Што рабіць рэзервовую копію, перш чым кранаць налады VPN на роўтары

Кнопка экспарту дае файл, і гэты файл — найменшая частка падрыхтоўкі. Насамрэч вечар ратуе веданне таго, якія фрагменты файл апускае, як вы вернецеся на роўтар, калі зламаўся менавіта тунэль, і што аднаўленне не адменіць. Запішыце гэтыя тры рэчы, перш чым адкрыць старонку VPN. Ніводная з гэтых работ не складаная — менавіта таму яна адкладаецца.

Што экспарт насамрэч змяшчае

На большасці прашывак роўтараў экспарт — гэта набор налад: інтэрфейсы, правілы файрвола, рэзерваванні DHCP, канфігурацыя VPN і часта прыватныя ключы да яе. Такім чынам, гэты адзін файл змяшчае сакрэты, а гэта змяняе месца яго захавання і кола тых, каму дазволена яго чытаць.

Ён таксама рэдка бывае поўным. Профіль можа спасылацца на ключавы матэрыял, файлы сертыфікатаў або пакеты, якія экспарт налад не пераносіць, і аднаўленне на толькі што перапрашытай прыладзе верне спасылку без аб'екта, на які яна паказвае. Чытайце дакументацыю прашыўкі пра межы экспарту, а не мяркуйце, што файл — гэта вобраз дыска вашага працоўнага стану.

Шыфруйце файл, калі прашыўка гэта прапануе, і трымайце яго не на самім роўтары. Рэзервовая копія, якая жыве толькі на прыладзе, якую апісвае, знікае ў той момант, калі яна вам патрэбна. Стаўцеся да экспарту як да сховішча ўліковых даных, бо менавіта гэтым ён становіцца ў чужых руках.

Запішыце залежнасці вакол яго

Файл налад бессэнсоўны, калі не ведаць, чаму ён належыць. Запішыце мадэль, версію прашыўкі, пратакол, які выкарыстоўваецца, і ролю гэтага роўтара. Запішыце гэтыя факты туды, дзе не патрэбны роўтар, каб іх прачытаць.

Чатыры дэталі вырашаюць, ці спрацуе аднаўленне:

Менавіта апошні радок людзі прапускаюць. Калі ваш адзіны шлях да роўтара ідзе праз тунэль, які вы збіраецеся пераналадзіць, вы самі арганізавалі сабе блакаванне ў найгоршы момант.

Спачатку запішыце шлях аднаўлення

Перш чым нешта змяніць, запішыце крокі, якія выканаеце, калі роўтар стане недасяжным: які кабель, які порт, які адрас, які ўліковы запіс. Потым прайдзіце гэтыя крокі адзін раз, пакуль роўтар яшчэ працуе. Праверце, што кансоль або інтэрфейс кіравання адказвае, пакуль усё працуе, бо выяўленая пасля збою зламаная кансоль ператварае дзесяціхвіліннае вяртанне ў выезд на аб'ект.

Уключыце ў нататку сам працэс аднаўлення, а не толькі імя файла. Той, хто яе чытае, можа быць вамі — стомленым, у нязручную гадзіну, без усякіх успамінаў, дзе апынуўся файл.

Аднавіце, а потым праверце, што вярнулася

Завершанае аднаўленне — яшчэ не працоўная сетка. Праверце фрагменты, якія моўчкі вяртаюцца да прадвызначаных значэнняў: налады DNS-рэзалвера, правілы файрвола са спасылкай на стары інтэрфейс і любы маршрут, што паказваў на шлюз тунэля. Адкрыйце правілы, змененыя падчас эксперыменту, і параўнайце іх з тым, што было ў экспарце. Шырокае дазваляльнае правіла, дададзенае апоўначы і забытае раніцай, перажывае кожнае аднаўленне, бо яно — частка файла, які вы толькі што загрузілі.

На прыладзе ў стылі OpenWrt карысныя каманды выводзяць жывы тунэль, табліцу маршрутызацыі і адказ рэзалвера з самога роўтара:

wg show
ip -4 route
nslookup example.com 192.168.1.1

Затым правярайце са звычайнага кліента, а не з роўтара. Тунэль, які ўсталёўвае рукапацісканне на прыладзе, але кліенты не могуць развязаць імёны, — гэта праблема палітыкі, і для ўсіх, акрамя чалавека з кансоллю, ён будзе выглядаць як зламаны VPN.

Чаго аднаўленне не выпраўляе

Вяртанне ключа нічога не адклікае і не паведамляе, колькі копій існуе. Калі прычынай адкату была страчаная прылада, агульны экспарт або падазрэнне на ўзлом, стары ключ усё яшчэ дзейны ўсюды, дзе ёсць копія, і адноўленая канфігурацыя вяртае яго ў работу.

Правярніце або адклічце peer праз працэс, які падтрымлівае сэрвіс, затым абнавіце роўтар і кліента, які ўсё яшчэ трымае стары матэрыял. Рэзервовая копія азначае вядомы працоўны стан; яна не азначае вядомы бяспечны стан, і гэтая розніца важная менавіта тады, калі прылада знікла.