VPN-tsjinner reservekopy: beslute wat weromsetber wêze moat

In konfiguraasjebestân kopiearje is gjin reservekopy, en in reservekopy dy’t nimmen weromsette kin is gjin plan. It argyf moat de identiteit fan ’e tsjinst, it belied deromhinne en de steat befetsje dy’t seit hokker apparaten noch tastien binne. It moat ek beskerme wurde, want yn ’e measte útrullingen jout it argyf krekt wat de VPN jout. Beslute wat weromsetber wêze moat komt earst; de bestânslist folget út dat beslút.

Begjin by it weropboudoel

Skriuw op wat in weropboud tsjinner dwaan moat foardat jo ien bestân listje: deselde tunnels beëinigje, deselde identiteit presintearje en de apparaten wegerje dy’t op dit stuit ynlutsen binne. Dy sin slút de measte naïve kopyen út, want in konfiguraasjemap befettet selden de ynlûkingslist of de eksterne identiteitsôfhinklikheid. It leit ek de dielen bleat dy’t bûten de host libje, lykas DNS-records, cloud-firewallregels en de map dêr’t de gateway tsjin autentisearret. In plan dat se negearret, leveret in weromsette tsjinner op dy’t sûn liket en nimmen talit.

Groepiearje it materiaal yn trije kuorren: identiteit, konfiguraasje en steat. Identiteit binne de kaaien, de sertifikaten en it bewâld dat se ûndertekenet. Konfiguraasje binne de daemon-ynstellingen, pools, rûtes en firewallbelied, wylst steat de set fan pearen, akkounts en ynlûkings is dy’t elke dei feroaret.

Identiteit is it diel dat jo net opnij oanmeitsje kinne

Privee kaaien kinne net út it ûnthâld opnij makke wurde, en de sertifikaten dy’t dêrfan ôfhingje ferrinne neffens in skema dat jo ervje ynstee fan kieze. Meitsje in reservekopy fan ’e tsjinnerkaai, it klantfoarsjenningsmateriaal en de sertifikaasje-autoriteit, en notearje dan hokker dêrfan offline bliuwe moatte. In autoriteitskaai dy’t allinnich op ’e draaiende gateway libbet, is ien kompromis fuort fan in folsleine identiteitsreset foar elke klant. Registrearje wat mei opsetsin earne oars bewarre wurdt, sadat nimmen it duplisearret yn in argyf mei legere beskerming.

Ynlûking fertsjinnet syn eigen rigel yn it plan. It weromsetten fan ’e konfiguraasje fan juster kin in identiteit weromsette dy’t jo hjoed fuorthelle hawwe, wat in weromset feroaret yn in feilichheidsyngryp. Hâld de hjoeddeiske ynlûkingssteat op in plak ûnôfhinklik fan ’e opname dêr’t jo nei weromsette soene, en kontrolearje it nei elke weromset.

Meitsje de steat op ien momint fêst

In kopy makke wylst de tsjinst skriuwt, jout in ynkonsistinte ynventarisaasje, en ynkonsistinte identiteitsgegevens binne slimmer as in âldere skjinne kopy. Brûk it stipe eksportpaad foar elk archief, en registrearje dan de tiid fan ’e opname, want elke lettere fraach oer de weromset hinget dêrfan ôf.

wg showconf wg0 > /srv/backup/wg0.runtime.conf
sqlite3 /var/lib/vpn/admin.db ".backup '/srv/backup/admin.db'"
cp -a /etc/wireguard /srv/backup/etc-wireguard
sha256sum /srv/backup/*.conf > /srv/backup/MANIFEST

It earste kommando prints it draaiende ynterface werom as konfiguraasje, wat de fluchste manier is om pearen te fangen dy’t mei de hân tafoege binne ynstee fan troch in beheartool; dat wg(8)-hânboek dokumintearret it. De sqlite-rigel is it patroan foar in beheardatabank: it reservekopy-kommando makket in konsistinte kopy wylst de skriuwer trochgiet. De mapkopy behâldt tastimmingen, wat útmakket om’t dy kaai-bestannen allinnich troch root lêzen wurde kinne. It manifest is wat jo helpt in folslein argyf fan in ôfkoarte te ûnderskieden.

Meitsje de weromset mooglik en prebearje it dan

Fersifelje it argyf en hâld de weromsetkaai earne oars as op ’e masjine dêr’t it fan komt. In reservekopy wêrfan’t de wachtwurdphrase allinnich op ’e mislearre tsjinner bestiet, is in reservekopy dy’t nimmen iepenje sil. Beheine it opheljen ta de minsken dy’t de gateway al beheare koene, en logge elk opheljen. Test de weromset op in isolearre netwurk, want in kloande identiteit dy’t njonken produksje oprjochte wurdt, makket twa tsjinners dy’t foar deselde pearkaai antwurdzje.

Dokumintearje de útslutings like soarchfâldich as de ynhâld. Cloud-firewallregels, DNS-records en in eksterne map kinne elk har eigen weromsetstap nedich hawwe. In suksesfolle bestânskopy is gjin bewiis dat de tsjinst weromkomt; it iennige bewiis dat telt is in weropboud einpunt dat deselde akseptaasjetest as it orizjineel trochstiet.