Co zabezpieczyć, zanim dotkniesz ustawień VPN routera

Przycisk eksportu daje plik, a ten plik to najmniejsza część gotowości. Wieczór naprawdę ratuje wiedza o tym, czego ten plik nie obejmuje, jak wrócisz do routera, gdy zepsuje się właśnie tunel, i czego odtworzenie nie cofnie. Zapisz te trzy rzeczy, zanim otworzysz stronę VPN. Żadna z tych prac nie jest trudna i właśnie dlatego się je odkłada.

Co naprawdę zawiera eksport

W większości firmware’ów routera eksport to pakiet ustawień: interfejsy, reguły firewalla, rezerwacje DHCP, konfiguracja VPN i często towarzyszące jej klucze prywatne. Ten jeden plik zawiera więc sekrety, co zmienia to, gdzie wolno go trzymać i kto może go czytać.

Rzadko jest też kompletny. Profil może odwoływać się do materiału kluczy, plików certyfikatów lub pakietów, których eksport ustawień nie przenosi, a odtworzenie na świeżo sflashowanym urządzeniu przywróci odwołanie bez obiektu, do którego ono prowadzi. Czytaj dokumentację firmware’u o zakresie eksportu, zamiast zakładać, że plik jest obrazem dysku twojego stanu roboczego.

Zaszyfruj plik, jeśli firmware to oferuje, i trzymaj go gdzieś, co nie jest samym routerem. Kopia, która żyje tylko na urządzeniu, które opisuje, znika dokładnie w chwili, gdy jej potrzebujesz. Traktuj eksport jak magazyn danych uwierzytelniających, bo tym się staje w cudzych rękach.

Zapisz zależności wokół niego

Plik ustawień jest bez znaczenia, jeśli nie wiesz, do czego należy. Zapisz model, wersję firmware’u, używany protokół i rolę tego routera. Zapisz te fakty gdzieś, gdzie router nie jest potrzebny do ich odczytania.

Cztery szczegóły decydują, czy odtworzenie się powiedzie:

Właśnie ostatni wiersz ludzie pomijają. Jeśli jedyna droga do routera prowadzi przez tunel, który za chwilę przekonfigurujesz, sam zorganizowałeś sobie zamknięcie na zewnątrz w najgorszym momencie.

Najpierw zapisz drogę odtworzenia

Zanim cokolwiek zmienisz, zapisz kroki, które wykonasz, jeśli router stanie się nieosiągalny: który kabel, który port, który adres, które konto. Potem przejdź te kroki raz, gdy router jeszcze działa. Sprawdź, czy konsola lub interfejs zarządzania odpowiada, gdy wszystko działa, bo odkrycie zepsutej konsoli po awarii zamienia powrót w dziesięć minut w wizytę na miejscu.

Uwzględnij w notatce samą procedurę odtworzenia, nie tylko nazwę pliku. Osobą, która ją przeczyta, możesz być ty: zmęczony, o niewygodnej godzinie, bez żadnego wspomnienia, gdzie podział się plik.

Odtwórz, a potem sprawdź, co wróciło

Zakończone odtworzenie to nie działająca sieć. Sprawdź części, które po cichu wracają do wartości domyślnych: ustawienia resolvera DNS, reguły firewalla wskazujące na stary interfejs i każdą trasę kierującą na bramę tunelu. Otwórz reguły edytowane podczas eksperymentu i porównaj je z tym, co zawierał eksport. Szeroka reguła zezwalająca, dodana o północy i zapomniana rano, przeżywa każde odtworzenie, bo jest częścią pliku, który właśnie wczytałeś.

Na urządzeniu w stylu OpenWrt przydatne polecenia wypisują żywy tunel, tablicę routingu i odpowiedź resolvera z samego routera:

wg show
ip -4 route
nslookup example.com 192.168.1.1

Potem testuj ze zwykłego klienta, a nie z routera. Tunel, który na urządzeniu wykona handshake, choć klienci nie potrafią rozwiązać nazw, jest problemem polityki i będzie wyglądał na zepsuty VPN dla wszystkich poza osobą trzymającą konsolę.

Czego odtworzenie nie naprawia

Przywrócenie klucza niczego nie unieważnia i nie mówi, ile kopii istnieje. Jeśli powodem wycofania było zagubione urządzenie, udostępniony eksport lub podejrzenie naruszenia, stary klucz nadal jest ważny wszędzie, gdzie istnieje kopia, a odtworzona konfiguracja znów go używa.

Obróć lub unieważnij peer przez proces obsługiwany przez usługę, a potem zaktualizuj router i klienta, który wciąż ma stary materiał. Kopia zapasowa reprezentuje znany stan roboczy; nie reprezentuje znanego stanu bezpiecznego, a różnica ma znaczenie dokładnie wtedy, gdy urządzenie zniknęło.