Ką atsarginėti prieš liesdami maršrutizatoriaus VPN nustatymus
Konfigūracijos eksportas nėra atkūrimo planas. Užsirašykite raktus, programinės įrangos versiją ir kelią atgal, prieš keisdami maršrutizatoriaus VPN nustatymą.
Eksporto mygtukas duoda failą, ir tas failas yra mažiausia pasirengimo dalis. Vakarą tikrai išgelbsti žinojimas, kokių dalių tas failas neapima, kaip grįšite į maršrutizatorių, kai sugenda būtent tunelis, ir ko atkūrimas nepanaikins. Užsirašykite šiuos tris dalykus prieš atidarydami VPN puslapį. Nė vienas darbas nėra sunkus, ir būtent todėl jis atidedamas.
Ką eksportas iš tikrųjų turi
Daugumoje maršrutizatorių programinės įrangos eksportas yra nustatymų rinkinys: sąsajos, ugniasienės taisyklės, DHCP rezervacijos, VPN konfigūracija ir dažnai su ja susieti privatūs raktai. Taigi tame viename faile yra paslapčių, o tai keičia, kur jį galima laikyti ir kas gali jį skaityti.
Jis taip pat retai būna išsamus. Profilis gali nurodyti raktų medžiagą, sertifikatų failus ar paketus, kurių nustatymų eksportas neperneša, o ką tik perrašytame įrenginyje atkūrimas grąžins nuorodą be objekto, į kurį ji nurodo. Skaitykite programinės įrangos dokumentaciją apie eksporto apimtį, o ne manykite, kad failas yra jūsų darbo būsenos disko atvaizdas.
Šifruokite failą, jei programinė įranga tai siūlo, ir laikykite jį ne pačiame maršrutizatoriuje. Atsarginė kopija, kuri gyvena tik ją aprašančiame įrenginyje, dingsta būtent tuo metu, kai jos prireikia. Traktuokite eksportą kaip prisijungimo duomenų saugyklą, nes būtent tuo jis tampa svetimose rankose.
Užsirašykite su juo susijusias priklausomybes
Nustatymų failas beprasmis, jei nežinote, kam jis priklauso. Užrašykite modelį, programinės įrangos versiją, naudojamą protokolą ir šio maršrutizatoriaus vaidmenį. Užrašykite šiuos faktus ten, kur nereikia maršrutizatoriaus jiems perskaityti.
Keturi duomenys lemia, ar atkūrimas veiks:
| Item | Where to record it | What breaks without it |
|---|---|---|
| Firmware version | Next to the backup file | Restore rejected or silently partial |
| VPN keys and certificates | Separate encrypted copy | Device restored, tunnel cannot authenticate |
| WAN and LAN addressing | Paper or offline note | Cannot reach the admin page afterwards |
| Out-of-band access | Console or management port | No path back in when the tunnel fails |
Būtent paskutinę eilutę žmonės praleidžia. Jei vienintelis kelias iki maršrutizatoriaus eina per tunelį, kurį ketinate pertvarkyti, jūs patys pasirūpinote, kad blogiausiu metu liktumėte užrakinti lauke.
Pirmiausia užrašykite atkūrimo kelią
Prieš ką nors keisdami, užrašykite veiksmus, kurių imsitės, jei maršrutizatorius taps nepasiekiamas: kuris kabelis, kuris prievadas, kuris adresas, kuri paskyra. Tada kartą pereikite šiuos veiksmus, kol maršrutizatorius dar veikia. Patikrinkite, ar konsolė ar valdymo sąsaja atsako, kol viskas veikia, nes sugedusios konsolės atradimas po gedimo dešimties minučių grąžinimą paverčia vizitu vietoje.
Įrašykite į pastabą patį atkūrimo procedūrą, o ne vien failo vardą. Skaitytojas galite būti jūs: pavargę, nepatogią valandą, be jokio prisiminimo, kur failas dingo.
Atkurkite, tada patikrinkite, kas grįžo
Užbaigtas atkūrimas dar nėra veikiantis tinklas. Patikrinkite dalis, kurios tyliai grįžta prie numatytųjų reikšmių: DNS sprendiklio nustatymus, ugniasienės taisykles, kurios rodė į senąją sąsają, ir bet kurį maršrutą, kuris rodė į tunelio šliuzą. Atidarykite taisykles, kurios buvo keičiamos eksperimento metu, ir palyginkite jas su tuo, ką turėjo eksportas. Plati leidimo taisyklė, pridėta vidurnaktį ir pamiršta ryte, išlieka po kiekvieno atkūrimo, nes ji yra ką tik iš naujo įkeltos bylos dalis.
OpenWrt stiliaus įrenginyje naudingos komandos išveda gyvą tunelį, maršrutų lentelę ir sprendiklio atsakymą iš paties maršrutizatoriaus:
wg show
ip -4 route
nslookup example.com 192.168.1.1Tada išbandykite iš paprasto kliento, o ne iš maršrutizatoriaus. Tunelis, kuris įrenginyje atlieka rankos paspaudimą, bet klientai negali išspręsti vardų, yra politikos problema, ir visiems, išskyrus konsolę laikantį asmenį, jis atrodys kaip sugedęs VPN.
Ko atkūrimas nesutvarko
Rakto atkūrimas nieko neatšaukia ir nepasako, kiek kopijų yra. Jei atsukimo atgal priežastis buvo pamestas įrenginys, bendras eksportas ar įsibrovimo įtarimas, senas raktas vis dar galioja visur, kur yra kopija, ir atkurta konfigūracija vėl jį naudoja.
Pasukite ar panaikinkite peer per paslaugos palaikomą procesą, tada atnaujinkite maršrutizatorių ir klientą, kuris dar turi seną medžiagą. Atsarginė kopija reiškia žinomą veikiančią būseną; ji nereiškia žinomos saugios būsenos, ir šis skirtumas svarbus būtent tada, kai įrenginys dingo.