Hvad du skal sikkerhedskopiere, før du rører routerens VPN-indstillinger

Eksportknappen giver dig en fil, og den fil er den mindste del af at være forberedt. Det, der reelt redder en aften, er at vide, hvilke dele filen udelader, hvordan du kommer tilbage i routeren, når det er tunnelen, der er brudt, og hvad gendannelsen ikke ruller tilbage. Notér de tre ting, før du åbner VPN-siden. Intet af arbejdet er svært, og netop derfor bliver det udskudt.

Hvad eksporten faktisk indeholder

På de fleste routerfirmware er eksporten en indstillingspakke: interfaces, firewallregler, DHCP-reservationer, VPN-konfigurationen og ofte de private nøgler, der hører til. Den ene fil indeholder altså hemmeligheder, hvilket ændrer, hvor den må ligge, og hvem der må læse den.

Den er også sjældent komplet. En profil kan henvise til nøglemateriale, certifikatfiler eller pakker, som en indstillingseksport ikke bærer, og en gendannelse på en nyligt flash’et enhed vil bringe henvisningen tilbage uden det objekt, der henvises til. Læs firmwarens dokumentation for eksportens omfang i stedet for at antage, at filen er et diskbillede af din arbejdstilstand.

Kryptér filen, hvis firmwaren tilbyder det, og opbevar den et sted, der ikke er routeren selv. En sikkerhedskopi, der kun lever på den enhed, den beskriver, forsvinder i det øjeblik, du har brug for den. Behandl eksporten som det credential-lager, den er, for det er, hvad den bliver i hænderne på en anden.

Notér afhængighederne omkring den

En indstillingsfil er meningsløs uden at vide, hvad den hører til. Notér model, firmwareversion, protokollen i brug og den rolle, denne router spiller. Skriv de fakta et sted, hvor routeren ikke skal bruges til at læse dem igen.

Fire detaljer afgør, om en gendannelse virker:

Den sidste række er den, folk springer over. Hvis din eneste vej til routeren går gennem den tunnel, du er ved at omkonfigurere, har du sørget for at låse dig selv ude på det værst tænkelige tidspunkt.

Skriv gendannelsesvejen ned først

Før du ændrer noget, skal du skrive de trin ned, du vil følge, hvis routeren bliver utilgængelig: hvilket kabel, hvilken port, hvilken adresse, hvilken konto. Gå derefter trinnene igennem én gang, mens routeren stadig virker. Bekræft, at konsollen eller administrationsgrænsefladen svarer, mens alt virker, for at opdage en brudt konsol efter fejlen gør en tilbagerulning på ti minutter til et besøg på stedet.

Tag selve gendannelsesproceduren med i noten, ikke kun filnavnet. Personen, der læser den, er måske dig, træt, på et ubelejligt tidspunkt, uden nogen erindring om, hvor filen blev af.

Gendan, og kontrollér så, hvad der kom tilbage

En gennemført gendannelse er ikke et fungerende netværk. Kontrollér de dele, der stille falder tilbage til standard: DNS-resolverindstillinger, firewallregler, der pegede på det gamle interface, og enhver rute, der pegede mod en tunnelgateway. Åbn de regler, der blev redigeret under forsøget, og sammenlign dem med det, eksporten indeholdt. En bred tilladelsesregel, der blev tilføjet ved midnat og glemt om morgenen, overlever enhver gendannelse, fordi den er en del af den fil, du netop har indlæst.

På en enhed i OpenWrt-stil viser de nyttige kommandoer den levende tunnel, rutetabellen og et resolversvar fra routeren selv:

wg show
ip -4 route
nslookup example.com 192.168.1.1

Test derefter fra en almindelig klient i stedet for fra routeren. En tunnel, der håndtrykker på enheden, mens klienter ikke kan slå navne op, er et politikproblem, og det vil se ud som en brudt VPN for alle undtagen den person, der holder konsollen.

Hvad en gendannelse ikke retter

At gendanne en nøgle tilbagekalder intet og fortæller dig ikke, hvor mange kopier der findes. Hvis årsagen til tilbagerulningen var en mistet enhed, en delt eksport eller en mistanke om kompromittering, er den gamle nøgle stadig gyldig, hvor end der findes en kopi, og den gendannede konfiguration bringer den i brug igen.

Rotér eller tilbagekald peer gennem den proces, tjenesten understøtter, og opdater derefter routeren og den klient, der stadig har det gamle materiale. En sikkerhedskopi repræsenterer en kendt fungerende tilstand; den repræsenterer ikke en kendt sikker tilstand, og forskellen betyder noget netop, når en enhed er blevet væk.