מה לגבות לפני שנוגעים בהגדרות ה-VPN של הראוטר
ייצוא תצורה אינו תוכנית שחזור. תעדו את המפתחות, את גרסת הקושחה ואת הדרך חזרה לפני שאתם משנים הגדרת VPN בראוטר.
כפתור הייצוא נותן לכם קובץ, והקובץ הזה הוא החלק הקטן ביותר שבלהיות מוכנים. מה שבאמת מציל ערב הוא לדעת אילו חלקים הקובץ משמיט, איך תחזרו אל הראוטר כשהמנהרה היא מה שנשבר, ומה השחזור לא יבטל. תעדו את שלושת הדברים האלה לפני שתפתחו את דף ה-VPN. אף אחד מהעבודות האלה אינו קשה, ובדיוק משום כך הוא נדחה.
מה הייצוא באמת מכיל
ברוב קושחות הראוטר הייצוא הוא חבילת הגדרות: ממשקים, כללי חומת אש, הזמנות DHCP, תצורת ה-VPN ולעיתים קרובות המפתחות הפרטיים הנלווים לה. כך שהקובץ האחד הזה מכיל סודות, מה שמשנה היכן מותר לאחסן אותו ומי רשאי לקרוא בו.
הוא גם לעיתים רחוקות שלם. פרופיל יכול להפנות לחומר מפתח, לקבצי תעודה או לחבילות שייצוא הגדרות אינו נושא, ושחזור במכשיר שזה עתה הוצף יחזיר את ההפניה בלי האובייקט שאליו היא מפנה. קראו בתיעוד הקושחה על היקף הייצוא במקום להניח שהקובץ הוא תמונת דיסק של מצב העבודה שלכם.
הצפינו את הקובץ אם הקושחה מציעה זאת, ושמרו אותו במקום שאינו הראוטר עצמו. גיבוי שחי רק במכשיר שהוא מתאר נעלם בדיוק ברגע שבו אתם צריכים אותו. התייחסו לייצוא כמו למאגר האישורים שהוא, כי זה מה שהוא הופך להיות בידיים של מישהו אחר.
תעדו את התלויות שסביבו
קובץ הגדרות חסר משמעות בלי לדעת למה הוא שייך. תעדו את הדגם, את גרסת הקושחה, את הפרוטוקול בשימוש ואת התפקיד שהראוטר הזה ממלא. כתבו את העובדות האלה במקום שלא צריך את הראוטר כדי לקרוא אותן.
ארבעה פרטים קובעים אם שחזור יעבוד:
| Item | Where to record it | What breaks without it |
|---|---|---|
| Firmware version | Next to the backup file | Restore rejected or silently partial |
| VPN keys and certificates | Separate encrypted copy | Device restored, tunnel cannot authenticate |
| WAN and LAN addressing | Paper or offline note | Cannot reach the admin page afterwards |
| Out-of-band access | Console or management port | No path back in when the tunnel fails |
את השורה האחרונה אנשים מדלגים. אם הנתיב היחיד שלכם אל הראוטר עובר דרך המנהרה שאתם עומדים להגדיר מחדש, ארגנתם לעצמכם להינעל בחוץ ברגע הגרוע ביותר.
כתבו קודם את נתיב השחזור
לפני שמשנים משהו, כתבו את הצעדים שתלכו בהם אם הראוטר יהפוך לבלתי נגיש: איזה כבל, איזה פורט, איזו כתובת, איזה חשבון. אחר כך עברו על הצעדים האלה פעם אחת בזמן שהראוטר עוד עובד. ודאו שהקונסולה או ממשק הניהול מגיב בזמן שהכול עובד, כי גילוי קונסולה שבורה אחרי התקלה הופך חזרה של עשר דקות לביקור באתר.
כללו בהערה את הליך השחזור עצמו, לא רק את שם הקובץ. מי שיקרא אותה אולי תהיו אתם: עייפים, בשעה לא נוחה, בלי שום זיכרון לאן הקובץ נעלם.
שחזרו, ואז ודאו מה חזר
שחזור שהושלם אינו רשת עובדת. בדקו את החלקים שנופלים בשקט לברירות המחדל: הגדרות פותר ה-DNS, כללי חומת אש שהצביעו על הממשק הישן וכל מסלול שהצביע לשער מנהרה. פתחו את הכללים שנערכו במהלך הניסוי והשוו אותם למה שהיה בייצוא. כלל הרשאה רחב שנוסף בחצות ונשכח בבוקר שורד כל שחזור, כי הוא חלק מהקובץ שזה עתה טענתם מחדש.
במכשיר בסגנון OpenWrt הפקודות השימושיות מדפיסות את המנהרה החיה, את טבלת הניתוב ותשובת פותר מהראוטר עצמו:
wg show
ip -4 route
nslookup example.com 192.168.1.1ואז בדקו מלקוח רגיל ולא מהראוטר. מנהרה שמבצעת לחיצת יד במכשיר בעוד שהלקוחות אינם יכולים לפתור שמות היא בעיית מדיניות, והיא תיראה כמו VPN שבור לכל מי שאינו האדם שמחזיק בקונסולה.
מה שחזור לא מתקן
שחזור מפתח אינו מבטל דבר, ואינו אומר לכם כמה עותקים קיימים. אם הסיבה לחזרה הייתה מכשיר שאבד, ייצוא משותף או חשד לפגיעה, המפתח הישן עדיין תקף בכל מקום שבו קיים עותק, והתצורה המשוחזרת מחזירה אותו לשימוש.
סובבו או בטלו את ה-peer דרך התהליך שהשירות תומך בו, ואז עדכנו את הראוטר ואת הלקוח שעדיין מחזיק בחומר הישן. גיבוי מייצג מצב עבודה ידוע; הוא אינו מייצג מצב מאובטח ידוע, וההבדל חשוב בדיוק כשמכשיר נעלם.