สิ่งที่ต้องสำรองก่อนแตะการตั้งค่า VPN ของเราเตอร์
การส่งออกการกำหนดค่าไม่ใช่แผนการกู้คืน บันทึกคีย์ เวอร์ชันเฟิร์มแวร์ และเส้นทางกลับ ก่อนเปลี่ยนการตั้งค่า VPN บนเราเตอร์
ปุ่มส่งออกให้ไฟล์คุณหนึ่งไฟล์ และไฟล์นั้นเป็นส่วนที่เล็กที่สุดของการเตรียมพร้อม สิ่งที่ช่วยเย็นวันหนึ่งได้จริงคือการรู้ว่าไฟล์นั้นละส่วนใดไว้ คุณจะ กลับเข้าเราเตอร์ได้อย่างไร เมื่อสิ่งที่เสียคืออุโมงค์เอง และการกู้คืนจะไม่ย้อนอะไร บันทึกสามสิ่งนั้นก่อนเปิดหน้า VPN ไม่มีงานใดยาก และนั่นคือเหตุผลที่มันถูกเลื่อนออกไป
ไฟล์ส่งออกมีอะไรอยู่จริง
ในเฟิร์มแวร์เราเตอร์ส่วนใหญ่ การส่งออกคือชุดการตั้งค่า ได้แก่ อินเทอร์เฟซ กฎไฟร์วอลล์ การจอง DHCP การกำหนดค่า VPN และบ่อยครั้งคือคีย์ส่วนตัวที่มาด้วยกัน ไฟล์เดียวนั้นจึงมีความลับ ซึ่งเปลี่ยนว่าอนุญาตให้เก็บที่ใดและใครอ่านได้
มันยังแทบไม่เคยสมบูรณ์ โปรไฟล์อาจอ้างถึงวัสดุคีย์ ไฟล์ใบรับรอง หรือแพ็กเกจที่การส่งออกการตั้งค่าไม่ได้พาไปด้วย และการกู้คืนบนอุปกรณ์ที่เพิ่งแฟลชจะนำการอ้างอิงกลับมาโดยไม่มีวัตถุที่อ้างถึง อ่านเอกสารเฟิร์มแวร์เกี่ยวกับขอบเขตการส่งออก แทนที่จะถือว่าไฟล์คืออิมเมจดิสก์ของสถานะการทำงานของคุณ
เข้ารหัสไฟล์หากเฟิร์มแวร์มีให้ และเก็บไว้ที่ซึ่งไม่ใช่ตัวเราเตอร์ สำรองที่อยู่เพียงบนอุปกรณ์ที่มันอธิบายจะหายไปในวินาทีที่คุณต้องการมัน จัดการการส่งออกเหมือนคลังข้อมูลรับรองที่มันเป็น เพราะนั่นคือสิ่งที่มันกลายเป็นในมือคนอื่น
บันทึกสิ่งที่มันพึ่งพาโดยรอบ
ไฟล์การตั้งค่าไม่มีความหมายหากไม่รู้ว่ามันเป็นของอะไร บันทึกรุ่น เวอร์ชันเฟิร์มแวร์ โปรโตคอลที่ใช้ และบทบาทของเราเตอร์นี้ เขียนข้อเท็จจริงเหล่านั้นไว้ที่ซึ่งไม่ต้องใช้เราเตอร์ในการอ่านกลับ
สี่รายละเอียดตัดสินว่าการกู้คืนจะได้ผลหรือไม่
| Item | Where to record it | What breaks without it |
|---|---|---|
| Firmware version | Next to the backup file | Restore rejected or silently partial |
| VPN keys and certificates | Separate encrypted copy | Device restored, tunnel cannot authenticate |
| WAN and LAN addressing | Paper or offline note | Cannot reach the admin page afterwards |
| Out-of-band access | Console or management port | No path back in when the tunnel fails |
