Rugsteun van die houer of van sy lêers? Besluit volgens herstelvorm

Jy kan 'n geënkripteerde houer as een objek rugsteun, of dit monteer en die lêers binne rugsteun. Albei gaan maklik deur die VPN, en dit is waar die ooreenkoms eindig. Hulle herstel verskillende dinge, hulle hang van verskillende sleutels af, hulle kos verskillende hoeveelhede stoorspasie, en hulle faal op verskillende maniere wanneer iemand die data terugwil. Kies eers die herstelobjek, dan die vervoer, dan die enkripsie van die gestoorde kopie. Die kontrolelys hieronder volg daardie volgorde, want byna elke rugsteunganie is eintlik 'n meningsverskil oor watter van die drie eerste besluit is.

Twee objekte, twee herstelvorme

'n Beeldrugsteun herstel 'n houer: jy kry die geënkripteerde volume terug, en jy het steeds die herstelmateriaal nodig om dit oop te maak. 'n Lêervlak-rugsteun herstel lêers en gidsbome, en watter enkripsie hulle ook beskerm, is 'n eienskap van die rugsteunbewaarplek eerder as van die oorspronklike houer. 'n Eenvoudige kopie na 'n afgeleë gids is 'n derde geval, en dit erf net watter beskerming daardie gids toevallig het.

Die middelste ry is die een wat mense verkeerd lees. Dit kan 'n heeltemal goeie ontwerp wees: die rugsteunprogram lees plaintext plaaslik en skryf 'n geënkripteerde, geauthentiseerde bewaarplek. Die veiligheid berus dan op daardie program en sy geloofsbriewe, nie op die oorspronklike houer se wagwoord nie, en die twee moet nie beskryf word asof hulle dieselfde beheer is nie.

Kontrole 1: wat moet die herstel herbou?

Vra die vraag in die vorm van 'n herstel, nie 'n rugsteun nie. As die vereiste is “bring hierdie diens op 'n ander gasheer terug”, is 'n beeld plus sy herstelmateriaal 'n samehangende antwoord. As die vereiste is “kry die finansiële sigblad van Maart terug”, is dit duur om 'n beeld van etlike gigagrepe te herstel net om een lêer te onttrek. Albei is geldige herstellings, en hulle is nie verwisselbare begrotings nie. 'n Plan wat net een van hulle noem, sal uiteindelik deur die ander getoets word.

Skryf die herstelteiken in die plan: die hele volume, 'n gidsboom of individuele lêers. Let dan op watter metadata saam moet reis, want eienaarskap, regte, uitgebreide kenmerke en tydstempels is deel van 'n lêervlak-herstel en word dikwels verloor deur kopiegebaseerde werkvloei wat tydens toetsing voldoende gelyk het.

Besluit ook wie die herstel doen. 'n Lêervlak-bewaarplek wat enige operateur kan monteer, is 'n ander toegangsmodel as 'n beeld waarvoor die sleutelhouer teenwoordig moet wees, en nie een is outomaties beter nie. Wat saak maak, is dat die keuse doelbewus en op skrif is.

Kontrole 2: wat beskerm die gestoorde kopie?

Die VPN beskerm 'n vervoersegment. Dit sê niks oor die gestoorde kopie nadat die oordrag klaar is nie, en “dit het deur die tonnel gegaan” is nie 'n stelling oor die rugsteunoperateur se vermoë om jou data te lees nie. As die afgeleë kant deur iemand anders bestuur word, is die vraag wat hulle kan lees, nie of die skakel geënkripteer was nie.

Vir 'n beeld beteken dit die beskerming van die houer se sleutelmateriaal apart van die beeld self. Om die kop te verloor, verloor die volume, so rugsteun die kop op 'n plek waar die beeld nie is nie:

cryptsetup luksHeaderBackup /dev/vg0/data --header-backup-file data-header.img
cryptsetup luksDump /dev/vg0/data | head -20

Vir 'n lêervlak-bewaarplek, verifieer dat die program inhoud en metadata enkripteer en authentiseer voordat dit die gasheer verlaat, en vind uit wie die sleutels hou. Restic se ontwerpdocumentasie is duidelik dat dit 'n vertroude brongasheer aanvaar en dat enkripsie nie verhoed dat iemand met stoortoegang rugsteun kan uitvee nie. Albei voorbehoude maak saak: 'n bewaarplek kan vertroulik wees en steeds vernietig word.

Kontrole 3: is die kopie konsekwent?

'n Rugsteun wat 'n veranderende lêerstelsel vasvang, is 'n kopie, nie 'n herstelpunt nie. Vir 'n beeld, gebruik die volume-instrument se ondersteunde metode vir 'n stabiele momentopname, wat gewoonlik 'n momentopname-bewerking of 'n ontkoppeling beteken eerder as om 'n groot lêer te lees terwyl dit verander:

lvcreate -L 5G -s -n data-snap /dev/vg0/data
cryptsetup open /dev/vg0/data-snap data-snap --readonly

Vir gemonteerde lêers, gebruik die toepassing se ondersteunde konsekwentheidsprosedure vir aktiewe databasisse en ander gekoördineerde data. 'n Lêerstelselvlak-kopie en 'n toepassing-konsekwente herstelpunt is verskillende beskrywings, en die verskil word eers sigbaar wanneer jy die toepassing vanuit die herstelde kopie probeer begin.

Hou die herstelmateriaal op 'n onafhanklike beskermde roete. Om die oorspronklike masjien te verloor, moet nooit ook die enigste geloofsbrief verloor wat sy rugsteun oopmaak nie, en dit is presies wat gebeur wanneer die sleutellêer op die volume woon wat gerugsteun word. Toets daardie skeiding doelbewus: herstel op 'n gasheer wat die oorspronklike nog nooit gesien het nie, met net wat die plan sê beskikbaar is.

Kontrole 4: hou veranderingsopsporing vir hierdie objek?

'n Geënkripteerde houer lyk vir die meeste oordraginstrumente soos een groot ondeursigtige lêer, so 'n klein plaintext-wysiging kan 'n groot herlees of 'n volle her-oplaai veroorsaak, afhangend van die instrument en die formaat. Veranderlike-grootte chunking en deduplikasie, soos restic dokumenteer, kan dit verminder, maar dit is 'n eienskap van daardie instrument eerder as van geënkripteerde houers in die algemeen.

Meet eerder as om te aanvaar. Vergelyk 'n eerste lopie met 'n tweede lopie ná 'n klein, onskadelike wysiging, en teken oorgedra bytes sowel as verstreke tyd aan. Bewaar 'n bekende-goeie rugsteun terwyl jy eksperimenteer, sodat 'n toets nie jou enigste herstelpunt opgebruik nie.

Voltooi dan die kontrolelys met die enigste toets wat tel: herstel sonder die oorspronklike masjien. Maak 'n herstelde houer oop, of herstel gekose lêers met hul metadata, en bevestig dat die toepassing of die gebruiker die resultaat kan gebruik. 'n Vinnige, goed geënkripteerde oordrag wat daardie toets nie kan antwoord nie, is 'n kopie van jou data, nie 'n rugsteun daarvan nie.