Còpia de seguretat del servidor VPN: decidiu què ha de ser restaurable

Copiar un fitxer de configuració no és una còpia de seguretat, i una còpia que ningú no pot restaurar no és un pla. L’arxiu ha de contenir la identitat del servei, la política que l’envolta i l’estat que diu quins dispositius encara estan permesos. També s’ha de protegir, perquè en la majoria de desplegaments l’arxiu atorga exactament el que atorga la VPN. Decidir què ha de ser restaurable va primer; la llista de fitxers se’n deriva.

Comenceu per l’objectiu de reconstrucció

Escriviu què ha de fer un servidor reconstruït abans de llistar un sol fitxer: tancar els mateixos túnels, presentar la mateixa identitat i rebutjar els dispositius que ara estan revocats. Aquesta frase descarta la majoria de còpies ingenues, perquè un directori de configuració poques vegades conté la llista de revocació o la dependència externa d’identitat. També exposa les parts que viuen fora de l’amfitrió, com ara registres DNS, regles de tallafocs al núvol i el directori contra el qual s’autentica la passarel·la. Un pla que les ignora produeix un servidor restaurat que sembla sa i no admet ningú.

Agrupeu el material en tres cistelles: identitat, configuració i estat. La identitat són les claus, els certificats i l’autoritat que els signa. La configuració són els paràmetres del dimoni, els pools, les rutes i la política de tallafocs, mentre que l’estat és el conjunt de parells, comptes i revocacions que canvia cada dia.

La identitat és la part que no podeu regenerar

Les claus privades no es poden recrear de memòria, i els certificats que en depenen caduquen segons un calendari que hereteu en lloc de triar. Feu una còpia de la clau del servidor, del material de subministrament de clients i de l’autoritat certificadora, i anoteu quins d’aquests han de romandre fora de línia. Una clau d’autoritat que només viu a la passarel·la en funcionament és a un compromís de distància d’un restabliment complet d’identitat per a cada client. Anoteu què es guarda deliberadament en un altre lloc perquè ningú no ho dupliqui en un arxiu amb menys protecció.

La revocació mereix una línia pròpia al pla. Restaurar la configuració d’ahir pot reinstaurar una identitat que heu eliminat avui, cosa que converteix una recuperació en un incident de seguretat. Manteniu l’estat de revocació actual en un lloc independent de la instantània a la qual tornareu, i comproveu-lo després de qualsevol restauració.

Captureu l’estat en un sol moment

Una còpia feta mentre el servei escriu produeix un inventari inconsistent, i les dades d’identitat inconsistents són pitjors que una còpia neta més antiga. Useu la via d’exportació admesa per a cada magatzem, i després anoteu l’hora de la instantània, perquè tota pregunta posterior sobre la restauració en depèn.

wg showconf wg0 > /srv/backup/wg0.runtime.conf
sqlite3 /var/lib/vpn/admin.db ".backup '/srv/backup/admin.db'"
cp -a /etc/wireguard /srv/backup/etc-wireguard
sha256sum /srv/backup/*.conf > /srv/backup/MANIFEST

La primera ordre imprimeix la interfície en execució com a configuració, que és la manera més ràpida de capturar parells afegits a mà en lloc d’amb una eina de gestió; el manual de wg(8) ho documenta. La línia d’sqlite és el patró per a una base de dades de gestió: l’ordre de còpia produeix una còpia consistent mentre l’escriptor continua. La còpia del directori conserva els permisos, cosa que importa perquè aquests fitxers de claus només els pot llegir root. El manifest és el que us permet distingir un arxiu complet d’un de truncat.

Feu possible la restauració i després proveu-la

Xifreu l’arxiu i guardeu la clau de recuperació en un lloc diferent de la màquina d’on va sortir. Una còpia la contrasenya de la qual només existeix al servidor fallit és una còpia que ningú no obrirà. Limiteu l’obtenció a les persones que ja podien administrar la passarel·la, i registreu cada obtenció. Proveu la restauració en una xarxa aïllada, perquè una identitat clonada aixecada al costat de producció crea dos servidors que responen per la mateixa clau de parell.

Documenteu les exclusions tan acuradament com el contingut. Les regles de tallafocs al núvol, els registres DNS i un directori extern poden necessitar cadascun la seva pròpia passa de recuperació. Una còpia de fitxers correcta no és prova que el servei torni; l’única prova que compta és un punt final reconstruït que supera la mateixa prova d’acceptació que l’original.