Mida varundada enne ruuteri VPN-seadete muutmist
Konfiguratsiooni eksport ei ole taasteplaan. Kirjuta üles võtmed, püsivara versioon ja tee tagasi enne, kui muudad ruuteri VPN-seadet.
Ekspordinupp annab sulle faili ja see fail on ettevalmistuse kõige väiksem osa. Õhtu päästab tegelikult see, kui tead, millised osad see fail välja jätab, kuidas ruuterisse tagasi pääsed, kui just tunnel on see, mis katki läks, ja mida taastamine ei võta tagasi. Kirjuta need kolm asja üles enne, kui avad VPN-lehe. Ükski neist töödest ei ole raske ja just seetõttu lükkub see edasi.
Mida eksport tegelikult sisaldab
Enamikus ruuteri püsivaras on eksport seadete pakett: liidesed, tulemüüri reeglid, DHCP-reserveeringud, VPN-i konfiguratsioon ja sageli ka selle juurde kuuluvad privaatvõtmed. See üks fail sisaldab seega saladusi, mis muudab, kus seda hoida tohib ja kes seda lugeda tohib.
See on ka harva täielik. Profiil võib viidata võtmematerjalile, sertifikaadifailidele või pakettidele, mida seadete eksport ei kanna, ja värskelt üle kirjutatud seadmes taastamine toob viite tagasi ilma viidatud objektita. Loe püsivara dokumentatsioonist ekspordi ulatust, selle asemel et eeldada, et fail on sinu tööseisundi kettakujutis.
Krüpteeri fail, kui püsivara seda pakub, ja hoia seda kohas, mis ei ole ruuter ise. Varukoopia, mis elab ainult seadmes, mida ta kirjeldab, kaob just hetkel, mil seda vajad. Kohtle eksporti nagu volituste hoidlat, sest seda see teise inimese käes saab.
Kirjuta üles selle ümber olevad sõltuvused
Seadete fail on mõttetu, kui ei tea, mille juurde see kuulub. Kirjuta üles mudel, püsivara versioon, kasutatav protokoll ja roll, mida see ruuter täidab. Kirjuta need faktid kohta, kus ruuterit pole nende lugemiseks vaja.
Neli detaili otsustavad, kas taastamine õnnestub:
| Item | Where to record it | What breaks without it |
|---|---|---|
| Firmware version | Next to the backup file | Restore rejected or silently partial |
| VPN keys and certificates | Separate encrypted copy | Device restored, tunnel cannot authenticate |
| WAN and LAN addressing | Paper or offline note | Cannot reach the admin page afterwards |
| Out-of-band access | Console or management port | No path back in when the tunnel fails |
Just viimase rea jätavad inimesed vahele. Kui sinu ainus tee ruuterini kulgeb läbi tunneli, mida plaanid ümber seadistada, oled ise korraldanud enda välja lukustamise halvimal hetkel.
Kirjuta esmalt üles taastetee
Enne kui midagi muudad, kirjuta üles sammud, mida järgid, kui ruuter muutub kättesaamatuks: milline kaabel, milline port, milline aadress, milline konto. Seejärel läbi need sammud üks kord, kuni ruuter veel töötab. Kontrolli, et konsool või haldusliides vastab, kuni kõik töötab, sest katkise konsooli avastamine alles pärast riket muudab kümne minuti tagasipöördumise kohapealseks visiidiks.
Lisa märkmesse taastamisprotseduur ise, mitte ainult faili nimi. Lugeja võid olla sina: väsinud, ebamugaval tunnil, ilma igasuguse mälestuseta, kuhu fail läks.
Taasta ja seejärel kontrolli, mis tagasi tuli
Lõpetatud taastamine ei ole töötav võrk. Kontrolli osi, mis vaikselt vaikeväärtustele tagasi langevad: DNS-resolveri seaded, tulemüüri reeglid, mis viitasid vanale liidesele, ja iga marsruut, mis osutas tunnelilüüsile. Ava katsetuse ajal muudetud reeglid ja võrdle neid sellega, mida eksport sisaldas. Keskööl lisatud ja hommikuks unustatud lai lubamisreegel jääb püsima igast taastamisest, sest see on osa failist, mille sa just uuesti laadisid.
OpenWrt-stiilis seadmes trükivad kasulikud käsud välja elava tunneli, marsruutimistabeli ja resolveri vastuse ruuterist endast:
wg show
ip -4 route
nslookup example.com 192.168.1.1Seejärel testi tavalise kliendi pealt, mitte ruuterist. Tunnel, mis teeb seadmes handshake’i, samal ajal kui kliendid ei suuda nimesid lahendada, on poliitikaprobleem ja see näib kõigile peale konsooli hoidja katkise VPN-ina.
Mida taastamine ei paranda
Võtme taastamine ei tühista midagi ega ütle, kui palju koopiaid olemas on. Kui tagasipöördumise põhjus oli kaotatud seade, jagatud eksport või kahtlus kompromiteerimises, kehtib vana võti endiselt kõikjal, kus koopia eksisteerib, ja taastatud konfiguratsioon võtab selle uuesti kasutusse.
Pööra või tühista peer teenuse toetatud protsessi kaudu ja seejärel uuenda ruuterit ning klienti, millel on veel vana materjal. Varukoopia tähistab teadaolevat töötavat olekut; see ei tähista teadaolevat turvalist olekut ja see vahe on oluline täpselt siis, kui seade on kadunud.