Mitä varmuuskopioida ennen kuin kosket reitittimen VPN-asetuksiin
Konfiguraation vienti ei ole palautussuunnitelma. Kirjaa avaimet, firmware-versio ja paluutie ennen kuin muutat reitittimen VPN-asetusta.
Vientipainike antaa sinulle tiedoston, ja se tiedosto on valmistautumisen pienin osa. Illan todella pelastaa se, että tietää mitkä osat tiedosto jättää pois, miten pääset takaisin reitittimeen, kun juuri tunneli on se, joka hajosi, ja mitä palautus ei peru. Kirjaa nämä kolme asiaa ennen kuin avaat VPN-sivun. Mikään töistä ei ole vaikeaa, ja juuri siksi ne lykkääntyvät.
Mitä vienti todella sisältää
Useimmissa reitittimen firmwareissa vienti on asetusnippu: rajapinnat, palomuurisäännöt, DHCP-varaukset, VPN-kokoonpano ja usein siihen kuuluvat yksityiset avaimet. Niinpä tuo yksi tiedosto sisältää salaisuuksia, mikä muuttaa sitä, mihin se saa tallentua ja kuka saa lukea sen.
Se on myös harvoin täydellinen. Profiili voi viitata avainmateriaaliin, varmennetiedostoihin tai paketteihin, joita asetusten vienti ei kanna, ja juuri flashatulla laitteella tehty palautus tuo viittauksen takaisin ilman viitattua kohdetta. Lue firmwaren dokumentaatiosta viennin laajuus sen sijaan, että olettaisit tiedoston olevan levykuva työtilastasi.
Salaa tiedosto, jos firmware tarjoaa sen, ja säilytä sitä jossain muualla kuin itse reitittimessä. Varmuuskopio, joka elää vain laitteella, jota se kuvaa, katoaa juuri sillä hetkellä, kun tarvitset sitä. Kohtele vientiä sellaisena tunnusten säilönä kuin se on, sillä sitä siitä tulee toisen käsissä.
Kirjaa sen ympärillä olevat riippuvuudet
Asetustiedosto on merkityksetön, jos et tiedä mihin se kuuluu. Kirjaa malli, firmware-versio, käytettävä protokolla ja rooli, jota tämä reititin hoitaa. Kirjoita nämä tiedot jonnekin, jossa reititintä ei tarvita niiden lukemiseen.
Neljä yksityiskohtaa ratkaisee, toimiiko palautus:
| Item | Where to record it | What breaks without it |
|---|---|---|
| Firmware version | Next to the backup file | Restore rejected or silently partial |
| VPN keys and certificates | Separate encrypted copy | Device restored, tunnel cannot authenticate |
| WAN and LAN addressing | Paper or offline note | Cannot reach the admin page afterwards |
| Out-of-band access | Console or management port | No path back in when the tunnel fails |
Juuri viimeisen rivin ihmiset ohittavat. Jos ainoa tiesi reitittimeen kulkee tunnelin kautta, jota olet juuri konfiguroimassa uudelleen, olet järjestänyt itsesi ulos lukituksi pahimmalla hetkellä.
Kirjoita ensin palautustie
Ennen kuin muutat mitään, kirjoita vaiheet, joita noudatat, jos reitittimestä tulee tavoittamaton: mikä kaapeli, mikä portti, mikä osoite, mikä tili. Käy sitten vaiheet läpi kerran, kun reititin vielä toimii. Varmista, että konsoli tai hallintaliittymä vastaa, kun kaikki toimii, sillä rikkinäisen konsolin löytäminen vasta vian jälkeen muuttaa kymmenen minuutin paluun käynniksi paikan päällä.
Kirjaa muistiin itse palautusmenettely, ei vain tiedoston nimeä. Sen lukija saatat olla sinä: väsynyt, hankalaan aikaan, ilman mitään muistikuvaa siitä, minne tiedosto meni.
Palauta ja tarkista sitten, mitä tuli takaisin
Valmis palautus ei ole toimiva verkko. Tarkista osat, jotka lankeavat hiljaa oletusarvoihin: DNS-resolverin asetukset, vanhaan rajapintaan viitanneet palomuurisäännöt ja jokainen reitti, joka osoitti tunnelin yhdyskäytävään. Avaa kokeen aikana muokatut säännöt ja vertaa niitä siihen, mitä vienti sisälsi. Keskiyöllä lisätty ja aamuksi unohdettu laaja salliva sääntö selviää jokaisesta palautuksesta, koska se on osa tiedostoa, jonka juuri latasit uudelleen.
OpenWrt-tyylisessä laitteessa hyödylliset komennot tulostavat elävän tunnelin, reititystaulukon ja resolverin vastauksen reitittimestä itsestään:
wg show
ip -4 route
nslookup example.com 192.168.1.1Testaa sitten tavalliselta asiakkaalta, älä reitittimestä. Tunneli, joka tekee kättelyn laitteessa, kun asiakkaat eivät voi selvittää nimiä, on politiikkaongelma, ja se näyttää rikkinäiseltä VPN:ltä kaikille paitsi konsolia pitävälle.
Mitä palautus ei korjaa
Avaimen palauttaminen ei peru mitään eikä kerro, kuinka monta kopiota on olemassa. Jos palautuksen syy oli kadonnut laite, jaettu vienti tai epäilty tietomurto, vanha avain on edelleen voimassa kaikkialla, missä kopio on, ja palautettu kokoonpano ottaa sen uudelleen käyttöön.
Kierrätä tai peru peer palvelun tukemalla menettelyllä ja päivitä sitten reititin sekä asiakas, jolla on vielä vanhaa materiaalia. Varmuuskopio edustaa tunnettua toimivaa tilaa; se ei edusta tunnettua turvallista tilaa, ja ero on merkityksellinen juuri silloin, kun laite on kadonnut.