VPN सर्व्हर बॅकअप: काय पुनर्संचयित करण्यायोग्य असावे हे ठरवा

कॉन्फिगरेशन फाइल कॉपी करणे हा बॅकअप नाही, आणि जो बॅकअप कोणीही पुनर्संचयित करू शकत नाही तो आराखडा नाही. संग्रहात सेवेची ओळख, तिच्याभोवतीचे धोरण आणि कोणत्या उपकरणांना अजून परवानगी आहे हे सांगणारी स्थिती असली पाहिजे. तो संरक्षितही केला पाहिजे, कारण बहुतेक तैनातींमध्ये संग्रह नेमके तेच देतो जे VPN देतो. काय पुनर्संचयित करण्यायोग्य असावे हे ठरवणे आधी येते; फाईल यादी त्या निर्णयातून येते.

पुनर्बांधणीच्या लक्ष्यापासून सुरुवात करा

एकही फाईल सूचीबद्ध करण्यापूर्वी पुनर्बांधलेल्या सर्व्हरने काय करावे ते लिहा: तेच बोगदे संपवणे, तीच ओळख सादर करणे आणि सध्या रद्द केलेल्या उपकरणांना नकार देणे. ते वाक्य बहुतेक साध्या कॉपी वगळते, कारण कॉन्फिगरेशन डिरेक्टरीत रद्दीकरण यादी किंवा बाह्य ओळख अवलंबित्व क्वचितच असते. ते होस्टबाहेर राहणारे भागही उघड करते, जसे DNS रेकॉर्ड, क्लाउड फायरवॉल नियम आणि गेटवे ज्या डिरेक्टरीविरुद्ध प्रमाणीकरण करतो ती डिरेक्टरी. त्यांना दुर्लक्ष करणारा आराखडा निरोगी दिसणारा पण कोणालाही आत न घेणारा पुनर्संचित सर्व्हर तयार करतो.

सामग्री तीन टोपल्यांत गटबद्ध करा: ओळख, कॉन्फिगरेशन आणि स्थिती. ओळख म्हणजे किल्ल्या, प्रमाणपत्रे आणि त्यांना स्वाक्षरी करणारी प्राधिकृती. कॉन्फिगरेशन म्हणजे डीमन सेटिंग्ज, पूल, मार्ग आणि फायरवॉल धोरण, तर स्थिती म्हणजे दररोज बदलणारा सहकाऱ्यांचा, खात्यांचा आणि रद्दीकरणांचा संच.

ओळख हा असा भाग आहे जो तुम्ही पुन्हा तयार करू शकत नाही

खाजगी किल्ल्या स्मृतीतून पुन्हा तयार करता येत नाहीत, आणि त्यांच्यावर अवलंबून असलेली प्रमाणपत्रे तुम्ही निवडलेल्या नव्हे तर वारशाने मिळालेल्या वेळापत्रकानुसार संपतात. सर्व्हर किल्ली, क्लायंट पुरवठा सामग्री आणि प्रमाणपत्र प्राधिकृतीचा बॅकअप घ्या, नंतर त्यातील कोणते ऑफलाइन राहावे ते नोंदवा. फक्त चालू गेटवेवर राहणारी प्राधिकृतीची किल्ली प्रत्येक क्लायंटसाठी संपूर्ण ओळख रीसेटपासून एका तडजोडीइतकी दूर आहे. जाणूनबुजून दुसरीकडे काय ठेवले जाते ते नोंदवा, जेणेकरून कोणीही ते कमी संरक्षणाच्या संग्रहात नकलणार नाही.

रद्दीकरण आराखड्यात स्वतःच्या ओळीला पात्र आहे. कालचे कॉन्फिगरेशन पुनर्संचयित केल्यास आज तुम्ही काढून टाकलेली ओळख परत येऊ शकते, ज्यामुळे पुनर्प्राप्ती सुरक्षा घटनेत बदलते. सध्याची रद्दीकरण स्थिती तुम्ही परत जाणार असलेल्या स्नॅपशॉटपासून स्वतंत्र जागी ठेवा, आणि कोणत्याही पुनर्संचयनानंतर ती तपासा.

एका क्षणात स्थिती कॅप्चर करा

सेवा लिहित असताना घेतलेली कॉपी विसंगत यादी तयार करते, आणि विसंगत ओळख डेटा जुन्या स्वच्छ कॉपीपेक्षा वाईट आहे. प्रत्येक साठ्यासाठी समर्थित निर्यात मार्ग वापरा, नंतर स्नॅपशॉटची वेळ नोंदवा, कारण पुनर्संचयनाबद्दलचा प्रत्येक पुढील प्रश्न त्यावर अवलंबून आहे.

wg showconf wg0 > /srv/backup/wg0.runtime.conf
sqlite3 /var/lib/vpn/admin.db ".backup '/srv/backup/admin.db'"
cp -a /etc/wireguard /srv/backup/etc-wireguard
sha256sum /srv/backup/*.conf > /srv/backup/MANIFEST

पहिला आदेश चालू इंटरफेस कॉन्फिगरेशन म्हणून परत छापतो, जो व्यवस्थापन साधनाऐवजी हाताने जोडलेले सहकारी पकडण्याचा सर्वात वेगवान मार्ग आहे; हे wg(8) पुस्तिका नोंदवते. sqlite ओळ व्यवस्थापन डेटाबेससाठी नमुना आहे: बॅकअप आदेश लेखक चालू असतानाच सुसंगत कॉपी तयार करतो. डिरेक्टरी कॉपी परवानग्या जपते, जे महत्त्वाचे आहे कारण त्या किल्ली फाइल्स केवळ root वाचू शकतो. मॅनिफेस्ट हेच तुम्हाला पूर्ण संग्रह आणि कापलेला संग्रह वेगळे ओळखू देते.

पुनर्संचयन शक्य करा आणि नंतर ते तपासा

संग्रह एन्क्रिप्ट करा आणि पुनर्प्राप्ती किल्ली ती ज्या मशीनवरून आली त्या व्यतिरिक्त कुठे ठेवा. ज्या बॅकअपचा पासफ्रेज केवळ अपयशी सर्व्हरवर आहे तो असा बॅकअप आहे जो कोणी उघडणार नाही. पुनर्प्राप्ती गेटवे आधीच व्यवस्थापित करू शकणाऱ्यांपुरती मर्यादित ठेवा, आणि प्रत्येक पुनर्प्राप्तीची नोंद ठेवा. पुनर्संचयन वेगळ्या नेटवर्कवर तपासा, कारण उत्पादनाच्या शेजारी उभारलेली क्लोन ओळख एकाच सहकाऱ्याच्या किल्लीसाठी उत्तर देणारे दोन सर्व्हर तयार करते.

वगळलेल्या गोष्टी सामग्रीइतक्याच काळजीपूर्वक नोंदवा. क्लाउड फायरवॉल नियम, DNS रेकॉर्ड आणि बाह्य डिरेक्टरी यापैकी प्रत्येकाला स्वतःचे पुनर्प्राप्ती पाऊल लागू शकते. यशस्वी फाईल कॉपी म्हणजे सेवा परत येते याचा पुरावा नाही; मूळाप्रमाणेच तीच स्वीकृती चाचणी उत्तीर्ण होणारा पुनर्बांधलेला अंतबिंदू हाच एकमेव विचारात घेतला जाणारा पुरावा आहे.