Voorafopgestelde VPN-roeteerder-kontrolelys: wat om by oorhandiging na te gaan

'n Voorafgelaaide roeteerder kom met iemand anders se besluite reeds ingebak: watter VPN-diens dit skakel, wie se rekening daarvoor betaal, watter verkeer dit vasvang en wie die wagwoord hou wat enigiets daarvan verander. Behandel die oorhandiging as 'n oudit eerder as 'n uitpak. Die vyf stappe hieronder is in volgorde, en elkeen het 'n stopvoorwaarde; as een stap misluk, kan die latere stappe jou niks betroubaars oor die toestel sê nie. Werk daardeur met die roeteerder voor jou en 'n skootrekenaar agter dit.

Stap 1: neem administratiewe beheer van die toestel oor

Vind die bestuursadres, meld aan en verander die administrateurwagwoord voordat jy iets belangriks koppel. Op 'n GL.iNet-reisroeteerder is dié adres 192.168.8.1 en die eerste opstel-towenaar vra jou om die wagwoord te stel; ander verkopers dokumenteer hul eie adres en lewer soms 'n vaste geloofsbrief wat op die etiket gedruk is. As die toestel met afstandondersteuning of wolkbestuur geaktiveer opgedaag het, besluit nou of dit aan bly.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Daardie drie opdragte beantwoord wie die firmware gebou het, watter vrystelling dit is en watter hardeware-hersiening jy werklik ontvang het. Skryf die uitset in die oorhandigingsrekord, want 'n latere ondersteuningsoproep sal met presies daardie vrae begin. 'n Roeteerder wat SSH beantwoord maar 'n wagwoordverandering weier, of wat geen gedokumenteerde herstelpad het nie, is nie 'n toestel wat jy kan besit nie.

Stop hier as jy nie eksklusiewe admin-toegang kan kry nie. Alles ná hierdie punt veronderstel dat jy die konfigurasie kan lees en verander sonder om die verkoper te vra.

Stap 2: stel vas wie se VPN-rekening die tonnel gebruik

Die tonnel is 'n intekening in iemand se naam, en die oorhandiging is onvolledig totdat jy weet watter naam. Vra vir die verskaffer, die rekeninghouer, die hernuwingsdatum en die presiese geloofsbrief wat op die toestel geïnstalleer is. 'n Voorafgelaaide konfigurasie wat een geloofsbrief oor baie kopers deel, kan nie net vir jou herroep word nie, wat saak maak op die dag wanneer die verkoper beheer daaroor verloor.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

Op WireGuard noem die uitset die eweknie en die laaste handdruktyd; op OpenVPN sit die profiel onder /etc/openvpn en die lopende diens wys watter profiel aktief is. Teken aan wat jy vind, want 'n herbalansering wat stilswyend 'n ander eindpunt gebruik, is 'n verandering wat jy wil opspoor eerder as wegverduidelik.

Stop hier as die rekening nie in jou eie naam oorgedra, hernu of herroep kan word nie. 'n Toestel wat jy kan administreer maar nie kan herprovisioneer nie, word 'n baksteen op die dag wanneer die intekening verval.

Stap 3: toets die uitgangslokasie van 'n kliënt af, nie van die roeteerder nie

Die land wat op die boks gedruk is, die land in die verkoper se lys en die land van die openbare adres is drie verskillende feite. Net die laaste een beïnvloed wat 'n webwerf sien, en dit word deur die verskaffer se eindpunt geproduseer eerder as deur die afleweringsadres. Voer die kontrole uit vanaf 'n skootrekenaar agter die roeteerder met die tonnel op, nie vanuit die roeteerder se eie dop nie.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Vergelyk die drie antwoorde. As hulle verskil, herskryf of proxy iets tussen die kliënt en die eindpunt verkeer, en jy moet uitvind wat voordat jy op die lokasie staatmaak. Geolokasie-databasisse is skattings wat deur operateurs gevoer word, so 'n ooreenstemmende landkode is ondersteunende bewyse eerder as bewys van 'n fisiese pad.

Stop hier as die uitgang verskil van die een waarvoor jy gekontrakteer het, of as die antwoord tussen navrae verander. 'n Roterende of inkonsekwente uitgang breek streekafhanklike dienste en maak elke latere meting dubbelsinnig.

Stap 4: pen die firmware en die opdateringskanaal vas

Voorafopgestelde toestelle word dikwels met 'n ouer bou en 'n verkoperskonfigurasie oor OpenWrt afgelewer. Voordat jy enige opdatering aanvaar, stel vas of 'n opgradering die VPN-profiel behou, of die verkoper 'n vervangingsprofiel verskaf, en wie verwag word om die opgradering te doen. Lees die vrystellingsnotas vir die model wat jy werklik het, nie vir die model in die lys se foto nie. As die verkoper geen van daardie vrae beantwoord nie, behandel opdaterings as onondersteun en vries die bou wat jy het.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Hou 'n kopie van die werkende konfigurasie buite die toestel voordat jy enigiets verander: die WireGuard-sleutels, die OpenVPN-profiel en die brandmuurreëls wat die roetebeleid implementeer. 'n Fabrieksherstel sonder daardie kopie verwyder presies die konfigurasie waarvoor jy betaal het, en die verkoper mag dit nie weer uitreik nie.

Stap 5: besluit wat die tonnel dek en wat gebeur wanneer dit faal

Hele-netwerk-roetering, geselekteerde-toestel-roetering, DNS-hantering, IPv6 en kill-switch-gedrag is afsonderlike instellings wat 'n koppelvlak dikwels in een skakelaar saamvat. Kontroleer hulle een op 'n slag, want 'n gekoppelde roeteerder bewys net dat die roeteerder self die eindpunt kan bereik. Toets vanaf 'n stroomaf-kliënt met die tonnel op, en dan weer met dit af.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

As IPv6 op die LAN geaktiveer is maar nie in die tonnel ingeroeteer word nie, kan kliënte dit verkies en die VPN-pad heeltemal verlaat terwyl IPv4 nog beskermd lyk. As die kill switch af is, val 'n onderbroke tonnel terug na die ISP-pad, wat net 'n goeie keuse is wanneer jy dit doelbewus gemaak het. Beide toestande is onsigbaar vanaf die verskaffer se paneelbord.

Skryf die ondersteuningsverdeling neer voordat jy dit nodig het. Die hardewareverkoper, die firmware-instandhouer en die VPN-operateur is drie partye met drie verskillende herstelprosedures, en een kontak kan verskeie rolle dek sonder om almal te dek. Die oorhandiging is klaar wanneer jy die toestel kan administreer, die rekening kan hernu of herroep, die beoogde uitgang kan reproduseer, die firmware kan opdateer sonder om die profiel te verloor, en presies kan sê wat gebeur wanneer die tonnel val.