Đừng mất quyền truy cập: sao lưu khóa và mật khẩu

Mất quyền truy cập vào máy của bạn xảy ra thường xuyên hơn là bị hack. Một chiếc laptop hỏng, bạn cài lại hệ điều hành, bạn xóa thư mục .ssh, bạn quên mật khẩu. Sự khác biệt giữa “phiền phức” và “thảm họa” nằm ở việc bạn có chuẩn bị sẵn một cách vào thứ hai từ trước hay không.

Ba cách vào

Cách thứ hai và thứ ba không phụ thuộc vào cấu hình SSH hay tường lửa của bạn — đó chính là lý do bạn không bao giờ có thể tự khóa mình khỏi máy Millida VDS vĩnh viễn. Nhưng để dùng chúng, bạn cần quyền truy cập vào tài khoản Millida và mật khẩu root.

Khóa SSH thứ hai

Danh sách khóa trong tab “Access” của bảng điều khiển tại /hosting/vds/m/<id> được thay thế toàn bộ. Hãy thêm cả hai cùng lúc: khóa đang dùng và khóa dự phòng.

ssh-keygen -t ed25519 -C "work laptop"
ssh-keygen -t ed25519 -f ~/.ssh/id_backup -C "spare"
cat ~/.ssh/id_ed25519.pub ~/.ssh/id_backup.pub

Hãy cất khóa dự phòng ở nơi khác với khóa chính: trình quản lý mật khẩu, một tệp lưu trữ được mã hóa, một USB trong ngăn kéo. Một khóa nằm trên cùng chiếc laptop với khóa chính không phải là khóa dự phòng.

Hãy kiểm tra cả hai khóa ngay sau khi thêm chúng:

ssh -i ~/.ssh/id_backup root@<address>

Một khóa dự phòng chưa được kiểm tra không phải là khóa dự phòng.

Mật khẩu root

Nó được lưu trữ mã hóa và hiển thị khi bạn nhấn một nút trong tab “Access”. Hãy sao chép nó vào trình quản lý mật khẩu: trong tình huống khẩn cấp, việc mở bảng điều khiển và nhấn nút không phải lúc nào cũng nhanh, và gõ một chuỗi dài vào console VNC thì rất bất tiện.

Mật khẩu vẫn hoạt động cho console và cho su - ngay cả sau khi bạn tắt đăng nhập root qua SSH.

Những gì cần lưu trữ tách biệt khỏi máy

• Khóa SSH riêng và cụm mật khẩu của chúng.
• Mật khẩu root.
• Quyền truy cập vào tài khoản Millida và yếu tố xác thực thứ hai của nó.
• Thông tin đăng nhập cho nhà đăng ký tên miền và DNS của bạn.
• Bản dump cơ sở dữ liệu và config: chúng tôi không tạo bản sao lưu tự động cho máy của bạn — bạn tự tạo các bản sao.

Một cách đơn giản để thường xuyên đẩy dữ liệu ra ngoài:

pg_dump -Fc mydb > /root/dump.pgc
rsync -az /root/dump.pgc backup@other-machine:/backups/

Nếu bạn thực sự mất quyền truy cập

1. Bạn mất khóa nhưng vẫn còn mật khẩu root — đăng nhập qua console của bảng điều khiển và thêm khóa mới vào ~/.ssh/authorized_keys.
2. Bạn cũng quên mật khẩu — nhấn “Change password” trong tab “Access”. Bảng điều khiển sẽ cấp mật khẩu mới và khởi động lại máy đang chạy.
3. Hệ thống không khởi động được — bật đĩa cứu hộ, gắn đĩa và sửa khóa hoặc mật khẩu trong chroot.
4. Bạn mất quyền truy cập vào tài khoản Millida — khôi phục nó theo quy trình tiêu chuẩn; không thể bàn giao một máy mà không có tài khoản, và sự bảo vệ đó có lợi cho bạn.

Những sai lầm thường gặp

• Chỉ có một khóa trên một thiết bị duy nhất và không có bản sao.
• Khóa dự phòng được cất ngay cạnh khóa chính.
• Bạn thay khóa trong bảng điều khiển và xóa mất khóa đang dùng: danh sách được thay thế toàn bộ, vì vậy hãy dán tất cả cùng lúc. Điều này cũng giúp bạn tiết kiệm một lần khởi động lại — mỗi lần lưu khóa đều khởi động lại máy đang chạy.
• Cụm mật khẩu của khóa không được ghi lại ở đâu cả.
• Mật khẩu root chưa từng được kiểm tra trong console.

Hãy diễn tập mỗi quý một lần: đăng nhập bằng khóa dự phòng và kiểm tra mật khẩu root qua console. Năm phút kiểm tra giúp bạn tiết kiệm cả một buổi tối khôi phục.