Резервна копија на VPN сервер: одлучете што мора да биде вратливо

Копирање на конфигурациска датотека не е резервна копија, а копија што никој не може да ја врати не е план. Архивата мора да го содржи идентитетот на услугата, политиката околу неа и состојбата што кажува на кои уреди уште им е дозволено. Таа мора и да биде заштитена, бидејќи во повеќето поставувања архивата дава точно она што го дава VPN. Одлуката што мора да биде вратливо доаѓа прва; списокот на датотеки произлегува од таа одлука.

Започнете од целта на повторна изградба

Запишете што мора да прави повторно изградениот сервер пред да наведете и една датотека: да ги завршува истите тунели, да го претставува истиот идентитет и да ги одбива уредите што се моментално отповикани. Таа реченица ги исклучува повеќето наивни копии, бидејќи конфигурациската папка ретко го содржи списокот на отповикувања или надворешната зависност од идентитет. Таа исто така ги открива деловите што живеат надвор од домаќинот, како DNS записи, правила на облачен firewall и папката кон која портата се автентицира. План што ги игнорира дава вратен сервер што изгледа здрав, а не прима никого.

Групирајте го материјалот во три кошници: идентитет, конфигурација и состојба. Идентитетот се клучевите, сертификатите и органот што ги потпишува. Конфигурацијата се поставките на демонот, базените, рутите и политиката на firewall, а состојбата е множеството врсници, сметки и отповикувања што се менува секој ден.

Идентитетот е делот што не можете да го создадете повторно

Приватните клучеви не можат да се создадат повторно од меморија, а сертификатите што зависат од нив истекуваат по распоред што го наследувате, наместо да го избирате. Направете резервна копија од клучот на серверот, материјалот за снабдување клиенти и органот за сертификати, потоа забележете кои од нив треба да останат вон мрежа. Клуч на орган што живее само на портата што работи е еден компромис далеку од целосно ресетирање на идентитетот за секој клиент. Забележете што намерно се чува на друго место, за да не го дуплира никој во архива со помала заштита.

Отповикувањето заслужува свој ред во планот. Враќањето на вчерашната конфигурација може да врати идентитет што сте го отстраниле денес, што го претвора враќањето во безбедносен инцидент. Чувајте ја тековната состојба на отповикување на место независно од снимката кон која би се вратиле, и проверете ја по секое враќање.

Снимете ја состојбата во еден момент

Копија направена додека услугата пишува дава неконзистентен инвентар, а неконзистентните податоци за идентитетот се полоши од постара чиста копија. Користете го поддржаниот пат за извоз за секое складиште, потоа забележете го времето на снимката, бидејќи секое подоцнежно прашање за враќањето зависи од него.

wg showconf wg0 > /srv/backup/wg0.runtime.conf
sqlite3 /var/lib/vpn/admin.db ".backup '/srv/backup/admin.db'"
cp -a /etc/wireguard /srv/backup/etc-wireguard
sha256sum /srv/backup/*.conf > /srv/backup/MANIFEST

Првата наредба го печати интерфејсот што работи како конфигурација, што е најбрзиот начин да ги фатите врсниците додадени рачно, а не со алатка за управување; тоа го документира прирачникот wg(8). Редот sqlite е образецот за база за управување: наредбата за резервна копија создава конзистентна копија додека пишувачот продолжува да работи. Копијата на папката ги зачувува дозволите, што е важно бидејќи тие клучни датотеки може да ги чита само root. Манифестот е она што ви овозможува да разликувате целосна архива од скратена.

Овозможете го враќањето, па пробајте го

Шифрирајте ја архивата и чувајте го клучот за враќање на друго место, а не на машината од која доаѓа. Резервна копија чија лозинка постои само на паднатиот сервер е копија што никој нема да ја отвори. Ограничете го добивањето на луѓето што веќе можеле да ја администрираат портата, и евидентирајте го секое добивање. Тестирајте го враќањето на изолирана мрежа, бидејќи клониран идентитет подигнат покрај продукцијата создава два сервери што одговараат за истиот клуч на врсник.

Документирајте ги исклучоците исто толку внимателно како содржината. Правилата на облачниот firewall, DNS записите и надворешната папка може секое да бара свој чекор за враќање. Успешното копирање датотеки не е доказ дека услугата се враќа; единствениот доказ што се брои е вратена крајна точка што ја поминува истата прифатна проверка како оригиналот.