Резервна копија на контејнерот или на неговите датотеки? Одлучете според формата на враќање

Може да направите резервна копија на шифриран контејнер како еден објект или да го монтирате и да ги копирате датотеките внатре. Двете без проблем поминуваат низ VPN и таму сличноста завршува. Тие враќаат различни работи, зависат од различни клучеви, зафаќаат различен простор и не успеваат на различни начини кога некому му требаат податоците назад. Прво изберете го објектот на враќање, потоа транспортот, потоа шифрирањето на зачуваната копија. Списокот подолу оди по тој редослед, бидејќи речиси секој спор за резервни копии е всушност несогласување за тоа која од тие три одлуки е донесена прва.

Два објекта, две форми на враќање

Копија на ниво на слика враќа контејнер: го добивате шифрираниот волумен назад и сè уште ви треба неговиот материјал за враќање за да го отворите. Копија на ниво на датотеки враќа датотеки и дрвја на директориуми, а шифрирањето што ги штити е својство на складиштето за копии, а не на првобитниот контејнер. Едноставна копија во оддалечена папка е трет случај и ја наследува заштитата што таа папка случајно ја има.

Средниот ред е оној што луѓето погрешно го читаат. Тоа може да биде сосема добар дизајн: програмата за копии чита чист текст локално и пишува шифрирано, автентицирано складиште. Тогаш безбедноста се потпира на таа програма и нејзините акредитиви, а не на лозинката на првобитниот контејнер, и двете не треба да се опишуваат како да се иста контрола.

Проверка 1: што треба да реконструира враќањето?

Поставете го прашањето во форма на враќање, не на копија. Ако барањето е „врати ја оваа услуга на друг хост“, сликата со нејзиниот материјал за враќање е кохерентен одговор. Ако барањето е „врати ја финансиската табела од март“, враќањето на слика од неколку гигабајти само за да извлечете една датотека е скап одговор. Двете се легитимни враќања и не се меѓусебно заменливи буџети. План што именува само едно од нив порано или подоцна ќе биде тестиран со другото.

Запишете ја целта на враќањето во планот: цел волумен, дрво на директориуми или поединечни датотеки. Потоа забележете кои метаподатоци мора да патуваат со нив, бидејќи сопственоста, дозволите, проширените атрибути и временските ознаки се дел од враќањето на ниво на датотеки и често се губат во работните текови засновани на копирање што изгледале доволни при тестирањето.

Одлучете и кој го изведува враќањето. Складиште на ниво на датотеки што секој оператор може да го монтира е различен модел на пристап од слика што бара присуство на сопственикот на клучот, и ниту едно не е автоматски подобро. Важно е изборот да биде намерен и запишан.

Проверка 2: што ја штити зачуваната копија?

VPN штити транспортен сегмент. Тој не кажува ништо за зачуваната копија откако преносот ќе заврши, и „помина низ тунелот“ не е изјава за способноста на операторот на копии да ги чита вашите податоци. Ако оддалечената страна ја води некој друг, прашањето е што тие можат да прочитаат, а не дали врската била шифрирана.

За слика тоа значи да го заштитите клучниот материјал на контејнерот одвоено од самата слика. Губењето на заглавието значи губење на волуменот, затоа направете копија од заглавието таму каде што сликата ја нема:

cryptsetup luksHeaderBackup /dev/vg0/data --header-backup-file data-header.img
cryptsetup luksDump /dev/vg0/data | head -20

За складиште на ниво на датотеки, проверете дали алатката ги шифрира и автентицира содржината и метаподатоците пред да го напуштат хостот, и откријте кој ги држи клучевите. Restic-овата документација за дизајнот јасно наведува дека претпоставува доверлив изворен хост и дека шифрирањето не спречува некој со пристап до складиштето да ги избрише копиите. Двете предупредувања се важни: складиштето може да биде доверливо и сепак уништено.

Проверка 3: дали копијата е конзистентна?

Копија што зафаќа менувачки датотечен систем е копија, а не точка на враќање. За слика користете го поддржаниот метод на алатката за волумени за стабилен снимок, што обично значи операција на снимок или одмонтирање, а не читање голема датотека додека се менува:

lvcreate -L 5G -s -n data-snap /dev/vg0/data
cryptsetup open /dev/vg0/data-snap data-snap --readonly

За монтирани датотеки користете ја поддржаната постапка за конзистентност на апликацијата за активни бази на податоци и други координирани податоци. Копија на ниво на датотечен систем и точка на враќање конзистентна со апликацијата се различни описи, а разликата станува видлива само кога ќе се обидете да ја стартувате апликацијата од вратената копија.

Држете го материјалот за враќање на независна заштитена патека. Губењето на првобитната машина никогаш не треба да значи и губење на единствените акредитиви што ја отвораат нејзината копија, и токму тоа се случува кога датотеката со клучот живее на волуменот што се копира. Тестирајте го тоа одвојување намерно: вратете на хост што никогаш не го видел оригиналот, користејќи само она што планот го наведува како достапно.

Проверка 4: дали откривањето промени важи за овој објект?

Шифрираниот контејнер им изгледа на повеќето алатки за пренос како една голема непроѕирна датотека, затоа мала промена во чист текст може да предизвика големо повторно читање или целосно повторно качување, зависно од алатката и форматот. Поделбата на блокови со променлива големина и отстранувањето дупликати, како што документира restic, можат да го намалат тоа, но тоа е својство на таа алатка, а не на шифрираните контејнери општо.

Мерете наместо да претпоставувате. Споредете го првото извршување со второто по мала, безопасна промена, и запишете ги пренесените бајти и поминатото време. Зачувајте познато добра копија додека експериментирате, за да не потроши тестот единствената точка на враќање.

Потоа завршете го списокот со единствениот тест што е важен: враќање без првобитната машина. Отворете вратен контејнер или вратете избрани датотеки со нивните метаподатоци и потврдете дека апликацијата или корисникот може да го искористи резултатот. Брз, добро шифриран пренос што не може да одговори на тој тест е копија на вашите податоци, а не нивна резервна копија.