Šta napraviti sigurnosnu kopiju prije nego što dirnete u VPN postavke rutera

Dugme za izvoz daje vam datoteku, a ta datoteka je najmanji dio pripreme. Ono što zaista spasi večer jeste znati koje dijelove ta datoteka izostavlja, kako ćete ponovo ući u ruter kada je tunel ono što se pokvarilo, i šta oporavak neće poništiti. Zapišite te tri stvari prije nego što otvorite VPN stranicu. Nijedan od tih poslova nije težak, i upravo zato se odgađa.

Šta izvoz zapravo sadrži

Na većini firmvera rutera izvoz je paket postavki: interfejsi, pravila firewall-a, DHCP rezervacije, VPN konfiguracija i često privatni ključevi koji idu uz nju. Taj jedan fajl zato sadrži tajne, što mijenja gdje se smije čuvati i ko ga smije čitati.

Takođe je rijetko potpun. Profil može upućivati na ključni materijal, datoteke certifikata ili pakete koje izvoz postavki ne nosi, a oporavak na svježe flešovanom uređaju vratit će referencu bez objekta na koji ona upućuje. Čitajte dokumentaciju firmvera o obuhvatu izvoza umjesto da pretpostavljate da je datoteka disk slika vašeg radnog stanja.

Šifrirajte datoteku ako firmver to nudi i držite je negdje što nije sam ruter. Sigurnosna kopija koja živi samo na uređaju koji opisuje nestaje u trenutku kada vam treba. Tretirajte izvoz kao skladište akreditiva, jer to je ono što postaje u tuđim rukama.

Zapišite zavisnosti oko njega

Datoteka postavki nema smisla bez znanja čemu pripada. Zapišite model, verziju firmvera, protokol koji se koristi i ulogu koju ovaj ruter ima. Zapišite te činjenice negdje gdje ruter nije potreban da bi ih pročitali.

Četiri detalja odlučuju hoće li oporavak uspjeti:

Taj zadnji red ljudi preskaču. Ako je vaš jedini put do rutera kroz tunel koji ćete rekonfigurisati, organizovali ste da se zaključate u najgorem trenutku.

Prvo zapišite put oporavka

Prije nego što bilo šta promijenite, zapišite korake koje ćete slijediti ako ruter postane nedostupan: koji kabl, koji port, koja adresa, koji račun. Zatim te korake jednom prođite dok ruter još radi. Provjerite da konzola ili upravljački interfejs odgovara dok sve radi, jer otkrivanje pokvarene konzole nakon kvara pretvara povratak od deset minuta u posjetu lokaciji.

Uključite u bilješku sam postupak oporavka, ne samo ime datoteke. Osoba koja je čita možda ste vi, umorni, u nezgodan sat, bez ikakvog sjećanja gdje je datoteka otišla.

Oporavite, pa provjerite šta se vratilo

Završen oporavak nije radna mreža. Provjerite dijelove koji tiho padaju na zadane vrijednosti: postavke DNS resolvera, firewall pravila koja su upućivala na stari interfejs i svaku rutu koja je pokazivala na gateway tunela. Otvorite pravila koja su uređivana tokom eksperimenta i uporedite ih s onim što je izvoz sadržavao. Široko pravilo koje sve dopušta, dodano u ponoć i zaboravljeno ujutro, preživi svaki oporavak, jer je dio datoteke koju ste upravo učitali.

Na uređaju u stilu OpenWrt korisne komande ispisuju živi tunel, tabelu ruta i odgovor resolvera sa samog rutera:

wg show
ip -4 route
nslookup example.com 192.168.1.1

Zatim testirajte s običnog klijenta, a ne s rutera. Tunel koji obavi handshake na uređaju dok klijenti ne mogu razriješiti imena jeste problem politike i svima osim osobi s konzolom izgledat će kao pokvaren VPN.

Šta oporavak ne popravlja

Oporavak ključa ništa ne opoziva i ne govori vam koliko kopija postoji. Ako je razlog vraćanja izgubljeni uređaj, podijeljeni izvoz ili sumnja na kompromitaciju, stari ključ je još valjan gdje god postoji kopija, a vraćena konfiguracija ga ponovo stavlja u upotrebu.

Rotirajte ili opozovite peer kroz proces koji servis podržava, pa ažurirajte ruter i klijent koji još drži stari materijal. Sigurnosna kopija predstavlja poznato radno stanje; ne predstavlja poznato sigurno stanje, a razlika je važna upravo kada je uređaj nestao.