Што да резервирате пред да ги допрете VPN-поставките на рутерот
Извозот на конфигурација не е план за обновување. Запишете ги клучевите, верзијата на фирмверот и патот назад пред да смените VPN-поставка на рутерот.
Копчето за извоз ви дава датотека, а таа датотека е најмалиот дел од подготвеноста. Она што навистина спасува вечер е да знаете кои делови ги испушта таа датотека, како ќе се вратите во рутерот кога токму тунелот е тоа што се расипало, и што обновувањето нема да поништи. Запишете ги тие три работи пред да ја отворите страницата за VPN. Ниту една од работите не е тешка, и токму затоа се одложува.
Што всушност содржи извозот
Кај повеќето фирмвери за рутери извозот е пакет поставки: интерфејси, правила на огнениот ѕид, DHCP-резервации, конфигурацијата на VPN и често приватните клучеви што одат со неа. Така таа единствена датотека содржи тајни, што менува каде смее да се чува и кој смее да ја чита.
Таа исто така ретко е целосна. Профилот може да упатува на клучен материјал, датотеки со сертификати или пакети што извозот на поставки не ги носи, а обновувањето на новофлешуван уред ќе ја врати упатката без објектот на кој упатува. Читајте ја документацијата на фирмверот за опфатот на извозот, наместо да претпоставувате дека датотеката е диск-слика од вашата работна состојба.
Шифрирајте ја датотеката ако фирмверот го нуди тоа, и чувајте ја на место што не е самиот рутер. Резервната копија што живее само на уредот што го опишува исчезнува токму во моментот кога ви треба. Третирајте го извозот како складиште на акредитиви, бидејќи токму тоа станува во туѓи раце.
Запишете ги зависностите околу него
Датотеката со поставки е бесмислена ако не знаете на што припаѓа. Запишете го моделот, верзијата на фирмверот, протоколот што се користи и улогата што ја има овој рутер. Запишете ги тие факти некаде каде што рутерот не е потребен за да се прочитаат.
Четири детали одлучуваат дали обновувањето ќе работи:
| Item | Where to record it | What breaks without it |
|---|---|---|
| Firmware version | Next to the backup file | Restore rejected or silently partial |
| VPN keys and certificates | Separate encrypted copy | Device restored, tunnel cannot authenticate |
| WAN and LAN addressing | Paper or offline note | Cannot reach the admin page afterwards |
| Out-of-band access | Console or management port | No path back in when the tunnel fails |
Токму последниот ред луѓето го прескокнуваат. Ако вашиот единствен пат до рутерот оди преку тунелот што штотуку ќе го реконфигурирате, самите сте си организирале заклучување надвор во најлошиот момент.
Прво запишете го патот за обновување
Пред да смените нешто, запишете ги чекорите што ќе ги следите ако рутерот стане недостапен: кој кабел, кој порт, која адреса, која сметка. Потоа поминете ги тие чекори еднаш додека рутерот сè уште работи. Проверете дали конзолата или интерфејсот за управување одговара додека сè работи, зашто откривањето расипана конзола по дефектот го претвора десетминутното враќање во посета на локацијата.
Вклучете ја во белешката самата постапка за обновување, не само името на датотеката. Личноста што ќе ја чита можеби сте вие: уморни, во незгоден час, без никакво сеќавање каде отишла датотеката.
Обновете, па проверете што се вратило
Завршено обновување не е работна мрежа. Проверете ги деловите што тивко паѓаат на стандардните вредности: поставките на DNS-резолверот, правилата на огнениот ѕид што упатуваа на стариот интерфејс и секоја рута што покажуваше на портата на тунелот. Отворете ги правилата што беа уредувани за време на експериментот и споредете ги со она што го содржеше извозот. Широкото правило за дозвола, додадено на полноќ и заборавено наутро, преживува секое обновување, бидејќи е дел од датотеката што штотуку ја вчитавте.
На уред во стил на OpenWrt корисните команди го печатат живиот тунел, табелата за рутирање и одговор од резолверот од самиот рутер:
wg show
ip -4 route
nslookup example.com 192.168.1.1Потоа тестирајте од обичен клиент, а не од рутерот. Тунел што прави ракување на уредот додека клиентите не можат да решаваат имиња е проблем со политиката, и на сите освен на личноста што ја држи конзолата ќе им изгледа како расипан VPN.
Што не поправа обновувањето
Обновувањето на клуч ништо не отповикува и не ви кажува колку копии постојат. Ако причината за враќањето беше изгубен уред, споделен извоз или сомнеж за компромитација, стариот клуч е сè уште валиден каде и да постои копија, а обновената конфигурација го враќа во употреба.
Завртете или отповикајте го peer преку процесот што го поддржува услугата, потоа ажурирајте го рутерот и клиентот што сè уште го држи стариот материјал. Резервната копија претставува позната работна состојба; таа не претставува позната безбедна состојба, а разликата е важна токму кога уредот исчезнал.