez uspechu :-(
Me se to proste nedari.

Diky za pomoc.

zip

Ahoj, @tuxmartin,

povedlo se ti to vyřešit - řeším obdobní problém, ale vypadá to, že Mikrotik prostě nepodporuje uploud souboru přes HTTPS 🙁 ..

zdeneksvarc

@"tuxmartin"#p266155 Otazka zni, jak lze na mikrotiku nacist soubor, prevest ho na base64 a ulozit do promenne, kterou predam u fetch v http-data.

Dnes už by to šlo přes https://help.mikrotik.com/docs/display/ROS/Container

Ale nedělal bych to. Je dobré mít správu infrastruktury hezky deklarativní. Dodržovat SSOT princip. Moc pěkně (např.) v Ansible.

zip

@zdeneksvarc - potřebuji zálohovat x Mikrotiku, které jsou rozvracené všude možně a nemají ani veřejnou IP. Emaily sou super, ale to není optimální na přehled co je a není zálohováno - Daleko lepší mi přišlo to řešit pomocí url, kam by se mi posílali dané zálohy 🙁, ale jak si s tím hraju tak dostat data na web server je docela easy pomocí dotazu, ale soubor nejsem schopný přenést 🙁 Tak hledám cesty jak to provést.

zdeneksvarc

Binární data je nutné enkódovat, pokud se mají poslat přes SMTP. To obejít nelze. Pro Mikrotik určitě není problém přemapovat něco jako cat <input_file> | base64 > <output_file> na RouterOS příkaz. Z nějakého důvodu to ale neudělali.

FTP a SCP je na rozdíl od SMTP určené pro přenos binárních dat. Absence veřejné IP se dá řešit tunelem. Pořád se dá v RouterOS použít fetch upload: /tool fetch upload=yes url="sftp://...

Akorát bych fakt nedělal. Radši bych investoval trochu času naučit se Ansible a vedl si konfigurace deklarativně.

m4rk3J

Já to tehdá vyřešil přes fetch takhle:

#Scheduler
:delay 2;
/system scheduler
add comment="Provede planovane 28denni zalohovani v 03:00:00" interval=4w \
    name=28denni_zalohy_ftp on-event=vytvorit_zalohy_ftp policy=\
    ftp,reboot,read,write,policy,test,password,sniff,sensitive,romon \
    start-date=jan/01/1970 start-time=03:00:00

#Script
/system script
add comment="Vytvori backup a rsc soubory pojmenovane jako identita s aktualni\
    m datem a nahraje je na FTP" dont-require-permissions=no name=\
    vytvorit_zalohy_ftp owner=mrk3 policy=\
    ftp,reboot,read,write,policy,test,password,sniff,sensitive,romon source="#\
    Informujeme do logu\r\
    \n:log/info message=\"Zahajuji zalohovani konfigurace.\";\r\
    \n\r\
    \n#Nastavime si promenne\r\
    \n:local NazevSouboru;\r\
    \n\r\
    \n:local Datum [/system/clock/get date];\r\
    \n:local Identita [/system/identity/get name];\r\
    \n\r\
    \n:local Mesice (\"jan\",\"feb\",\"mar\",\"apr\",\"may\",\"jun\",\"jul\",\
    \"aug\",\"sep\",\"oct\",\"nov\",\"dec\");\r\
    \n:local Mesic [:pick \$Datum 0 3];\r\
    \n\r\
    \n:set Mesic ([ :find \$Mesice \$Mesic -1 ] + 1);\r\
    \n\r\
    \n:if (\$Mesic < 10) do={ :set Mesic (\"0\" . \$Mesic); }\r\
    \n\r\
    \n:local Den [:pick \$Datum 4 6];\r\
    \n:local Rok [:pick \$Datum 7 11];\r\
    \n:set NazevSouboru (\$Identita. \" - \" .\$Rok.\"-\".\$Mesic.\"-\".\$Den)\
    ;\r\
    \n\r\
    \n#Vytvorime .backup\r\
    \n/system/backup/save dont-encrypt=yes name=\$NazevSouboru;\r\
    \n\r\
    \n#Pockame 3 vteriny\r\
    \n:delay delay-time=3s;\r\
    \n\r\
    \n#Vytvorime .rsc\r\
    \n/export show-sensitive file=\$NazevSouboru;\r\
    \n\r\
    \n#Pockame 3 vteriny\r\
    \n:delay delay-time=3s;\r\
    \n\r\
    \n#Informujeme do logu\r\
    \n:log/info message=\"Zahajuji nahravani zaloh na FTP.\";\r\
    \n\r\
    \n#Nahrajeme soubory na hlavni router\r\
    \n{\r\
    \n\t:do {/tool/fetch address=10.20.0.1 src-path=\"\$NazevSouboru.backup\" \
    mode=ftp user=\"FTP_Zalohy\" password=\"hhhhh33333ssssslo\" upload=yes dst-pat\
    h=\"/FTP_Zalohy/\$NazevSouboru.backup\"} on-error={:log/warning \"Nastala \
    chyba pri uploadu .backup zalohy!\"}\r\
    \n};\r\
    \n{\r\
    \n\t:do {/tool/fetch address=10.20.0.1 src-path=\"\$NazevSouboru.rsc\" mod\
    e=ftp user=\"FTP_Zalohy\" password=\"hhhhh33333ssssslo\" upload=yes dst-path=\
    \"/FTP_Zalohy/\$NazevSouboru.rsc\"} on-error={:log/warning \"Nastala chyba\
    \_pri uploadu .rsc zalohy!\"}\r\
    \n};\r\
    \n\r\
    \n#Pockame 3 vteriny\r\
    \n:delay delay-time=3s;\r\
    \n\r\
    \n#Smazeme soubory\r\
    \n/file/remove \"\$NazevSouboru.backup\"\r\
    \n/file/remove \"\$NazevSouboru.rsc\"\r\
    \n\r\
    \n#Informujeme do logu\r\
    \n:log/info message=\"Zaloha konfigurace dokoncena.\";"

Zálohy šly na hlavní RB (odkud je kradlo Synology), logy šly na externí server, takže jsem o chybě věděl (pokud by Tik odpadl, tak mi to zas řekne monitoring a víc situací jsem nevymýšlel)... Popravdě ani nevím, proč jsem to dělal, přeci jenom to byla APčka a na všech bylo krom MAC na bridge a identitě nastavené to samé 😃

zip

m4rk3J Děkuji za radu, ale jít přes http má své důvody - občas mám zařízení mimo vlastní sít, kde jsou restrikce na porty .. takže mi jen tak něco neprojde ven, proto řeší komunikaci striktně přes HTTPS.