Mit mentsen biztonsági másolatként, mielőtt hozzányúl a router VPN-beállításaihoz
A konfiguráció exportja nem helyreállítási terv. Rögzítse a kulcsokat, a firmware verzióját és a visszavezető utat, mielőtt módosít egy VPN-beállítást a routeren.
Az export gomb ad egy fájlt, és ez a fájl a felkészültség legkisebb része. Ami valóban megment egy estét, az annak tudása, mely darabokat hagyja ki ez a fájl, hogyan jut vissza a routerbe, amikor épp az alagút az, ami elromlott, és mit nem von vissza a helyreállítás. Jegyezze fel ezt a három dolgot, mielőtt megnyitja a VPN oldalt. Egyik munka sem nehéz, és épp ezért marad halasztva.
Mit tartalmaz valójában az export
A legtöbb router-firmware esetén az export beállításcsomag: interfészek, tűzfal-szabályok, DHCP-foglalások, a VPN konfigurációja és gyakran a hozzá tartozó privát kulcsok. Ez az egy fájl tehát titkokat tartalmaz, ami megváltoztatja, hol tárolható és ki olvashatja.
Ritkán teljes is. Egy profil hivatkozhat kulcsanyagra, tanúsítványfájlokra vagy csomagokra, amelyeket egy beállításexport nem hordoz, és egy frissen flashelt eszközön a helyreállítás visszahozza a hivatkozást a hivatkozott objektum nélkül. Olvassa el a firmware dokumentációját az export hatóköréről, ahelyett hogy feltételezné, a fájl a munkakörnyezete lemezképe.
Titkosítsa a fájlt, ha a firmware kínál ilyet, és olyan helyen tartsa, ami nem maga a router. Az a biztonsági másolat, amely csak az általa leírt eszközön él, abban a pillanatban tűnik el, amikor szüksége van rá. Kezelje az exportot azként a hitelesítőadat-tárolóként, ami, mert más kezében azzá válik.
Rögzítse a körülötte lévő függőségeket
Egy beállításfájl értelmetlen, ha nem tudja, mihez tartozik. Jegyezze fel a modellt, a firmware verzióját, a használt protokollt és a router szerepét. Írja le ezeket a tényeket olyan helyre, ahol nincs szükség a routerre az olvasásukhoz.
Négy részlet dönti el, működik-e a helyreállítás:
| Item | Where to record it | What breaks without it |
|---|---|---|
| Firmware version | Next to the backup file | Restore rejected or silently partial |
| VPN keys and certificates | Separate encrypted copy | Device restored, tunnel cannot authenticate |
| WAN and LAN addressing | Paper or offline note | Cannot reach the admin page afterwards |
| Out-of-band access | Console or management port | No path back in when the tunnel fails |
Épp az utolsó sort hagyják ki az emberek. Ha a routerhez vezető egyetlen útja azon az alagúton megy át, amelyet épp újrakonfigurál, akkor gondoskodott róla, hogy a legrosszabb pillanatban zárja ki magát.
Először írja le a helyreállítási utat
Mielőtt bármit módosít, írja le a lépéseket, amelyeket követ, ha a router elérhetetlenné válik: melyik kábel, melyik port, melyik cím, melyik fiók. Aztán egyszer járja végig ezeket a lépéseket, amíg a router még működik. Ellenőrizze, hogy a konzol vagy a kezelőfelület válaszol, amíg minden működik, mert a törött konzol felfedezése a hiba után a tízperces visszatérést helyszíni látogatássá változtatja.
A jegyzetbe magát a helyreállítási eljárást is vegye fel, ne csak a fájlnevet. Aki olvassa, lehet ön is: fáradtan, kényelmetlen órában, minden emlék nélkül arról, hová tűnt a fájl.
Állítsa helyre, aztán ellenőrizze, mi jött vissza
A befejezett helyreállítás nem működő hálózat. Ellenőrizze azokat a darabokat, amelyek csendben visszaesnek az alapértékekre: a DNS-feloldó beállításait, a régi interfészre hivatkozó tűzfalszabályokat és minden útvonalat, amely alagút-átjáróra mutatott. Nyissa meg a kísérlet alatt szerkesztett szabályokat, és hasonlítsa össze azzal, amit az export tartalmazott. A széles engedélyező szabály, amelyet éjfélkor adtak hozzá és reggelre elfelejtettek, minden helyreállítást túlél, mert része annak a fájlnak, amelyet épp újratöltött.
Egy OpenWrt stílusú eszközön a hasznos parancsok kiírják az élő alagutat, az útvonaltáblát és egy feloldó válaszát magából a routerből:
wg show
ip -4 route
nslookup example.com 192.168.1.1Aztán közönséges kliensről teszteljen, ne a routerről. Az az alagút, amely az eszközön kezet fog, miközben a kliensek nem tudnak neveket feloldani, házirend-probléma, és mindenkinek – kivéve a konzolt tartó embert – törött VPN-nek fog látszani.
Mit nem javít ki a helyreállítás
Egy kulcs helyreállítása semmit nem von vissza, és nem mondja meg, hány másolat létezik. Ha a visszaállás oka elveszett eszköz, megosztott export vagy feltört rendszer gyanúja volt, a régi kulcs mindenhol érvényes, ahol másolat létezik, és a helyreállított konfiguráció újra használatba veszi.
Forgassa vagy vonja vissza a peer-t a szolgáltatás által támogatott folyamattal, majd frissítse a routert és azt a klienst, amelynél még a régi anyag van. Egy biztonsági másolat ismert működő állapotot képvisel; nem képvisel ismert biztonságos állapotot, és a különbség épp akkor számít, amikor egy eszköz eltűnt.