VPN server ehtiyat nüsxəsi: nəyin bərpa oluna bilən olmalı olduğunu müəyyən edin

Konfiqurasiya faylını kopyalamaq ehtiyat nüsxə deyil, heç kimin bərpa edə bilmədiyi ehtiyat nüsxə isə plan deyil. Arxiv xidmətin kimliyini, onun ətrafındakı siyasəti və hansı cihazlara hələ icazə verildiyini göstərən vəziyyəti ehtiva etməlidir. O, həmçinin qorunmalıdır, çünki əksər yerləşdirmələrdə arxiv VPN-in verdiyini eynilə verir. Nəyin bərpa oluna bilən olmalı olduğuna qərar vermək birinci gəlir; fayl siyahısı bu qərardan irəli gəlir.

Yenidən qurma hədəfindən başlayın

Tək bir fayl sadalamazdan əvvəl yenidən qurulmuş serverin nə etməli olduğunu yazın: eyni tunelləri dayandırsın, eyni kimliyi təqdim etsin və hazırda ləğv edilmiş cihazları rədd etsin. Bu cümlə ən sadəlövh kopyaları kənarlaşdırır, çünki konfiqurasiya kataloqunda ləğv siyahısı və ya xarici kimlik asılılığı nadir hallarda olur. O, həmçinin hostdan kənarda yaşayan hissələri — DNS qeydləri, bulud firewall qaydaları və şlüzün autentifikasiya etdiyi kataloqu — üzə çıxarır. Onları nəzərə almayan plan, sağlam görünən və heç kimi qəbul etməyən bərpa edilmiş server yaradır.

Materialı üç səbətə qruplaşdırın: kimlik, konfiqurasiya və vəziyyət. Kimlik açarlar, sertifikatlar və onları imzalayan orqandır. Konfiqurasiya demon parametrləri, hovuzlar, marşrutlar və firewall siyasətidir; vəziyyət isə hər gün dəyişən peer-lər, hesablar və ləğvlər toplusudur.

Kimlik yenidən yarada bilmədiyiniz hissədir

Şəxsi açarları yaddaşdan bərpa etmək mümkün deyil, onlardan asılı olan sertifikatlar isə seçdiyiniz deyil, miras aldığınız cədvəl üzrə bitir. Server açarının, müştəri təminat materialının və sertifikat orqanının ehtiyat nüsxəsini götürün, sonra hansının qəsdən oflayn qalmalı olduğunu qeyd edin. Yalnız işləyən şlüzdə yaşayan orqan açarı hər müştəri üçün tam kimlik sıfırlamasından bir kompromis uzaqdır. Qəsdən başqa yerdə saxlananları qeyd edin ki, heç kim onları daha az qorumalı arxivə köçürməsin.

Ləğv plana öz sətri ilə düşməlidir. Dünənki konfiqurasiyanı bərpa etmək bu gün sildiyiniz kimliyi geri qaytara bilər, bu da bərpanı təhlükəsizlik hadisəsinə çevirir. Cari ləğv vəziyyətini geri qayıdacağınız şəkildən asılı olmayan yerdə saxlayın və hər bərpadan sonra onu yoxlayın.

Vəziyyəti bir anda şəkilləndirin

Xidmət yazarkən götürülən kopya uyğunsuz inventar yaradır və uyğunsuz kimlik məlumatı köhnə təmiz kopyadan pisdir. Hər anbar üçün dəstəklənən ixrac yolundan istifadə edin, sonra şəklin vaxtını qeyd edin, çünki bərpa ilə bağlı hər sonrakı sual ondan asılıdır.

wg showconf wg0 > /srv/backup/wg0.runtime.conf
sqlite3 /var/lib/vpn/admin.db ".backup '/srv/backup/admin.db'"
cp -a /etc/wireguard /srv/backup/etc-wireguard
sha256sum /srv/backup/*.conf > /srv/backup/MANIFEST

Birinci əmr işləyən interfeysi konfiqurasiya kimi çap edir ki, bu da əl ilə əlavə edilmiş peer-ləri idarəetmə alətindən daha sürətli tutmağın yoludur; bunu wg(8) təlimatı sənədləşdirir. sqlite sətri idarəetmə verilənlər bazası üçün nümunədir: ehtiyat nüsxə əmri yazan işləyərkən uyğun kopya yaradır. Kataloq kopyası icazələri qoruyur, bu vacibdir, çünki həmin açar faylları yalnız root oxuya bilər. Manifest isə tam arxivi kəsilmiş arxivdən ayırmağa imkan verir.

Bərpanı mümkün edin, sonra sınayın

Arxivi şifrələyin və bərpa açarını gəldiyi maşından başqa yerdə saxlayın. Parolu yalnız sıradan çıxmış serverdə olan ehtiyat nüsxə heç kimin açmayacağı nüsxədir. Götürməni yalnız şlüzü əvvəldən idarə edə bilən şəxslərlə məhdudlaşdırın və hər götürməni jurnala yazın. Bərpanı təcrid olunmuş şəbəkədə sınayın, çünki istehsalın yanında qaldırılan klonlaşdırılmış kimlik eyni peer açarına cavab verən iki server yaradır.

İstisnaları məzmun qədər diqqətlə sənədləşdirin. Bulud firewall qaydaları, DNS qeydləri və xarici kataloq hər biri öz bərpa addımını tələb edə bilər. Uğurlu fayl kopyası xidmətin qayıtdığına dəlil deyil; sayılan yeganə dəlil, orijinalla eyni qəbul testindən keçən yenidən qurulmuş son nöqtədir.