Ce qu’il faut sauvegarder avant de toucher aux réglages VPN du routeur

Le bouton d’export vous donne un fichier, et ce fichier est la plus petite partie de la préparation. Ce qui sauve vraiment une soirée, c’est de savoir quelles pièces ce fichier omet, comment vous rentrerez dans le routeur quand c’est le tunnel qui a lâché, et ce que la restauration ne défera pas. Notez ces trois choses avant d’ouvrir la page VPN. Aucune de ces tâches n’est difficile, et c’est précisément pour cela qu’elles sont repoussées.

Ce que contient réellement l’export

Sur la plupart des firmwares de routeur, l’export est un paquet de réglages : interfaces, règles de pare-feu, réservations DHCP, la configuration VPN et souvent les clés privées qui l’accompagnent. Ce fichier unique contient donc des secrets, ce qui change où il peut être stocké et qui peut le lire.

Il est aussi rarement complet. Un profil peut renvoyer à du matériel de clé, à des fichiers de certificat ou à des paquets qu’un export de réglages ne transporte pas, et une restauration sur un appareil fraîchement flashé ramènera la référence sans l’objet référencé. Lisez la documentation du firmware sur la portée de l’export au lieu de supposer que le fichier est une image disque de votre état de fonctionnement.

Chiffrez le fichier si le firmware le propose, et conservez-le ailleurs que sur le routeur lui-même. Une sauvegarde qui ne vit que sur l’appareil qu’elle décrit disparaît au moment même où vous en avez besoin. Traitez l’export comme le magasin d’identifiants qu’il est, car c’est ce qu’il devient entre d’autres mains.

Notez les dépendances autour

Un fichier de réglages ne veut rien dire si vous ignorez à quoi il appartient. Notez le modèle, la version du firmware, le protocole utilisé et le rôle que joue ce routeur. Écrivez ces faits quelque part qui ne nécessite pas le routeur pour les relire.

Quatre détails décident si une restauration fonctionnera :

C’est la dernière ligne que les gens sautent. Si votre seul chemin vers le routeur passe par le tunnel que vous êtes sur le point de reconfigurer, vous avez organisé votre propre mise à l’écart au pire moment.

Écrivez d’abord le chemin de reprise

Avant de changer quoi que ce soit, écrivez les étapes que vous suivrez si le routeur devient injoignable : quel câble, quel port, quelle adresse, quel compte. Puis suivez ces étapes une fois pendant que le routeur fonctionne encore. Vérifiez que la console ou l’interface de gestion répond pendant que tout fonctionne, car découvrir une console cassée après la panne transforme un retour de dix minutes en visite sur site.

Incluez la procédure de restauration elle-même dans la note, pas seulement le nom du fichier. La personne qui la lira, c’est peut-être vous, fatigué, à une heure peu commode, sans aucun souvenir de l’endroit où le fichier est parti.

Restaurez, puis vérifiez ce qui est revenu

Une restauration terminée n’est pas un réseau qui fonctionne. Contrôlez les pièces qui retombent silencieusement sur les valeurs par défaut : les réglages du résolveur DNS, les règles de pare-feu qui pointaient vers l’ancienne interface et toute route qui visait une passerelle de tunnel. Ouvrez les règles modifiées pendant l’expérience et comparez-les à ce que contenait l’export. Une règle large qui autorise tout, ajoutée à minuit et oubliée au matin, survit à chaque restauration, parce qu’elle fait partie du fichier que vous venez de recharger.

Sur un appareil de style OpenWrt, les commandes utiles affichent le tunnel actif, la table de routage et une réponse de résolveur depuis le routeur lui-même :

wg show
ip -4 route
nslookup example.com 192.168.1.1

Testez ensuite depuis un client ordinaire plutôt que depuis le routeur. Un tunnel qui fait le handshake sur l’appareil alors que les clients ne résolvent pas les noms est un problème de politique, et il ressemblera à un VPN cassé pour tout le monde sauf la personne qui tient la console.

Ce qu’une restauration ne répare pas

Restaurer une clé ne révoque rien et ne vous dit pas combien de copies existent. Si la raison du retour arrière était un appareil perdu, un export partagé ou une suspicion de compromission, l’ancienne clé reste valide partout où une copie existe, et la configuration restaurée la remet en service.

Faites tourner ou révoquez le peer via le processus pris en charge par le service, puis mettez à jour le routeur et le client qui détient encore l’ancien matériel. Une sauvegarde représente un état de fonctionnement connu ; elle ne représente pas un état sûr connu, et la différence compte exactement quand un appareil a disparu.