VPN-kiszolgáló biztonsági mentése: döntse el, mi legyen visszaállítható

Konfigurációs fájl másolása nem biztonsági mentés, és az a mentés, amelyet senki nem tud visszaállítani, nem terv. Az archívumnak tartalmaznia kell a szolgáltatás identitását, a körülötte lévő szabályzatot és azt az állapotot, amely megmondja, mely eszközök engedélyezettek még. Óvni is kell, mert a legtöbb telepítésben az archívum pontosan azt adja, amit a VPN ad. Az a döntés, hogy minek kell visszaállíthatónak lennie, első; a fájllista ebből a döntésből következik.

Kezdje az újjáépítés céljával

Írja le, mit kell tennie egy újjáépített kiszolgálónak, mielőtt egyetlen fájlt felsorol: ugyanazokat az alagutakat lezárni, ugyanazt az identitást felmutatni és elutasítani a jelenleg visszavont eszközöket. Ez a mondat kizárja a legtöbb naiv másolatot, mert egy konfigurációs könyvtár ritkán tartalmazza a visszavonási listát vagy a külső identitásfüggőséget. Feltárja a hoszton kívül élő részeket is, például a DNS-rekordokat, a felhőtűzfal-szabályokat és azt a könyvtárat, amely ellen az átjáró hitelesít. Az ezeket figyelmen kívül hagyó terv olyan visszaállított kiszolgálót eredményez, amely egészségesnek látszik, és senkit nem enged be.

Csoportosítsa az anyagot három kosárba: identitás, konfiguráció és állapot. Az identitás a kulcsok, a tanúsítványok és a hitelesítésszolgáltató, amely aláírja őket. A konfiguráció a démon beállításai, a poolok, az útvonalak és a tűzfalszabályok, míg az állapot a partnerek, fiókok és visszavonások halmaza, amely minden nap változik.

Az identitás az a rész, amit nem tud újragenerálni

A privát kulcsokat nem lehet újra létrehozni emlékezetből, a tőlük függő tanúsítványok pedig olyan ütemezés szerint járnak le, amelyet örököl, nem pedig választ. Készítsen biztonsági mentést a kiszolgáló kulcsáról, az ügyfél-előkészítési anyagról és a hitelesítésszolgáltatóról, majd jegyezze fel, melyikük maradjon offline. Az a hitelesítő kulcs, amely csak a futó átjárón él, egy kompromittálódásra van a teljes identitás-visszaállítástól minden ügyfélnél. Jegyezze fel, mi van szándékosan máshol tárolva, hogy senki ne másolja át egy alacsonyabb védelmű archívumba.

A visszavonás saját sort érdemel a tervben. A tegnapi konfiguráció visszaállítása visszahozhat egy identitást, amelyet ma eltávolított, ami a helyreállítást biztonsági eseménnyé változtatja. Tartsa a jelenlegi visszavonási állapotot olyan helyen, amely független attól a pillanatképtől, amelyre visszaállna, és minden visszaállítás után ellenőrizze.

Rögzítse az állapotot egyetlen pillanatban

A szolgáltatás írása közben készült másolat inkonzisztens leltárt ad, és az inkonzisztens identitásadatok rosszabbak, mint egy régebbi tiszta másolat. Használja a támogatott exportálási útvonalat minden tárolóhoz, majd rögzítse a pillanatkép idejét, mert a visszaállítással kapcsolatos minden későbbi kérdés ettől függ.

wg showconf wg0 > /srv/backup/wg0.runtime.conf
sqlite3 /var/lib/vpn/admin.db ".backup '/srv/backup/admin.db'"
cp -a /etc/wireguard /srv/backup/etc-wireguard
sha256sum /srv/backup/*.conf > /srv/backup/MANIFEST

Az első parancs visszaírja a futó interfészt konfigurációként, ami a leggyorsabb módja a kézzel, nem pedig kezelőeszközzel hozzáadott partnerek rögzítésének; ezt a wg(8) kézikönyv dokumentálja. Az sqlite sor a kezelési adatbázis mintája: a mentési parancs konzisztens másolatot készít, miközben az író tovább fut. A könyvtár másolása megőrzi a jogosultságokat, ami számít, mert azokat a kulcsfájlokat csak a root olvashatja. A manifeszt az, ami lehetővé teszi egy teljes archívum és egy csonkolt megkülönböztetését.

Tegye lehetővé a visszaállítást, majd próbálja ki

Titkosítsa az archívumot, és a helyreállítási kulcsot ne azon a gépen tartsa, ahonnan származik. Az a mentés, amelynek jelszava csak a meghibásodott kiszolgálón létezik, olyan mentés, amelyet senki nem fog megnyitni. Korlátozza a visszakeresést azokra, akik már tudták kezelni az átjárót, és naplózzon minden visszakeresést. Tesztelje a visszaállítást elszigetelt hálózaton, mert a termelés mellett felállított klónozott identitás két kiszolgálót hoz létre, amelyek ugyanarra a partnerkulcsra válaszolnak.

Ugyanolyan gondosan dokumentálja a kizárásokat, mint a tartalmat. A felhőtűzfal-szabályok, a DNS-rekordok és egy külső könyvtár mindegyike saját helyreállítási lépést igényelhet. A sikeres fájlmásolás nem bizonyítja, hogy a szolgáltatás visszatér; az egyetlen bizonyíték, amely számít, egy újjáépített végpont, amely ugyanazt az átvételi tesztet teljesíti, mint az eredeti.