Záloha kontejneru, nebo jeho souborů? Rozhodněte podle podoby obnovy
Záloha na úrovni obrazu a na úrovni souborů obnovuje různé věci a závisí na různých klíčích. Přiřaďte uložený objekt k obnově, kterou skutečně potřebujete.
Šifrovaný kontejner můžete zálohovat jako jeden objekt, nebo ho připojit a zálohovat soubory uvnitř. Obojí projde VPN bez potíží a tady podobnost končí. Obnovují různé věci, závisí na různých klíčích, stojí různé množství místa a selhávají různými způsoby, když někdo data potřebuje zpět. Nejprve zvolte objekt obnovy, pak přenos, pak šifrování uložené kopie. Kontrolní seznam níže jde v tomto pořadí, protože téměř každý spor o zálohy je ve skutečnosti nesouhlas o tom, které z těch tří rozhodnutí bylo učiněno první.
Dva objekty, dvě podoby obnovy
Záloha na úrovni obrazu obnovuje kontejner: dostanete šifrovaný svazek zpět a stále potřebujete jeho obnovovací materiál, abyste ho otevřeli. Záloha na úrovni souborů obnovuje soubory a stromy adresářů a šifrování, které je chrání, je vlastností úložiště záloh, nikoli původního kontejneru. Prostá kopie do vzdálené složky je třetí případ a dědí tu ochranu, kterou ta složka náhodou má.
| Object | What a restore gives you | Where the encryption question lands |
|---|---|---|
| Encrypted container image | The volume, still locked | The container format and its recovery key material |
| Mounted files into a backup tool | Selected files and metadata | The backup repositorys own keys and design |
| Plain copy to a remote folder | Whatever the copy process kept | Whatever protects that storage afterwards |
Prostřední řádek je ten, který lidé čtou špatně. Může to být naprosto dobrý návrh: zálohovací program čte lokálně otevřený text a zapisuje šifrované, autentizované úložiště. Jeho bezpečnost pak stojí na tomto programu a jeho přihlašovacích údajích, nikoli na hesle původního kontejneru, a obojí se nemá popisovat, jako by šlo o stejné opatření.
Kontrola 1: co musí obnova rekonstruovat?
Ptejte se ve formě obnovy, ne zálohy. Pokud je požadavkem „vrátit tuto službu na jiný hostitel“, obraz plus jeho obnovovací materiál je souvislá odpověď. Pokud je požadavkem „vrátit finanční tabulku z března“, obnova obrazu o několika gigabajtech jen kvůli vytažení jednoho souboru je drahý způsob, jak odpovědět. Obě jsou legitimní obnovy a nejsou vzájemně zaměnitelné rozpočty. Plán, který jmenuje jen jednu z nich, bude dříve či později testován tou druhou.
Zapište cíl obnovy do plánu: celý svazek, strom adresářů, nebo jednotlivé soubory. Pak poznamenejte, jaká metadata musí putovat s nimi, protože vlastnictví, oprávnění, rozšířené atributy a časová razítka jsou součástí obnovy na úrovni souborů a v pracovních postupech založených na kopírování, které při testování vypadaly dostatečně, se často ztrácejí.
Rozhodněte také, kdo obnovu provádí. Úložiště na úrovni souborů, které může připojit kterýkoli operátor, je jiný model přístupu než obraz vyžadující přítomnost držitele klíče, a ani jedno není automaticky lepší. Důležité je, aby volba byla vědomá a zapsaná.
Kontrola 2: co chrání uloženou kopii?
VPN chrání přenosový úsek. O uložené kopii po dokončení přenosu neříká nic a „šlo to tunelem“ není tvrzení o schopnosti provozovatele záloh číst vaše data. Pokud vzdálenou stranu provozuje někdo jiný, otázkou je, co mohou přečíst oni, ne zda byl spoj šifrovaný.
U obrazu to znamená chránit klíčový materiál kontejneru odděleně od samotného obrazu. Ztráta hlavičky znamená ztrátu svazku, takže zálohujte hlavičku tam, kde obraz není:
cryptsetup luksHeaderBackup /dev/vg0/data --header-backup-file data-header.img
cryptsetup luksDump /dev/vg0/data | head -20U úložiště na úrovni souborů ověřte, že nástroj šifruje a autentizuje obsah i metadata dříve, než opustí hostitele, a zjistěte, kdo drží klíče. dokumentace návrhu nástroje Restic výslovně uvádí, že předpokládá důvěryhodného zdrojového hostitele a že šifrování nebrání tomu, kdo má přístup k úložišti, aby zálohy smazal. Obě upozornění jsou důležitá: úložiště může být důvěrné a přesto zničené.
Kontrola 3: je kopie konzistentní?
Záloha, která snímá měnící se souborový systém, je kopie, ne bod obnovy. U obrazu použijte podporovanou metodu nástroje pro svazky ke stabilnímu snímku, což obvykle znamená operaci snímku nebo odpojení, nikoli čtení velkého souboru, zatímco se mění:
lvcreate -L 5G -s -n data-snap /dev/vg0/data
cryptsetup open /dev/vg0/data-snap data-snap --readonlyU připojených souborů použijte podporovaný postup konzistence aplikace pro živé databáze a další koordinovaná data. Kopie na úrovni souborového systému a bod obnovy konzistentní s aplikací jsou různá označení a rozdíl se projeví, až když se pokusíte aplikaci spustit z obnovené kopie.
Udržujte obnovovací materiál na nezávislé chráněné cestě. Ztráta původního stroje by nikdy neměla znamenat i ztrátu jediných přihlašovacích údajů, které otevírají jeho zálohu, a přesně to se stane, když soubor s klíčem žije na svazku, který se zálohuje. To oddělení vědomě otestujte: obnovujte na hostiteli, který původní stroj nikdy neviděl, a použijte jen to, co plán uvádí jako dostupné.
Kontrola 4: platí detekce změn pro tento objekt?
Šifrovaný kontejner vypadá pro většinu přenosových nástrojů jako jeden velký neprůhledný soubor, takže malá úprava otevřeného textu může způsobit velké opětovné čtení nebo plné nové nahrání podle nástroje a formátu. Dělení na bloky proměnné velikosti a deduplikace, jak dokumentuje restic, to mohou omezit, ale je to vlastnost tohoto nástroje, ne šifrovaných kontejnerů obecně.
Měřte, místo abyste předpokládali. Porovnejte první běh s druhým po malé neškodné změně a zaznamenejte přenesené bajty i uplynulý čas. Během experimentování si uchovejte známou dobrou zálohu, aby test nespotřeboval váš jediný bod obnovy.
Pak seznam dokončete jediným testem, na kterém záleží: obnovou bez původního stroje. Otevřete obnovený kontejner nebo obnovte vybrané soubory s jejich metadaty a potvrďte, že aplikace nebo uživatel může výsledek použít. Rychlý a dobře šifrovaný přenos, který tento test nezvládne, je kopie vašich dat, ne jejich záloha.