Αντίγραφο ασφαλείας διακομιστή VPN: αποφασίστε τι πρέπει να είναι επαναφέρσιμο

Η αντιγραφή ενός αρχείου διαμόρφωσης δεν είναι αντίγραφο ασφαλείας, και ένα αντίγραφο που κανείς δεν μπορεί να επαναφέρει δεν είναι σχέδιο. Το αρχείο πρέπει να περιέχει την ταυτότητα της υπηρεσίας, την πολιτική γύρω της και την κατάσταση που λέει ποιες συσκευές επιτρέπονται ακόμη. Πρέπει επίσης να προστατεύεται, γιατί στις περισσότερες εγκαταστάσεις το αρχείο παρέχει ακριβώς ό,τι παρέχει το VPN. Η απόφαση για το τι πρέπει να είναι επαναφέρσιμο έρχεται πρώτη· η λίστα αρχείων προκύπτει από αυτή την απόφαση.

Ξεκινήστε από τον στόχο ανακατασκευής

Γράψτε τι πρέπει να κάνει ένας ανακατασκευασμένος διακομιστής πριν απαριθμήσετε ένα μόνο αρχείο: να τερματίζει τις ίδιες σήραγγες, να παρουσιάζει την ίδια ταυτότητα και να αρνείται τις συσκευές που είναι αυτή τη στιγμή ανακληθείσες. Αυτή η πρόταση αποκλείει τα περισσότερα αφελή αντίγραφα, γιατί ένας κατάλογος διαμόρφωσης σπάνια περιέχει τη λίστα ανάκλησης ή την εξωτερική εξάρτηση ταυτότητας. Αποκαλύπτει επίσης τα μέρη που ζουν έξω από τον κεντρικό υπολογιστή, όπως εγγραφές DNS, κανόνες τείχους προστασίας στο νέφος και τον κατάλογο στον οποίο πιστοποιείται η πύλη. Ένα σχέδιο που τα αγνοεί παράγει έναν επαναφερμένο διακομιστή που φαίνεται υγιής και δεν δέχεται κανέναν.

Ομαδοποιήστε το υλικό σε τρία καλάθια: ταυτότητα, διαμόρφωση και κατάσταση. Η ταυτότητα είναι τα κλειδιά, τα πιστοποιητικά και η αρχή που τα υπογράφει. Η διαμόρφωση είναι οι ρυθμίσεις του δαίμονα, οι ομάδες, οι διαδρομές και η πολιτική του τείχους προστασίας, ενώ η κατάσταση είναι το σύνολο των ομοτίμων, των λογαριασμών και των ανακλήσεων που αλλάζει κάθε μέρα.

Η ταυτότητα είναι το μέρος που δεν μπορείτε να αναγεννήσετε

Τα ιδιωτικά κλειδιά δεν μπορούν να αναδημιουργηθούν από τη μνήμη, και τα πιστοποιητικά που εξαρτώνται από αυτά λήγουν με χρονοδιάγραμμα που κληρονομείτε αντί να επιλέγετε. Δημιουργήστε αντίγραφο του κλειδιού του διακομιστή, του υλικού παροχής πελατών και της αρχής πιστοποίησης, και σημειώστε ποια από αυτά πρέπει να μένουν εκτός σύνδεσης. Ένα κλειδί αρχής που ζει μόνο στην ενεργή πύλη απέχει έναν συμβιβασμό από πλήρη επαναφορά ταυτότητας για κάθε πελάτη. Καταγράψτε τι φυλάσσεται σκόπιμα αλλού ώστε να μην το αντιγράψει κανείς σε αρχείο με χαμηλότερη προστασία.

Η ανάκληση αξίζει τη δική της γραμμή στο σχέδιο. Η επαναφορά της χθεσινής διαμόρφωσης μπορεί να επαναφέρει ταυτότητα που αφαιρέσατε σήμερα, κάτι που μετατρέπει μια ανάκτηση σε συμβάν ασφαλείας. Φυλάξτε την τρέχουσα κατάσταση ανάκλησης κάπου ανεξάρτητα από το στιγμιότυπο στο οποίο θα επιστρέφατε, και ελέγξτε την μετά από κάθε επαναφορά.

Καταγράψτε την κατάσταση σε μία στιγμή

Ένα αντίγραφο που λαμβάνεται ενώ η υπηρεσία γράφει παράγει ασυνεπές απόθεμα, και τα ασυνεπή δεδομένα ταυτότητας είναι χειρότερα από ένα παλαιότερο καθαρό αντίγραφο. Χρησιμοποιήστε την υποστηριζόμενη διαδρομή εξαγωγής για κάθε αποθήκη, και μετά καταγράψτε τον χρόνο του στιγμιότυπου, γιατί κάθε μεταγενέστερη ερώτηση για την επαναφορά εξαρτάται από αυτόν.

wg showconf wg0 > /srv/backup/wg0.runtime.conf
sqlite3 /var/lib/vpn/admin.db ".backup '/srv/backup/admin.db'"
cp -a /etc/wireguard /srv/backup/etc-wireguard
sha256sum /srv/backup/*.conf > /srv/backup/MANIFEST

Η πρώτη εντολή εκτυπώνει τη διεπαφή που εκτελείται πίσω ως διαμόρφωση, που είναι ο ταχύτερος τρόπος να συλλάβετε ομοτίμους που προστέθηκαν με το χέρι αντί με εργαλείο διαχείρισης· αυτό το εγχειρίδιο wg(8) τεκμηριώνει. Η γραμμή sqlite είναι το πρότυπο για βάση δεδομένων διαχείρισης: η εντολή αντιγράφου παράγει συνεπές αντίγραφο ενώ ο συγγραφέας συνεχίζει. Το αντίγραφο καταλόγου διατηρεί τα δικαιώματα, κάτι που μετράει γιατί αυτά τα αρχεία κλειδιών τα διαβάζει μόνο το root. Το μανιφέστο είναι αυτό που σας επιτρέπει να ξεχωρίσετε ένα πλήρες αρχείο από ένα κολοβωμένο.

Κάντε την επαναφορά εφικτή και μετά δοκιμάστε την

Κρυπτογραφήστε το αρχείο και φυλάξτε το κλειδί ανάκτησης κάπου άλλο από το μηχάνημα από το οποίο προήλθε. Ένα αντίγραφο του οποίου η φράση πρόσβασης υπάρχει μόνο στον αποτυχημένο διακομιστή είναι αντίγραφο που κανείς δεν θα ανοίξει. Περιορίστε την ανάκτηση στους ανθρώπους που μπορούσαν ήδη να διαχειριστούν την πύλη, και καταγράψτε κάθε ανάκτηση. Δοκιμάστε την επαναφορά σε απομονωμένο δίκτυο, γιατί μια κλωνοποιημένη ταυτότητα που ανεβαίνει δίπλα στην παραγωγή δημιουργεί δύο διακομιστές που απαντούν για το ίδιο κλειδί ομοτίμου.

Τεκμηριώστε τις εξαιρέσεις εξίσου προσεκτικά με το περιεχόμενο. Κανόνες τείχους προστασίας στο νέφος, εγγραφές DNS και εξωτερικός κατάλογος μπορεί καθένα να χρειάζεται το δικό του βήμα ανάκτησης. Ένα επιτυχές αντίγραφο αρχείων δεν είναι απόδειξη ότι η υπηρεσία επιστρέφει· η μόνη απόδειξη που μετράει είναι ένα ανακατασκευασμένο τελικό σημείο που περνά την ίδια δοκιμή αποδοχής με το αρχικό.