Що зберегти, перш ніж чіпати налаштування VPN на роутері

Кнопка експорту дає вам файл, і цей файл — найменша частина готовності. Вечір справді рятує знання того, які частини цей файл пропускає, як ви повернетеся в роутер, коли зламався саме тунель, і що відновлення не скасує. Запишіть ці три речі, перш ніж відкрити сторінку VPN. Жодна з робіт не є складною, і саме тому її відкладають.

Що насправді містить експорт

На більшості прошивок роутерів експорт — це пакет налаштувань: інтерфейси, правила брандмауера, резервування DHCP, конфігурація VPN і часто пов’язані з нею закриті ключі. Отже, цей один файл містить таємниці, а це змінює, де його можна зберігати і хто може його читати.

Він також рідко буває повним. Профіль може посилатися на ключовий матеріал, файли сертифікатів або пакунки, яких експорт налаштувань не переносить, і відновлення на щойно перепрошитому пристрої поверне посилання без об’єкта, на який воно вказує. Читайте документацію прошивки про обсяг експорту, а не припускайте, що файл — це образ диска вашого робочого стану.

Шифруйте файл, якщо прошивка це пропонує, і зберігайте його не на самому роутері. Резервна копія, що живе лише на пристрої, який вона описує, зникає саме тоді, коли вона потрібна. Ставтеся до експорту як до сховища облікових даних, бо саме ним він стає в чужих руках.

Запишіть залежності навколо нього

Файл налаштувань безглуздий без знання того, чому він належить. Запишіть модель, версію прошивки, використовуваний протокол і роль цього роутера. Запишіть ці факти туди, де роутер не потрібен, щоб їх прочитати.

Чотири деталі визначають, чи спрацює відновлення:

Саме останній рядок люди пропускають. Якщо ваш єдиний шлях до роутера йде через тунель, який ви збираєтеся переналаштувати, ви самі влаштували собі блокування зовні в найгірший момент.

Спочатку запишіть шлях відновлення

Перш ніж щось змінювати, запишіть кроки, які виконаєте, якщо роутер стане недоступним: який кабель, який порт, яка адреса, який обліковий запис. Потім пройдіть ці кроки один раз, поки роутер ще працює. Переконайтеся, що консоль або інтерфейс керування відповідає, поки все працює, бо виявлення зламаної консолі після збою перетворює повернення на десять хвилин у виїзд на місце.

Включіть у нотатку саму процедуру відновлення, а не лише ім’я файлу. Той, хто її читатиме, можете бути ви: втомлені, у незручну годину, без жодного спогаду, куди подівся файл.

Відновіть, а потім перевірте, що повернулося

Завершене відновлення — ще не робоча мережа. Перевірте частини, які тихо повертаються до типових значень: налаштування розв’язувача DNS, правила брандмауера, що вказували на старий інтерфейс, і кожен маршрут, що вказував на шлюз тунелю. Відкрийте правила, змінені під час експерименту, і порівняйте їх із тим, що містив експорт. Широке правило дозволу, додане опівночі й забуте вранці, переживає кожне відновлення, бо воно — частина файлу, який ви щойно завантажили.

На пристрої в стилі OpenWrt корисні команди виводять живий тунель, таблицю маршрутизації та відповідь розв’язувача з самого роутера:

wg show
ip -4 route
nslookup example.com 192.168.1.1

Потім перевіряйте зі звичайного клієнта, а не з роутера. Тунель, який виконує рукостискання на пристрої, але клієнти не можуть розв’язати імена, — це проблема політики, і для всіх, крім людини з консоллю, він виглядатиме як зламаний VPN.

Чого відновлення не виправляє

Відновлення ключа нічого не відкликає і не повідомляє, скільки копій існує. Якщо причиною відкату був втрачений пристрій, спільний експорт або підозра на злам, старий ключ досі дійсний усюди, де є копія, і відновлена конфігурація знову вводить його в дію.

Змініть або відкличте peer через процес, який підтримує сервіс, потім оновіть роутер і клієнт, у якого ще залишився старий матеріал. Резервна копія означає відомий робочий стан; вона не означає відомий безпечний стан, і ця різниця важлива саме тоді, коли пристрій зник.