Hva du bør sikkerhetskopiere før du rører VPN-innstillingene på ruteren
En konfigurasjonseksport er ikke en gjenopprettingsplan. Noter nøklene, fastvareversjonen og veien tilbake før du endrer en VPN-innstilling på ruteren.
Eksportknappen gir deg en fil, og den filen er den minste delen av å være forberedt. Det som faktisk redder en kveld, er å vite hvilke deler filen utelater, hvordan du kommer deg inn i ruteren igjen når det er tunnelen som har røket, og hva gjenopprettingen ikke vil angre. Noter disse tre tingene før du åpner VPN-siden. Ingen av oppgavene er vanskelige, og nettopp derfor blir de utsatt.
Hva eksporten faktisk inneholder
På de fleste ruter-fastvarer er eksporten en innstillingspakke: grensesnitt, brannmurregler, DHCP-reservasjoner, VPN-konfigurasjonen og ofte de private nøklene som hører til. Den ene filen inneholder altså hemmeligheter, noe som endrer hvor den kan lagres og hvem som kan lese den.
Den er også sjelden komplett. En profil kan vise til nøkkelmateriale, sertifikatfiler eller pakker som en innstillingseksport ikke bærer med seg, og en gjenoppretting på en nyflashet enhet vil bringe henvisningen tilbake uten objektet den peker på. Les fastvarens dokumentasjon om eksportens omfang i stedet for å anta at filen er et diskbilde av arbeidstilstanden din.
Krypter filen hvis fastvaren tilbyr det, og oppbevar den et sted som ikke er ruteren selv. En sikkerhetskopi som bare lever på enheten den beskriver, forsvinner i det øyeblikket du trenger den. Behandle eksporten som det påloggingslageret den er, for det er det den blir i hendene på noen andre.
Noter avhengighetene rundt den
En innstillingsfil er meningsløs uten å vite hva den hører til. Noter modellen, fastvareversjonen, protokollen som brukes og rollen denne ruteren har. Skriv disse faktaene et sted der ruteren ikke trengs for å lese dem tilbake.
Fire detaljer avgjør om en gjenoppretting vil virke:
| Item | Where to record it | What breaks without it |
|---|---|---|
| Firmware version | Next to the backup file | Restore rejected or silently partial |
| VPN keys and certificates | Separate encrypted copy | Device restored, tunnel cannot authenticate |
| WAN and LAN addressing | Paper or offline note | Cannot reach the admin page afterwards |
| Out-of-band access | Console or management port | No path back in when the tunnel fails |
Det er den siste raden folk hopper over. Hvis den eneste veien din til ruteren går gjennom tunnelen du er i ferd med å konfigurere på nytt, har du sørget for å låse deg selv ute på det verste tidspunktet.
Skriv gjenopprettingsveien ned først
Før du endrer noe, skriv ned trinnene du vil følge hvis ruteren blir utilgjengelig: hvilken kabel, hvilken port, hvilken adresse, hvilken konto. Gå deretter gjennom trinnene én gang mens ruteren fortsatt virker. Bekreft at konsollen eller administrasjonsgrensesnittet svarer mens alt virker, for å oppdage en ødelagt konsoll etter feilen gjør en tilbakerulling på ti minutter til et besøk på stedet.
Ta med selve gjenopprettingsprosedyren i notatet, ikke bare filnavnet. Personen som leser det, kan være deg: trøtt, på et ubeleilig tidspunkt, uten noen erindring om hvor filen ble av.
Gjenopprett, og kontroller så hva som kom tilbake
En fullført gjenoppretting er ikke et fungerende nettverk. Kontroller delene som stille faller tilbake til standardverdier: innstillingene for DNS-resolveren, brannmurregler som pekte på det gamle grensesnittet, og enhver rute som pekte mot en tunnel-gateway. Åpne reglene som ble redigert under forsøket, og sammenlign dem med det eksporten inneholdt. En bred tillatelsesregel som ble lagt til ved midnatt og glemt om morgenen, overlever hver gjenoppretting, fordi den er en del av filen du nettopp lastet inn på nytt.
På en enhet i OpenWrt-stil skriver de nyttige kommandoene ut den levende tunnelen, rutetabellen og et resolversvar fra ruteren selv:
wg show
ip -4 route
nslookup example.com 192.168.1.1Test deretter fra en vanlig klient i stedet for fra ruteren. En tunnel som gjør håndtrykket på enheten mens klientene ikke kan slå opp navn, er et politikkproblem, og det vil se ut som en ødelagt VPN for alle unntatt personen som holder konsollen.
Hva en gjenoppretting ikke retter
Å gjenopprette en nøkkel tilbakekaller ingenting, og det forteller deg ikke hvor mange kopier som finnes. Hvis årsaken til tilbakerullingen var en tapt enhet, en delt eksport eller en mistanke om kompromittering, er den gamle nøkkelen fortsatt gyldig hvor enn en kopi finnes, og den gjenopprettede konfigurasjonen tar den i bruk igjen.
Roter eller tilbakekall peer gjennom prosessen tjenesten støtter, og oppdater deretter ruteren og klienten som fortsatt har det gamle materialet. En sikkerhetskopi representerer en kjent fungerende tilstand; den representerer ikke en kjent sikker tilstand, og forskjellen betyr noe nettopp når en enhet er blitt borte.