Was Sie sichern sollten, bevor Sie die VPN-Einstellungen des Routers anfassen
Ein Konfigurationsexport ist kein Wiederherstellungsplan. Erfassen Sie die Schlüssel, die Firmware-Version und den Weg zurück, bevor Sie eine VPN-Einstellung am Router ändern.
Die Export-Schaltfläche liefert Ihnen eine Datei, und diese Datei ist der kleinste Teil der Vorbereitung. Was wirklich einen Abend rettet, ist zu wissen, welche Teile diese Datei auslässt, wie Sie wieder in den Router kommen, wenn der Tunnel das ist, was kaputtgegangen ist, und was die Wiederherstellung nicht rückgängig macht. Halten Sie diese drei Dinge fest, bevor Sie die VPN-Seite öffnen. Nichts davon ist schwierig, und genau deshalb wird es aufgeschoben.
Was der Export tatsächlich enthält
Bei den meisten Router-Firmware ist der Export ein Einstellungspaket: Interfaces, Firewall-Regeln, DHCP-Reservierungen, die VPN-Konfiguration und oft die zugehörigen privaten Schlüssel. Diese eine Datei enthält also Geheimnisse, was ändert, wo sie liegen darf und wer sie lesen darf.
Sie ist auch selten vollständig. Ein Profil kann auf Schlüsselmaterial, Zertifikatsdateien oder Pakete verweisen, die ein Einstellungsexport nicht mitführt, und eine Wiederherstellung auf einem frisch geflashten Gerät bringt den Verweis ohne das verwiesene Objekt zurück. Lesen Sie in der Firmware-Dokumentation nach, was der Export umfasst, statt anzunehmen, die Datei sei ein Abbild Ihres Arbeitszustands.
Verschlüsseln Sie die Datei, wenn die Firmware das anbietet, und bewahren Sie sie an einem Ort auf, der nicht der Router selbst ist. Eine Sicherung, die nur auf dem Gerät lebt, das sie beschreibt, verschwindet in dem Moment, in dem Sie sie brauchen. Behandeln Sie den Export wie den Credential-Speicher, der er ist, denn das wird er in fremden Händen.
Erfassen Sie die Abhängigkeiten darum herum
Eine Einstellungsdatei ist sinnlos, ohne zu wissen, wozu sie gehört. Notieren Sie Modell, Firmware-Version, das verwendete Protokoll und die Rolle dieses Routers. Schreiben Sie diese Fakten dorthin, wo der Router sie nicht zum Zurücklesen braucht.
Vier Details entscheiden, ob eine Wiederherstellung funktioniert:
| Item | Where to record it | What breaks without it |
|---|---|---|
| Firmware version | Next to the backup file | Restore rejected or silently partial |
| VPN keys and certificates | Separate encrypted copy | Device restored, tunnel cannot authenticate |
| WAN and LAN addressing | Paper or offline note | Cannot reach the admin page afterwards |
| Out-of-band access | Console or management port | No path back in when the tunnel fails |
Die letzte Zeile ist die, die Leute überspringen. Wenn Ihr einziger Weg zum Router durch den Tunnel führt, den Sie gerade umkonfigurieren, haben Sie sich darauf eingerichtet, sich im schlechtesten Moment auszusperren.
Schreiben Sie zuerst den Wiederherstellungsweg auf
Bevor Sie etwas ändern, schreiben Sie die Schritte auf, die Sie befolgen werden, wenn der Router unerreichbar wird: welches Kabel, welcher Port, welche Adresse, welches Konto. Gehen Sie diese Schritte dann einmal durch, solange der Router noch funktioniert. Prüfen Sie, ob die Konsole oder die Management-Schnittstelle antwortet, solange alles läuft, denn eine defekte Konsole erst nach dem Ausfall zu entdecken, macht aus einem Rollback von zehn Minuten einen Besuch vor Ort.
Nehmen Sie das Wiederherstellungsverfahren selbst in die Notiz auf, nicht nur den Dateinamen. Die Person, die sie liest, sind vielleicht Sie: müde, zu ungünstiger Stunde, ohne jede Erinnerung, wohin die Datei verschwunden ist.
Wiederherstellen, dann prüfen, was zurückkam
Eine abgeschlossene Wiederherstellung ist kein funktionierendes Netz. Prüfen Sie die Teile, die still auf Vorgaben zurückfallen: die Einstellungen des DNS-Resolvers, Firewall-Regeln, die auf das alte Interface verwiesen, und jede Route, die auf ein Tunnel-Gateway zeigte. Öffnen Sie die während des Experiments bearbeiteten Regeln und vergleichen Sie sie mit dem, was der Export enthielt. Eine breite Erlaubnisregel, um Mitternacht hinzugefügt und am Morgen vergessen, überlebt jede Wiederherstellung, weil sie Teil der Datei ist, die Sie gerade neu geladen haben.
Auf einem Gerät im OpenWrt-Stil zeigen die nützlichen Befehle den laufenden Tunnel, die Routing-Tabelle und eine Resolver-Antwort vom Router selbst:
wg show
ip -4 route
nslookup example.com 192.168.1.1Testen Sie dann von einem gewöhnlichen Client aus, nicht vom Router. Ein Tunnel, der auf dem Gerät den Handshake schafft, während Clients keine Namen auflösen können, ist ein Policy-Problem, und es wird allen außer der Person an der Konsole wie ein defekter VPN vorkommen.
Was eine Wiederherstellung nicht behebt
Einen Schlüssel wiederherzustellen widerruft nichts und sagt Ihnen nicht, wie viele Kopien existieren. War der Grund für das Zurückrollen ein verlorenes Gerät, ein geteilter Export oder ein Verdacht auf Kompromittierung, ist der alte Schlüssel überall dort weiter gültig, wo eine Kopie existiert, und die wiederhergestellte Konfiguration bringt ihn wieder in Gebrauch.
Rotieren oder widerrufen Sie den Peer über den vom Dienst unterstützten Prozess und aktualisieren Sie dann den Router und den Client, der noch das alte Material hält. Eine Sicherung repräsentiert einen bekannten funktionierenden Zustand; sie repräsentiert keinen bekannten sicheren Zustand, und der Unterschied zählt genau dann, wenn ein Gerät verschwunden ist.