VPN-Server-Backup: entscheeden, wat restauréierbar muss sinn

Eng Konfiguratiounsdatei ze kopéieren ass kee Backup, an e Backup, deen keen restauréiere kann, ass kee Plang. D’Archiv muss d’Identitéit vum Service, d’Politik ronderëm an den Zoustand enthalen, deen seet, wéi eng Apparater nach erlaabt sinn. Et muss och geschützt ginn, well an de meeschten Deployen d’Archiv genee dat gëtt, wat de VPN gëtt. Entscheeden, wat restauréierbar muss sinn, kënnt als éischt; d’Dateilëscht folgt aus där Entscheidung.

Fänkt beim Zil vum Neibau un

Schreift op, wat en nei gebaute Server maache muss, ier dir eng eenzeg Datei opzielt: déi selwecht Tunnelen ofschléissen, déi selwecht Identitéit presentéieren an déi Apparater ofleenen, déi just widderruff sinn. Dee Saz schléisst déi meeschten naïve Kopien aus, well e Konfiguratiounsdossier selten d’Widderrufflëscht oder d’extern Identitéitsawhänglechkeet enthält. Hien deckt och d’Deeler op, déi baussent dem Host liewen, wéi DNS-Recorden, Cloud-Firewall-Reegelen an den Dossier, géint deen de Gateway authentifizéiert. E Plang, deen se ignoréiert, produiséiert en restauréierte Server, deen gesond ausgesäit an keen eralléisst.

Gruppéiert d’Material an dräi Kierf: Identitéit, Konfiguratioun an Zoustand. D’Identitéit sinn d’Schlësselen, d’Zertifikater an d’Autoritéit, déi se ënnerschreift. D’Konfiguratioun sinn d’Daemon-Astellungen, d’Pools, d’Routen an d’Firewall-Politik, während den Zoustand de Set vu Peers, Konten a Widderruff ass, deen all Dag ännert.

D’Identitéit ass deen Deel, deen dir net kënnt nei generéieren

Privat Schlësselen kann een net aus dem Gediechtnes nei erstellen, an d’Zertifikater, déi dovun ofhänken, lafen no engem Zäitplang of, deen dir ierft amplaz ze wielen. Maacht e Backup vum Serverschlëssel, vum Client-Bereetstellungsmaterial an vun der Zertifizéierungsautoritéit, a notéiert dann, wéi eng dovun offline bleiwe sollen. En Autoritéitsschlëssel, deen nëmmen um lafende Gateway lieft, ass ee Kompromiss vun engem kompleten Identitéitsreset fir all Client ewech. Hält fest, wat bewosst soss anzwousch gespäichert gëtt, sou datt et keen an en Archiv mat manner Schutz duplizéiert.

De Widderruff verdéngt seng eege Linn am Plang. D’Restauratioun vun der Konfiguratioun vun gëschter kann eng Identitéit erëm asetzen, déi dir haut ewechgeholl hutt, wat eng Restauratioun an en Sécherheetsepisod ëmwandelt. Hält den aktuellen Widderruffzoustand op enger Plaz onofhängeg vum Snapshot, op deen dir zréckgéif, a kontrolléiert en no all Restauratioun.

Hält den Zoustand an engem Moment fest

Eng Kopie, déi geholl gëtt, während de Service schreift, ergëtt en inkonsistent Inventar, an inkonsistent Identitéitsdaten sinn schlëmmer wéi eng méi al propper Kopie. Benotzt dee ënnerstëtzten Exportwee fir all Späicher, a registréiert dann den Zäitpunkt vum Snapshot, well all spéider Fro iwwer d’Restauratioun dovun ofhänkt.

wg showconf wg0 > /srv/backup/wg0.runtime.conf
sqlite3 /var/lib/vpn/admin.db ".backup '/srv/backup/admin.db'"
cp -a /etc/wireguard /srv/backup/etc-wireguard
sha256sum /srv/backup/*.conf > /srv/backup/MANIFEST

Deen éischte Kommando dréckt de lafenden Interface als Konfiguratioun erëm aus, wat de séierste Wee ass, Peers ze fänken, déi vun Hand amplaz vun engem Verwaltungsinstrument bäigefüügt goufen; dat wg(8)-Handbuch dokumentéiert et. D’sqlite-Linn ass de Muster fir eng Verwaltungsdatebank: de Backup-Kommando produzéiert eng konsistent Kopie, während de Schreifweiterleeft. D’Dossierkopie erhält d’Berechtegungen, wat zielt, well déi Schlësseldateie just vum root gelies kënne ginn. D’Manifest ass et, wat dir erlaabt, en komplett Archiv vun engem ofgeschniddene z’ënnerscheeden.

Maacht d’Restauratioun méiglech a probéiert se dunn

Verschlësselt d’Archiv a hält de Restauratiounsschlëssel soss anzwousch wéi op der Maschinn, vun där en komm ass. E Backup, deem seng Passphrase just um ausgefallene Server existéiert, ass e Backup, deen keen opmaacht. Beschränkt d’Ofruff op d’Leit, déi de Gateway schonn administréiere konnten, a loggt all Ofruff. Test d’Restauratioun op engem isoléierten Netzwierk, well eng geklonte Identitéit, déi nieft der Produktioun opgestallt gëtt, zwee Serveren erschaaft, déi fir dee selwechte Peerschlëssel äntweren.

Dokumentéiert d’Ausname sou suergfälteg wéi den Inhalt. Cloud-Firewall-Reegelen, DNS-Recorden an en externen Dossier kënnen all hir eege Restauratiounsschrétt brauchen. Eng erfollegräich Dateikopie ass kee Beweis, datt de Service zréckkënnt; deen eenzege Beweis, deen zielt, ass en nei gebauten Endpunkt, deen deeselwechte Akzeptanztest wéi dat Original besteet.