Wat om te rugsteun voordat jy aan router-VPN-instellings raak
’n Konfigurasie-uitvoer is nie ’n herstelplan nie. Teken die sleutels, die firmware-weergawe en die pad terug aan voordat jy ’n router-VPN-instelling verander.
Die uitvoerknoppie gee vir jou ’n lêer, en daardie lêer is die kleinste deel van voorbereid wees. Wat werklik ’n aand red, is om te weet watter stukke daardie lêer weglaat, hoe jy weer by die router sal inkom wanneer die tonnel die ding is wat gebreek het, en wat die herstel nie ongedaan sal maak nie. Teken daardie drie dinge aan voordat jy die VPN-bladsy oopmaak. Nie een van die werk is moeilik nie, en juis daarom word dit uitgestel.
Wat die uitvoer werklik bevat
Op die meeste router-firmware is die uitvoer ’n bondel instellings: interfaces, firewall-reëls, DHCP-reserverings, die VPN-konfigurasie en dikwels die private sleutels wat daarmee saamgaan. Daardie enkele lêer bevat dus geheime, wat verander waar dit gestoor mag word en wie dit mag lees.
Dit is ook selde volledig. ’n Profiel kan verwys na sleutelmateriaal, sertifikaatlêers of pakkette wat ’n instellingsuitvoer nie saamdra nie, en ’n herstel op ’n pas geflitsde toestel sal die verwysing terugbring sonder die verwysde objek. Lees die firmware se dokumentasie vir die omvang van die uitvoer eerder as om te aanvaar die lêer is ’n skyfbeeld van jou werkende toestand.
Versleutel die lêer as die firmware dit bied, en hou dit iewers wat nie die router self is nie. ’n Rugsteun wat net op die toestel woon wat dit beskryf, verdwyn op die oomblik wanneer jy dit nodig het. Behandel die uitvoer soos die bewysstoor wat dit is, want dit is wat dit word in iemand anders se hande.
Teken die afhanklikhede daarom aan
’n Instellingslêer is betekenislose sonder om te weet waaraan dit behoort. Teken die model, die firmware-weergawe, die protokol in gebruik en die rol wat hierdie router speel aan. Skryf daardie feite iewers neer wat nie die router nodig het om dit terug te lees nie.
Vier besonderhede bepaal of ’n herstel sal werk:
| Item | Where to record it | What breaks without it |
|---|---|---|
| Firmware version | Next to the backup file | Restore rejected or silently partial |
| VPN keys and certificates | Separate encrypted copy | Device restored, tunnel cannot authenticate |
| WAN and LAN addressing | Paper or offline note | Cannot reach the admin page afterwards |
| Out-of-band access | Console or management port | No path back in when the tunnel fails |
Daardie laaste ry is die een wat mense oorslaan. As jou enigste roete na die router deur die tonnel is wat jy op die punt is om te herkonfigureer, het jy gereël om jouself op die slegste oomblik uit te sluit.
Skryf die herstelpad eerste neer
Voordat jy enigiets verander, skryf die stappe neer wat jy sal volg as die router onbereikbaar word: watter kabel, watter poort, watter adres, watter rekening. Volg dan daardie stappe een keer terwyl die router nog werk. Verifieer dat die konsole of die bestuurskoppelvlak reageer terwyl alles nog werk, want om ’n stukkende konsole eers na die faling te ontdek, maak van ’n herstel van tien minute ’n besoek op die terrein.
Sluit die herstelprosedure self by die nota in, nie net die lêernaam nie. Die persoon wat dit lees, is dalk jy, moeg, op ’n ongerieflike uur, sonder enige herinnering aan waar die lêer heen gegaan het.
Herstel, en verifieer dan wat teruggekom het
’n Voltooide herstel is nie ’n werkende netwerk nie. Gaan die stukke na wat stilweg terugval op verstek: DNS-resolver-instellings, firewall-reëls wat na die ou koppelvlak verwys het, en enige roete wat na ’n tonnel-gateway gewys het. Maak die reëls oop wat tydens die eksperiment geredigeer is en vergelyk dit met wat die uitvoer bevat het. ’n Breë toelatingsreël wat om middernag bygevoeg en teen die oggend vergeet is, oorleef elke herstel, want dit is deel van die lêer wat jy pas herlaai het.
Op ’n toestel in OpenWrt-styl druk die nuttige opdragte die lewende tonnel, die roetetabel en ’n resolver-antwoord vanaf die router self uit:
wg show
ip -4 route
nslookup example.com 192.168.1.1Toets dan van ’n gewone kliënt eerder as van die router. ’n Tonnel wat op die toestel handskud terwyl kliënte nie name kan oplos nie, is ’n beleidsprobleem, en dit sal vir almal behalwe die persoon met die konsole soos ’n stukkende VPN lyk.
Wat ’n herstel nie regmaak nie
Om ’n sleutel te herstel, herroep niks nie, en dit sê nie vir jou hoeveel kopieë bestaan nie. As die rede vir die terugrol ’n verlore toestel, ’n gedeelde uitvoer of ’n vermoede van kompromittering was, is die ou sleutel steeds geldig oral waar ’n kopie bestaan, en die herstelde konfigurasie bring dit weer in gebruik.
Roteer of herroep die peer deur die diens se ondersteunde proses, en werk dan die router en die kliënt by wat nog die ou materiaal hou. ’n Rugsteun verteenwoordig ’n bekende werkende toestand; dit verteenwoordig nie ’n bekende veilige een nie, en die verskil maak saak juis wanneer ’n toestel weg is.