Pritunl-backup: kontrôletastân fersus it generearre profyl

It iene argyf werstelt in wurkjende Pritunl-ynset; it oare werstelt in byld dêrfan. In klantprofyl, in kopy fan de hostkonfiguraasje en in tarball fan de steatsmap lykje allegear op backups, en gjin fan harren allinnich bringt de organisaasjes, brûkers en serverdefinysjes werom dy't Pritunl beheart. It ferskil is eigendom: guon steat heart by in databank, guon by de host, en guon is wer generearre útfier. Kies it ferkearde laach en de werstelling leveret in server op dy't start, harket en neat wit. Dizze ferliking skiedt de trije lagen, sadat it argyf dat jo bewarje past by de flater dêr't jo fan werstelle.

Twa objekten lykje op backups en mar ien werstelt de tsjinst

In del laden klantprofyl befettet in sertifikaat, in kaai en in einpunt. It is folslein foar dat iene apparaat en weardeleas as registraasje fan de ynset: it draacht gjin organisaasjes, gjin útskeakele brûkers, gjin serverrûtes en gjin administratyf accounts. Werstelle út in map mei profylen jout klanten dy't har tsjin neat autentisearje kinne.

In kopy fan de hostkonfiguraasje is like partiel. /etc/pritunl.conf befettet ynstellings op hostnivo, wêrûnder hoe't de databank berikt wurdt, en it befettet net de VPN-objekten sels.

Wat de databank besit en wat de host besit

Pritunl bewarret serverdefinysjes, brûkers, organisaasjes en kaaien yn MongoDB. Dy databank is it autoritative kontrôleflak, en elk generearre OpenVPN-bestân op skiif is útfier dy't dêrfan ôflaat is. In wiziging dy't direkt yn in generearre bestân makke wurdt, oerlibbet oant de folgjende regeneraasje en ferdwynt dan, en dêrom is it bewurkjen fan runtime-bestannen gjin duorjende oplossing. Deselde regel jildt foar effektive rûtes en ynterfaces: se beskriuwe wat it kontrôleflak produsearre hat, net wat it produsearje moat.

De host leveret in lytser, mar net-oerdraachber set wearden. Ien dêrfan is /var/lib/pritunl/pritunl.uuid, de identiteit fan dy spesifike knoop.

Dy identiteit is it wichtichst yn in cluster. In ferfangende host hat syn eigen ynskriuwing nedich ynstee fan in kloan fan de UUID fan in aktive knoop, oars fjochtsje de twa om deselde identiteit. Registrearje de keppeling tusken elke host, syn UUID en de databank dêr't hy nei wiist, want ien databankdump beskriuwt net hokker hostynstellings by hokker masine hearden. Softwareferzjes en iepenbiere einpuntnammen hearre yn itselde register.

Meitsje in konsistinte dump, gjin mapkopy

It kopiearjen fan de MongoDB-datamap wylst de tsjinst skriuwt, produsearret bestannen dy't miskien gjin brûkbere databank foarmje. Brûk ynstee it stipe dumppad fan de databank, útfierd tsjin de topology dy't jo wier hawwe:

mongodump --uri="mongodb://127.0.0.1:27017/pritunl" --out=/var/backups/pritunl/db
sudo tar czf /var/backups/pritunl/host.tgz /etc/pritunl.conf /var/lib/pritunl/pritunl.uuid

In selsstannige host ferneart dy ienfâldige foarm. In replikaset hat in konsistint punt yn de tiid nedich, en in oplog-basearre dump hat easken dy't in gewoane dump net hat. De stipe proseduere hinget ôf fan jo MongoDB-ferzje en -topology, dus lied it net ôf út de oanwêzigens fan in datamap. Argivearje it hostlaach njonken de dump, yn deselde run, mei deselde tiidstimpel.

Oefenje de werstelling foardat jo it nedich hawwe

In backup dy't nimmen wersteld hat, is in hypoteze. Bou de tsjinst yn in isolearre netwurk, werstel de dump en set de hostbestannen werom:

mongorestore --uri="mongodb://127.0.0.1:27017" --drop /var/backups/pritunl/db
sudo tar xzf /var/backups/pritunl/host.tgz -C /

Ferifiearje dan de objekten ynstee fan it proses: meld oan, befêstigje dat organisaasjes en brûkers oanwêzich binne, en start ien testklant tsjin in serverdefinysje dy't jo werkenne. Hâld de werstelde host tsjin om it produksje-einpunt oan te kundigjen of echte ferbiningen te akseptearjen oant adressen en identiteiten bewust binne. Hjir ûntdekke jo ek dat it argyf oanmeldgegevens nedich hat dy't allinnich op de mislearre masine libben, dus bewarje werstelgegevens op in ûnôfhinklik plak. In werstelling dy't ôfhinklik is fan de host dy't jo krekt ferlern hawwe, is gjin werstelplan.

Tink ta slot dat in âlde momintopname âlde besluten werstelt. As in behearder in identiteit útskeakele hat nei't de dump nommen is, skeakelt de werstelling dy wer yn. Ofstimming nei werstel heart yn de proseduere, net yn de neitins.