Sekurkopio de la ujo aŭ de ĝiaj dosieroj? Decidu laŭ la formo de restaŭro

Vi povas fari sekurkopion de ĉifrita ujo kiel unu objekto, aŭ munti ĝin kaj kopii la dosierojn interne. Ambaŭ trapasas la VPN facile, kaj tie la simileco finiĝas. Ili restaŭras malsamajn aferojn, dependas de malsamaj ŝlosiloj, kostas malsamajn kvantojn da spaco, kaj ili malsukcesas malsame kiam iu bezonas la datumojn reen. Unue elektu la restaŭran objekton, poste la transporton, poste la ĉifradon de la konservita kopio. La listo sube sekvas tiun ordon, ĉar preskaŭ ĉiu disputo pri sekurkopioj estas fakte malkonsento pri tio, kiun el tiuj tri oni decidis unue.

Du objektoj, du formoj de restaŭro

Bilda sekurkopio restaŭras ujon: vi ricevas la ĉifritan volumon reen kaj ankoraŭ bezonas ĝian restaŭran materialon por malfermi ĝin. Dosiernivela sekurkopio restaŭras dosierojn kaj dosierujajn arbojn, kaj kiu ajn ĉifrado protektas ilin estas eco de la sekurkopia deponejo, ne de la origina ujo. Simpla kopio al fora dosierujo estas tria kazo, kaj ĝi heredas tiun protekton, kiun tiu dosierujo hazarde havas.

La meza vico estas tiu, kiun homoj malbone legas. Ĝi povas esti tute bona dezajno: la sekurkopia programo legas klaran tekston loke kaj skribas ĉifritan, aŭtentikigitan deponejon. Tiam ĝia sekureco baziĝas sur tiu programo kaj ĝiaj akreditaĵoj, ne sur la pasvorto de la origina ujo, kaj la du ne priskribiĝu kvazaŭ ili estus la sama kontrolo.

Kontrolo 1: kion la restaŭro devas rekonstrui?

Demandu la demandon laŭ formo de restaŭro, ne de sekurkopio. Se la postulo estas “revenigi ĉi tiun servon sur alian gastigan komputilon”, bildo kun sia restaŭra materialo estas kohera respondo. Se la postulo estas “repreni la financan kalkultabelon de marto”, restaŭri bildon de pluraj gigabajtoj nur por eltiri unu dosieron estas multekosta maniero respondi. Ambaŭ estas legitimaj restaŭroj, kaj ili ne estas interŝanĝeblaj buĝetoj. Plano, kiu nomas nur unu el ili, fine estos testita per la alia.

Skribu la restaŭran celon en la planon: la tuta volumo, dosieruja arbo, aŭ unuopaj dosieroj. Poste notu, kiuj metadatumoj devas vojaĝi kun ili, ĉar posedo, permesoj, etenditaj atributoj kaj tempindikoj estas parto de dosiernivela restaŭro kaj ofte perdiĝas en kopibazitaj laborfluoj, kiuj ŝajnis sufiĉaj dum testado.

Decidu ankaŭ, kiu faras la restaŭron. Dosiernivela deponejo, kiun ajna operatoro povas munti, estas malsama alirmodelo ol bildo, kiu postulas la ĉeeston de la ŝlosilposedanto, kaj neniu estas aŭtomate pli bona. Gravas, ke la elekto estu intenca kaj skribita.

Kontrolo 2: kio protektas la konservitan kopion?

La VPN protektas transportan segmenton. Ĝi diras nenion pri la konservita kopio post kiam la transigo finiĝas, kaj “ĝi iris tra la tunelo” ne estas aserto pri la kapablo de la sekurkopia operatoro legi viajn datumojn. Se la foran flankon administras iu alia, la demando estas, kion ili povas legi, ne ĉu la ligilo estis ĉifrita.

Por bildo tio signifas protekti la ŝlosilan materialon de la ujo aparte de la bildo mem. Perdi la kaplinion signifas perdi la volumon, do sekurkopiu la kaplinion ie, kie la bildo ne estas:

cryptsetup luksHeaderBackup /dev/vg0/data --header-backup-file data-header.img
cryptsetup luksDump /dev/vg0/data | head -20

Por dosiernivela deponejo kontrolu, ĉu la ilo ĉifras kaj aŭtentikigas enhavon kaj metadatumojn antaŭ ol ili forlasas la gastigan komputilon, kaj eksciu, kiu tenas la ŝlosilojn. La dezajna dokumentaro de Restic klare diras, ke ĝi supozas fidindan fontan gastigan komputilon kaj ke ĉifrado ne malhelpas iun kun aliro al la konservejo forigi sekurkopiojn. Ambaŭ avertoj gravas: deponejo povas esti konfidenca kaj tamen detruita.

Kontrolo 3: ĉu la kopio estas konsekvenca?

Sekurkopio, kiu kaptas ŝanĝiĝantan dosiersistemon, estas kopio, ne restaŭrpunkto. Por bildo uzu la subtenatan metodon de la volumenilo por stabila momentkopio, kio kutime signifas momentkopion aŭ malmuntadon anstataŭ legi grandan dosieron dum ĝi ŝanĝiĝas:

lvcreate -L 5G -s -n data-snap /dev/vg0/data
cryptsetup open /dev/vg0/data-snap data-snap --readonly

Por muntitaj dosieroj uzu la subtenatan konsekvencecan proceduron de la aplikaĵo por aktivaj datumbazoj kaj alia kunordigita dateno. Kopio je dosiersistema nivelo kaj aplikaĵ-konsekvenca restaŭrpunkto estas malsamaj priskriboj, kaj la diferenco videblas nur kiam vi provas startigi la aplikaĵon el la restaŭrita kopio.

Tenu la restaŭran materialon sur sendependa protektita vojo. Perdo de la origina maŝino neniam ankaŭ perdu la solan akreditaĵon, kiu malfermas ĝian sekurkopion, kaj ĝuste tio okazas, kiam la ŝlosila dosiero loĝas sur la volumo, kiu estas sekurkopiata. Testu tiun apartigon intence: restaŭru sur gastiga komputilo, kiu neniam vidis la originalon, uzante nur tion, kion la plano diras estas disponebla.

Kontrolo 4: ĉu ŝanĝdetekto validas por ĉi tiu objekto?

Ĉifrita ujo aspektas kiel unu granda netravidebla dosiero por la plej multaj transigiloj, do malgranda redakto de klara teksto povas kaŭzi grandan relegadon aŭ plenan realŝuton depende de la ilo kaj la formato. Blokigo de variabla grandeco kaj malduobligo, kiel restic dokumentas, povas malpliigi tion, sed ĝi estas eco de tiu ilo, ne de ĉifritaj ujoj ĝenerale.

Mezuru anstataŭ supozi. Komparu unuan ruladon kun dua post malgranda, sendanĝera ŝanĝo, kaj notu la transigitajn bajtojn kaj ankaŭ la pasintan tempon. Konservu konatan bonan sekurkopion dum vi eksperimentas, por ke testado ne konsumu vian solan restaŭrpunkton.

Poste finu la liston per la sola testo, kiu gravas: restaŭro sen la origina maŝino. Malfermu restaŭritan ujon, aŭ restaŭru elektitajn dosierojn kun iliaj metadatumoj, kaj konfirmu, ke la aplikaĵo aŭ la uzanto povas uzi la rezulton. Rapida, bone ĉifrita transigo, kiu ne povas respondi al tiu testo, estas kopio de viaj datumoj, ne sekurkopio de ili.