VPN серверийн нөөц хуулбар: юуг сэргээх боломжтой байх ёстойг шийдээрэй

Тохиргооны файлыг хуулах нь нөөц хуулбар биш, хэн ч сэргээж чадахгүй хуулбар бол төлөвлөгөө биш юм. Архивт үйлчилгээний таних тэмдэг, түүнийг тойрсон бодлого, аль төхөөрөмжид хараахан зөвшөөрөгдсөнийг хэлэх төлөв байх ёстой. Үүнийг мөн хамгаалах ёстой, учир нь ихэнх байршуулалтад архив нь VPN-ийн өгдөг зүйлийг яг өгдөг. Юуг сэргээх боломжтой байх ёстойг шийдэх нь нэгдүгээрт; файлын жагсаалт тэр шийдвэрээс гардаг.

Дахин бүтээх зорилгоос эхэл

Нэг ч файл жагсаахаас өмнө дахин бүтээсэн сервер юу хийх ёстойг бичээрэй: ижил туннелийг хааж, ижил таних тэмдгийг үзүүлж, одоо цуцлагдсан төхөөрөмжүүдээс татгалзах. Энэ өгүүлбэр нь ихэнх энгийн хуулбарыг хасдаг, учир нь тохиргооны хавтас цуцлалтын жагсаалт эсвэл гадаад таних тэмдгийн хамаарлыг ховор агуулдаг. Энэ нь мөн хост гадна амьдардаг хэсгүүдийг илчилдэг, тухайлбал DNS бүртгэл, үүлэн галт ханын дүрэм, гарц нэвтрүүлэх хавтас. Тэдгээрийг үл тоомсорлосон төлөвлөгөө эрүүл харагдах боловч хэнийг ч оруулахгүй сэргээсэн сервер үүсгэдэг.

Материалыг гурван сагсанд бүлэглэ: таних тэмдэг, тохиргоо, төлөв. Таних тэмдэг нь түлхүүр, гэрчилгээ, тэдгээрт гарын үсэг зурдаг байгууллага юм. Тохиргоо нь демоны тохиргоо, санууд, маршрут, галт ханын бодлого, харин төлөв нь өдөр бүр өөрчлөгддөг хамтрагч, бүртгэл, цуцлалтын багц юм.

Таних тэмдэг бол дахин үүсгэж чадахгүй хэсэг

Хувийн түлхүүрийг санах ойгоос дахин үүсгэх боломжгүй, тэдгээрээс хамааралтай гэрчилгээ нь таны сонгосон бус өвлөсөн хуваарийн дагуу дуусдаг. Серверийн түлхүүр, клиентийн хангамжийн материал, гэрчилгээний байгууллагын нөөц хуулбарыг авч, дараа нь аль нь сүлжээнээс гадуур байх ёстойг тэмдэглэ. Зөвхөн ажиллаж буй гарц дээр амьдардаг байгууллагын түлхүүр нь клиент бүрийн таних тэмдгийг бүрэн дахин тохируулахаас нэг эвдрэлийн зайд байна. Зориуд өөр газар хадгалж буйг бүртгэ, хэн ч үүнийг бага хамгаалалттай архивт хуулахгүйн тулд.

Цуцлалт төлөвлөгөөнд өөрийн гэсэн мөр хүртэх ёстой. Өчигдрийн тохиргоог сэргээх нь өнөөдөр устгасан таних тэмдгийг буцааж авчирж болно, энэ нь сэргээлтийг аюулгүй байдлын осол болгоно. Одоогийн цуцлалтын төлөвийг буцаж очих агшны хуулбараас хамааралгүй газар хадгалж, ямар ч сэргээлтийн дараа шалгаарай.

Төлөвийг нэг мөчид агшин зураг болго

Үйлчилгээ бичиж байх үед авсан хуулбар нь зөрчилтэй бүртгэл үүсгэдэг, зөрчилтэй таних тэмдгийн өгөгдөл нь хуучин цэвэр хуулбараас дор юм. Хадгалалт бүрд дэмжигдсэн экспортын замыг ашиглаж, дараа нь агшны цагийг бүртгэ, учир нь сэргээлтийн тухай дараагийн асуулт бүр үүнээс хамаарна.

wg showconf wg0 > /srv/backup/wg0.runtime.conf
sqlite3 /var/lib/vpn/admin.db ".backup '/srv/backup/admin.db'"
cp -a /etc/wireguard /srv/backup/etc-wireguard
sha256sum /srv/backup/*.conf > /srv/backup/MANIFEST

Эхний команд нь ажиллаж буй интерфэйсийг тохиргоо болгон буцааж хэвлэдэг, энэ нь удирдлагын хэрэгслээр биш гараар нэмсэн хамтрагчдыг барих хамгийн хурдан арга; үүнийг wg(8) гарын авлага баримтжуулдаг. sqlite мөр нь удирдлагын мэдээллийн сангийн загвар: нөөц хуулбарын команд бичигч үргэлжлэх үед тууштай хуулбар үүсгэдэг. Хавтасны хуулбар нь зөвшөөрлийг хадгалдаг, энэ нь чухал, учир нь тэдгээр түлхүүрийн файлыг зөвхөн root уншиж чадна. Манифест нь бүрэн архивыг тасалсан архиваас ялгах боломж олгодог.

Сэргээлтийг боломжтой болгоод дараа нь туршаарай

Архивыг шифрлэж, сэргээлтийн түлхүүрийг энэ гарсан машинаас өөр газар хадгал. Нууц үг нь зөвхөн бүтэлгүйтсэн сервер дээр байдаг хуулбар бол хэн ч нээхгүй хуулбар юм. Сэргээлтийг гарцыг аль хэдийн удирдаж чадах хүмүүсээр хязгаарлаж, сэргээлт бүрийг бүртгэ. Сэргээлтийг тусгаарлагдсан сүлжээнд туршаарай, учир нь үйлдвэрлэлийн хажууд өргөсөн клон таних тэмдэг нь нэг хамтрагчийн түлхүүрт хариу өгдөг хоёр сервер үүсгэдэг.

Оруулалгүй үлдээсэн зүйлсийг агуулга шигээ болгоомжтой баримтжуул. Үүлэн галт ханын дүрэм, DNS бүртгэл, гадаад хавтас тус бүр өөрийн сэргээлтийн алхам шаардаж болно. Файлын амжилттай хуулбар нь үйлчилгээ буцаж ирсний баталгаа биш; тооцогдох цорын ганц баталгаа бол эх хуулбартай ижил хүлээн авах шалгалтыг давсан дахин бүтээсэн төгсгөлийн цэг юм.