VPN servera dublējums: izlemiet, kam jābūt atjaunojamam

Konfigurācijas faila kopēšana nav dublējums, un dublējums, ko neviens nevar atjaunot, nav plāns. Arhīvā jābūt pakalpojuma identitātei, politikai ap to un stāvoklim, kas norāda, kurām ierīcēm vēl ir atļauts. Tas jāaizsargā arī tāpēc, ka lielākajā daļā izvietojumu arhīvs piešķir tieši to, ko piešķir VPN. Lēmums par to, kam jābūt atjaunojamam, nāk pirmais; failu saraksts izriet no šī lēmuma.

Sāciet ar atjaunošanas mērķi

Pierakstiet, kas atjaunotajam serverim jādara, pirms uzskaitāt kaut vienu failu: pārtraukt tos pašus tuneļus, uzrādīt to pašu identitāti un atteikt ierīces, kas pašlaik ir atsauktas. Šis teikums izslēdz lielāko daļu naivo kopiju, jo konfigurācijas direktorijā reti ir atsaukšanas saraksts vai ārējā identitātes atkarība. Tas arī atklāj daļas, kas dzīvo ārpus resursdatora, piemēram, DNS ierakstus, mākoņa ugunsmūra noteikumus un direktoriju, pret kuru vārteja autentificējas. Plāns, kas tās ignorē, rada atjaunotu serveri, kas izskatās vesels un nevienu neielaiž.

Sagrupējiet materiālu trīs grozos: identitāte, konfigurācija un stāvoklis. Identitāte ir atslēgas, sertifikāti un iestāde, kas tos paraksta. Konfigurācija ir dēmona iestatījumi, pūli, maršruti un ugunsmūra politika, savukārt stāvoklis ir vienaudžu, kontu un atsaukumu kopa, kas mainās katru dienu.

Identitāte ir daļa, ko nevarat ģenerēt no jauna

Privātās atslēgas nevar atjaunot no atmiņas, un no tām atkarīgie sertifikāti beidzas pēc grafika, ko jūs mantoja, nevis izvēlaties. Dublējiet servera atslēgu, klientu nodrošināšanas materiālu un sertifikācijas iestādi, pēc tam atzīmējiet, kuri no tiem paliks ārpus tīkla. Iestādes atslēga, kas dzīvo tikai darbojošā vārtejā, ir viena kompromisa attālumā no pilnīgas identitātes atiestatīšanas katram klientam. Pierakstiet, kas apzināti tiek glabāts citur, lai neviens to nedublētu mazāk aizsargātā arhīvā.

Atsaukums ir pelnījis savu rindu plānā. Vakardienas konfigurācijas atjaunošana var atjaunot identitāti, kuru šodien noņēmāt, kas atjaunošanu pārvērš drošības incidentā. Turiet pašreizējo atsaukuma stāvokli vietā, kas nav atkarīga no momentuzņēmuma, uz kuru jūs atgrieztos, un pārbaudiet to pēc jebkuras atjaunošanas.

Ierakstiet stāvokli vienā mirklī

Kopija, kas uzņemta, kamēr pakalpojums raksta, rada nekonsekventu inventarizāciju, un nekonsekventi identitātes dati ir sliktāki par vecāku tīru kopiju. Katram krātuvei izmantojiet atbalstīto eksporta ceļu, pēc tam ierakstiet momentuzņēmuma laiku, jo katrs vēlākais jautājums par atjaunošanu ir atkarīgs no tā.

wg showconf wg0 > /srv/backup/wg0.runtime.conf
sqlite3 /var/lib/vpn/admin.db ".backup '/srv/backup/admin.db'"
cp -a /etc/wireguard /srv/backup/etc-wireguard
sha256sum /srv/backup/*.conf > /srv/backup/MANIFEST

Pirmā komanda izdrukā darbojošos saskarni atpakaļ kā konfigurāciju, kas ir ātrākais veids, kā notvert vienaudžus, kas pievienoti ar roku, nevis ar pārvaldības rīku; to wg(8) rokasgrāmata dokumentē. sqlite rinda ir pārvaldības datubāzes modelis: dublēšanas komanda rada konsekventu kopiju, kamēr rakstītājs turpina darbu. Direktorija kopija saglabā atļaujas, un tas ir svarīgi, jo šos atslēgu failus var lasīt tikai root. Manifests ir tas, kas ļauj atšķirt pilnu arhīvu no apgriezta.

Padariet atjaunošanu iespējamu un pēc tam pārbaudiet to

Šifrējiet arhīvu un glabājiet atjaunošanas atslēgu citur, nevis mašīnā, no kuras tā nāca. Dublējums, kura parole pastāv tikai neizdevušajā serverī, ir dublējums, ko neviens neatvērs. Ierobežojiet izgūšanu ar cilvēkiem, kuri jau varēja pārvaldīt vārteju, un reģistrējiet katru izgūšanu. Pārbaudiet atjaunošanu izolētā tīklā, jo līdzās produkcijai pacelta klonēta identitāte rada divus serverus, kas atbild uz to pašu vienaudža atslēgu.

Dokumentējiet izņēmumus tikpat rūpīgi kā saturu. Mākoņa ugunsmūra noteikumi, DNS ieraksti un ārējs direktorijs katrs var prasīt savu atjaunošanas soli. Veiksmīga failu kopija nav pierādījums, ka pakalpojums atgriežas; vienīgais pierādījums, kas skaitās, ir atjaunots galapunkts, kas iztur to pašu pieņemšanas testu kā oriģināls.