Резервно копие на VPN сървър: решете какво трябва да е възстановимо

Копирането на конфигурационен файл не е резервно копие, а копие, което никой не може да възстанови, не е план. Архивът трябва да съдържа идентичността на услугата, политиката около нея и състоянието, което показва кои устройства все още са разрешени. Той трябва и да бъде защитен, защото в повечето внедрявания архивът дава точно това, което дава VPN. Решението какво трябва да е възстановимо идва първо; списъкът с файлове следва от това решение.

Започнете от целта за възстановяване

Запишете какво трябва да прави възстановен сървър, преди да изброите дори един файл: да прекратява същите тунели, да представя същата идентичност и да отказва устройствата, които в момента са отменени. Това изречение изключва повечето наивни копия, защото конфигурационната директория рядко съдържа списъка с отменяния или външната зависимост за идентичност. То разкрива и частите, които живеят извън хоста, като DNS записи, правила на облачната защитна стена и директорията, срещу която шлюзът се удостоверява. План, който ги пренебрегва, създава възстановен сървър, който изглежда здрав и не допуска никого.

Групирайте материала в три кошници: идентичност, конфигурация и състояние. Идентичността са ключовете, сертификатите и органът, който ги подписва. Конфигурацията са настройките на демона, пуловете, маршрутите и политиката на защитната стена, а състоянието е наборът от партньори, акаунти и отменяния, който се променя всеки ден.

Идентичността е частта, която не можете да генерирате отново

Частните ключове не могат да бъдат пресъздадени от паметта, а сертификатите, които зависят от тях, изтичат по график, който наследявате, вместо да избирате. Направете резервно копие на ключа на сървъра, материала за предоставяне на клиенти и сертифициращия орган, после отбележете кое от тях трябва да остане извън мрежата. Ключ на органа, който живее само на работещия шлюз, е на едно компрометиране от пълно нулиране на идентичността за всеки клиент. Запишете какво се съхранява умишлено другаде, за да не го копира никой в архив с по-ниска защита.

Отменянето заслужава свой ред в плана. Възстановяването на вчерашната конфигурация може да върне идентичност, която сте премахнали днес, което превръща възстановяването в инцидент по сигурността. Пазете текущото състояние на отменянията на място, независимо от снимката, към която бихте се върнали, и го проверявайте след всяко възстановяване.

Заснемете състоянието в един момент

Копие, направено докато услугата пише, дава непоследователен инвентар, а непоследователните данни за идентичност са по-лоши от по-стар чисто копие. Използвайте поддържания път за експорт за всяко хранилище, после запишете времето на снимката, защото всеки следващ въпрос за възстановяването зависи от него.

wg showconf wg0 > /srv/backup/wg0.runtime.conf
sqlite3 /var/lib/vpn/admin.db ".backup '/srv/backup/admin.db'"
cp -a /etc/wireguard /srv/backup/etc-wireguard
sha256sum /srv/backup/*.conf > /srv/backup/MANIFEST

Първата команда отпечатва работещия интерфейс обратно като конфигурация, което е най-бързият начин да уловите партньори, добавени на ръка, а не от инструмент за управление; това ръководството wg(8) го документира. Редът за sqlite е моделът за база данни за управление: командата за резервно копие създава последователно копие, докато записващият продължава да работи. Копирането на директорията запазва правата, което има значение, защото тези ключови файлове се четат само от root. Манифестът е това, което ви позволява да различите пълен архив от отрязан.

Направете възстановяването възможно, после го изпробвайте

Шифровайте архива и пазете ключа за възстановяване някъде другаде, а не на машината, от която е дошъл. Резервно копие, чиято парола съществува само на отказалия сървър, е копие, което никой няма да отвори. Ограничете изтеглянето до хората, които вече са могли да администрират шлюза, и записвайте всяко изтегляне. Тествайте възстановяването в изолирана мрежа, защото клонирана идентичност, вдигната до продукцията, създава два сървъра, отговарящи за един и същ ключ на партньор.

Документирайте изключванията толкова внимателно, колкото съдържанието. Правилата на облачната защитна стена, DNS записите и външната директория може всяко да се нуждае от собствена стъпка за възстановяване. Успешното копиране на файлове не е доказателство, че услугата се връща; единственото доказателство, което се брои, е възстановена крайна точка, преминаваща същия приемателен тест като оригинала.