Een backup laat zich niet terugzetten

Je hebt een backupbestand en je wilt terug naar hoe het was. Het lukt niet: de router weigert het bestand, of hij herstart en komt terug met een configuratie die half lijkt te kloppen, of je zet hem terug op een vervangend apparaat en de helft van de poorten bestaat daar niet.

Wat het niet is: een beschadigd bestand is zeldzaam. Meestal is er niets stuk en doet RouterOS precies wat er staat. Het misverstand zit in wat de twee bestandssoorten zijn. Een .backup is een binaire afdruk van de configuratieopslag van dit ene apparaat, inclusief sleutels en interfacenamen, en hoort bij deze architectuur en deze versie. Een .rsc is een tekstbestand met commando's, dat je kunt lezen, aanpassen en regel voor regel laat draaien.

Daaruit volgt de vuistregel. Terug naar gisteren op hetzelfde apparaat: de backup. Naar een ander model, een andere versie of een schoner opzet: de export. Een backup naar een ander model brengen is niet iets dat soms misgaat, het is iets dat niet bedoeld is.

De snelle controles, op volgorde

Staat het bestand er echt? /file print. Goed antwoord: het bestand staat er, met een formaat dat niet nul is en in de buurt van wat je verwachtte. Een half geüpload bestand geeft een onbegrijpelijke fout bij het laden.
Is er ruimte? /system resource print en kijk naar free-hdd-space. Goed antwoord: meer vrij dan het bestand groot is, met marge. Zie Geen ruimte voor een upgrade.
Is het dezelfde architectuur? /system resource print op beide apparaten, kijk naar architecture-name en board-name. Goed antwoord: allebei gelijk. Verschillen ze, dan is de backup de verkeerde weg.
Welke versie? /system package print. Goed antwoord: de versie waarop de backup is gemaakt, of nieuwer. Een backup van 7.19 terugzetten op 7.13 is vragen om problemen.
Doet het wachtwoord het? /system backup load name=backup password=.... Goed antwoord: de router kondigt een herstart aan. Een versleutelde backup zonder het juiste wachtwoord komt niet verder, en het wachtwoord staat nergens op de router.
Bij een export: waar loopt hij vast? /import file=config.rsc verbose=yes. Goed antwoord: elke regel wordt getoond en er komt geen fout. Stopt hij halverwege, dan weet je nu precies bij welke regel en waarom.
Wat zegt het logboek? /log print direct na een poging. Hier staat vaak letterlijk waarom het niet ging.

De gewone oorzaken, meest voorkomend eerst

Het backupwachtwoord ontbreekt

Een versleutelde backup zonder wachtwoord is een bestand zonder nut. Er is geen achterdeur. Bewaar het wachtwoord bij de rest van de overdracht en niet op het apparaat zelf.

Ander model, andere poorten

Een configuratie die ether1 tot ether10 noemt, zet je niet op een apparaat met vijf poorten. Bij een backup krijg je dan een apparaat dat niet start zoals bedoeld; bij een export lopen alle regels die een niet-bestaande interface noemen stuk, en de regels erna gaan wel door. Het resultaat is een half geconfigureerd apparaat, wat vervelender is dan een lege.

De export is zonder gevoelige gegevens gemaakt

Een gewone /export laat wachtwoorden, wifi-sleutels en VPN-sleutels weg. Terugzetten geeft dan een configuratie die er compleet uitziet en waar niemand op kan inloggen. Gebruik /export file=naam show-sensitive als je het bestand als herstelpad wilt gebruiken, en behandel het daarna als een wachtwoordbestand.

Het apparaat staat niet leeg

Een export importeren over een bestaande of over de standaardconfiguratie geeft dubbele regels, botsende adressen en firewallregels in de verkeerde volgorde. Reset eerst naar leeg, met /system reset-configuration no-defaults=yes skip-backup=yes, en importeer dan.

Wat de configurator hiervan doet

Het scherm Importeren leest een tekstexport, geen .backup. Plak de uitvoer van /export erin, bij voorkeur met show-sensitive, want anders komen sleutels als lege velden terug.
De tool leest de regel # model = uit de kop van de export en zoekt dat model op in de catalogus. Lukt dat niet, dan bouwt hij een vervangend apparaat op uit de interfacenamen die in de export voorkomen. Het aantal poorten is dan een schatting; controleer de poortindeling voordat je het nieuwe script gebruikt.
De harde regel bij importeren is dat er niets wordt weggegooid. Wat de tool begrijpt wordt een invulveld, wat hij niet begrijpt komt in het onderdeel Overgenomen uit je configuratie en wordt onderaan het script ongewijzigd opnieuw geplaatst. De tool zegt er zelf bij dat je de volgorde moet nakijken: een regel die verwijst naar iets dat later in het script wordt aangemaakt, moet verplaatst worden.
Dit is meteen de nette weg naar een ander model. Importeer de oude export, kies het nieuwe apparaat, loop de onderdelen na en laat een vers script genereren. Je krijgt dan poortnamen die op het nieuwe apparaat bestaan, in plaats van een backup die ze verzint.
In Diensten & tools zit Wekelijkse backup + export op de router. Die maakt elke week allebei: een versleutelde .backup en een /export ... show-sensitive, en stuurt ze desgewenst per e-mail. Het backupwachtwoord is verplicht en wordt in het script gezet.
Naast elk script staat een rollback-script dat weghaalt wat het script heeft toegevoegd. Dat is geen backup: regels die een bestaande waarde overschrijven kunnen niet worden teruggedraaid, want die oude waarde staat op het apparaat en niet in het script. Die worden apart genoemd. De echte exacte weg terug is de backup die je vóór het plakken maakt.
Wat de tool niet doet: hij zet niets terug en raakt je apparaat nooit aan. Hij maakt tekst; het plakken en het herstellen doe je zelf.

Als het niet aan je router ligt

De overdracht. Een bestand via FTP in tekstmodus geüpload is stuk. Gebruik WinBox of SFTP.
Het vervangende apparaat. Een RMA-apparaat komt soms met een oudere RouterOS-versie. Werk eerst bij, dan pas terugzetten.
De licentie. Op een CHR hoort de licentie bij de installatie, niet bij de backup. Zie Licenties.
Netinstall. Komt een apparaat na een mislukte poging niet meer op, dan is netinstall de weg terug. Zie Netinstall.

Verder lezen: Backups, Een bestaande configuratie importeren en Het script gebruiken.