Kopje rezervë e serverit VPN: vendosni çfarë duhet të jetë e rikuperueshme

Kopjimi i një skedari konfigurimi nuk është kopje rezervë, dhe një kopje që askush nuk mund ta rikuperojë nuk është plan. Arkivi duhet të përmbajë identitetin e shërbimit, politikën rreth tij dhe gjendjen që tregon cilat pajisje lejohen ende. Duhet gjithashtu të mbrohet, sepse në shumicën e vendosjeve arkivi jep saktësisht atë që jep VPN-ja. Vendimi për atë që duhet të jetë i rikuperueshëm vjen i pari; lista e skedarëve rrjedh nga ai vendim.

Filloni nga objektivi i rindërtimit

Shkruani çfarë duhet të bëjë një server i rindërtuar përpara se të listoni një skedar të vetëm: të përfundojë të njëjtat tunele, të paraqesë të njëjtin identitet dhe të refuzojë pajisjet që janë aktualisht të revokuara. Ai konstatim përjashton shumicën e kopjeve naive, sepse një direktorium konfigurimi rrallë përmban listën e revokimeve ose varësinë e jashtme të identitetit. Ai gjithashtu zbulon pjesët që jetojnë jashtë hostit, si regjistrimet DNS, rregullat e firewall-it në re dhe direktoriumi kundër të cilit porti vërteton. Një plan që i injoron ato prodhon një server të rikuperuar që duket i shëndetshëm dhe nuk pranon askënd.

Gruponi materialin në tre shporta: identiteti, konfigurimi dhe gjendja. Identiteti janë çelësat, certifikatat dhe autoriteti që i nënshkruan. Konfigurimi janë cilësimet e demonit, pishinat, rrugët dhe politika e firewall-it, ndërsa gjendja është bashkësia e partnerëve, llogarive dhe revokimeve që ndryshon çdo ditë.

Identiteti është pjesa që nuk mund ta rigjeneroni

Çelësat privatë nuk mund të rikrijohen nga kujtesa, dhe certifikatat që varen prej tyre skadojnë sipas një orari që e trashëgoni dhe nuk e zgjidhni. Bëni kopje rezervë të çelësit të serverit, të materialit të furnizimit të klientëve dhe të autoritetit të certifikatave, më pas shënoni se cili prej tyre duhet të mbetet jashtë linje. Një çelës autoriteti që jeton vetëm në portin që punon është një kompromis larg një rivendosjeje të plotë të identitetit për çdo klient. Regjistroni atë që ruhet qëllimisht diku tjetër, që askush të mos e dublojë në një arkiv me mbrojtje më të ulët.

Revokimi meriton rreshtin e vet në plan. Rikthimi i konfigurimit të djeshëm mund të rivendosë një identitet që e hoqët sot, gjë që e kthen një rikuperim në incident sigurie. Mbani gjendjen aktuale të revokimit diku të pavarur nga fotografia ku do të ktheheshit, dhe kontrollojeni pas çdo rikuperimi.

Kapni gjendjen në një moment të vetëm

Një kopje e marrë ndërsa shërbimi shkruan prodhon një inventar jokonsistent, dhe të dhënat jokonsistente të identitetit janë më të këqija se një kopje e vjetër e pastër. Për çdo depo përdorni rrugën e eksportimit të mbështetur, më pas regjistroni kohën e fotografisë, sepse çdo pyetje e mëvonshme për rikuperimin varet prej saj.

wg showconf wg0 > /srv/backup/wg0.runtime.conf
sqlite3 /var/lib/vpn/admin.db ".backup '/srv/backup/admin.db'"
cp -a /etc/wireguard /srv/backup/etc-wireguard
sha256sum /srv/backup/*.conf > /srv/backup/MANIFEST

Komanda e parë shtyp ndërfaqen që punon përsëri si konfigurim, që është mënyra më e shpejtë për të kapur partnerët e shtuar me dorë dhe jo me një mjet administrimi; këtë e dokumenton manualja e wg(8). Rreshti sqlite është modeli për një bazë të dhënash administrimi: komanda e kopjes prodhon një kopje konsistente ndërsa shkruesi vazhdon. Kopja e direktoriumit ruan lejet, gjë që ka rëndësi sepse ato skedarë çelësash lexohen vetëm nga root. Manifesti është ai që ju lejon të dalloni një arkiv të plotë nga një i cunguar.

Bëjeni rikuperimin të mundshëm dhe më pas provojeni

Kriptoni arkivin dhe mbajeni çelësin e rikuperimit diku tjetër, jo në makinën nga e cila erdhi. Një kopje, fraza e së cilës ekziston vetëm në serverin e dështuar, është një kopje që askush nuk do ta hapë. Kufizoni marrjen tek njerëzit që tashmë mund të administronin portin, dhe regjistroni çdo marrje. Provoni rikuperimin në një rrjet të izoluar, sepse një identitet i klonuar i ngritur pranë prodhimit krijon dy serverë që përgjigjen për të njëjtin çelës partneri.

Dokumentoni përjashtimet po aq me kujdes sa përmbajtjen. Rregullat e firewall-it në re, regjistrimet DNS dhe një direktorium i jashtëm mund të kenë secili nevojë për hapin e vet të rikuperimit. Një kopje skedarësh e suksesshme nuk është provë që shërbimi kthehet; prova e vetme që vlen është një pikë fundore e rindërtuar që kalon të njëjtin test pranimi si origjinali.