Copi wrth gefn gweinydd VPN: penderfynwch beth sy’n rhaid iddo fod yn adferadwy

Nid yw copïo ffeil gyfluniad yn gopi wrth gefn, ac nid yw copi wrth gefn na all neb ei adfer yn gynllun. Rhaid i’r archif gynnwys hunaniaeth y gwasanaeth, y polisi o’i chwmpas a’r cyflwr sy’n dweud pa ddyfeisiau sydd dal yn cael eu caniatáu. Rhaid iddi hefyd gael ei diogelu, oherwydd mewn rhan fwyaf o ddefnyddiadau mae’r archif yn rhoi’n union yr hyn y mae’r VPN yn ei roi. Dod i benderfyniad am yr hyn sy’n rhaid iddo fod yn adferadwy sy’n dod gyntaf; dilyn y rhestr ffeiliau o’r penderfyniad hwnnw.

Dechreuwch o’r targed ailadeiladu

Ysgrifennwch beth sy’n rhaid i weinydd a ailadeiladwyd ei wneud cyn rhestru un ffeil: terfynu’r un twneli, cyflwyno’r un hunaniaeth, a gwrthod y dyfeisiau sydd wedi’u dirymu ar hyn o bryd. Mae’r frawddeg honno’n dileu rhan fwyaf o gopïau naïf, oherwydd anaml y mae cyfeiriadur cyfluniad yn cynnwys y rhestr ddirymu na’r ddibyniaeth hunaniaeth allanol. Mae hefyd yn datgelu’r rhannau sy’n byw y tu allan i’r gwesteiwr, megis cofnodion DNS, rheolau mur tân cwmwl a’r cyfeiriadur y mae’r porth yn dilysu yn ei erbyn. Mae cynllun sy’n eu hanwybyddu’n cynhyrchu gweinydd a adferwyd sy’n edrych yn iach ac nad yw’n derbyn neb.

Grwpiwch y deunydd mewn tair basged: hunaniaeth, cyfluniad a chyflwr. Hunaniaeth yw’r allweddi, y tystysgrifau a’r awdurdod sy’n eu harwyddo. Cyfluniad yw gosodiadau’r daemon, y pyllau, y llwybrau a’r polisi mur tân, tra bo cyflwr yn set o gyfoedion, cyfrifon a dirymiadau sy’n newid bob dydd.

Hunaniaeth yw’r rhan na allwch ei hailgynhyrchu

Ni ellir ail-greu allweddi preifat o’r cof, ac mae’r tystysgrifau sy’n dibynnu arnynt yn dod i ben ar amserlen a etifeddwch yn hytrach nag a ddewiswch. Gwnewch gopi wrth gefn o allwedd y gweinydd, deunydd darparu cleientiaid a’r awdurdod ardystio, yna nodwch pa rai ohonynt y dylai aros all-lein. Mae allwedd awdurdod sy’n byw yn unig ar y porth sy’n rhedeg un cyfaddawd oddi wrth ailosodiad hunaniaeth llawn i bob cleient. Cofnodwch beth sy’n cael ei storio’n fwriadol yn rhywle arall fel na fydd neb yn ei ddyblygu i archif â llai o amddiffyniad.

Mae dirymu’n haeddu llinell ei hun yn y cynllun. Gall adfer cyfluniad ddoe ailosod hunaniaeth a dynnoch heddiw, sy’n troi adferiad yn ddigwyddiad diogelwch. Cadwch y cyflwr dirymu cyfredol yn rhywle’n annibynnol o’r snapshot y byddech yn ei adfer, a’i wirio ar ôl unrhyw adferiad.

Tynnwch snapshot o’r cyflwr ar un foment

Mae copi a dynnir tra bo’r gwasanaeth yn ysgrifennu’n cynhyrchu rhestr anghyson, ac mae data hunaniaeth anghyson yn waeth nag hen gopi glân. Defnyddiwch y llwybr allforio a gefnogir ar gyfer pob storfa, yna cofnodwch amser y snapshot, oherwydd mae pob cwestiwn diweddarach am yr adferiad yn dibynnu arno.

wg showconf wg0 > /srv/backup/wg0.runtime.conf
sqlite3 /var/lib/vpn/admin.db ".backup '/srv/backup/admin.db'"
cp -a /etc/wireguard /srv/backup/etc-wireguard
sha256sum /srv/backup/*.conf > /srv/backup/MANIFEST

Mae’r gorchymyn cyntaf yn argraffu’r rhyngwyneb rhedeg yn ôl fel cyfluniad, sef y ffordd gyflymaf i ddal cyfoedion a ychwanegwyd â llaw yn hytrach nag ag offeryn rheoli; mae llawlyfr wg(8) yn ei ddogfennu. Llinell sqlite yw’r patrwm ar gyfer cronfa ddata reoli: mae’r gorchymyn copi wrth gefn yn cynhyrchu copi cyson tra bo’r ysgrifydd yn parhau i redeg. Mae copi’r cyfeiriadur yn cadw caniatâd, sy’n bwysig oherwydd dim ond root all ddarllen y ffeiliau allwedd hynny. Y maniffest sy’n eich galluogi i wahaniaethu archif gyflawn oddi wrth un wedi’i thorri.

Gwnewch yr adferiad yn bosibl, yna rhowch gynnig arno

Amgryptiwch yr archif a chadwch yr allwedd adfer yn rhywle heblaw’r peiriant y daeth ohono. Mae copi wrth gefn nad yw ei gyfrinair yn bodoli ond ar y gweinydd sydd wedi methu yn gopi na fydd neb yn ei agor. Cyfyngwch y canfod i’r bobl a allai eisoes weinyddu’r porth, a chofnodwch bob canfod. Profwch yr adferiad ar rwydwaith ynysig, oherwydd mae hunaniaeth glonedig a godwyd wrth ymyl cynhyrchu’n creu dau weinydd sy’n ateb yr un allwedd cyfoed.

Dogfenwch yr eithriadau mor ofalus â’r cynnwys. Efallai y bydd angen eu cam adferiad eu hunain ar reolau mur tân cwmwl, cofnodion DNS a chyfeiriadur allanol. Nid yw copi ffeiliau llwyddiannus yn brawf bod y gwasanaeth yn dychwelyd; yr unig brawf sy’n cyfrif yw pwynt terfyn a ailadeiladwyd sy’n pasio’r un prawf derbyn â’r gwreiddiol.