Konteynerni yoki uning fayllarini zaxiralash? Tiklash shakliga qarab qaror qiling

Shifrlangan konteynerni bitta obyekt sifatida zaxiralash mumkin, yoki uni ulab ichidagi fayllarni zaxiralash mumkin. Ikkalasi ham VPN orqali bemalol o'tadi va o'xshashlik shu yerda tugaydi. Ular turli narsalarni tiklaydi, turli kalitlarga bog'liq, turli hajmni egallaydi va kimdir ma'lumotlarni qaytarib olishi kerak bo'lganda turli yo'llar bilan muvaffaqiyatsiz bo'ladi. Avval tiklash obyektini, keyin tashishni, keyin saqlangan nusxaning shifrlanishini tanlang. Quyidagi nazorat ro'yxati shu tartibda boradi, chunki zaxira haqidagi deyarli har qanday bahs aslida shu uchtadan qaysi biri birinchi hal qilingani haqidagi kelishmovchilik.

Ikki obyekt, ikki tiklash shakli

Tasvir darajasidagi zaxira konteynerni tiklaydi: shifrlangan hajmni qaytarib olasiz va uni ochish uchun hali ham uning tiklash materiali kerak. Fayl darajasidagi zaxira fayllar va katalog daraxtlarini tiklaydi, ularni himoya qiluvchi shifrlash esa zaxira omborining xossasi, asl konteynerning emas. Uzoq papkaga oddiy nusxa uchinchi holat bo'lib, u papkada tasodifan mavjud bo'lgan himoyani meros oladi.

O'rta qatorni odamlar noto'g'ri o'qiydi. Bu juda yaxshi loyiha bo'lishi mumkin: zaxira dasturi ochiq matnni mahalliy o'qiydi va shifrlangan, autentifikatsiyalangan ombor yozadi. Shunda xavfsizlik o'sha dastur va uning hisob ma'lumotlariga tayanadi, asl konteyner paroliga emas, va ikkalasini bir xil nazorat deb tasvirlash kerak emas.

Tekshiruv 1: tiklash nimani qayta qurishi kerak?

Savolni zaxira emas, tiklash shaklida bering. Agar talab “bu xizmatni boshqa xostda qaytarish” bo'lsa, tasvir va uning tiklash materiali izchil javob. Agar talab “mart oyidagi moliyaviy jadvalni qaytarish” bo'lsa, bitta faylni olish uchun bir necha gigabaytli tasvirni tiklash qimmat javob. Ikkalasi ham qonuniy tiklash, va ular bir-birini almashtira oladigan byudjetlar emas. Faqat bittasini nomlaydigan reja ertami-kechmi ikkinchisi bilan sinovdan o'tadi.

Tiklash maqsadini rejaga yozing: butun hajm, katalog daraxti yoki alohida fayllar. Keyin ular bilan birga qanday metama'lumotlar ketishi kerakligini belgilang, chunki egalik, ruxsatlar, kengaytirilgan atributlar va vaqt belgilari fayl darajasidagi tiklashning qismi va sinov paytida yetarli ko'ringan nusxa asosidagi ish oqimlarida ko'pincha yo'qoladi.

Tiklashni kim bajarishini ham hal qiling. Har qanday operator ula oladigan fayl darajasidagi ombor kalit egasining ishtirokini talab qiladigan tasvirdan boshqa kirish modeli, va hech biri avtomatik ravishda yaxshiroq emas. Muhimi — tanlov qasddan va yozma bo'lishi.

Tekshiruv 2: saqlangan nusxani nima himoya qiladi?

VPN tashish qismini himoya qiladi. Uzatish tugagach saqlangan nusxa haqida hech narsa aytmaydi, va “u tunneldan o'tdi” degani zaxira operatorining sizning ma'lumotlaringizni o'qiy olishi haqidagi bayonot emas. Agar uzoq tomonni boshqa birov boshqarsa, savol ular nima o'qiy olishi, aloqa shifrlanganmi yoki yo'qmi emas.

