VPN սերվերի պահուստավորում՝ որոշեք, թե ինչ պետք է վերականգնելի լինի

Կոնֆիգուրացիայի ֆայլը պատճենելը պահուստավորում չէ, և այն պահուստը, որը ոչ ոք չի կարող վերականգնել, ծրագիր չէ։ Արխիվը պետք է պարունակի ծառայության ինքնությունը, դրա շուրջ եղած քաղաքականությունը և վիճակը, որը նշում է, թե որ սարքերին դեռ թույլատրված է։ Այն նաև պետք է պաշտպանված լինի, որովհետև տեղակայումների մեծ մասում արխիվը տալիս է ճիշտ այն, ինչ տալիս է VPN-ը։ Թե ինչ պետք է վերականգնելի լինի, որոշելը գալիս է առաջինը, ֆայլերի ցանկը բխում է այդ որոշումից։

Սկսեք վերակառուցման նպատակից

Գրեք, թե վերակառուցված սերվերը ինչ պետք է անի նախքան մեկ ֆայլ թվարկելը. փակի նույն թունելները, ներկայացնի նույն ինքնությունը և մերժի ներկայումս չեղարկված սարքերին։ Այդ նախադասությունը բացառում է միամիտ պատճենների մեծ մասը, որովհետև կոնֆիգուրացիայի պանակը հազվադեպ է պարունակում չեղարկումների ցանկը կամ արտաքին ինքնության կախվածությունը։ Այն նաև բացահայտում է հոսթից դուրս ապրող մասերը, ինչպիսիք են DNS գրառումները, ամպային ֆայրվոլի կանոնները և այն պանակը, որի դեմ դարպասը նույնականացնում է։ Դրանք անտեսող ծրագիրը ստեղծում է վերականգնված սերվեր, որը առողջ տեսք ունի և ոչ մեկին չի ընդունում։

Խմբավորեք նյութը երեք զամբյուղի մեջ. ինքնություն, կոնֆիգուրացիա և վիճակ։ Ինքնությունը բանալիներն են, վկայագրերը և դրանք ստորագրող մարմինը։ Կոնֆիգուրացիան դեմոնի կարգավորումներն են, լողավազանները, երթուղիները և ֆայրվոլի քաղաքականությունը, իսկ վիճակը՝ գործընկերների, հաշիվների և չեղարկումների այն ամբողջությունը, որը փոխվում է ամեն օր։

Ինքնությունը այն մասն է, որը չեք կարող վերստեղծել

Մասնավոր բանալիները հնարավոր չէ վերստեղծել հիշողությունից, և դրանցից կախված վկայագրերը լրանում են ըստ ժամանակացույցի, որը ժառանգում եք, այլ ոչ թե ընտրում։ Պահուստավորեք սերվերի բանալին, հաճախորդների տրամադրման նյութը և վկայագրային մարմինը, ապա նշեք, թե դրանցից որոնք պետք է մնան ցանցից դուրս։ Միայն աշխատող դարպասի վրա ապրող մարմնի բանալին մեկ փոխզիջում է հեռու յուրաքանչյուր հաճախորդի համար ինքնության ամբողջական վերակայումից։ Գրանցեք, թե ինչ է դիտավորյալ պահվում այլ տեղ, որպեսզի ոչ ոք այն չկրկնօրինակի ավելի ցածր պաշտպանվածությամբ արխիվում։

Չեղարկումն արժանի է իր առանձին տողին ծրագրում։ Երեկվա կոնֆիգուրացիայի վերականգնումը կարող է վերականգնել ինքնություն, որը դուք հեռացրել եք այսօր, ինչը վերականգնումը դարձնում է անվտանգության միջադեպ։ Պահեք ընթացիկ չեղարկման վիճակը այնպիսի տեղում, որը անկախ է այն պահից, որին կվերադառնայիք, և ստուգեք այն ցանկացած վերականգնումից հետո։

Գրանցեք վիճակը մեկ պահի մեջ

Ծառայության գրելու ընթացքում արված պատճենը տալիս է անհետևողական գույքագրում, և անհետևողական ինքնության տվյալները ավելի վատն են, քան ավելի հին մաքուր պատճենը։ Յուրաքանչյուր պահոցի համար օգտագործեք աջակցվող արտահանման ուղին, ապա գրանցեք պահի ժամանակը, որովհետև վերականգնման մասին յուրաքանչյուր հետագա հարց կախված է դրանից։

wg showconf wg0 > /srv/backup/wg0.runtime.conf
sqlite3 /var/lib/vpn/admin.db ".backup '/srv/backup/admin.db'"
cp -a /etc/wireguard /srv/backup/etc-wireguard
sha256sum /srv/backup/*.conf > /srv/backup/MANIFEST

Առաջին հրամանը տպում է աշխատող ինտերֆեյսը որպես կոնֆիգուրացիա, ինչը ձեռքով, այլ ոչ թե կառավարման գործիքով ավելացված գործընկերներին բռնելու ամենաարագ ձևն է. դա wg(8) ձեռնարկը փաստագրում է։ sqlite տողը կառավարման տվյալների բազայի օրինակն է. պահուստի հրամանը ստեղծում է հետևողական պատճեն, մինչ գրողը շարունակում է աշխատել։ Պանակի պատճենը պահպանում է թույլտվությունները, ինչը կարևոր է, որովհետև այդ բանալի ֆայլերը միայն root-ը կարող է կարդալ։ Մանիֆեստն է, որ թույլ է տալիս տարբերել ամբողջական արխիվը կտրվածից։

Դարձրեք վերականգնումը հնարավոր, ապա փորձեք այն

Գաղտնագրեք արխիվը և վերականգնման բանալին պահեք այլ տեղ, քան այն մեքենան, որտեղից այն եկել է։ Այն պահուստը, որի գաղտնաբառը գոյություն ունի միայն ձախողված սերվերի վրա, պահուստ է, որը ոչ ոք չի բացի։ Սահմանափակեք վերցումը նրանցով, ովքեր արդեն կարող էին կառավարել դարպասը, և գրանցեք յուրաքանչյուր վերցում։ Փորձեք վերականգնումը մեկուսացված ցանցում, որովհետև արտադրության կողքին բարձրացված կլոնավորված ինքնությունը ստեղծում է երկու սերվեր, որոնք պատասխանում են նույն գործընկերոջ բանալու համար։

Փաստագրեք բացառությունները նույնքան ուշադիր, որքան բովանդակությունը։ Ամպային ֆայրվոլի կանոնները, DNS գրառումները և արտաքին պանակը կարող են յուրաքանչյուրն ունենալ իր վերականգնման քայլը։ Ֆայլերի հաջող պատճենը ապացույց չէ, որ ծառայությունը վերադառնում է. միակ ապացույցը, որը հաշվի է առնվում, վերակառուցված վերջնակետն է, որն անցնում է նույն ընդունման փորձարկումը, ինչ բնօրինակը։