VPN серверинин резервдик көчүрмөсү: эмнени калыбына келтирүү керектигин чечиңиз

Конфигурация файлын көчүрүү резервдик көчүрмө эмес, ал эми эч ким калыбына келтире албаган көчүрмө план эмес. Архивде кызматтын идентификациясы, анын айланасындагы саясат жана кайсы түзмөктөргө дагы уруксат берилгенин айткан абал болушу керек. Аны коргоо да керек, анткени көпчүлүк жайгаштырууларда архив VPN берген нерсенин дал өзүн берет. Эмнени калыбына келтирүү керектигин чечүү биринчи кезекте; файлдардын тизмеси ошол чечимден келип чыгат.

Кайра куруу максатынан баштаңыз

Бир файлды тизмелерден мурун кайра курулган сервер эмне кылышы керектигин жазыңыз: ошол эле туннелдерди токтотуу, ошол эле идентификацияны көрсөтүү жана азыр жокко чыгарылган түзмөктөрдөн баш тартуу. Бул сүйлөм наадан көчүрмөлөрдүн көбүн жокко чыгарат, анткени конфигурация папкасында жокко чыгаруу тизмеси же тышкы идентификация көз карандылыгы сейрек кездешет. Ал ошондой эле хосттон тышкары жашаган бөлүктөрдү ачат: DNS жазуулары, булут файрволунун эрежелери жана дарбаза аутентификация жасаган папка. Аларды эсепке албаган план соо көрүнгөн, бирок эч кимди киргизбеген калыбына келтирилген сервер жаратат.

Материалды үч себетке топтоңуз: идентификация, конфигурация жана абал. Идентификация — ачкычтар, сертификаттар жана аларга кол койгон орган. Конфигурация — демондун параметрлери, пулдар, маршруттар жана файрвол саясаты, ал эми абал — күн сайын өзгөрүүчү өнөктөштөр, эсептер жана жокко чыгаруулардын жыйындысы.

Идентификация — кайра жарата албаган бөлүк

Жеке ачкычтарды эстен кайра жаратуу мүмкүн эмес, ал эми аларга көз каранды сертификаттар тандаган эмес, мураска алган график боюнча бүтөт. Сервер ачкычынын, кардарларды камсыздоо материалынын жана сертификат органынын резервдик көчүрмөсүн жасаңыз, анан алардын кайсынысы тармактан тыш калышы керектигин белгилеңиз. Бир гана иштеп жаткан дарбазада жашаган орган ачкычы ар бир кардар үчүн толук идентификацияны кайра коюудан бир компромисстин аралыгында. Атайын башка жерде сакталганын жазыңыз, эч ким аны коргоосу төмөнүрөөк архивге көчүрбөсүн.

Жокко чыгаруу планда өз саптарына татыктуу. Кечээки конфигурацияны калыбына келтирүү бүгүн жок кылган идентификацияңызды кайтарышы мүмкүн, бул калыбына келтирүүнү коопсуздук окуясына айландырат. Учурдагы жокко чыгаруу абалын кайра кайта турган сүрөттөн көз карандысыз жерде сактаңыз жана ар кандай калыбына келтирүүдөн кийин аны текшериңиз.

Абалды бир учурда тартыңыз

Кызмат жазып жатканда алынган көчүрмө ыраатсыз инвентаризация берет, ал эми ыраатсыз идентификация маалыматтары эски таза көчүрмөдөн жаман. Ар бир кампа үчүн колдоого алынган экспорт жолун колдонуңуз, анан сүрөт убактысын жазыңыз, анткени калыбына келтирүү тууралуу ар бир кийинки суроо ошого байланыштуу.

wg showconf wg0 > /srv/backup/wg0.runtime.conf
sqlite3 /var/lib/vpn/admin.db ".backup '/srv/backup/admin.db'"
cp -a /etc/wireguard /srv/backup/etc-wireguard
sha256sum /srv/backup/*.conf > /srv/backup/MANIFEST

Биринчи буйрук иштеп жаткан интерфейсти конфигурация катары кайра басып чыгарат, бул башкаруу куралы менен эмес, кол менен кошулган өнөктөштөрдү кармоонун эң тез жолу; муну wg(8) колдонмосу документтештирет. sqlite сабы башкаруу маалымат базасы үчүн үлгү: резервдик көчүрүү буйругу жазуучу уланган учурда ырааттуу көчүрмө жаратат. Папканын көчүрмөсү укуктарды сактайт, бул маанилүү, анткени ал ачкыч файлдарын root гана окуй алат. Манифест — толук архивди кесилген архивден ажыратууга мүмкүндүк берген нерсе.

Калыбына келтирүүнү мүмкүн кылып, анан сынап көрүңүз

Архивди шифрлаңыз жана калыбына келтирүү ачкычын ал келген машинадан башка жерде сактаңыз. Сырсөзү иштебей калган серверде гана болгон көчүрмө — эч ким ачпаган көчүрмө. Алууну дарбазаны мурунтан башкара алган адамдар менен чектеңиз жана ар бир алууну жазыңыз. Калыбына келтирүүнү обочолонгон тармакта сынаңыз, анткени өндүрүштүн жанында көтөрүлгөн клондолгон идентификация бир өнөктөш ачкычына жооп берген эки серверди жаратат.

Өзгөчөлүктөрдү мазмун сыяктуу эле кылдат документтештириңиз. Булут файрволунун эрежелери, DNS жазуулары жана тышкы папка — ар бири өзүнүн калыбына келтирүү кадамын талап кылышы мүмкүн. Файлдардын ийгиликтүү көчүрүлүшү кызматтын кайтышына далил эмес; эсепке алынган жалгыз далил — түпнускадай эле кабыл алуу сынагынан өткөн кайра курулган акыркы чекит.