แถวสุดท้ายคือสิ่งที่คนมักข้าม หากเส้นทางเดียวของคุณไปยังเราเตอร์ผ่านอุโมงค์ที่คุณกำลังจะกำหนดค่าใหม่ คุณได้จัดแจงให้ตัวเองถูกล็อกอยู่ข้างนอกในจังหวะที่แย่ที่สุด
เขียนเส้นทางการกู้คืนก่อน
ก่อนจะเปลี่ยนอะไร ให้เขียนขั้นตอนที่คุณจะทำหากเราเตอร์เข้าถึงไม่ได้: สายใด พอร์ตใด ที่อยู่ใด บัญชีใด จากนั้นทำตามขั้นตอนนั้นหนึ่งครั้งในขณะที่เราเตอร์ยังทำงานอยู่ ตรวจสอบว่าคอนโซลหรืออินเทอร์เฟซการจัดการตอบสนองในขณะที่ทุกอย่างทำงานอยู่ เพราะการพบคอนโซลที่เสียหลังเกิดเหตุทำให้การย้อนกลับสิบนาทีกลายเป็นการไปที่หน้างาน
ใส่ขั้นตอนการกู้คืนเองลงในบันทึก ไม่ใช่แค่ชื่อไฟล์ คนที่อ่านอาจเป็นคุณเอง เหนื่อย ในเวลาที่ไม่สะดวก และจำไม่ได้ว่าไฟล์หายไปไหน
กู้คืน แล้วตรวจสอบว่าอะไรกลับมา
การกู้คืนที่เสร็จแล้วไม่ใช่เครือข่ายที่ใช้งานได้ ตรวจสอบส่วนที่เงียบ ๆ กลับไปเป็นค่าเริ่มต้น: การตั้งค่าตัวแปลง DNS กฎไฟร์วอลล์ที่ชี้ไปยังอินเทอร์เฟซเก่า และเส้นทางใดก็ตามที่ชี้ไปยังเกตเวย์ของอุโมงค์ เปิดกฎที่ถูกแก้ไขระหว่างการทดลองและเทียบกับสิ่งที่ไฟล์ส่งออกมีอยู่ กฎอนุญาตกว้าง ๆ ที่เพิ่มตอนเที่ยงคืนและถูกลืมตอนเช้าจะอยู่รอดหลังการกู้คืนทุกครั้ง เพราะมันเป็นส่วนหนึ่งของไฟล์ที่คุณเพิ่งโหลดกลับเข้าไป
บนอุปกรณ์สไตล์ OpenWrt คำสั่งที่มีประโยชน์จะพิมพ์อุโมงค์ที่ทำงานอยู่ ตารางเส้นทาง และคำตอบของตัวแปลงจากตัวเราเตอร์เอง
wg show
ip -4 route
nslookup example.com 192.168.1.1จากนั้นทดสอบจากไคลเอนต์ทั่วไปไม่ใช่จากเราเตอร์ อุโมงค์ที่จับมือได้บนอุปกรณ์แต่ไคลเอนต์แก้ชื่อไม่ได้คือปัญหาเชิงนโยบาย และมันจะดูเหมือน VPN ที่พังสำหรับทุกคนยกเว้นคนที่ถือคอนโซล
สิ่งที่การกู้คืนไม่ได้แก้
การกู้คืนคีย์ไม่ได้เพิกถอนอะไร และไม่ได้บอกว่ามีกี่สำเนา หากสาเหตุของการย้อนกลับคืออุปกรณ์หาย การส่งออกที่แชร์ หรือข้อสงสัยว่าถูกล่วงละเมิด คีย์เก่ายังใช้ได้ทุกที่ที่มีสำเนา และการกำหนดค่าที่กู้คืนมาจะนำมันกลับมาใช้
หมุนเวียนหรือเพิกถอน peer ผ่านกระบวนการที่บริการรองรับ แล้วอัปเดตเราเตอร์และไคลเอนต์ที่ยังถือวัสดุเก่า สำรองแสดงถึงสภาวะการทำงานที่รู้จัก ไม่ได้แสดงถึงสภาวะที่ปลอดภัยที่รู้จัก และความต่างนั้นสำคัญอย่างแม่นยำเมื่ออุปกรณ์หายไป