Co zálohovat, než sáhnete na VPN nastavení routeru

Tlačítko exportu vám dá soubor a ten soubor je nejmenší částí připravenosti. Večer skutečně zachrání to, když víte, které části soubor vynechává, jak se dostanete zpět do routeru, když se rozbije právě tunel, a co obnova nevrátí zpět. Zapište si tyto tři věci, než otevřete stránku VPN. Žádná z těch prací není těžká, a právě proto se odkládá.

Co export skutečně obsahuje

U většiny firmwaru routerů je export balík nastavení: rozhraní, pravidla firewallu, rezervace DHCP, konfigurace VPN a často privátní klíče, které k ní patří. Tento jediný soubor tedy obsahuje tajemství, což mění, kde se smí ukládat a kdo jej smí číst.

Také bývá málokdy úplný. Profil může odkazovat na klíčový materiál, soubory certifikátů nebo balíčky, které export nastavení nenese, a obnova na čerstvě přeflashovaném zařízení vrátí odkaz bez odkazovaného objektu. Čtěte dokumentaci firmwaru k rozsahu exportu, místo abyste předpokládali, že soubor je obraz disku vašeho pracovního stavu.

Šifrujte soubor, pokud to firmware nabízí, a uchovávejte jej jinde než na routeru samotném. Záloha, která žije jen na zařízení, které popisuje, zmizí přesně ve chvíli, kdy ji potřebujete. Berte export jako úložiště přihlašovacích údajů, protože tím se v cizích rukou stává.

Zapište závislosti kolem něj

Soubor nastavení nemá smysl, pokud nevíte, k čemu patří. Zapište model, verzi firmwaru, používaný protokol a roli, kterou tento router má. Napište tyto údaje někam, kde k jejich přečtení router nepotřebujete.

O obnově rozhodují čtyři údaje:

Právě poslední řádek lidé vynechávají. Pokud je vaše jediná cesta k routeru tunelem, který se chystáte překonfigurovat, zařídili jste si, že se v nejhorší chvíli zamknete venku.

Nejprve napište cestu obnovy

Než cokoli změníte, napište kroky, které provedete, pokud bude router nedostupný: který kabel, který port, která adresa, který účet. Potom tyto kroky jednou projděte, dokud router ještě funguje. Ověřte, že konzole nebo rozhraní pro správu odpovídá, dokud vše funguje, protože objevení rozbité konzole po výpadku promění desetiminutový návrat v návštěvu na místě.

Do poznámky zahrňte samotný postup obnovy, ne jen název souboru. Ten, kdo ji čte, můžete být vy: unavení, v nevhodnou hodinu, bez jakékoli vzpomínky na to, kam soubor zmizel.

Obnovte a pak ověřte, co se vrátilo

Dokončená obnova není fungující síť. Zkontrolujte části, které tiše padají na výchozí hodnoty: nastavení DNS resolveru, pravidla firewallu odkazující na staré rozhraní a každou trasu, která mířila na bránu tunelu. Otevřete pravidla upravená během experimentu a porovnejte je s tím, co export obsahoval. Široké povolovací pravidlo přidané o půlnoci a ráno zapomenuté přežije každou obnovu, protože je součástí souboru, který jste právě nahráli.

Na zařízení ve stylu OpenWrt užitečné příkazy vypíšou živý tunel, směrovací tabulku a odpověď resolveru z routeru samotného:

wg show
ip -4 route
nslookup example.com 192.168.1.1

Potom testujte z běžného klienta, ne z routeru. Tunel, který na zařízení provede handshake, ale klienti nedokážou přeložit jména, je problém politiky a všem kromě člověka s konzolí bude připadat jako rozbitý VPN.

Co obnova neopraví

Obnova klíče nic neodvolá a neřekne vám, kolik kopií existuje. Pokud důvodem vrácení bylo ztracené zařízení, sdílený export nebo podezření na kompromitaci, starý klíč je stále platný všude, kde kopie existuje, a obnovená konfigurace jej vrací do použití.

Otočte nebo odvolejte peer postupem, který služba podporuje, a potom aktualizujte router i klienta, který starý materiál ještě drží. Záloha představuje známý funkční stav; nepředstavuje známý bezpečný stav, a ten rozdíl je důležitý právě tehdy, když zařízení zmizelo.