O que copiar antes de mexer nas configurações de VPN do router
Uma exportação de configuração não é um plano de recuperação. Registre as chaves, a versão do firmware e o caminho de volta antes de alterar uma configuração de VPN no router.
O botão de exportação dá a você um arquivo, e esse arquivo é a menor parte de estar preparado. O que de fato salva uma noite é saber quais partes esse arquivo omite, como você voltará a entrar no router quando o túnel for justamente o que quebrou, e o que a restauração não vai desfazer. Registre essas três coisas antes de abrir a página de VPN. Nenhuma das tarefas é difícil, e é exatamente por isso que elas são adiadas.
O que a exportação realmente contém
Na maioria dos firmwares de router, a exportação é um pacote de configurações: interfaces, regras de firewall, reservas DHCP, a configuração de VPN e, muitas vezes, as chaves privadas que a acompanham. Esse único arquivo contém segredos, o que muda onde ele pode ser armazenado e quem pode lê-lo.
Ela também raramente está completa. Um perfil pode apontar para material de chaves, arquivos de certificado ou pacotes que uma exportação de configurações não carrega, e uma restauração em um dispositivo recém-flashado trará a referência de volta sem o objeto ao qual ela se refere. Leia a documentação do firmware sobre o escopo da exportação em vez de supor que o arquivo é uma imagem de disco do seu estado de trabalho.
Criptografe o arquivo se o firmware oferecer isso, e guarde-o em um lugar que não seja o próprio router. Um backup que vive apenas no dispositivo que descreve desaparece exatamente no momento em que você precisa dele. Trate a exportação como o armazém de credenciais que ela é, porque é isso que ela se torna nas mãos de outra pessoa.
Registre as dependências ao redor
Um arquivo de configurações não significa nada sem saber a que ele pertence. Registre o modelo, a versão do firmware, o protocolo em uso e o papel deste router. Escreva esses fatos em algum lugar que não exija o router para relê-los.
Quatro detalhes decidem se uma restauração vai funcionar:
| Item | Where to record it | What breaks without it |
|---|---|---|
| Firmware version | Next to the backup file | Restore rejected or silently partial |
| VPN keys and certificates | Separate encrypted copy | Device restored, tunnel cannot authenticate |
| WAN and LAN addressing | Paper or offline note | Cannot reach the admin page afterwards |
| Out-of-band access | Console or management port | No path back in when the tunnel fails |
É a última linha que as pessoas pulam. Se a sua única rota até o router passa pelo túnel que você está prestes a reconfigurar, você organizou o próprio bloqueio de acesso no pior momento.
Escreva primeiro o caminho de recuperação
Antes de mudar qualquer coisa, escreva os passos que você seguirá se o router ficar inalcançável: qual cabo, qual porta, qual endereço, qual conta. Depois siga esses passos uma vez enquanto o router ainda funciona. Verifique se o console ou a interface de gerenciamento responde enquanto tudo funciona, porque descobrir um console quebrado depois da falha transforma um retorno de dez minutos em uma visita ao local.
Inclua na nota o próprio procedimento de restauração, não apenas o nome do arquivo. Quem a ler pode ser você: cansado, em uma hora inconveniente, sem nenhuma lembrança de onde o arquivo foi parar.
Restaure e depois verifique o que voltou
Uma restauração concluída não é uma rede funcionando. Verifique as partes que voltam silenciosamente aos padrões: as configurações do resolvedor DNS, as regras de firewall que apontavam para a interface antiga e qualquer rota que apontasse para um gateway de túnel. Abra as regras editadas durante o experimento e compare com o que a exportação continha. Uma regra ampla de permissão, adicionada à meia-noite e esquecida pela manhã, sobrevive a toda restauração, porque faz parte do arquivo que você acabou de recarregar.
Em um dispositivo no estilo OpenWrt, os comandos úteis mostram o túnel ativo, a tabela de rotas e uma resposta do resolvedor a partir do próprio router:
wg show
ip -4 route
nslookup example.com 192.168.1.1Depois teste a partir de um cliente comum e não do router. Um túnel que completa o handshake no dispositivo enquanto os clientes não conseguem resolver nomes é um problema de política, e vai parecer uma VPN quebrada para todos, menos para quem segura o console.
O que uma restauração não conserta
Restaurar uma chave não revoga nada e não informa quantas cópias existem. Se o motivo do retorno era um dispositivo perdido, uma exportação compartilhada ou uma suspeita de comprometimento, a chave antiga continua válida onde houver uma cópia, e a configuração restaurada volta a usá-la.
Gire ou revogue o peer pelo processo que o serviço suporta e depois atualize o router e o cliente que ainda guarda o material antigo. Um backup representa um estado funcional conhecido; ele não representa um estado seguro conhecido, e a diferença importa exatamente quando um dispositivo desapareceu.