Què cal copiar abans de tocar la configuració VPN del router
Una exportació de configuració no és un pla de recuperació. Anota les claus, la versió del firmware i el camí de tornada abans de canviar cap paràmetre VPN del router.
El botó d’exportació et dona un fitxer, i aquest fitxer és la part més petita d’estar preparat. El que de debò salva una tarda és saber quines peces omet aquest fitxer, com tornaràs a entrar al router quan el que s’ha trencat és el túnel, i què no desfarà la restauració. Anota aquestes tres coses abans d’obrir la pàgina del VPN. Cap de les feines és difícil, i per això mateix s’ajorna.
Què conté realment l’exportació
A la majoria de firmware de router, l’exportació és un paquet de paràmetres: interfícies, regles de tallafocs, reserves DHCP, la configuració del VPN i sovint les claus privades que hi van associades. Aquest únic fitxer, doncs, conté secrets, cosa que canvia on es pot desar i qui el pot llegir.
També poques vegades és complet. Un perfil pot fer referència a material de claus, fitxers de certificats o paquets que una exportació de paràmetres no arrossega, i una restauració en un dispositiu acabat de flashejar tornarà la referència sense l’objecte referenciat. Llegeix la documentació del firmware sobre l’abast de l’exportació en lloc de suposar que el fitxer és una imatge de disc del teu estat de treball.
Xifra el fitxer si el firmware ho ofereix, i guarda’l en un lloc que no sigui el router mateix. Una còpia que només viu al dispositiu que descriu desapareix just quan la necessites. Tracta l’exportació com el magatzem de credencials que és, perquè això és el que esdevé en mans d’una altra persona.
Anota les dependències del voltant
Un fitxer de paràmetres no vol dir res si no saps a què pertany. Anota el model, la versió del firmware, el protocol en ús i el paper que fa aquest router. Escriu aquestes dades en un lloc que no necessiti el router per llegir-les.
Quatre detalls decideixen si una restauració funcionarà:
| Item | Where to record it | What breaks without it |
|---|---|---|
| Firmware version | Next to the backup file | Restore rejected or silently partial |
| VPN keys and certificates | Separate encrypted copy | Device restored, tunnel cannot authenticate |
| WAN and LAN addressing | Paper or offline note | Cannot reach the admin page afterwards |
| Out-of-band access | Console or management port | No path back in when the tunnel fails |
L’última fila és la que la gent s’estalvia. Si la teva única ruta al router passa pel túnel que estàs a punt de reconfigurar, t’has organitzat per quedar-te fora en el pitjor moment.
Escriu primer el camí de recuperació
Abans de canviar res, escriu els passos que seguiràs si el router es torna inabastable: quin cable, quin port, quina adreça, quin compte. Després segueix aquests passos un cop mentre el router encara funciona. Verifica que la consola o la interfície de gestió respon mentre tot funciona, perquè descobrir una consola espatllada després de la fallada converteix un retorn de deu minuts en una visita al lloc.
Inclou a la nota el procediment de restauració mateix, no només el nom del fitxer. Qui la llegeixi pots ser tu, cansat, a una hora incòmoda, sense cap record de on ha anat el fitxer.
Restaura, i després verifica què ha tornat
Una restauració completada no és una xarxa que funciona. Revisa les peces que tornen silenciosament als valors per defecte: els paràmetres del resolutor DNS, les regles de tallafocs que apuntaven a la interfície antiga i qualsevol ruta que apuntés a una passarel·la de túnel. Obre les regles que es van editar durant l’experiment i compara-les amb el que contenia l’exportació. Una regla àmplia que ho permet tot, afegida a mitjanit i oblidada al matí, sobreviu a cada restauració, perquè forma part del fitxer que acabes de tornar a carregar.
En un dispositiu d’estil OpenWrt les ordres útils imprimeixen el túnel viu, la taula d’encaminament i una resposta del resolutor des del mateix router:
wg show
ip -4 route
nslookup example.com 192.168.1.1Després prova-ho des d’un client corrent i no des del router. Un túnel que fa l’handshake al dispositiu mentre els clients no poden resoldre noms és un problema de política, i a tothom excepte a qui té la consola li semblarà un VPN espatllat.
Què no arregla una restauració
Restaurar una clau no revoca res, ni et diu quantes còpies existeixen. Si el motiu de la reversió era un dispositiu perdut, una exportació compartida o una sospita de compromís, la clau antiga continua sent vàlida allà on hi hagi una còpia, i la configuració restaurada la torna a posar en servei.
Rota o revoca el peer pel procés que admet el servei, i després actualitza el router i el client que encara guarda el material antic. Una còpia representa un estat de funcionament conegut; no representa un estat segur conegut, i la diferència importa exactament quan un dispositiu s’ha perdut.