Что сохранить, прежде чем трогать настройки VPN на роутере
Экспорт конфигурации — не план восстановления. Запишите ключи, версию прошивки и путь назад, прежде чем менять настройку VPN на роутере.
Кнопка экспорта даёт вам файл, и этот файл — самая малая часть готовности. Вечер по-настоящему спасает знание того, какие части этот файл упускает, как вы вернётесь в роутер, когда сломался именно туннель, и что восстановление не отменит. Запишите эти три вещи, прежде чем открыть страницу VPN. Ни одна из работ не сложна, и именно поэтому их откладывают.
Что на самом деле содержит экспорт
На большинстве прошивок роутеров экспорт — это пакет настроек: интерфейсы, правила межсетевого экрана, резервирования DHCP, конфигурация VPN и часто сопутствующие ей закрытые ключи. Значит, этот один файл содержит секреты, а от этого зависит, где его можно хранить и кто может его читать.
Он также редко бывает полным. Профиль может ссылаться на ключевой материал, файлы сертификатов или пакеты, которых экспорт настроек не переносит, и восстановление на только что перепрошитом устройстве вернёт ссылку без объекта, на который она указывает. Читайте документацию прошивки об объёме экспорта, а не полагайте, что файл — это образ диска вашего рабочего состояния.
Шифруйте файл, если прошивка это предлагает, и храните его не на самом роутере. Резервная копия, живущая только на устройстве, которое она описывает, исчезает именно в тот момент, когда она нужна. Относитесь к экспорту как к хранилищу учётных данных, потому что именно им он становится в чужих руках.
Запишите зависимости вокруг него
Файл настроек бессмысленен без знания того, чему он принадлежит. Запишите модель, версию прошивки, используемый протокол и роль этого роутера. Запишите эти факты туда, где роутер не нужен, чтобы их прочитать.
Четыре детали решают, сработает ли восстановление:
| Item | Where to record it | What breaks without it |
|---|---|---|
| Firmware version | Next to the backup file | Restore rejected or silently partial |
| VPN keys and certificates | Separate encrypted copy | Device restored, tunnel cannot authenticate |
| WAN and LAN addressing | Paper or offline note | Cannot reach the admin page afterwards |
| Out-of-band access | Console or management port | No path back in when the tunnel fails |
Именно последнюю строку люди пропускают. Если единственный путь к роутеру идёт через туннель, который вы вот-вот перенастроите, вы сами устроили себе запирание снаружи в худший момент.
Сначала запишите путь восстановления
Прежде чем что-то менять, запишите шаги, которые выполните, если роутер станет недоступен: какой кабель, какой порт, какой адрес, какая учётная запись. Затем пройдите эти шаги один раз, пока роутер ещё работает. Убедитесь, что консоль или интерфейс управления отвечает, пока всё работает, потому что обнаруженная после сбоя сломанная консоль превращает возврат на десять минут в выезд на место.
Включите в заметку саму процедуру восстановления, а не только имя файла. Читать её будете, возможно, вы: уставший, в неудобный час, без всякого воспоминания о том, куда делся файл.
Восстановите, а затем проверьте, что вернулось
Завершённое восстановление — ещё не работающая сеть. Проверьте части, которые молча возвращаются к значениям по умолчанию: настройки DNS-резолвера, правила межсетевого экрана, указывавшие на старый интерфейс, и любой маршрут, указывавший на шлюз туннеля. Откройте правила, изменённые во время эксперимента, и сравните их с тем, что было в экспорте. Широкое разрешающее правило, добавленное в полночь и забытое утром, переживает каждое восстановление, потому что оно — часть файла, который вы только что загрузили.
На устройстве в стиле OpenWrt полезные команды выводят живой туннель, таблицу маршрутизации и ответ резолвера с самого роутера:
wg show
ip -4 route
nslookup example.com 192.168.1.1Затем проверяйте с обычного клиента, а не с роутера. Туннель, который совершает рукопожатие на устройстве, но клиенты не могут разрешать имена, — это проблема политики, и он будет выглядеть как сломанный VPN для всех, кроме человека с консолью.
Чего восстановление не исправляет
Восстановление ключа ничего не отзывает и не сообщает, сколько копий существует. Если причиной отката было потерянное устройство, общий экспорт или подозрение на взлом, старый ключ по-прежнему действителен везде, где есть копия, и восстановленная конфигурация снова вводит его в работу.
Смените или отзовите peer через процесс, поддерживаемый сервисом, затем обновите роутер и клиента, у которого ещё остался старый материал. Резервная копия означает известное рабочее состояние; она не означает известное безопасное состояние, и эта разница важна именно тогда, когда устройство пропало.