VPN zerbitzariaren segurtasun-kopia: erabaki zer berreskuratu behar den

Konfigurazio-fitxategi bat kopiatzea ez da segurtasun-kopia bat, eta inork berreskuratu ezin duen kopia ez da plan bat. Artxiboak zerbitzuaren identitatea, haren inguruko politika eta zein gailuri baimentzen zaien dioen egoera eduki behar ditu. Babestu ere egin behar da, hedapen gehienetan artxiboak VPNak ematen duen berbera ematen baitu. Zer berreskuratu behar den erabakitzea lehenengo dator; fitxategi-zerrenda erabaki horretatik dator.

Hasi berreraikitze-helburutik

Idatzi berreraikitako zerbitzariak zer egin behar duen fitxategi bat zerrendatu aurretik: tunel berberak amaitzea, identitate bera aurkeztea eta une honetan errebokatuta dauden gailuak ukatzea. Esaldi horrek kopia inozoen gehienak baztertzen ditu, konfigurazio-direktorioak gutxitan baititu errebokazio-zerrenda edo kanpoko identitate-mendekotasuna. Hostetik kanpo bizi diren zatiak ere agerian uzten ditu, hala nola DNS erregistroak, hodeiko su-hesi arauak eta atebideak autentifikatzen duen direktorioa. Horiek alde batera uzten dituen plan batek osasuntsu dirudien eta inor onartzen ez duen berreskuratutako zerbitzaria sortzen du.

Taldekatu materiala hiru saskitan: identitatea, konfigurazioa eta egoera. Identitatea gakoak, ziurtagiriak eta haiek sinatzen dituen autoritatea dira. Konfigurazioa daemonaren ezarpenak, poolak, ibilbideak eta su-hesi politika dira, eta egoera berriz egunero aldatzen den pareen, kontuen eta errebokazioen multzoa.

Identitatea ezin duzun birsortu den zatia da

Gako pribatuak ezin dira memoriatik birsortu, eta haien mende dauden ziurtagiriak hautatu beharrean oinordetzen duzun egutegi baten arabera iraungitzen dira. Egin zerbitzariaren gakoaren, bezeroak hornitzeko materialaren eta ziurtagiri-autoritatearen kopia, eta gero ohartarazi horietako zeinek jarraitu behar duen lineaz kanpo. Martxan dagoen atebidean soilik bizi den autoritate-gako bat konpromiso bat dago bezero bakoitzarentzat identitatearen berrezartze oso batetik. Erregistratu nahita beste nonbait gordetzen dena, inork babes txikiagoko artxibo batera bikoiztu ez dezan.

Errebokazioak bere lerroa merezi du planean. Atzoko konfigurazioa berreskuratzeak gaur kendu duzun identitatea berrezar dezake, eta horrek berreskurapena segurtasun-istripu bihurtzen du. Eutsi egungo errebokazio-egoerari itzuliko zinatekeen une-erretratutik independentea den leku batean, eta egiaztatu edozein berreskurapenen ondoren.

Harrapatu egoera une bakarrean

Zerbitzua idazten ari den bitartean hartutako kopiak inbentario koherentea ez dena sortzen du, eta identitate-datu koherenteak ez direnak zaharragoa den kopia garbia baino okerragoak dira. Erabili biltegi bakoitzerako onartutako esportazio-bidea, eta gero erregistratu une-erretratuaren ordua, berreskurapenari buruzko edozein galdera geroagok hartan oinarritzen baita.

wg showconf wg0 > /srv/backup/wg0.runtime.conf
sqlite3 /var/lib/vpn/admin.db ".backup '/srv/backup/admin.db'"
cp -a /etc/wireguard /srv/backup/etc-wireguard
sha256sum /srv/backup/*.conf > /srv/backup/MANIFEST

Lehenengo komandoak martxan dagoen interfazea konfigurazio gisa inprimatzen du, eta hori da eskuz, kudeaketa-tresna batekin beharrean, gehitutako pareak harrapatzeko modurik azkarrena; hori wg(8) eskuliburuak dokumentatzen du. sqlite lerroa kudeaketa-datu-base baterako eredua da: babeskopia-komandoak kopuru koherentea sortzen du idazleak lanean jarraitzen duen bitartean. Direktorioaren kopiak baimenak gordetzen ditu, eta hori garrantzitsua da gako-fitxategi horiek rootek soilik irakur baititzake. Manifestuak uzten dizu artxibo oso bat moztutako batetik bereizten.

Egin berreskuratzea posible eta gero probatu

Enkriptatu artxiboa eta gorde berreskuratze-gakoa etorri den makinan ez den beste leku batean. Pasahitza zerbitzari huts egindakoan soilik existitzen duen babeskopia inork irekiko ez duen kopia da. Mugatu berreskuratzea atebidea administratu zezaketen pertsonei, eta erregistratu berreskuratze bakoitza. Probatu berreskurapena sare isolatu batean, produkzioaren ondoan altxatutako identitate klonatuak pare-gako berarentzat erantzuten duten bi zerbitzari sortzen baititu.

Dokumentatu bazterketak edukia bezain arretaz. Hodeiko su-hesi arauek, DNS erregistroek eta kanpoko direktorio batek bakoitzak bere berreskuratze-urratsa behar izan dezakete. Fitxategi-kopia arrakastatsua ez da zerbitzua itzultzen denaren froga; balio duen froga bakarra jatorrizkoak bezalako onarpen-proba bera gainditzen duen berreraikitako amaiera-puntu bat da.