ルーターのVPN設定を触る前にバックアップすべきもの

エクスポートボタンがくれるのは一つのファイルで、そのファイルは準備のごく小さな部分にすぎません。本当に一夜を救うのは、そのファイルが何を省いているか、壊れたのがトンネルそのものだったときにどうやってルーターへ戻るか、そして復元が取り消さないものは何かを知っていることです。VPNのページを開く前に、この三つを記録してください。どれも難しい作業ではありません。だからこそ後回しにされるのです。

エクスポートに実際に含まれるもの

ほとんどのルーターのファームウェアでは、エクスポートは設定の束です。インターフェース、ファイアウォールの規則、DHCPの予約、VPNの設定、そして多くの場合それに付随する秘密鍵まで含まれます。つまりその一つのファイルには秘密が入っており、どこに置けるか、誰が読めるかが変わってきます。

しかも完全であることはほとんどありません。プロファイルが鍵の素材、証明書ファイル、あるいは設定のエクスポートが運ばないパッケージを参照していることがあり、焼き直したばかりの機器で復元すると、参照だけが戻って参照先の実体は戻りません。ファイルが作業状態のディスクイメージだと思い込まず、エクスポートの範囲についてファームウェアの文書を読んでください。

ファームウェアが用意しているならファイルを暗号化し、ルーターそのものではない場所に置いてください。記述している機器の上にしか存在しないバックアップは、必要なその瞬間に消えます。エクスポートは資格情報の保管庫なのだと扱ってください。他人の手に渡れば、実際にそうなるからです。

その周りの依存関係を記録する

設定ファイルは、何に属しているかが分からなければ意味がありません。機種、ファームウェアの版、使っているプロトコル、そしてこのルーターの役割を記録します。それらの事実は、読み返すのにルーターを必要としない場所に書いてください。

復元が機能するかを決める四つの点があります。

最後の行こそ、人が飛ばすところです。ルーターへの唯一の経路が、これから設定し直すトンネルを通っているなら、あなたは最悪の瞬間に自分を締め出す段取りを整えたことになります。

まず復旧の道筋を書く

何かを変える前に、ルーターに到達できなくなったら辿る手順を書きます。どのケーブル、どのポート、どのアドレス、どのアカウントか。そしてルーターがまだ動いているうちに、その手順を一度たどってください。すべてが動いている間にコンソールや管理画面が応答することを確かめておきます。障害の後に壊れたコンソールを見つけると、十分で済む巻き戻しが現地訪問になるからです。

メモにはファイル名だけでなく、復元の手順そのものを入れてください。読むのはあなた自身かもしれません。疲れていて、都合の悪い時間で、ファイルがどこへ行ったかなど何も覚えていないあなたです。

復元したら、何が戻ったかを確かめる

復元が完了しても、動くネットワークになったわけではありません。黙って既定値に戻る部分を確認します。DNSリゾルバーの設定、古いインターフェースを指していたファイアウォールの規則、トンネルのゲートウェイを指していた経路です。実験中に編集した規則を開き、エクスポートに何が入っていたかと比べてください。真夜中に足して朝には忘れた広い許可規則は、どの復元の後にも生き残ります。いま読み込んだファイルの一部だからです。

OpenWrt 系の機器では、役に立つコマンドが生きたトンネル、経路表、そしてルーター自身からのリゾルバーの応答を出力します。

wg show
ip -4 route
nslookup example.com 192.168.1.1

そのうえで、ルーターからではなく普通のクライアントから試してください。機器の上ではハンドシェイクが成立するのに、クライアントが名前を解決できないトンネルはポリシーの問題であり、コンソールを握っている人以外には壊れたVPNに見えます。

復元が直さないもの

鍵を戻しても何も失効しませんし、写しがいくつあるかも分かりません。巻き戻しの理由が紛失した機器、共有されたエクスポート、侵害の疑いだったなら、写しがある限り古い鍵はどこでも有効で、復元した設定はそれを再び使い始めます。

サービスが対応している手順で peer を交換または失効させ、そのうえでルーターと、古い素材をまだ持っているクライアントを更新してください。バックアップが表すのは既知の動作状態であり、既知の安全な状態ではありません。その違いは、まさに機器が失われたときに効いてきます。