Copia de seguridade do contedor ou dos seus ficheiros? Decida pola forma de restauración

Pode facer unha copia de seguridade dun contedor cifrado como un só obxecto, ou montalo e copiar os ficheiros de dentro. Ambos atravesan a VPN sen problema, e aí remata o parecido. Restauran cousas distintas, dependen de chaves distintas, ocupan cantidades distintas de almacenamento e fallan de maneiras distintas cando alguén necesita os datos de volta. Escolla primeiro o obxecto de restauración, despois o transporte e despois o cifrado da copia almacenada. A lista de abaixo segue esa orde, porque case toda disputa sobre copias de seguridade é en realidade un desacordo sobre cal desas tres decisións se tomou primeiro.

Dous obxectos, dúas formas de restauración

Unha copia de imaxe restaura un contedor: recupera o volume cifrado e segue necesitando o seu material de restauración para abrilo. Unha copia a nivel de ficheiros restaura ficheiros e árbores de directorios, e o cifrado que os protexe é unha propiedade do repositorio de copias, non do contedor orixinal. Unha copia simple nun cartafol remoto é un terceiro caso, e herda a protección que ese cartafol teña por casualidade.

A fila do medio é a que a xente le mal. Pode ser un deseño perfectamente bo: o programa de copias le texto plano en local e escribe un repositorio cifrado e autenticado. Entón a seguridade descansa nese programa e nas súas credenciais, non no contrasinal do contedor orixinal, e as dúas cousas non deben describirse como se fosen o mesmo control.

Comprobación 1: que debe reconstruír a restauración?

Faga a pregunta en forma de restauración, non de copia. Se o requisito é “devolver este servizo a outro host”, unha imaxe co seu material de restauración é unha resposta coherente. Se o requisito é “recuperar a folla de cálculo financeira de marzo”, restaurar unha imaxe de varios gigabytes só para extraer un ficheiro é unha forma cara de responder. Ambas son restauracións lexítimas e non son orzamentos intercambiables. Un plan que só nomee unha delas acabará sendo probado pola outra.

Escriba o obxectivo de restauración no plan: o volume enteiro, unha árbore de directorios ou ficheiros individuais. Despois anote que metadatos deben viaxar con eles, porque a propiedade, os permisos, os atributos estendidos e as marcas de tempo forman parte dunha restauración a nivel de ficheiros e a miúdo pérdense en fluxos de traballo baseados en copia que parecían suficientes durante as probas.

Decida tamén quen realiza a restauración. Un repositorio a nivel de ficheiros que calquera operador pode montar é un modelo de acceso distinto do dunha imaxe que esixe a presenza do titular da chave, e ningún é automaticamente mellor. O importante é que a elección sexa deliberada e estea escrita.

Comprobación 2: que protexe a copia almacenada?

A VPN protexe un tramo do transporte. Non di nada sobre a copia almacenada unha vez que remata a transferencia, e “pasou polo túnel” non é unha afirmación sobre a capacidade do operador de copias de ler os seus datos. Se o lado remoto o xestiona outra persoa, a pregunta é que poden ler eles, non se a ligazón estaba cifrada.

Para unha imaxe, iso significa protexer o material de chave do contedor por separado da propia imaxe. Perder a cabeceira é perder o volume, así que faga unha copia da cabeceira nun lugar onde non estea a imaxe:

cryptsetup luksHeaderBackup /dev/vg0/data --header-backup-file data-header.img
cryptsetup luksDump /dev/vg0/data | head -20

Para un repositorio a nivel de ficheiros, verifique que a ferramenta cifra e autentica o contido e os metadatos antes de que saian do host, e descubra quen ten as chaves. A documentación de deseño de Restic é explícita en que asume un host de orixe de confianza e en que o cifrado non impide que alguén con acceso ao almacenamento borre as copias. Ambos avisos importan: un repositorio pode ser confidencial e aínda así ser destruído.

Comprobación 3: é coherente a copia?

Unha copia que captura un sistema de ficheiros en cambio é unha copia, non un punto de restauración. Para unha imaxe, use o método admitido pola ferramenta de volumes para unha instantánea estable, que normalmente significa unha operación de instantánea ou un desmontaxe en lugar de ler un ficheiro grande mentres cambia:

lvcreate -L 5G -s -n data-snap /dev/vg0/data
cryptsetup open /dev/vg0/data-snap data-snap --readonly

Para os ficheiros montados, use o procedemento de coherencia admitido pola aplicación para bases de datos activas e outros datos coordinados. Unha copia a nivel de sistema de ficheiros e un punto de restauración coherente coa aplicación son descricións distintas, e a diferenza só se fai visible cando intenta arrincar a aplicación desde a copia restaurada.

Manteña o material de restauración nunha ruta protexida independente. Perder a máquina orixinal nunca debería facer perder tamén a única credencial que abre a súa copia, que é exactamente o que ocorre cando o ficheiro de chave vive no volume que se está copiando. Probe esa separación a propósito: restaure nun host que nunca vise o orixinal, usando só o que o plan di que está dispoñible.

Comprobación 4: a detección de cambios vale para este obxecto?

Un contedor cifrado parece un único ficheiro grande e opaco para a maioría das ferramentas de transferencia, así que unha pequena edición en texto plano pode provocar unha gran relectura ou unha subida completa segundo a ferramenta e o formato. O troceado de tamaño variable e a deduplicación, como documenta restic, poden reducilo, pero é unha propiedade desa ferramenta e non dos contedores cifrados en xeral.

Mida en lugar de supoñer. Compare unha primeira execución cunha segunda tras un cambio pequeno e inofensivo, e anote os bytes transferidos e o tempo transcorrido. Conserve unha copia boa coñecida mentres experimenta, para que unha proba non consuma o seu único punto de restauración.

Despois remate a lista coa única proba que conta: restaurar sen a máquina orixinal. Abra un contedor restaurado ou restaure ficheiros seleccionados cos seus metadatos, e confirme que a aplicación ou o usuario pode usar o resultado. Unha transferencia rápida e ben cifrada que non pode responder a esa proba é unha copia dos seus datos, non unha copia de seguridade.