Čo si zálohovať, než siahnete na VPN nastavenia routera
Export konfigurácie nie je plán obnovy. Zapíšte si kľúče, verziu firmvéru a cestu späť, skôr než zmeníte nastavenie VPN na routeri.
Tlačidlo exportu vám dá súbor a ten súbor je najmenšia časť pripravenosti. Večer naozaj zachráni to, keď viete, ktoré časti súbor vynecháva, ako sa dostanete späť do routera, keď sa pokazil práve tunel, a čo obnova nevráti späť. Zapíšte si tieto tri veci predtým, ako otvoríte stránku VPN. Žiadna z tých prác nie je ťažká, a práve preto sa odkladá.
Čo export skutočne obsahuje
Na väčšine firmvéru routerov je export balík nastavení: rozhrania, pravidlá firewallu, rezervácie DHCP, konfigurácia VPN a často privátne kľúče, ktoré k nej patria. Ten jediný súbor teda obsahuje tajomstvá, čo mení, kde sa smie ukladať a kto ho smie čítať.
Tiež býva málokedy úplný. Profil môže odkazovať na kľúčový materiál, súbory certifikátov alebo balíky, ktoré export nastavení nepreváža, a obnova na čerstvo preflashovanom zariadení vráti odkaz bez odkazovaného objektu. Čítajte dokumentáciu firmvéru o rozsahu exportu namiesto toho, aby ste predpokladali, že súbor je obraz disku vášho pracovného stavu.
Šifrujte súbor, ak to firmvér ponúka, a uchovávajte ho inde než na samotnom routeri. Záloha, ktorá žije len na zariadení, ktoré popisuje, zmizne presne v tej chvíli, keď ju potrebujete. Berte export ako úložisko prihlasovacích údajov, pretože tým sa v cudzích rukách stáva.
Zapíšte závislosti okolo neho
Súbor nastavení nemá zmysel, ak neviete, k čomu patrí. Zapíšte model, verziu firmvéru, používaný protokol a rolu, ktorú tento router má. Napíšte tieto údaje niekam, kde na ich prečítanie router nepotrebujete.
O obnove rozhodujú štyri údaje:
| Item | Where to record it | What breaks without it |
|---|---|---|
| Firmware version | Next to the backup file | Restore rejected or silently partial |
| VPN keys and certificates | Separate encrypted copy | Device restored, tunnel cannot authenticate |
| WAN and LAN addressing | Paper or offline note | Cannot reach the admin page afterwards |
| Out-of-band access | Console or management port | No path back in when the tunnel fails |
Práve posledný riadok ľudia vynechávajú. Ak je vaša jediná cesta k routeru tunelom, ktorý sa chystáte prekonfigurovať, pripravili ste si, že sa v najhoršej chvíli zamknete vonku.
Najprv napíšte cestu obnovy
Než čokoľvek zmeníte, napíšte kroky, ktoré absolvujete, ak bude router nedostupný: ktorý kábel, ktorý port, ktorá adresa, ktorý účet. Potom tieto kroky raz prejdite, kým router ešte funguje. Overte, že konzola alebo rozhranie na správu odpovedá, kým všetko funguje, pretože objavenie pokazenej konzoly po výpadku premení desaťminútový návrat na návštevu na mieste.
Do poznámky zahrňte samotný postup obnovy, nielen názov súboru. Ten, kto ju bude čítať, môžete byť vy: unavení, v nevhodnú hodinu, bez akejkoľvek spomienky na to, kam súbor zmizol.
Obnovte a potom overte, čo sa vrátilo
Dokončená obnova nie je fungujúca sieť. Skontrolujte časti, ktoré ticho padajú na predvolené hodnoty: nastavenia DNS resolvera, pravidlá firewallu odkazujúce na staré rozhranie a každú trasu, ktorá mierila na bránu tunela. Otvorte pravidlá upravené počas experimentu a porovnajte ich s tým, čo export obsahoval. Široké povoľovacie pravidlo pridané o polnoci a ráno zabudnuté prežije každú obnovu, pretože je súčasťou súboru, ktorý ste práve znova načítali.
Na zariadení v štýle OpenWrt užitočné príkazy vypíšu živý tunel, smerovaciu tabuľku a odpoveď resolvera z routera samotného:
wg show
ip -4 route
nslookup example.com 192.168.1.1Potom testujte z bežného klienta, nie z routera. Tunel, ktorý na zariadení vykoná handshake, ale klienti nedokážu preložiť mená, je problém politiky a všetkým okrem človeka s konzolou bude pripadať ako pokazený VPN.
Čo obnova neopraví
Obnova kľúča nič neodvolá a nepovie vám, koľko kópií existuje. Ak dôvodom návratu bolo stratené zariadenie, zdieľaný export alebo podozrenie na kompromitáciu, starý kľúč je stále platný všade, kde kópia existuje, a obnovená konfigurácia ho vracia do používania.
Otočte alebo odvolajte peer postupom, ktorý služba podporuje, a potom aktualizujte router aj klienta, ktorý ešte drží starý materiál. Záloha predstavuje známy funkčný stav; nepredstavuje známy bezpečný stav, a ten rozdiel je dôležitý práve vtedy, keď zariadenie zmizlo.