Рэзервовае капіраванне VPN-сервера: вызначце, што павінна аднаўляцца

Капіраванне файла канфігурацыі — не рэзервовая копія, а копія, якую ніхто не можа аднавіць, — не план. Архіў павінен утрымліваць ідэнтычнасць службы, палітыку вакол яе і стан, які паказвае, якім прыладам яшчэ дазволена працаваць. Яго таксама трэба абараніць, бо ў большасці разгортванняў архіў дае менавіта тое, што дае VPN. Рашэнне, што павінна аднаўляцца, ідзе першым; спіс файлаў вынікае з гэтага рашэння.

Пачніце з мэты перабудовы

Запішыце, што павінен рабіць перабудаваны сервер, перш чым пералічыць хоць адзін файл: закрываць тыя ж тунэлі, прад'яўляць тую ж ідэнтычнасць і адмаўляць прыладам, якія зараз адкліканы. Гэты сказ выключае большасць наіўных копій, бо каталог канфігурацыі рэдка ўтрымлівае спіс адкліканняў ці знешнюю залежнасць ідэнтычнасці. Ён таксама выяўляе часткі, што жывуць па-за хостам: запісы DNS, правілы хмарнага файрвола і каталог, супраць якога аўтэнтыфікуецца шлюз. План, які іх ігнаруе, дае адноўлены сервер, што выглядае здаровым і нікога не пускае.

Згрупуйце матэрыял у тры кашы: ідэнтычнасць, канфігурацыя і стан. Ідэнтычнасць — гэта ключы, сертыфікаты і орган, які іх падпісвае. Канфігурацыя — гэта налады дэмана, пулы, маршруты і палітыка файрвола, а стан — гэта набор піраў, уліковых запісаў і адкліканняў, які змяняецца кожны дзень.

Ідэнтычнасць — гэта тое, што нельга згенераваць нанова

Прыватныя ключы нельга аднавіць з памяці, а сертыфікаты, што ад іх залежаць, сканчаюцца па графіку, які вы ўспадкоўваеце, а не выбіраеце. Зрабіце рэзервовую копію ключа сервера, матэрыялаў прадастаўлення кліентаў і цэнтра сертыфікацыі, затым адзначце, што з гэтага павінна заставацца па-за сеткай. Ключ цэнтра, які жыве толькі на працуючым шлюзе, — гэта адзін узлом ад поўнага скіду ідэнтычнасці для кожнага кліента. Запішыце, што наўмысна захоўваецца ў іншым месцы, каб ніхто не скапіраваў гэта ў архіў з меншай аховай.

Адкліканне заслугоўвае асобнага радка ў плане. Аднаўленне ўчорашняй канфігурацыі можа вярнуць ідэнтычнасць, якую вы выдалілі сёння, і гэта ператварае аднаўленне ў інцыдэнт бяспекі. Трымайце бягучы стан адкліканняў у месцы, незалежным ад зрэзу, да якога вы б адкочваліся, і правярайце яго пасля любога аднаўлення.

Здыміце стан у адзін момант

Копія, знятая падчас запісу службы, дае непаслядоўны інвентар, а непаслядоўныя даныя ідэнтычнасці горш за старую чыстую копію. Выкарыстоўвайце падтрыманы шлях экспарту для кожнага сховішча, затым запішыце час зрэзу, бо кожнае наступнае пытанне пра аднаўленне залежыць ад яго.

wg showconf wg0 > /srv/backup/wg0.runtime.conf
sqlite3 /var/lib/vpn/admin.db ".backup '/srv/backup/admin.db'"
cp -a /etc/wireguard /srv/backup/etc-wireguard
sha256sum /srv/backup/*.conf > /srv/backup/MANIFEST

Першая каманда друкуе працуючы інтэрфейс назад як канфігурацыю, і гэта найхутчэйшы спосаб захаваць піраў, дададзеных уручную, а не інструментам кіравання; гэта кіраўніцтва wg(8) дакументуе. Радок sqlite — гэта ўзор для базы кіравання: каманда рэзервовага капіравання стварае непаслядоўную копію, пакуль запіс працягваецца. Капіяванне каталога захоўвае правы, што важна, бо тыя файлы ключоў чытае толькі root. Маніфест — гэта тое, што дазваляе адрозніць поўны архіў ад абрэзанага.

Зрабіце аднаўленне магчымым, а потым паспрабуйце яго

Шыфруйце архіў і трымайце ключ аднаўлення не на той машыне, адкуль ён прыйшоў. Копія, парольная фраза якой існуе толькі на зламаным серверы, — гэта копія, якую ніхто не адкрые. Абмяжуйце атрыманне людзьмі, якія ўжо маглі адміністраваць шлюз, і запісвайце кожнае атрыманне. Праверце аднаўленне ў ізаляванай сетцы, бо кланаваная ідэнтычнасць, узнятая побач з прадукцыяй, стварае два серверы, якія адказваюць за той самы ключ піра.

Дакументуйце выключэнні так жа старанна, як змест. Правілы хмарнага файрвола, запісы DNS і знешні каталог могуць кожны патрабаваць свайго кроку аднаўлення. Паспяховае капіраванне файлаў не з'яўляецца доказам вяртання службы; адзіны доказ, які лічыцца, — перабудаваны канчатковы пункт, што праходзіць той жа прыёмачны тэст, што і арыгінал.