VPN serverining zaxira nusxasi: nima tiklanadigan bo‘lishi kerakligini hal qiling

Konfiguratsiya faylini nusxalash zaxira nusxa emas, va hech kim tiklay olmaydigan nusxa reja emas. Arxiv xizmatning identifikatsiyasini, uning atrofidagi siyosatni va qaysi qurilmalarga hali ruxsat berilganini bildiruvchi holatni o‘z ichiga olishi kerak. Uni himoya qilish ham zarur, chunki ko‘pchilik joylashtirishlarda arxiv VPN beradigan narsaning aynan o‘zini beradi. Nima tiklanadigan bo‘lishi kerakligini hal qilish birinchi o‘rinda turadi; fayllar ro‘yxati shu qarordan kelib chiqadi.

Qayta qurish maqsadidan boshlang

Bitta faylni ham sanashdan oldin qayta qurilgan server nima qilishi kerakligini yozing: o‘sha tunnellarni tugatish, o‘sha identifikatsiyani taqdim etish va hozir bekor qilingan qurilmalarni rad etish. Bu jumla aksariyat sodda nusxalarni istisno qiladi, chunki konfiguratsiya katalogida bekor qilishlar ro‘yxati yoki tashqi identifikatsiya bog‘liqligi kamdan-kam uchraydi. U shuningdek xostdan tashqarida yashaydigan qismlarni ham ochib beradi: DNS yozuvlari, bulut xavfsizlik devori qoidalari va shlyuz autentifikatsiya qiladigan katalog. Ularni e’tiborsiz qoldirgan reja sog‘lom ko‘rinadigan, ammo hech kimni kiritmaydigan tiklangan serverni yaratadi.

Materialni uchta savatga guruhlang: identifikatsiya, konfiguratsiya va holat. Identifikatsiya — kalitlar, sertifikatlar va ularni imzolovchi organ. Konfiguratsiya — daemon sozlamalari, hovuzlar, marshrutlar va xavfsizlik devori siyosati, holat esa har kuni o‘zgaradigan hamkorlar, hisoblar va bekor qilishlar to‘plamidir.

Identifikatsiya — qayta yaratib bo‘lmaydigan qism

Shaxsiy kalitlarni xotiradan qayta yaratib bo‘lmaydi, ularga bog‘liq sertifikatlar esa siz tanlamaydigan, meros oladigan jadval bo‘yicha tugaydi. Server kalitini, mijozlarni ta’minlash materialini va sertifikat organini zaxiralang, keyin ulardan qaysi biri oflayn qolishi kerakligini qayd eting. Faqat ishlab turgan shlyuzda yashaydigan organ kaliti har bir mijoz uchun to‘liq identifikatsiya tiklashdan bitta buzilish uzoqda. Qasddan boshqa joyda saqlanadigan narsalarni yozib qo‘ying, hech kim uni pastroq himoyalangan arxivga nusxalamasin.

Bekor qilish rejada o‘z satriga loyiq. Kechagi konfiguratsiyani tiklash bugun olib tashlagan identifikatsiyangizni qaytarishi mumkin, bu esa tiklashni xavfsizlik hodisasiga aylantiradi. Joriy bekor qilish holatini qaytib boradigan suratdan mustaqil joyda saqlang va har qanday tiklashdan keyin uni tekshiring.

Holatni bir lahzada qayd eting

Xizmat yozayotganda olingan nusxa nomuvofiq ro‘yxat yaratadi, nomuvofiq identifikatsiya ma’lumotlari esa eski toza nusxadan yomonroq. Har bir ombor uchun qo‘llab-quvvatlanadigan eksport yo‘lidan foydalaning, keyin surat vaqtini qayd eting, chunki tiklash haqidagi har bir keyingi savol shunga bog‘liq.

wg showconf wg0 > /srv/backup/wg0.runtime.conf
sqlite3 /var/lib/vpn/admin.db ".backup '/srv/backup/admin.db'"
cp -a /etc/wireguard /srv/backup/etc-wireguard
sha256sum /srv/backup/*.conf > /srv/backup/MANIFEST

Birinchi buyruq ishlab turgan interfeysni konfiguratsiya sifatida qayta chiqaradi, bu boshqaruv vositasi o‘rniga qo‘lda qo‘shilgan hamkorlarni ushlashning eng tez yo‘lidir; buni wg(8) qo‘llanmasi hujjatlashtiradi. sqlite satri boshqaruv ma’lumotlar bazasi uchun namuna: zaxira buyrug‘i yozuvchi ishlab turganda ham izchil nusxa yaratadi. Katalog nusxasi ruxsatlarni saqlaydi, bu muhim, chunki o‘sha kalit fayllarni faqat root o‘qiy oladi. Manifest to‘liq arxivni kesilganidan ajratish imkonini beradi.

Tiklashni imkonli qiling, keyin sinab ko‘ring

Arxivni shifrlang va tiklash kalitini u kelgan mashinadan boshqa joyda saqlang. Parol iborasi faqat muvaffaqiyatsiz serverda mavjud bo‘lgan zaxira hech kim ochmaydigan nusxadir. Tiklashni allaqachon shlyuzni boshqara olgan odamlar bilan cheklang va har bir olishni jurnalga yozing. Tiklashni ajratilgan tarmoqda sinab ko‘ring, chunki ishlab chiqarish yonida ko‘tarilgan klonlangan identifikatsiya bir xil hamkor kalitiga javob beradigan ikkita server yaratadi.

Istisnolarni mazmun kabi sinchkovlik bilan hujjatlashtiring. Bulut xavfsizlik devori qoidalari, DNS yozuvlari va tashqi katalog har biri o‘z tiklash qadamini talab qilishi mumkin. Muvaffaqiyatli fayl nusxasi xizmat qaytishining dalili emas; hisobga olinadigan yagona dalil — asl nusxa kabi bir xil qabul sinovidan o‘tadigan qayta qurilgan oxirgi nuqta.