Wat u moet back-uppen voordat u de VPN-instellingen van de router aanraakt
Een configuratie-export is geen herstelplan. Leg de sleutels, de firmwareversie en de weg terug vast voordat u een VPN-instelling op de router wijzigt.
De exportknop geeft u een bestand, en dat bestand is het kleinste deel van voorbereid zijn. Wat echt een avond redt, is weten welke onderdelen dat bestand weglaat, hoe u weer in de router komt wanneer juist de tunnel stuk is, en wat de herstelling niet ongedaan maakt. Leg die drie dingen vast voordat u de VPN-pagina opent. Geen van de taken is moeilijk, en juist daarom worden ze uitgesteld.
Wat de export werkelijk bevat
Op de meeste routerfirmware is de export een bundel instellingen: interfaces, firewallregels, DHCP-reserveringen, de VPN-configuratie en vaak de bijbehorende privésleutels. Dat ene bestand bevat dus geheimen, wat verandert waar het mag worden opgeslagen en wie het mag lezen.
Het is ook zelden volledig. Een profiel kan verwijzen naar sleutelmateriaal, certificaatbestanden of pakketten die een instellingenexport niet meedraagt, en een herstel op een net geflasht apparaat brengt de verwijzing terug zonder het object waarnaar die verwijst. Lees de documentatie van de firmware over de reikwijdte van de export in plaats van aan te nemen dat het bestand een schijfkopie van uw werkende toestand is.
Versleutel het bestand als de firmware dat biedt, en bewaar het ergens anders dan op de router zelf. Een back-up die alleen leeft op het apparaat dat hij beschrijft, verdwijnt precies op het moment dat u hem nodig hebt. Behandel de export als het referentiearchief dat het is, want dat wordt het in andermans handen.
Leg de afhankelijkheden eromheen vast
Een instellingenbestand is zinloos zonder te weten waar het bij hoort. Noteer het model, de firmwareversie, het gebruikte protocol en de rol die deze router speelt. Schrijf die feiten ergens op waar de router niet nodig is om ze terug te lezen.
Vier details bepalen of een herstel zal werken:
| Item | Where to record it | What breaks without it |
|---|---|---|
| Firmware version | Next to the backup file | Restore rejected or silently partial |
| VPN keys and certificates | Separate encrypted copy | Device restored, tunnel cannot authenticate |
| WAN and LAN addressing | Paper or offline note | Cannot reach the admin page afterwards |
| Out-of-band access | Console or management port | No path back in when the tunnel fails |
Juist de laatste regel slaan mensen over. Als uw enige route naar de router door de tunnel loopt die u op het punt staat opnieuw te configureren, hebt u geregeld dat u uzelf op het slechtste moment buitensluit.
Schrijf eerst de herstelroute op
Voordat u iets wijzigt, schrijft u de stappen op die u volgt als de router onbereikbaar wordt: welke kabel, welke poort, welk adres, welk account. Doorloop die stappen daarna één keer terwijl de router nog werkt. Controleer of de console of de beheerinterface antwoordt terwijl alles werkt, want een kapotte console pas na de storing ontdekken maakt van een terugrol van tien minuten een bezoek ter plaatse.
Neem de herstelprocedure zelf op in de notitie, niet alleen de bestandsnaam. Wie hem leest, bent misschien uzelf: moe, op een onhandig uur, zonder enige herinnering waar het bestand is gebleven.
Herstel, en controleer dan wat er terugkwam
Een voltooide herstelling is geen werkend netwerk. Controleer de onderdelen die stil terugvallen op standaardwaarden: de instellingen van de DNS-resolver, firewallregels die naar de oude interface wezen en elke route die naar een tunnelgateway wees. Open de regels die tijdens het experiment zijn aangepast en vergelijk ze met wat de export bevatte. Een brede toestemmingsregel die om middernacht is toegevoegd en in de ochtend vergeten, overleeft elke herstelling, omdat hij deel uitmaakt van het bestand dat u net opnieuw hebt geladen.
Op een apparaat in OpenWrt-stijl tonen de nuttige opdrachten de levende tunnel, de routetabel en een resolverantwoord van de router zelf:
wg show
ip -4 route
nslookup example.com 192.168.1.1Test daarna vanaf een gewone client en niet vanaf de router. Een tunnel die op het apparaat de handshake rond krijgt terwijl clients geen namen kunnen oplossen, is een beleidsprobleem, en het zal voor iedereen behalve de persoon met de console op een kapotte VPN lijken.
Wat een herstelling niet verhelpt
Een sleutel terugzetten trekt niets in, en het vertelt u niet hoeveel kopieën er bestaan. Als de reden voor de terugrol een verloren apparaat, een gedeelde export of een vermoeden van compromittering was, is de oude sleutel nog geldig overal waar een kopie bestaat, en de herstelde configuratie neemt hem weer in gebruik.
Roteer of trek de peer in via het proces dat de dienst ondersteunt, en werk daarna de router en de client bij die nog het oude materiaal heeft. Een back-up vertegenwoordigt een bekende werkende toestand; hij vertegenwoordigt geen bekende veilige toestand, en het verschil doet er precies toe wanneer een apparaat zoek is.