Back-up van de container of van de bestanden erin? Beslis op basis van de herstelvorm

U kunt een versleutelde container als één object back-uppen, of hem aankoppelen en de bestanden erin back-uppen. Beide gaan zonder problemen door de VPN, en daar houdt de overeenkomst op. Ze herstellen verschillende dingen, ze leunen op verschillende sleutels, ze kosten verschillende hoeveelheden ruimte, en ze falen op verschillende manieren wanneer iemand de gegevens terug nodig heeft. Kies eerst het herstelobject, dan het transport, dan de versleuteling van de opgeslagen kopie. De checklist hieronder volgt die volgorde, omdat bijna elk back-upgeschil in werkelijkheid een meningsverschil is over welke van die drie beslissingen het eerst is genomen.

Twee objecten, twee herstelvormen

Een imageback-up herstelt een container: u krijgt het versleutelde volume terug en hebt nog steeds het herstelmateriaal nodig om het te openen. Een bestandsback-up herstelt bestanden en mappenbomen, en welke versleuteling ze ook beschermt is een eigenschap van het back-updepot en niet van de oorspronkelijke container. Een gewone kopie naar een externe map is een derde geval, en die erft de bescherming die die map toevallig heeft.

De middelste rij is degene die mensen verkeerd lezen. Het kan een heel goed ontwerp zijn: het back-upprogramma leest lokaal platte tekst en schrijft een versleuteld, geauthenticeerd depot. De beveiliging rust dan op dat programma en zijn inloggegevens, niet op het wachtwoord van de oorspronkelijke container, en de twee moeten niet worden beschreven alsof het dezelfde controle is.

Controle 1: wat moet het herstel reconstrueren?

Stel de vraag in de vorm van een herstel, niet van een back-up. Als de eis is “deze dienst op een andere host terugbrengen”, is een image met het bijbehorende herstelmateriaal een samenhangend antwoord. Als de eis is “de financiële spreadsheet van maart terughalen”, is het herstellen van een image van meerdere gigabytes om één bestand eruit te halen een dure manier om te antwoorden. Beide zijn legitieme herstellen en het zijn geen uitwisselbare budgetten. Een plan dat er maar één noemt, wordt vroeg of laat met het andere getest.

Schrijf het hersteldoel in het plan: het hele volume, een mappenboom of afzonderlijke bestanden. Noteer daarna welke metadata mee moeten reizen, want eigenaarschap, rechten, uitgebreide attributen en tijdstempels horen bij een bestandsback-up en gaan vaak verloren in op kopiëren gebaseerde werkwijzen die tijdens het testen voldoende leken.

Bepaal ook wie het herstel uitvoert. Een bestandsdepot dat elke operator kan aankoppelen is een ander toegangsmodel dan een image waarvoor de sleutelhouder aanwezig moet zijn, en geen van beide is automatisch beter. Wat telt is dat de keuze bewust en opgeschreven is.

Controle 2: wat beschermt de opgeslagen kopie?

De VPN beschermt een transportsegment. Hij zegt niets over de opgeslagen kopie nadat de overdracht klaar is, en “het ging door de tunnel” is geen uitspraak over het vermogen van de back-upoperator om uw gegevens te lezen. Als de externe kant door iemand anders wordt beheerd, is de vraag wat zij kunnen lezen, niet of de verbinding versleuteld was.

Voor een image betekent dat het sleutelmateriaal van de container apart van de image zelf beschermen. De header verliezen is het volume verliezen, dus back-upt u de header ergens waar de image niet is:

cryptsetup luksHeaderBackup /dev/vg0/data --header-backup-file data-header.img
cryptsetup luksDump /dev/vg0/data | head -20

Voor een bestandsdepot controleert u of het gereedschap inhoud en metadata versleutelt en authenticeert voordat ze de host verlaten, en zoekt u uit wie de sleutels heeft. De ontwerpdocumentatie van Restic zegt uitdrukkelijk dat het een vertrouwde bronhost veronderstelt en dat versleuteling niet verhindert dat iemand met toegang tot de opslag back-ups verwijdert. Beide voorbehouden zijn belangrijk: een depot kan vertrouwelijk zijn en toch worden vernietigd.

Controle 3: is de kopie consistent?

Een back-up die een veranderend bestandssysteem vastlegt is een kopie, geen herstelpunt. Voor een image gebruikt u de ondersteunde methode van het volumegereedschap voor een stabiele momentopname, wat meestal een momentopnamebewerking of een ontkoppeling betekent in plaats van een groot bestand lezen terwijl het verandert:

lvcreate -L 5G -s -n data-snap /dev/vg0/data
cryptsetup open /dev/vg0/data-snap data-snap --readonly

Voor aangekoppelde bestanden gebruikt u de door de toepassing ondersteunde consistentieprocedure voor actieve databases en andere gecoördineerde gegevens. Een kopie op bestandssysteemniveau en een met de toepassing consistente herstelpunt zijn verschillende beschrijvingen, en het verschil wordt pas zichtbaar als u de toepassing vanuit de herstelde kopie probeert te starten.

Houd het herstelmateriaal op een onafhankelijke beschermde route. Het verliezen van de oorspronkelijke machine mag nooit ook het enige inloggegeven kosten dat de back-up opent, en precies dat gebeurt wanneer het sleutelbestand op het volume staat dat wordt geback-upt. Test die scheiding bewust: herstel op een host die het origineel nooit heeft gezien, met alleen wat het plan als beschikbaar noemt.

Controle 4: geldt de wijzigingsdetectie voor dit object?

Een versleutelde container ziet er voor de meeste overdrachtsgereedschappen uit als één groot ondoorzichtig bestand, dus een kleine wijziging in platte tekst kan een grote herlezing of een volledige herupload veroorzaken, afhankelijk van het gereedschap en het formaat. Opdelen in blokken van variabele grootte en deduplicatie, zoals restic documenteert, kunnen dat verminderen, maar dat is een eigenschap van dat gereedschap en niet van versleutelde containers in het algemeen.

Meet in plaats van aan te nemen. Vergelijk een eerste run met een tweede na een kleine, onschadelijke wijziging, en noteer de overgedragen bytes en de verstreken tijd. Bewaar een bekend goede back-up terwijl u experimenteert, zodat een test niet uw enige herstelpunt verbruikt.

Sluit de checklist dan af met de enige test die telt: herstellen zonder de oorspronkelijke machine. Open een herstelde container, of herstel gekozen bestanden met hun metadata, en bevestig dat de toepassing of de gebruiker het resultaat kan gebruiken. Een snelle, goed versleutelde overdracht die die test niet kan beantwoorden is een kopie van uw gegevens, geen back-up ervan.