VPN zerbitzariaren eguneratze gainbegiratuek probatutako berreskuratze-bide bat behar dute
Eguneratze batek zerbitzarira iristeko erabiltzen duzun zerbitzua bera berrabiarazi dezake. Konpara ezazu banda kanpoko kontsola bat tunelaren bidezko berreskuratze-plan batekin automatizatu aurretik.
Eguneratze gainbegiratuak politika zentzuzkoa dira bere VPN propioaren bidez iristen zaren zerbitzari baterako, eta aldi berean zeure buruari eragindako hutsegite-puntu bakarra dira. Pakete-eragiketak zerbitzua berrabiarazten du, tunela erortzen da, eta erabiltzen ari zinen administrazio-bidea harekin desagertzen da. Bi berreskuratze-eredu daude, eta bien arteko hautua baldintza bakarraren araberakoa da: ea baduzun eguneratutakoaren bidez pasatzen ez den sarbide-bide bat.
Bi berreskuratze-eredu, baldintza erabakigarri bat
Lehen ereduak eguneratzean konfiantza du eta gero berriro konektatu ahal izango duzula suposatzen du. Orduan funtzionatzen du VPNa ostalarira iristeko hainbat moduetako bat denean eta tunelaren hutsegiteak hura diagnostikatzeko gaitasuna kentzen ez dizunean. Bigarren ereduak aldez aurretik bide independente bat kokatzen du, normalean ostalaritza-hornitzailearen kontsola, eta tunela mantentze-lanek hausteko probabilitate handiena duen gauza gisa tratatzen du. Bi ereduak defendagarriak dira, eta horietako batek bakarrik eskatzen du aldez aurretiko lana.
Baldintza erabakigarria erraza da esaten eta erraza da saltatzen. Makinara doan administrazio-bide bakoitza eguneratzen ari den zerbitzutik pasatzen bada, ez duzu berreskuratze-eredurik, itxaropen bat baizik. Esan ezazu ozen aldaketaren berrikuspenean.
Baldintza hori probatzeak hamar minutu hartzen ditu eta lehen eguneratze gainbegiratuaren aurretik gertatu behar da, ez intzidentearen erdian. Ireki kontsola dena ondo dabilen bitartean, egiaztatu kredentzialak indarrean daudela, eta itxi berriro. Egiaztatu kontsola uste duzun ostalarian irekitzen dela. Ondoren egiaztatu gaueko 3etan benetan erabiliko zenukeen saio-hasierak oraindik funtzionatzen duela.
Azken zati horrek uste baino gehiago axola du. Duela sei hilabete pasahitza aldatuta eta inoiz egiaztatu gabe duen kontsola-kontua ez da berreskuratze-bide bat; hala den bide bat deskribatzen duen dokumentua baizik.
Segurtasun-kopia batek berreskuratzen ez duena
Konfigurazio-artxiboa fitxategien erregistroa da, eta eguneratze batek fitxategiak baino gehiago aldatzen du. Paketeen egoera, kernel-moduluak, gaitutako unitate-estekak eta tresna bereizi batekin aplikatutako suebaki-arauak konfigurazio-direktoriotik kanpo bizi dira, eta horiek alde batera uzten dituen berreskurapenak konfiguratuta dirudien eta birbidaltzen ez duen makina bat sortzen du.
| What changed | Restored by a configuration backup | Needs its own action |
|---|---|---|
| Service unit or startup ordering | Partly, if the unit file was included | Package state and enabled links |
| Kernel module or interface support | No | Kernel or module rollback, or a boot-time decision |
| Peer or device authorization | Only if the backup predates the revocation | A deliberate decision about which peers return |
| Firewall rules applied outside the config | Only if they were captured | Replaying and verifying each rule |
Baimenak bere lerroa merezi du. Gailu konprometitu bat kendu aurretik hartutako kopia batek pozik berreskuratuko du gailu horren sarbidea. Etendura batean hartara itzultzea intzidente bat bi bihurtzeko modua da, eta berreskuratzeko erabakia parekoei buruz fitxategiei buruz bezain esplizituki hartu beharko litzateke.
