VPN სერვერის სარეზერვო ასლი: გადაწყვიტეთ, რა უნდა იყოს აღდგენადი

კონფიგურაციის ფაილის კოპირება სარეზერვო ასლი არ არის, ხოლო ასლი, რომელსაც ვერავინ ვერ აღადგენს, გეგმა არ არის. არქივი უნდა შეიცავდეს სერვისის იდენტობას, მის გარშემო არსებულ პოლიტიკას და მდგომარეობას, რომელიც ამბობს, რომელ მოწყობილობებს ჯერ კიდევ აქვთ ნებართვა. ის ასევე უნდა იყოს დაცული, რადგან უმეტეს განლაგებაში არქივი იძლევა ზუსტად იმას, რასაც VPN იძლევა. რა უნდა იყოს აღდგენადი, ამის გადაწყვეტა პირველია; ფაილების სია ამ გადაწყვეტილებიდან გამომდინარეობს.

დაიწყეთ აღდგენის სამიზნიდან

ჩამოწერეთ, რა უნდა გააკეთოს აღდგენილმა სერვერმა, სანამ ერთ ფაილს ჩამოთვლით: დაასრულოს იგივე გვირაბები, წარმოადგინოს იგივე იდენტობა და უარყოს ახლა გაუქმებული მოწყობილობები. ეს წინადადება გამორიცხავს ნაივ ასლების უმეტესობას, რადგან კონფიგურაციის საქაღალდე იშვიათად შეიცავს გაუქმების სიას ან გარე იდენტობის დამოკიდებულებას. ის ასევე ავლენს ჰოსტის გარეთ მცხოვრებ ნაწილებს, როგორიცაა DNS ჩანაწერები, ღრუბლოვანი ფაირვოლის წესები და საქაღალდე, რომლის წინააღმდეგაც კარიბჭე ავთენტიფიკაციას ახდენს. გეგმა, რომელიც მათ უგულებელყოფს, ქმნის აღდგენილ სერვერს, რომელიც ჯანმრთელად გამოიყურება და არავის უშვებს.

დააჯგუფეთ მასალა სამ კალათაში: იდენტობა, კონფიგურაცია და მდგომარეობა. იდენტობა არის გასაღებები, სერტიფიკატები და ორგანო, რომელიც მათ ხელს აწერს. კონფიგურაცია არის დემონის პარამეტრები, აუზები, მარშრუტები და ფაირვოლის პოლიტიკა, ხოლო მდგომარეობა არის თანამოაზრეთა, ანგარიშებისა და გაუქმებების ერთობლიობა, რომელიც ყოველდღე იცვლება.

იდენტობა ის ნაწილია, რომელსაც ვერ აღადგენთ

პირადი გასაღებების მეხსიერებიდან ხელახლა შექმნა შეუძლებელია, ხოლო მათზე დამოკიდებული სერტიფიკატები იწურება გრაფიკის მიხედვით, რომელსაც მემკვიდრეობით იღებთ და არ ირჩევთ. გააკეთეთ სერვერის გასაღების, კლიენტების მომარაგების მასალისა და სერტიფიკატის ორგანოს სარეზერვო ასლი, შემდეგ აღნიშნეთ, რომელი მათგანი უნდა დარჩეს ქსელის გარეთ. ორგანოს გასაღები, რომელიც მხოლოდ მოქმედ კარიბჭეზე ცხოვრობს, ერთი კომპრომიტაციითაა დაშორებული თითოეული კლიენტის იდენტობის სრულ განულებას. ჩაწერეთ, რა ინახება განზრახ სხვაგან, რომ არავინ გაამრავლოს ის დაბალი დაცვის არქივში.

გაუქმება იმსახურებს საკუთარ ხაზს გეგმაში. გუშინდელი კონფიგურაციის აღდგენამ შეიძლება დააბრუნოს იდენტობა, რომელიც დღეს წაშალეთ, რაც აღდგენას უსაფრთხოების ინციდენტად აქცევს. შეინახეთ მიმდინარე გაუქმების მდგომარეობა იმ ადგილას, რომელიც დამოუკიდებელია იმ სნეპშოტისგან, რომელზეც დაბრუნდებოდით, და შეამოწმეთ იგი ნებისმიერი აღდგენის შემდეგ.

აღბეჭდეთ მდგომარეობა ერთ მომენტში

სერვისის წერის დროს გადაღებული ასლი იძლევა არათანმიმდევრულ ინვენტარს, ხოლო არათანმიმდევრული იდენტობის მონაცემები უარესია, ვიდრე ძველი სუფთა ასლი. გამოიყენეთ მხარდაჭერილი ექსპორტის გზა თითოეული საცავისთვის, შემდეგ ჩაწერეთ სნეპშოტის დრო, რადგან აღდგენის შესახებ ყოველი შემდგომი კითხვა მასზეა დამოკიდებული.

wg showconf wg0 > /srv/backup/wg0.runtime.conf
sqlite3 /var/lib/vpn/admin.db ".backup '/srv/backup/admin.db'"
cp -a /etc/wireguard /srv/backup/etc-wireguard
sha256sum /srv/backup/*.conf > /srv/backup/MANIFEST

პირველი ბრძანება მოქმედ ინტერფეისს კონფიგურაციად ბეჭდავს, რაც ხელით, და არა მართვის ხელსაწყოთი დამატებული თანამოაზრეების დაჭერის ყველაზე სწრაფი გზაა; ამას wg(8)-ის სახელმძღვანელო აღწერს. sqlite-ის სტრიქონი მართვის მონაცემთა ბაზის ნიმუშია: სარეზერვო ბრძანება ქმნის თანმიმდევრულ ასლს, სანამ მწერველი აგრძელებს მუშაობას. საქაღალდის ასლი ინარჩუნებს ნებართვებს, რაც მნიშვნელოვანია, რადგან იმ გასაღების ფაილებს მხოლოდ root კითხულობს. მანიფესტი არის ის, რაც საშუალებას გაძლევთ გაარჩიოთ სრული არქივი შეკვეცილისგან.

გახადეთ აღდგენა შესაძლებელი და შემდეგ გამოსცადეთ

დაშიფრეთ არქივი და შეინახეთ აღდგენის გასაღები სხვაგან, და არა იმ მანქანაზე, საიდანაც ის მოვიდა. სარეზერვო ასლი, რომლის პაროლიც მხოლოდ წარუმატებელ სერვერზე არსებობს, ასლია, რომელსაც არავინ გახსნის. შეზღუდეთ მიღება იმ ადამიანებით, რომლებსაც უკვე შეეძლოთ კარიბჭის ადმინისტრირება, და ჩაწერეთ ყოველი მიღება. გამოსცადეთ აღდგენა იზოლირებულ ქსელში, რადგან წარმოების გვერდით აწეული კლონირებული იდენტობა ქმნის ორ სერვერს, რომლებიც ერთი და იმავე თანამოაზრის გასაღებზე პასუხობენ.

დააფიქსირეთ გამონაკლისები ისე ყურადღებით, როგორც შიგთავსი. ღრუბლოვანი ფაირვოლის წესები, DNS ჩანაწერები და გარე საქაღალდე შეიძლება თითოეულმა მოითხოვოს საკუთარი აღდგენის ნაბიჯი. ფაილების წარმატებული ასლი არ არის მტკიცებულება, რომ სერვისი ბრუნდება; ერთადერთი მტკიცებულება, რომელიც ითვლება, არის აღდგენილი ბოლო წერტილი, რომელიც გადის იმავე მიღების ტესტს, რაც ორიგინალი.