Резервна копија контејнера или његових датотека? Одлучите по облику враћања
Копије на нивоу слике и на нивоу датотека враћају различите ствари и зависе од различитих кључева. Ускладите сачувани објекат са враћањем које вам је заиста потребно.
Можете направити резервну копију шифрованог контејнера као једног објекта или га монтирати и копирати датотеке унутра. Оба без проблема пролазе кроз VPN и ту се сличност завршава. Враћају различите ствари, зависе од различитих кључева, заузимају различит простор и не успевају на различите начине када некоме требају подаци назад. Прво изаберите објекат враћања, затим транспорт, затим шифровање сачуване копије. Листа испод иде тим редоследом, јер је скоро сваки спор око резервних копија заправо неслагање о томе која је од те три одлуке донета прва.
Два објекта, два облика враћања
Копија на нивоу слике враћа контејнер: добијате шифровани волумен назад и још увек вам је потребан његов материјал за враћање да бисте га отворили. Копија на нивоу датотека враћа датотеке и стабла директоријума, а шифровање које их штити је својство складишта копија, а не првобитног контејнера. Обична копија у удаљену фасциклу је трећи случај и наслеђује ону заштиту коју та фасцикла случајно има.
| Object | What a restore gives you | Where the encryption question lands |
|---|---|---|
| Encrypted container image | The volume, still locked | The container format and its recovery key material |
| Mounted files into a backup tool | Selected files and metadata | The backup repositorys own keys and design |
| Plain copy to a remote folder | Whatever the copy process kept | Whatever protects that storage afterwards |
Средњи ред је онај који људи погрешно читају. То може бити сасвим добар дизајн: програм за копирање чита чист текст локално и пише шифровано, аутентификовано складиште. Тада безбедност почива на том програму и његовим акредитивима, а не на лозинци првобитног контејнера, и њих двоје не треба описивати као да су иста контрола.
Провера 1: шта враћање мора да реконструише?
Поставите питање у облику враћања, не копије. Ако је захтев „врати ову услугу на други хост“, слика са својим материјалом за враћање је кожерентан одговор. Ако је захтев „врати финансијску табелу из марта“, враћање слике од неколико гигабајта само да бисте извукли једну датотеку је скуп одговор. Оба су легитимна враћања и нису међусобно заменљиви буџети. План који именује само једно од њих пре или касније ће бити тестиран оним другим.
Запишите циљ враћања у план: цео волумен, стабло директоријума или појединачне датотеке. Затим забележите који метаподаци морају да путују са њима, јер су власништво, дозволе, проширени атрибути и временске ознаке део враћања на нивоу датотека и често се губе у токовима рада заснованим на копирању који су приликом тестирања изгледали довољни.
Одлучите и ко обавља враћање. Складиште на нивоу датотека које сваки оператер може да монтира је другачији модел приступа од слике која захтева присуство власника кључа, и ниједно није аутоматски боље. Важно је да избор буде намеран и записан.
Провера 2: шта штити сачувану копију?
VPN штити један сегмент транспорта. Не говори ништа о сачуваној копији када пренос заврши, а „прошло је кроз тунел“ није изјава о способности оператера копија да чита ваше податке. Ако удаљену страну води неко други, питање је шта они могу да прочитају, а не да ли је веза била шифрована.
За слику то значи да кључни материјал контејнера штитите одвојено од саме слике. Губитак заглавља значи губитак волумена, зато направите копију заглавља тамо где слика није:
cryptsetup luksHeaderBackup /dev/vg0/data --header-backup-file data-header.img
cryptsetup luksDump /dev/vg0/data | head -20За складиште на нивоу датотека, проверите да ли алат шифрује и аутентификује садржај и метаподатке пре него што напусте хост, и сазнајте ко држи кључеве. Restic-ова документација о дизајну јасно каже да претпоставља поуздан изворни хост и да шифровање не спречава некога са приступом складишту да избрише копије. Обе напомене су важне: складиште може бити поверљиво и ипак уништено.
Провера 3: да ли је копија конзистентна?
Копија која снима датотечни систем у промени је копија, а не тачка враћања. За слику користите подржани метод алата за волумене за стабилну слику стања, што обично значи операцију снимка или одмонтирање, а не читање велике датотеке док се мења:
lvcreate -L 5G -s -n data-snap /dev/vg0/data
cryptsetup open /dev/vg0/data-snap data-snap --readonlyЗа монтиране датотеке користите подржани поступак конзистентности апликације за активне базе података и друге координисане податке. Копија на нивоу датотечног система и тачка враћања конзистентна са апликацијом су различити описи, а разлика постаје видљива тек када покушате да покренете апликацију из враћене копије.
Држите материјал за враћање на независној заштићеној путањи. Губитак првобитне машине никада не треба да значи и губитак јединих акредитива који отварају њену копију, и управо се то дешава када датотека са кључем живи на волумену који се копира. Тестирајте то раздвајање намерно: вратите на хосту који никада није видео оригинал, користећи само оно што план наводи као доступно.
Провера 4: да ли откривање промена важи за овај објекат?
Шифровани контејнер већини алата за пренос изгледа као једна велика непрозирна датотека, тако да мала измена чистог текста може да изазове велико поновно читање или потпуно поновно отпремање, зависно од алата и формата. Подела на блокове променљиве величине и уклањање дупликата, како документује restic, могу то да смање, али то је својство тог алата, а не шифрованих контејнера уопште.
Мерите уместо да претпостављате. Упоредите прво покретање са другим после мале, безопасне измене и запишите пренесене бајтове и протекло време. Сачувајте познато добру копију док експериментишете, да тест не потроши вашу једину тачку враћања.
Затим завршите листу јединим тестом који је важан: враћањем без првобитне машине. Отворите враћени контејнер или вратите изабране датотеке са њиховим метаподацима и потврдите да апликација или корисник може да користи резултат. Брз и добро шифрован пренос који не може да одговори на тај тест је копија ваших података, а не њихова резервна копија.