Backup tas-server VPN: iddeċiedi x’għandu jkun restawrabbli

L-ikkupjar ta’ fajl ta’ konfigurazzjoni mhuwiex backup, u backup li ħadd ma jista’ jirrestawra mhuwiex pjan. L-arkivju għandu jkun fih l-identità tas-servizz, il-politika madwaru u l-istat li jgħid liema apparati għadhom permessi. Għandu wkoll ikun protett, għax f’ħafna skjeramenti l-arkivju jagħti eżattament dak li jagħti l-VPN. Id-deċiżjoni dwar x’għandu jkun restawrabbli tiġi l-ewwel; il-lista tal-fajls issegwi dik id-deċiżjoni.

Ibda mill-mira ta’ bini mill-ġdid

Ikteb x’għandu jagħmel server mibni mill-ġdid qabel ma telenka fajl wieħed: itemm l-istess minjieri, jippreżenta l-istess identità u jirrifjuta l-apparati li bħalissa huma revokati. Dik is-sentenza teskludi ħafna mill-kopji naive, għax direttorju ta’ konfigurazzjoni rarament ikun fih il-lista ta’ revoka jew id-dipendenza tal-identità esterna. Hija wkoll tesponi l-partijiet li jgħixu barra mill-host, bħal rekords DNS, regoli tal-firewall tal-cloud u d-direttorju li l-gateway jawtentika miegħu. Pjan li jinjorahom jipproduċi server restawrat li jidher b’saħħtu u ma jdaħħal lil ħadd.

Iġbor il-materjal fi tliet basktijiet: identità, konfigurazzjoni u stat. L-identità huma ċ-ċwievet, iċ-ċertifikati u l-awtorità li tiffirmahom. Il-konfigurazzjoni hija s-settings tad-daemon, il-pools, ir-rotot u l-politika tal-firewall, filwaqt li l-istat huwa s-sett ta’ peers, kontijiet u revoki li jinbidel kuljum.

L-identità hija l-parti li ma tistax tiġġenera mill-ġdid

Iċ-ċwievet privati ma jistgħux jinħolqu mill-ġdid mill-memorja, u ċ-ċertifikati li jiddependu minnhom jiskadu skont skeda li tintiret minflok tagħżel. Agħmel backup taċ-ċavetta tas-server, tal-materjal tal-forniment tal-klijenti u tal-awtorità taċ-ċertifikati, imbagħad innota liema minnhom għandhom jibqgħu offline. Ċavetta tal-awtorità li tgħix biss fuq il-gateway li qed jaħdem hija kompromess wieħed ’il bogħod minn reset sħiħ tal-identità għal kull klijent. Irreġistra x’inhu maħżun b’mod deliberat x’imkien ieħor biex ħadd ma jidduplikah f’arkivju b’inqas protezzjoni.

Ir-revoka jistħoqqilha linja tagħha fil-pjan. Ir-restawr tal-konfigurazzjoni ta’ bieraħ jista’ jerġa’ jdaħħal identità li neħħejt illum, li jbiddel irkupru f’inċident tas-sigurtà. Żomm l-istat tar-revoka attwali f’post indipendenti mill-istantanja li kieku tmur lura għaliha, u iċċekkjah wara kull restawr.

Aqbad l-istat f’mument wieħed

Kopja meħuda waqt li s-servizz qed jikteb tipproduċi inventar mhux konsistenti, u data tal-identità mhux konsistenti hija agħar minn kopja nadifa eqdem. Uża l-mogħdija tal-esportazzjoni appoġġata għal kull maħżen, imbagħad irreġistra l-ħin tal-istantanja, għax kull mistoqsija aktar tard dwar ir-restawr tiddependi fuqha.

wg showconf wg0 > /srv/backup/wg0.runtime.conf
sqlite3 /var/lib/vpn/admin.db ".backup '/srv/backup/admin.db'"
cp -a /etc/wireguard /srv/backup/etc-wireguard
sha256sum /srv/backup/*.conf > /srv/backup/MANIFEST

L-ewwel kmand jistampa l-interface li qed taħdem lura bħala konfigurazzjoni, li hija l-aktar mod mgħaġġel biex taqbad peers miżjuda bl-idejn minflok b’għodda tal-ġestjoni; dan jispjegah il-manwal ta’ wg(8). Il-linja sqlite hija l-mudell għal database tal-ġestjoni: il-kmand tal-backup jipproduċi kopja konsistenti waqt li l-kittieb ikompli. Il-kopja tad-direttorju tippreserva l-permessi, li jgħodd għax dawk il-fajls taċ-ċwievet jinqraw biss mill-root. Il-manifest huwa dak li jħallik tiddistingwi arkivju sħiħ minn wieħed maqtugħ.

Agħmel ir-restawr possibbli, imbagħad ippruvah

Iċċifra l-arkivju u żomm iċ-ċavetta tal-irkupru x’imkien ieħor għajr il-magna li minnha ġiet. Backup li l-passphrase tiegħu teżisti biss fuq is-server fallut huwa backup li ħadd ma se jiftaħ. Illimita l-ġbir għan-nies li diġà setgħu jamministraw il-gateway, u rreġistra kull ġbir. Iġġarrab ir-restawr fuq netwerk iżolat, għax identità kklonata mqajma ħdejn il-produzzjoni toħloq żewġ servers li jwieġbu għall-istess ċavetta tal-peer.

Iddokumenta l-esklużjonijiet bl-istess attenzjoni bħall-kontenut. Ir-regoli tal-firewall tal-cloud, ir-rekords DNS u direttorju estern jistgħu kull wieħed jeħtieġ il-pass tal-irkupru tiegħu. Kopja tal-fajls li tirnexxi mhijiex prova li s-servizz jerġa’ lura; l-unika prova li tgħodd hija endpoint mibni mill-ġdid li jgħaddi l-istess test ta’ aċċettazzjoni bħall-oriġinal.