Que copiar antes de tocar a configuración VPN do router
Unha exportación de configuración non é un plan de recuperación. Anota as chaves, a versión do firmware e o camiño de volta antes de cambiar un axuste VPN do router.
O botón de exportación dache un ficheiro, e ese ficheiro é a parte máis pequena de estar preparado. O que de verdade salva unha tarde é saber que pezas omite ese ficheiro, como volverás entrar no router cando o que se rompeu é o túnel, e que non desfará a restauración. Anota esas tres cousas antes de abrir a páxina do VPN. Ningunha das tarefas é difícil, e por iso mesmo se aprazan.
Que contén realmente a exportación
Na maioría dos firmware de router a exportación é un paquete de axustes: interfaces, regras de devasa, reservas DHCP, a configuración do VPN e a miúdo as chaves privadas que van con ela. Ese único ficheiro contén segredos, o que cambia onde pode gardarse e quen pode lelo.
Tamén adoita estar incompleto. Un perfil pode referirse a material de chaves, ficheiros de certificado ou paquetes que unha exportación de axustes non arrastra, e unha restauración nun dispositivo acabado de flashear devolverá a referencia sen o obxecto ao que apunta. Le a documentación do firmware sobre o alcance da exportación no canto de supor que o ficheiro é unha imaxe de disco do teu estado de traballo.
Cifra o ficheiro se o firmware o ofrece e gárdao nun lugar que non sexa o propio router. Unha copia que só vive no dispositivo que describe desaparece xusto cando a necesitas. Trata a exportación como o almacén de credenciais que é, porque iso é o que se converte en mans doutra persoa.
Anota as dependencias que o rodean
Un ficheiro de axustes non significa nada se non sabes a que pertence. Anota o modelo, a versión do firmware, o protocolo en uso e o papel que cumpre este router. Escribe eses datos nun sitio que non necesite o router para volver lelos.
Catro detalles deciden se unha restauración funcionará:
| Item | Where to record it | What breaks without it |
|---|---|---|
| Firmware version | Next to the backup file | Restore rejected or silently partial |
| VPN keys and certificates | Separate encrypted copy | Device restored, tunnel cannot authenticate |
| WAN and LAN addressing | Paper or offline note | Cannot reach the admin page afterwards |
| Out-of-band access | Console or management port | No path back in when the tunnel fails |
A última fila é a que a xente salta. Se a túa única ruta ao router pasa polo túnel que estás a piques de reconfigurar, organizácheste para quedares fóra no peor momento.
Escribe primeiro o camiño de recuperación
Antes de cambiar nada, escribe os pasos que seguirás se o router deixa de ser accesible: que cable, que porto, que enderezo, que conta. Despois segue eses pasos unha vez mentres o router aínda funciona. Comproba que a consola ou a interface de xestión responde mentres todo funciona, porque descubrir unha consola estragada despois do fallo converte un regreso de dez minutos nunha visita ao sitio.
Inclúe na nota o procedemento de restauración en si, non só o nome do ficheiro. Quen a lea podes ser ti, canso, a unha hora incómoda, sen ningún recordo de onde foi parar o ficheiro.
Restaura e despois verifica que volveu
Unha restauración completada non é unha rede que funciona. Revisa as pezas que volven en silencio aos valores por defecto: os axustes do resolvedor DNS, as regras de devasa que apuntaban á interface antiga e calquera ruta que apuntase a unha pasarela de túnel. Abre as regras que se editaron durante o experimento e compáraas co que contiña a exportación. Unha regra ampla que o permite todo, engadida á medianoite e esquecida pola mañá, sobrevive a cada restauración, porque forma parte do ficheiro que acabas de volver cargar.
Nun dispositivo ao estilo OpenWrt os comandos útiles imprimen o túnel activo, a táboa de rutas e unha resposta do resolvedor desde o propio router:
wg show
ip -4 route
nslookup example.com 192.168.1.1Despois proba desde un cliente corrente e non desde o router. Un túnel que completa o handshake no dispositivo mentres os clientes non poden resolver nomes é un problema de política, e a todos menos a quen ten a consola pareceralles un VPN estragado.
Que non arranxa unha restauración
Restaurar unha chave non revoga nada e non che di cantas copias existen. Se o motivo da reversión foi un dispositivo perdido, unha exportación compartida ou unha sospeita de compromiso, a chave antiga segue a ser válida ondequera que exista unha copia, e a configuración restaurada vólvea poñer en uso.
Rota ou revoga o peer mediante o proceso que admite o servizo e despois actualiza o router e o cliente que aínda garda o material antigo. Unha copia de seguridade representa un estado funcional coñecido; non representa un estado seguro coñecido, e a diferenza importa exactamente cando un dispositivo desapareceu.