Cần sao lưu những gì trước khi chạm vào cài đặt VPN của router

Nút xuất cho bạn một tệp, và tệp đó là phần nhỏ nhất của sự chuẩn bị. Điều thực sự cứu một buổi tối là biết tệp đó bỏ sót những phần nào, bạn quay lại router bằng cách nào khi chính đường hầm là thứ đã hỏng, và việc phục hồi sẽ không hoàn tác điều gì. Ghi lại ba điều đó trước khi mở trang VPN. Không việc nào khó, và chính vì thế nó bị trì hoãn.

Tệp xuất thực sự chứa gì

Trên hầu hết firmware router, bản xuất là một gói cài đặt: giao diện, quy tắc tường lửa, đặt trước DHCP, cấu hình VPN và thường là cả khóa riêng đi kèm. Vậy tệp duy nhất đó chứa bí mật, điều này thay đổi nơi được phép lưu và ai được đọc.

Nó cũng hiếm khi đầy đủ. Một hồ sơ có thể tham chiếu vật liệu khóa, tệp chứng chỉ hoặc gói mà bản xuất cài đặt không mang theo, và việc phục hồi trên thiết bị vừa được nạp lại sẽ đưa tham chiếu về mà không có đối tượng được tham chiếu. Hãy đọc tài liệu firmware về phạm vi xuất thay vì giả định tệp là ảnh đĩa của trạng thái làm việc của bạn.

Mã hóa tệp nếu firmware hỗ trợ, và giữ nó ở nơi không phải chính router. Một bản sao lưu chỉ sống trên thiết bị mà nó mô tả sẽ biến mất đúng vào lúc bạn cần. Hãy coi bản xuất như kho thông tin xác thực mà nó vốn là, vì đó là thứ nó trở thành trong tay người khác.

Ghi lại các phụ thuộc xung quanh

Một tệp cài đặt vô nghĩa nếu không biết nó thuộc về cái gì. Ghi lại kiểu máy, phiên bản firmware, giao thức đang dùng và vai trò của router này. Viết những dữ kiện đó ở nơi không cần router để đọc lại.

Bốn chi tiết quyết định việc phục hồi có hiệu quả hay không:

Chính hàng cuối là thứ người ta bỏ qua. Nếu đường duy nhất tới router của bạn đi qua đường hầm mà bạn sắp cấu hình lại, bạn đã tự sắp đặt việc tự khóa mình ở ngoài vào thời điểm tệ nhất.

Trước tiên hãy viết đường phục hồi

Trước khi thay đổi bất cứ điều gì, hãy viết các bước bạn sẽ làm nếu router không thể truy cập: cáp nào, cổng nào, địa chỉ nào, tài khoản nào. Sau đó đi qua các bước đó một lần khi router còn hoạt động. Xác nhận rằng console hoặc giao diện quản trị phản hồi khi mọi thứ còn chạy, vì phát hiện console hỏng sau sự cố sẽ biến một lần quay về mười phút thành một chuyến đến tận nơi.

Đưa chính quy trình phục hồi vào ghi chú, không chỉ tên tệp. Người đọc nó có thể là bạn: mệt mỏi, vào giờ bất tiện, không còn chút ký ức nào về việc tệp đã đi đâu.

Phục hồi, rồi kiểm tra xem điều gì đã trở lại

Một lần phục hồi hoàn tất không phải là mạng đang hoạt động. Hãy kiểm tra các phần âm thầm quay về mặc định: cài đặt bộ phân giải DNS, các quy tắc tường lửa trỏ tới giao diện cũ và mọi tuyến đường trỏ tới cổng của đường hầm. Mở những quy tắc đã bị sửa trong thử nghiệm và so sánh với những gì bản xuất chứa. Một quy tắc cho phép rộng được thêm lúc nửa đêm và bị quên vào buổi sáng vẫn tồn tại sau mọi lần phục hồi, vì nó là một phần của tệp bạn vừa nạp lại.

Trên thiết bị kiểu OpenWrt, các lệnh hữu ích in ra đường hầm đang sống, bảng tuyến đường và câu trả lời của bộ phân giải từ chính router:

wg show
ip -4 route
nslookup example.com 192.168.1.1

Sau đó hãy thử từ một máy khách thông thường chứ không phải từ router. Một đường hầm bắt tay được trên thiết bị nhưng máy khách không phân giải được tên là vấn đề chính sách, và nó sẽ trông như VPN hỏng với tất cả mọi người trừ người đang giữ console.

Điều mà phục hồi không sửa được

Khôi phục một khóa không thu hồi gì cả, và không cho biết có bao nhiêu bản sao. Nếu lý do quay lui là thiết bị bị mất, bản xuất bị chia sẻ hoặc nghi ngờ bị xâm nhập, khóa cũ vẫn còn hiệu lực ở bất cứ đâu có bản sao, và cấu hình được khôi phục lại đưa nó vào sử dụng.

Luân chuyển hoặc thu hồi peer qua quy trình mà dịch vụ hỗ trợ, rồi cập nhật router và máy khách vẫn còn giữ vật liệu cũ. Một bản sao lưu đại diện cho trạng thái hoạt động đã biết; nó không đại diện cho trạng thái an toàn đã biết, và sự khác biệt đó quan trọng đúng vào lúc một thiết bị đã biến mất.