Atzeranzko urratsaren mekanismoak ere axola du. Exekutagarri zaharrago bat paketeak kudeatzen duen baten gainean kopiatzea ez da pakete-aldaketa baten onartutako itzulketa, eta pakete-datu-basea fitxategi-sistemak bat egiten ez duen egoera bat deskribatzen uzten du. Erabili pakete-kudeatzailearen beraren beherapen-bidea edo hornitzaileak eskaintzen duen argazkia. Pakete-datu-baseak erregistratzen duen beherapena errepika dezakezun hori da.
Horietako ezerk ez du segurtasun-kopien aurka egiten. Artefaktu bakoitzak zein geruza estaltzen duen jakitearen alde egiten du, zati bateko berreskurapen baten hutsegite-modua jatorrizko etendura baino nahasgarriagoa delako. Idatzi geruza runbookean kopia bakoitzaren ondoan.
Kontrol-puntua, eguneratzea eta gero kanpotik egiaztatzea
Erregistratu aldaketaren aurreko egoera geroago konpara dezakezun moduan: instalatutako bertsioak, inplikatutako zerbitzu-unitateak, entzuten ari diren socketak eta uneko pareen zerrenda. Lau komandok estaltzen dute horren zatirik handiena Linux ostalari batean.
systemctl list-units --type=service | grep -E 'openvpn|wg-quick'
ss -lunp | grep -E ':51820|:1194'
journalctl -u wg-quick@wg0 --since '-10 min'Lehenengoak zein unitate dauden eta exekutatzen ari diren erakusten du, bigarrenak entzulea benetan lotuta dagoela egiaztatzen du, eta hirugarrenak zerbitzuaren beraren azken minutuotako kontakizuna ematen dizu. Horietako batek ere ez du frogatzen bezero batek konekta dezakeenik, horregatik hurrengo urratsa ostalaritik kanpo gertatzen da. Gorde irakurketa horiek zure konparazio-oinarri gisa.
Egiaztatu tunela erabiltzen ez duen sare batetik: autentifikatu bezero baimendu bat, ebatzi izen bat, eta iritsi nahi den aplikazio batera. Interfazea gorago dagoela dioen tokiko egoera-lerroa interfazearen gaineko adierazpena da, ez bideratzearen, gakoen edo pare bat onartzen duen politikaren gainekoa.
Ondoren probatu berriro konektatzeko bidea nahita. Berrabiarazi zerbitzua behin eta egiaztatu tunela esku-hartze manualik gabe itzultzen dela, abioan soilik ondo abiatzen den zerbitzua une okerrenean harrituko zaituen zerbitzua delako.
Huts egiten duenean, erabili probatu duzun bidea
Berreskuratze-sekuentzia ez da ikusgarria eta funtzionatzen du: iritsi ostalarira bide independentetik, irakurri zerbitzuaren beraren erregistroak, eta berreskuratu hutsegitearekin bat datorren kontrol-puntu zehatza. Aldatu gauza bat saiakera bakoitzean, hurrengo erregistro-irakurketa esanguratsua izan dadin.
Egin aurre konektagarritasuna berreskuratzeko erregistratu gabeko hainbat aldaketa egiteko bultzadari. Bost aldaketa aldi berean eginda konpondu zen makina ezin da geroago azaldu, eta hurrengo eguneratzeak benetan karga zeramana berriz sartuko du.
Ondoren erabaki politika iraunkorra frogak eskuan. Eguneratzeak inork dokumentatu ez zuen dependentzia bat agerian utzi bazuen, konponbidea dokumentazioa eta proba bat dira, ez eguneratzeak desgaitzea. Garbi berrabiarazi ezin duen zerbitzu bat agerian utzi bazuen, konponbidea unitatean dago, ez egutegian.
Konparazioa garbi argitzen da baldintzari izena eman orduko. Bide independente batek eguneratze gainbegiratuak arrisku kudeagarri bihurtzen ditu. Haren absentziak politika bera berreskuratze-denbora ezezaguneko etendura programatu bihurtzen du, eta automatizazio-kantitateak ez du aritmetika hori aldatzen.