Шта сачувати пре него што додирнете VPN подешавања рутера
Извоз конфигурације није план опоравка. Запишите кључеве, верзију фирмвера и пут назад пре него што промените VPN подешавање на рутеру.
Дугме за извоз даје вам датотеку, а та датотека је најмањи део припремљености. Вече заиста спасава знање које делове та датотека изоставља, како ћете поново ући у рутер када се покварио баш тунел, и шта опоравак неће поништити. Запишите те три ствари пре него што отворите VPN страницу. Ниједан од тих послова није тежак, и управо се зато одлаже.
Шта извоз заиста садржи
На већини фирмвера рутера извоз је пакет подешавања: интерфејси, правила заштитног зида, DHCP резервације, VPN конфигурација и често приватни кључеви који иду уз њу. Тај један фајл зато садржи тајне, што мења где се сме чувати и ко га сме читати.
Такође је ретко потпун. Профил може упућивати на кључни материјал, датотеке сертификата или пакете које извоз подешавања не носи, а опоравак на свеже флешованом уређају вратиће референцу без објекта на који она упућује. Читајте документацију фирмвера о обухвату извоза уместо да претпостављате да је датотека диск слика вашег радног стања.
Шифрујте датотеку ако фирмвер то нуди и држите је негде што није сам рутер. Сигурносна копија која живи само на уређају који описује нестаје у тренутку када вам треба. Третирајте извоз као складиште акредитива, јер то је оно што постаје у туђим рукама.
Запишите зависности око њега
Датотека подешавања нема смисла без знања чему припада. Запишите модел, верзију фирмвера, протокол који се користи и улогу коју овај рутер има. Запишите те чињенице негде где рутер није потребан да би их прочитали.
Четири детаља одлучују хоће ли опоравак успети:
| Item | Where to record it | What breaks without it |
|---|---|---|
| Firmware version | Next to the backup file | Restore rejected or silently partial |
| VPN keys and certificates | Separate encrypted copy | Device restored, tunnel cannot authenticate |
| WAN and LAN addressing | Paper or offline note | Cannot reach the admin page afterwards |
| Out-of-band access | Console or management port | No path back in when the tunnel fails |
Тај задњи ред људи прескачу. Ако је ваш једини пут до рутера кроз тунел који ћете реконфигурисати, организовали сте да се закључате у најгорем тренутку.
Прво запишите пут опоравка
Пре него што било шта промените, запишите кораке које ћете следити ако рутер постане недоступан: који кабл, који порт, која адреса, који налог. Затим те кораке једном прођите док рутер још ради. Проверите да конзола или интерфејс за управљање одговара док све ради, јер откривање покварене конзоле након квара претвара повратак од десет минута у посету локацији.
Укључите у белешку сам поступак опоравка, не само име датотеке. Особа која је чита можда сте ви: уморни, у незгодан сат, без икаквог сећања где је датотека отишла.
Опоравите, па проверите шта се вратило
Завршен опоравак није радна мрежа. Проверите делове који тихо падају на подразумеване вредности: подешавања DNS резолвера, правила заштитног зида која су упућивала на стари интерфејс и сваку руту која је показивала на мрежни пролаз тунела. Отворите правила која су уређивана током експеримента и упоредите их са оним што је извоз садржао. Широко правило које све дозвољава, додато у поноћ и заборављено ујутру, преживи сваки опоравак, јер је део датотеке коју сте управо учитали.
На уређају у стилу OpenWrt корисне команде исписују живи тунел, табелу рутирања и одговор резолвера са самог рутера:
wg show
ip -4 route
nslookup example.com 192.168.1.1Затим тестирајте са обичног клијента, а не са рутера. Тунел који обави руковање на уређају док клијенти не могу да разреше имена јесте проблем политике и свима осим особи са конзолом изгледаће као покварен VPN.
Шта опоравак не поправља
Опоравак кључа ништа не опозива и не говори вам колико копија постоји. Ако је разлог враћања био изгубљен уређај, подељени извоз или сумња на компромитацију, стари кључ је још важећи где год постоји копија, а враћена конфигурација га поново ставља у употребу.
Ротирајте или опозовите peer кроз процес који сервис подржава, па ажурирајте рутер и клијента који још држи стари материјал. Сигурносна копија представља познато радно стање; не представља познато безбедно стање, а разлика је важна управо када је уређај нестао.