Рэзервовая копія кантэйнера ці яго файлаў? Рашэнне па форме аднаўлення

Вы можаце зрабіць рэзервовую копію зашыфраванага кантэйнера як аднаго аб'екта, або змантаваць яго і скапіяваць файлы ўнутры. Абодва шляхі спакойна праходзяць праз VPN, і менавіта тут падабенства заканчваецца. Яны аднаўляюць рознае, залежаць ад розных ключоў, займаюць розную колькасць месца і адмаўляюць па-рознаму, калі камусьці патрэбныя даныя назад. Спачатку выберыце аб'ект аднаўлення, потым транспарт, потым шыфраванне захаванай копіі. Чэк-ліст ніжэй ідзе ў гэтым парадку, бо амаль кожная спрэчка пра рэзервовыя копіі — гэта насамрэч спрэчка пра тое, якое з гэтых трох было вырашана першым.

Два аб'екты, дзве формы аднаўлення

Копія ўзроўню вобраза аднаўляе кантэйнер: вы атрымліваеце зашыфраваны том назад і ўсё яшчэ патрэбны матэрыял аднаўлення, каб яго адкрыць. Копія ўзроўню файлаў аднаўляе файлы і дрэвы каталогаў, і тое шыфраванне, што іх абараняе, — уласцівасць сховішча рэзервовых копій, а не зыходнага кантэйнера. Звычайная копія ў аддаленую папку — трэці выпадак, і яна атрымлівае тую абарону, якая выпадкова ёсць у гэтай папкі.

Сярэдні радок — гэта той, які людзі чытаюць няправільна. Ён можа быць цалкам добрым рашэннем: праграма рэзервовага капіравання чытае адкрыты тэкст лакальна і запісвае зашыфраванае сховішча з аўтэнтыфікацыяй. Тады бяспека трымаецца на гэтай праграме і яе ўліковых даных, а не на паролі зыходнага кантэйнера, і гэтыя два нельга апісваць як адзін і той жа кантроль.

Праверка 1: што менавіта павінна аднавіць аднаўленне?

Задайце пытанне ў форме аднаўлення, а не копіі. Калі патрабаванне — “вярнуць гэтую службу на іншы хост”, вобраз разам з матэрыялам аднаўлення — гэта слушны адказ. Калі патрабаванне — “вярнуць фінансавую табліцу за сакавік”, аднаўленне вобраза на некалькі гігабайт, каб выцягнуць адзін файл, — гэта дарагі спосаб адказаць. Абодва — законныя аднаўленні, і гэта не ўзаемазаменныя бюджэты. План, які называе толькі адно з іх, рана ці позна будзе правераны другім.

Запішыце мэту аднаўлення ў план: увесь том, дрэва каталогаў або асобныя файлы. Затым адзначце, якія метаданыя павінны ісці разам з імі, бо ўласнік, правы, пашыраныя атрыбуты і часовыя меткі — частка аднаўлення ўзроўню файлаў, і яны часта губляюцца ў працэсах на аснове капіравання, якія падчас тэставання здаваліся дастатковымі.

Вырашыце таксама, хто выконвае аднаўленне. Сховішча ўзроўню файлаў, якое можа змантаваць любы аператар, — гэта іншая мадэль доступу, чым вобраз, які патрабуе прысутнасці ўладальніка ключа, і ні адно з іх не лепшае аўтаматычна. Важна, каб выбар быў свядомым і запісаным.

Праверка 2: што абараняе захаваную копію?

VPN абараняе сегмент транспарту. Ён нічога не кажа пра захаваную копію пасля завяршэння перадачы, і “яно прайшло праз тунэль” не апісвае здольнасць аператара рэзервовых копій чытаць вашыя даныя. Калі аддаленым бокам кіруе хтосьці іншы, пытанне ў тым, што яны могуць прачытаць, а не ў тым, ці было спасылка зашыфраваная.

Для вобраза гэта значыць абараняць ключавы матэрыял кантэйнера асобна ад самога вобраза. Страціць загаловак — страціць том, таму зрабіце копію загалоўка там, дзе вобраза няма:

cryptsetup luksHeaderBackup /dev/vg0/data --header-backup-file data-header.img
cryptsetup luksDump /dev/vg0/data | head -20

Для сховішча ўзроўню файлаў праверце, што інструмент шыфруе і аўтэнтыфікуе змест і метаданыя да таго, як яны пакінуць хост, і даведайцеся, у каго ключы. дакументацыя па дызайне у Restic ясна кажа, што мяркуе давер да зыходнага хоста і што шыфраванне не перашкаджае камусьці з доступам да сховішча выдаляць копіі. Абодва папярэджанні важныя: сховішча можа быць канфідэнцыйным і ўсё роўна знішчаным.

Праверка 3: ці копія ўзгодненая?

Копія, якая здымае файлавую сістэму, што змяняецца, — гэта копія, а не пункт аднаўлення. Для вобраза выкарыстоўвайце падтрыманы метад інструмента тонаў для стабільнага здымка, што звычайна азначае аперацыю здымка або адмацаванне, а не чытанне вялікага файла, пакуль ён змяняецца:

lvcreate -L 5G -s -n data-snap /dev/vg0/data
cryptsetup open /dev/vg0/data-snap data-snap --readonly

Для змантаваных файлаў выкарыстоўвайце падтрыманую працэдуру ўзгодненасці праграмы для жывых баз даных і іншых узгодненых даных. Копія ўзроўню файлавай сістэмы і пункт аднаўлення, узгоднены з праграмай, — гэта розныя апісанні, і розніца становіцца бачнай, толькі калі вы спрабуеце запусціць праграму з адноўленай копіі.

Трымайце матэрыял аднаўлення на незалежным абароненым шляху. Страта зыходнай машыны ніколі не павінна азначаць страту адзіных уліковых даных, што адкрываюць яе копію, і менавіта гэта адбываецца, калі файл ключа жыве на томе, які капіруецца. Праверце гэтае раздзяленне свядома: аднаўляйце на хосце, які ніколі не бачыў арыгінала, выкарыстоўваючы толькі тое, што план называе даступным.

Праверка 4: ці трымаецца выяўленне змен для гэтага аб'екта?

Зашыфраваны кантэйнер выглядае для большасці інструментаў перадачы як адзін вялікі непразрысты файл, таму дробная праўка адкрытага тэксту можа выклікаць вялікае перачытванне або поўнае паўторнае запампоўванне ў залежнасці ад інструмента і фармату. Зменна-памернае дзяленне на фрагменты і дэдуплікацыя, як апісвае restic, могуць гэта паменшыць, але гэта ўласцівасць таго інструмента, а не зашыфраваных кантэйнераў наогул.

Мерце, а не мяркуйце. Параўнайце першы запуск з другім пасля дробнай бясшкоднай змены і запішыце перададзеныя байты, а таксама выдаткаваны час. Захавайце вядома добрую копію, пакуль эксперыментуеце, каб тэст не з'еў ваш адзіны пункт аднаўлення.

Завяршыце чэк-ліст адзіным тэстам, які мае значэнне: аднаўленне без зыходнай машыны. Адкрыйце адноўлены кантэйнер або аднавіце выбраныя файлы разам з іх метаданымі і пераканайцеся, што праграма ці карыстальнік можа скарыстацца вынікам. Хуткая і добра зашыфраваная перадача, якая не можа адказаць на гэты тэст, — гэта копія вашых даных, а не іх рэзервовая копія.