Zálohovať kontajner alebo jeho súbory? Rozhodnite podľa podoby obnovy

Šifrovaný kontajner môžete zálohovať ako jeden objekt, alebo ho pripojiť a zálohovať súbory vnútri. Oboje prejde cez VPN bez problémov a tam podobnosť končí. Obnovujú rozdielne veci, závisia od rozdielnych kľúčov, stoja rozdielne množstvo miesta a zlyhávajú rozdielnym spôsobom, keď niekto potrebuje dáta späť. Najprv zvoľte objekt obnovy, potom prenos, potom šifrovanie uloženej kópie. Kontrolný zoznam nižšie ide v tomto poradí, pretože takmer každý spor o zálohy je v skutočnosti nesúhlas o tom, ktoré z tých troch rozhodnutí bolo urobené prvé.

Dva objekty, dve podoby obnovy

Záloha na úrovni obrazu obnovuje kontajner: dostanete šifrovaný zväzok späť a stále potrebujete jeho obnovovací materiál, aby ste ho otvorili. Záloha na úrovni súborov obnovuje súbory a stromy adresárov a šifrovanie, ktoré ich chráni, je vlastnosťou úložiska záloh, nie pôvodného kontajnera. Obyčajná kópia do vzdialeného priečinka je tretí prípad a dedí tú ochranu, ktorú ten priečinok náhodou má.

Prostredný riadok je ten, ktorý ľudia čítajú nesprávne. Môže to byť úplne dobrý návrh: zálohovací program číta lokálne otvorený text a zapisuje šifrované, autentizované úložisko. Jeho bezpečnosť potom stojí na tomto programe a jeho prihlasovacích údajoch, nie na hesle pôvodného kontajnera, a oboje sa nemá opisovať, akoby išlo o to isté opatrenie.

Kontrola 1: čo musí obnova rekonštruovať?

Pýtajte sa vo forme obnovy, nie zálohy. Ak je požiadavkou „vrátiť túto službu na iný hostiteľ“, obraz plus jeho obnovovací materiál je súvislá odpoveď. Ak je požiadavkou „vrátiť finančnú tabuľku z marca“, obnova obrazu s niekoľkými gigabajtmi len preto, aby ste vytiahli jeden súbor, je drahý spôsob, ako odpovedať. Obe sú legitímne obnovy a nie sú vzájomne zameniteľné rozpočty. Plán, ktorý menuje len jednu z nich, bude skôr či neskôr testovaný tou druhou.

Zapíšte cieľ obnovy do plánu: celý zväzok, strom adresárov alebo jednotlivé súbory. Potom poznačte, aké metadáta musia cestovať s nimi, pretože vlastníctvo, oprávnenia, rozšírené atribúty a časové značky sú súčasťou obnovy na úrovni súborov a v pracovných postupoch založených na kopírovaní, ktoré pri testovaní vyzerali dostatočne, sa často strácajú.

Rozhodnite aj kto obnovu vykonáva. Úložisko na úrovni súborov, ktoré môže pripojiť ktorýkoľvek operátor, je iný model prístupu než obraz vyžadujúci prítomnosť držiteľa kľúča, a ani jedno nie je automaticky lepšie. Dôležité je, aby voľba bola vedomá a zapísaná.

Kontrola 2: čo chráni uloženú kópiu?

VPN chráni prenosový úsek. O uloženej kópii po skončení prenosu nehovorí nič a „išlo to tunelom“ nie je tvrdenie o schopnosti prevádzkovateľa záloh čítať vaše dáta. Ak vzdialenú stranu prevádzkuje niekto iný, otázkou je, čo môžu prečítať oni, nie či bol spoj šifrovaný.

Pri obraze to znamená chrániť kľúčový materiál kontajnera oddelene od samotného obrazu. Strata hlavičky znamená stratu zväzku, preto zálohujte hlavičku tam, kde obraz nie je:

cryptsetup luksHeaderBackup /dev/vg0/data --header-backup-file data-header.img
cryptsetup luksDump /dev/vg0/data | head -20

Pri úložisku na úrovni súborov overte, či nástroj šifruje a autentizuje obsah a metadáta skôr, než opustia hostiteľa, a zistite, kto drží kľúče. dokumentácia návrhu nástroja Restic výslovne uvádza, že predpokladá dôveryhodného zdrojového hostiteľa a že šifrovanie nebráni niekomu s prístupom k úložisku zálohy zmazať. Obe upozornenia sú dôležité: úložisko môže byť dôverné a napriek tomu zničené.

Kontrola 3: je kópia konzistentná?

Záloha, ktorá sníma meniaci sa súborový systém, je kópia, nie bod obnovy. Pri obraze použite podporovanú metódu nástroja pre zväzky na stabilný snímok, čo zvyčajne znamená operáciu snímky alebo odpojenie, nie čítanie veľkého súboru, kým sa mení:

lvcreate -L 5G -s -n data-snap /dev/vg0/data
cryptsetup open /dev/vg0/data-snap data-snap --readonly

Pri pripojených súboroch použite podporovaný postup konzistencie aplikácie pre živé databázy a ďalšie koordinované dáta. Kópia na úrovni súborového systému a bod obnovy konzistentný s aplikáciou sú rozdielne opisy a rozdiel sa prejaví až vtedy, keď sa pokúsite spustiť aplikáciu z obnovenej kópie.

Udržiavajte obnovovací materiál na nezávislej chránenej ceste. Strata pôvodného stroja by nikdy nemala znamenať aj stratu jediných prihlasovacích údajov, ktoré otvárajú jeho zálohu, a presne to sa stane, keď súbor s kľúčom žije na zväzku, ktorý sa zálohuje. To oddelenie vedome otestujte: obnovujte na hostiteľovi, ktorý pôvodný stroj nikdy nevidel, a použite len to, čo plán uvádza ako dostupné.

Kontrola 4: platí detekcia zmien pre tento objekt?

Šifrovaný kontajner vyzerá pre väčšinu prenosových nástrojov ako jeden veľký nepriehľadný súbor, takže malá úprava otvoreného textu môže spôsobiť veľké opätovné čítanie alebo úplné nové nahratie podľa nástroja a formátu. Delenie na bloky premennej veľkosti a deduplikácia, ako dokumentuje restic, to môžu obmedziť, ale je to vlastnosť toho nástroja, nie šifrovaných kontajnerov všeobecne.

Merajte, namiesto toho aby ste predpokladali. Porovnajte prvý beh s druhým po malej neškodnej zmene a zaznamenajte prenesené bajty aj uplynutý čas. Počas experimentovania si uchovajte známu dobrú zálohu, aby test nespotreboval váš jediný bod obnovy.

Potom zoznam dokončite jediným testom, na ktorom záleží: obnovou bez pôvodného stroja. Otvorte obnovený kontajner alebo obnovte vybrané súbory s ich metadátami a potvrďte, že aplikácia alebo používateľ môže výsledok použiť. Rýchly a dobre šifrovaný prenos, ktorý tento test nezvládne, je kópia vašich dát, nie ich záloha.