VPN-bediener-rugsteun: besluit wat herstelbaar moet wees

Om ’n konfigurasielêer te kopieer is nie ’n rugsteun nie, en ’n rugsteun wat niemand kan herstel nie is nie ’n plan nie. Die argief moet die identiteit van die diens, die beleid daaromheen en die toestand wat sê watter toestelle nog toegelaat word, bevat. Dit moet ook beskerm word, want in die meeste ontplooiings gee die argief presies wat die VPN gee. Om te besluit wat herstelbaar moet wees, kom eerste; die lêerlys volg uit daardie besluit.

Begin by die herboudoel

Skryf neer wat ’n herboude bediener moet doen voordat jy ’n enkele lêer lys: dieselfde tonnels termineer, dieselfde identiteit voorlê en die toestelle wat tans herroep is, weier. Daardie sin sluit die meeste naïewe kopieë uit, want ’n konfigurasiegids bevat selde die herroepingslys of die eksterne identiteitsafhanklikheid. Dit lê ook die dele bloot wat buite die gasheer leef, soos DNS-rekords, wolkkvuurmuurreëls en die gids waarteen die poortstaander authentiseer. ’n Plan wat hulle ignoreer, lewer ’n herstelde bediener wat gesond lyk en niemand toelaat nie.

Groepeer die materiaal in drie bakkies: identiteit, konfigurasie en toestand. Identiteit is die sleutels, die sertifikate en die owerheid wat hulle onderteken. Konfigurasie is die daemon-instellings, poele, roetes en vuurmuurbeleid, terwyl toestand die stel eweknieë, rekeninge en herroepings is wat elke dag verander.

Identiteit is die deel wat jy nie kan hergenereer nie

Privaatsleutels kan nie uit die geheue herskep word nie, en die sertifikate wat daarvan afhang, verval volgens ’n skedule wat jy erf eerder as kies. Rugsteun die bediener se sleutel, die kliëntvoorsieningsmateriaal en die sertifikaatowerheid, en let dan op watter daarvan veronderstel is om vanlyn te bly. ’n Owerheidsleutel wat net op die lopende poortstaander leef, is een kompromie weg van ’n volledige identiteitsherstel vir elke kliënt. Teken aan wat doelbewus elders gestoor word, sodat niemand dit in ’n argief met laer beskerming dupliseer nie.

Herroeping verdien sy eie reël in die plan. Om gister se konfigurasie te herstel kan ’n identiteit herinstel wat jy vandag verwyder het, wat ’n herstelling in ’n veiligheidsvoorval omskep. Hou die huidige herroepingstoestand op ’n plek onafhanklik van die opname waarna jy sou terugrol, en kontroleer dit ná enige herstel.

Neem die toestand op een oomblik op

’n Afskrif wat geneem word terwyl die diens skryf, lewer ’n inkonsistente inventaris, en inkonsistente identiteitsdata is erger as ’n ouer, skoon afskrif. Gebruik die ondersteunde uitvoerpad vir elke stoor, en teken dan die opnametyd aan, want elke latere vraag oor die herstel hang daarvan af.

wg showconf wg0 > /srv/backup/wg0.runtime.conf
sqlite3 /var/lib/vpn/admin.db ".backup '/srv/backup/admin.db'"
cp -a /etc/wireguard /srv/backup/etc-wireguard
sha256sum /srv/backup/*.conf > /srv/backup/MANIFEST

Die eerste opdrag druk die lopende koppelvlak terug as konfigurasie, wat die vinnigste manier is om eweknieë vas te vang wat met die hand eerder as deur ’n bestuursinstrument bygevoeg is; die wg(8)-handleiding dokumenteer dit. Die sqlite-reël is die patroon vir ’n bestuursdatabasis: die rugsteunopdrag lewer ’n konsekwente afskrif terwyl die skrywer aanhou loop. Die gidsafskrif bewaar toestemmings, wat saak maak omdat daardie sleutellêers net deur root gelees kan word. Die manifes is wat jou laat weet of ’n argief volledig of afgekap is.

Maak die herstel moontlik en probeer dit dan

Versleutel die argief en hou die herstelsleutel op ’n ander plek as die masjien waar dit vandaan kom. ’n Rugsteun wie se wagfrase net op die mislukte bediener bestaan, is ’n rugsteun wat niemand sal oopmaak nie. Beperk die verkryging tot die mense wat die poortstaander reeds kon administreer, en teken elke verkryging aan. Toets die herstel op ’n geïsoleerde netwerk, want ’n gekloonde identiteit wat langs produksie opgestaan word, skep twee bedieners wat vir dieselfde eweknie-sleutel antwoord.

Dokumenteer die uitsluitings net so sorgvuldig soos die inhoud. Wolkkvuurmuurreëls, DNS-rekords en ’n eksterne gids het moontlik elkeen sy eie herstelstap nodig. ’n Suksesvolle lêerkopie is nie bewys dat die diens terugkeer nie; die enigste bewys wat tel, is ’n herboude eindpunt wat dieselfde aanvaardingstoets as die oorspronklike slaag.