Qué copiar antes de tocar la configuración VPN del router

El botón de exportación te da un archivo, y ese archivo es la parte más pequeña de estar preparado. Lo que de verdad salva una tarde es saber qué piezas omite ese archivo, cómo volverás a entrar en el router cuando lo que se ha roto es el túnel, y qué no deshará la restauración. Anota esas tres cosas antes de abrir la página del VPN. Ninguna de las tareas es difícil, y por eso mismo se posponen.

Qué contiene realmente la exportación

En la mayoría de los firmware de router la exportación es un paquete de ajustes: interfaces, reglas de cortafuegos, reservas DHCP, la configuración del VPN y a menudo las claves privadas que van con ella. Ese único archivo contiene secretos, lo que cambia dónde puede guardarse y quién puede leerlo.

Tampoco suele estar completo. Un perfil puede referirse a material de claves, archivos de certificado o paquetes que una exportación de ajustes no arrastra, y una restauración en un dispositivo recién flasheado devolverá la referencia sin el objeto al que apunta. Lee la documentación del firmware sobre el alcance de la exportación en lugar de suponer que el archivo es una imagen de disco de tu estado de trabajo.

Cifra el archivo si el firmware lo ofrece y guárdalo en un lugar que no sea el propio router. Una copia que solo vive en el dispositivo que describe desaparece justo cuando la necesitas. Trata la exportación como el almacén de credenciales que es, porque eso es lo que se convierte en manos de otra persona.

Registra las dependencias que lo rodean

Un archivo de ajustes no significa nada si no sabes a qué pertenece. Anota el modelo, la versión del firmware, el protocolo en uso y el papel que cumple este router. Escribe esos datos en un sitio que no necesite el router para volver a leerlos.

Cuatro detalles deciden si una restauración funcionará:

La última fila es la que la gente se salta. Si tu única ruta al router pasa por el túnel que estás a punto de reconfigurar, te has organizado para quedarte fuera en el peor momento.

Escribe primero el camino de recuperación

Antes de cambiar nada, escribe los pasos que seguirás si el router deja de ser accesible: qué cable, qué puerto, qué dirección, qué cuenta. Después sigue esos pasos una vez mientras el router todavía funciona. Comprueba que la consola o la interfaz de gestión responde mientras todo funciona, porque descubrir una consola averiada después del fallo convierte un retorno de diez minutos en una visita al sitio.

Incluye en la nota el procedimiento de restauración en sí, no solo el nombre del archivo. Quien la lea puedes ser tú, cansado, a una hora incómoda, sin ningún recuerdo de dónde fue a parar el archivo.

Restaura y luego verifica qué ha vuelto

Una restauración completada no es una red que funciona. Revisa las piezas que vuelven en silencio a los valores por defecto: los ajustes del resolutor DNS, las reglas de cortafuegos que apuntaban a la interfaz antigua y cualquier ruta que apuntara a una puerta de enlace del túnel. Abre las reglas que se editaron durante el experimento y compáralas con lo que contenía la exportación. Una regla amplia que lo permite todo, añadida a medianoche y olvidada por la mañana, sobrevive a cada restauración, porque forma parte del archivo que acabas de volver a cargar.

En un dispositivo al estilo OpenWrt los comandos útiles imprimen el túnel activo, la tabla de rutas y una respuesta del resolutor desde el propio router:

wg show
ip -4 route
nslookup example.com 192.168.1.1

Luego prueba desde un cliente corriente y no desde el router. Un túnel que completa el handshake en el dispositivo mientras los clientes no pueden resolver nombres es un problema de política, y a todos menos a quien tiene la consola les parecerá un VPN averiado.

Qué no arregla una restauración

Restaurar una clave no revoca nada y no te dice cuántas copias existen. Si el motivo de la reversión fue un dispositivo perdido, una exportación compartida o una sospecha de compromiso, la clave antigua sigue siendo válida dondequiera que exista una copia, y la configuración restaurada la vuelve a poner en uso.

Rota o revoca el peer mediante el proceso que admite el servicio y después actualiza el router y el cliente que aún guarda el material antiguo. Una copia de seguridad representa un estado funcional conocido; no representa un estado seguro conocido, y la diferencia importa exactamente cuando un dispositivo ha desaparecido.