Backup ng VPN Server: Magpasya Kung Ano ang Dapat Maibalik

Ang pagkopya ng file ng konfigurasyon ay hindi backup, at ang backup na walang sinumang makakabalik ay hindi plano. Dapat taglayin ng archive ang pagkakakilanlan ng serbisyo, ang patakaran sa paligid nito at ang estadong nagsasabi kung aling mga device ang pinapayagan pa. Dapat din itong protektahan, dahil sa karamihan ng deployment ang archive ay nagbibigay ng eksaktong ibinibigay ng VPN. Ang pagpapasya kung ano ang dapat maibalik ay nauuna; ang listahan ng file ay sumusunod sa desisyong iyon.

Magsimula sa target ng muling pagtatayo

Isulat kung ano ang dapat gawin ng muling itinayong server bago maglista ng kahit isang file: tapusin ang parehong mga tunnel, ipakita ang parehong pagkakakilanlan at tanggihan ang mga device na kasalukuyang binawi. Ang pangungusap na iyon ay nag-aalis ng karamihan sa mga walang muwang na kopya, dahil ang direktoryo ng konfigurasyon ay bihirang maglaman ng listahan ng pagbawi o ng panlabas na dependency ng pagkakakilanlan. Inilalantad din nito ang mga bahaging naninirahan sa labas ng host, tulad ng mga rekord ng DNS, mga patakaran ng firewall sa ulap at ang direktoryong pinagpapatotohanan ng gateway. Ang planong hindi pinapansin ang mga ito ay gumagawa ng naibalik na server na mukhang malusog at walang tinatanggap.

Pangkatin ang materyal sa tatlong basket: pagkakakilanlan, konfigurasyon at estado. Ang pagkakakilanlan ay ang mga susi, mga sertipiko at ang awtoridad na lumalagda sa mga ito. Ang konfigurasyon ay ang mga setting ng daemon, mga pool, mga ruta at patakaran ng firewall, samantalang ang estado ay ang hanay ng mga peer, account at pagbawi na nagbabago araw-araw.

Ang pagkakakilanlan ang bahaging hindi mo maaaring muling likhain

Ang mga pribadong susi ay hindi maaaring muling likhain mula sa memorya, at ang mga sertipikong umaasa sa mga ito ay nag-expire ayon sa iskedyul na minamana mo kaysa pinipili. I-backup ang susi ng server, ang materyal ng paghahanda ng kliyente at ang awtoridad ng sertipiko, pagkatapos ay itala kung alin sa mga ito ang dapat manatiling offline. Ang susi ng awtoridad na naninirahan lamang sa tumatakbong gateway ay isang kompromiso ang layo mula sa buong pag-reset ng pagkakakilanlan para sa bawat kliyente. Itala kung ano ang sadyang iniimbak sa ibang lugar upang walang sinumang magduplicate nito sa archive na may mas mababang proteksyon.

Ang pagbawi ay nararapat sa sarili nitong linya sa plano. Ang pagbalik sa konfigurasyon ng kahapon ay maaaring magbalik ng pagkakakilanlang inalis mo ngayon, na ginagawang insidente sa seguridad ang isang pagbawi. Itago ang kasalukuyang estado ng pagbawi sa lugar na independiyente sa snapshot na babalikan mo, at suriin ito pagkatapos ng anumang pagbalik.

Kunin ang estado sa isang sandali

Ang kopyang kinuha habang nagsusulat ang serbisyo ay gumagawa ng hindi tugmang imbentaryo, at ang hindi tugmang datos ng pagkakakilanlan ay mas masahol kaysa sa mas lumang malinis na kopya. Gamitin ang suportadong landas ng pag-export para sa bawat imbakan, pagkatapos ay itala ang oras ng snapshot, dahil ang bawat susunod na tanong tungkol sa pagbalik ay nakasalalay doon.

wg showconf wg0 > /srv/backup/wg0.runtime.conf
sqlite3 /var/lib/vpn/admin.db ".backup '/srv/backup/admin.db'"
cp -a /etc/wireguard /srv/backup/etc-wireguard
sha256sum /srv/backup/*.conf > /srv/backup/MANIFEST

Ang unang utos ay muling nagpi-print ng tumatakbong interface bilang konfigurasyon, na siyang pinakamabilis na paraan upang mahuli ang mga peer na idinagdag sa kamay kaysa sa tool sa pamamahala; ito ay dokumentado ng manwal ng wg(8). Ang linyang sqlite ay ang huwaran para sa database ng pamamahala: ang utos ng backup ay gumagawa ng tugmang kopya habang nagpapatuloy ang manunulat. Pinapanatili ng kopya ng direktoryo ang mga pahintulot, na mahalaga dahil ang mga file ng susi ay mababasa lamang ng root. Ang manifest ang nagpapahintulot sa iyo na makilala ang kumpletong archive mula sa putol.

Gawing posible ang pagbalik, pagkatapos ay subukan ito

I-encrypt ang archive at itago ang susi ng pagbawi sa ibang lugar kaysa sa makinaryang pinagmulan nito. Ang backup na ang passphrase ay umiiral lamang sa nabigong server ay backup na walang sinumang magbubukas. Limitahan ang pagkuha sa mga taong kayang mamahala na ng gateway, at i-log ang bawat pagkuha. Subukan ang pagbalik sa isang nakahiwalay na network, dahil ang na-clone na pagkakakilanlang itinaas sa tabi ng produksyon ay lumilikha ng dalawang server na sumasagot para sa parehong peer key.

Idokumento ang mga pagbubukod nang kasing-ingat ng nilalaman. Ang mga patakaran ng firewall sa ulap, mga rekord ng DNS at panlabas na direktoryo ay maaaring bawat isa ay mangailangan ng sariling hakbang sa pagbawi. Ang matagumpay na pagkopya ng file ay hindi patunay na bumabalik ang serbisyo; ang tanging patunay na binibilang ay isang muling itinayong endpoint na pumasa sa parehong pagsubok sa pagtanggap gaya ng orihinal.