Tasvir uchun bu konteynerning kalit materialini tasvirning o'zidan alohida himoya qilishni anglatadi. Sarlavhani yo'qotish hajmni yo'qotishdir, shuning uchun sarlavhani tasvir yo'q joyda zaxiralang:

cryptsetup luksHeaderBackup /dev/vg0/data --header-backup-file data-header.img
cryptsetup luksDump /dev/vg0/data | head -20

Fayl darajasidagi ombor uchun asbob tarkib va metama'lumotlarni xostdan chiqishdan oldin shifrlashi va autentifikatsiyalashini tekshiring, va kalitlar kimda ekanini aniqlang. Restic dizayn hujjatlari ishonchli manba xostni nazarda tutishini va shifrlash omborga kirish huquqi bor odamning zaxiralarni o'chirishiga to'sqinlik qilmasligini aniq aytadi. Ikkala ogohlantirish ham muhim: ombor maxfiy bo'lishi va baribir vayron qilinishi mumkin.

Tekshiruv 3: nusxa izchilmi?

O'zgarayotgan fayl tizimini qamrab olgan zaxira nusxadir, tiklash nuqtasi emas. Tasvir uchun hajm asbobining qo'llab-quvvatlanadigan usulida barqaror oniy surat oling, bu odatda oniy surat amali yoki uzishni bildiradi, katta faylni o'zgarayotganda o'qishni emas:

lvcreate -L 5G -s -n data-snap /dev/vg0/data
cryptsetup open /dev/vg0/data-snap data-snap --readonly

Ulangan fayllar uchun faol ma'lumotlar bazalari va boshqa muvofiqlashtirilgan ma'lumotlar uchun ilovaning qo'llab-quvvatlanadigan izchillik tartibini qo'llang. Fayl tizimi darajasidagi nusxa va ilova bilan izchil tiklash nuqtasi turli tavsiflar, farq esa faqat tiklangan nusxadan ilovani ishga tushirishga urinib ko'rganda ko'rinadi.

Tiklash materialini mustaqil himoyalangan yo'lda saqlang. Asl mashinani yo'qotish hech qachon uning zaxirasini ochadigan yagona hisob ma'lumotini ham yo'qotishni anglatmasligi kerak, va kalit fayli zaxiralanayotgan hajmda yashasa aynan shunday bo'ladi. Bu ajratishni qasddan sinab ko'ring: asl nusxani hech ko'rmagan xostda, reja mavjud deb aytgan narsadan foydalanib tiklang.

Tekshiruv 4: o'zgarishlarni aniqlash bu obyekt uchun amal qiladimi?

Shifrlangan konteyner ko'pchilik uzatish asboblariga bitta katta noaniq fayl bo'lib ko'rinadi, shuning uchun ochiq matndagi kichik tahrir asbob va formatga qarab katta qayta o'qish yoki to'liq qayta yuklashga olib kelishi mumkin. restic hujjatlashtirgan o'zgaruvchan o'lchamli bo'laklash va takrorlarni olib tashlash buni kamaytirishi mumkin, lekin bu o'sha asbobning xossasi, umuman shifrlangan konteynerlarning emas.

Taxmin qilish o'rniga o'lchang. Kichik, zararsiz o'zgarishdan keyin birinchi yugurishni ikkinchisi bilan solishtiring va uzatilgan baytlarni hamda o'tgan vaqtni yozib oling. Tajriba paytida ma'lum yaxshi zaxirani saqlab qo'ying, sinov yagona tiklash nuqtangizni sarflamasin.

So'ngra ro'yxatni yagona muhim sinov bilan yakunlang: asl mashinasiz tiklash. Tiklangan konteynerni oching yoki tanlangan fayllarni metama'lumotlari bilan tiklang va ilova yoki foydalanuvchi natijadan foydalana olishini tasdiqlang. Bu sinovga javob bera olmaydigan tez va yaxshi shifrlangan uzatish — ma'lumotlaringizning nusxasi, uning zaxirasi emas.