Кантрольны спіс для папярэдне наладжанага VPN-роўтара: што праверыць пры перадачы

Папярэдне загружаны роўтар прыходзіць з ужо ўбудаванымі рашэннямі кагосьці іншага: да якой службы VPN ён падключаецца, чый акаўнт за гэта плаціць, які трафік ён перахоплівае і хто трымае пароль, які змяняе ўсё гэта. Разглядайце перадачу як аўдыт, а не як распакоўку. Пяць крокаў ніжэй ідуць па парадку, і ў кожнага ёсць умова спынення; калі крок не ўдаецца, наступныя крокі не могуць сказаць вам нічога надзейнага пра прыладу. Прайдзіце іх, калі роўтар перад вамі, а ноўтбук за ім.

Крок 1: вазьміце адміністрацыйны кантроль над прыладай

Знайдзіце адрас кіравання, увайдзіце і змяніце пароль адміністратара, перш чым падключыць нешта важнае. На падарожным роўтары GL.iNet гэты адрас — 192.168.8.1, і майстар першапачатковай налады просіць вас задаць пароль; іншыя прадаўцы дакументуюць свой адрас і могуць паставіць фіксаваныя ўліковыя даныя, надрукаваныя на этыкетцы. Калі прылада прыйшла з уключанай аддаленай падтрымкай або кіраваннем праз воблака, вырашыце зараз, ці застанецца гэта ўключаным.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Гэтыя тры каманды адказваюць, хто збудаваў прашыўку, які гэта выпуск і якую рэвізію абсталявання вы фактычна атрымалі. Запішыце вынік у пратакол перадачы, бо наступны званок у падтрымку пачнецца менавіта з гэтых пытанняў. Роўтар, які адказвае па SSH, але адмаўляецца змяняць пароль, або не мае дакументаванага шляху аднаўлення, — гэта не прылада, якой вы можаце валодаць.

Спыніцеся тут, калі вы не можаце атрымаць выключны адміністрацыйны доступ. Усё пасля гэтага пункта мяркуе, што вы можаце чытаць і змяняць канфігурацыю, не пытаючыся ў прадаўца.

Крок 2: вызначце, чый акаўнт VPN выкарыстоўвае тунель

Тунель — гэта падпіска на чыёсьці імя, і перадача не завершана, пакуль вы не ведаеце, на чыё. Запытайце пастаўшчыка, уладальніка акаўнта, дату падаўжэння і дакладныя ўліковыя даныя, усталяваныя на прыладзе. Папярэдне загружаная канфігурацыя, якая дзеліць адны ўліковыя даныя паміж многімі пакупнікамі, не можа быць адклікана толькі для вас, і гэта мае значэнне ў той дзень, калі прадавец страціць над ёй кантроль.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

У WireGuard вынік называе партнёра і час апошняга рукапаціскання; у OpenVPN профіль знаходзіцца ў /etc/openvpn, а працуючая служба паказвае, які профіль актыўны. Запішыце тое, што знойдзеце, бо перападключэнне, якое моўчкі выкарыстоўвае іншую канчатковую кропку, — гэта змена, якую вы захочаце выявіць, а не патлумачыць.

Спыніцеся тут, калі акаўнт нельга перадаць, падоўжыць або адклікаць на ваша імя. Прылада, якой вы можаце кіраваць, але не можаце пераналадзіць, ператвараецца ў цагліну ў той дзень, калі падпіска скончыцца.

Крок 3: праверце месца выхаду з кліента, а не з роўтара

Краіна, надрукаваная на скрыні, краіна ў аб'яве прадаўца і краіна публічнага адраса — гэта тры розныя факты. Толькі апошні ўплывае на тое, што бачыць вэб-сайт, і ён ствараецца канчатковай кропкай пастаўшчыка, а не адрасам дастаўкі. Правядзіце праверку з ноўтбука за роўтарам пры ўзнятым тунелі, а не з уласнай абалонкі роўтара.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Параўнайце тры адказы. Калі яны не супадаюць, нешта паміж кліентам і канчатковай кропкай перапісвае або праксіруе трафік, і вам варта высветліць, што менавіта, перш чым спадзявацца на месцазнаходжанне. Базы геалакацыі — гэта ацэнкі, якія падаюць аператары, таму супадаючы код краіны — гэта дапаможнае сведчанне, а не доказ фізічнага шляху.

Спыніцеся тут, калі выхад адрозніваецца ад таго, на які вы заключылі дамову, або калі адказ змяняецца паміж запытамі. Зменлівы або непаслядоўны выхад ламае сэрвісы, залежныя ад рэгіёна, і робіць кожнае наступнае вымярэнне няпэўным.

Крок 4: замацуйце прашыўку і канал абнаўленняў

Папярэдне наладжаныя прылады часта пастаўляюцца са старэйшай зборкай і канфігурацыяй прадаўца, накладзенай па-над OpenWrt. Перш чым прыняць любое абнаўленне, вызначце, ці захоўвае абнаўленне профіль VPN, ці пастаўляе прадавец заменны профіль і хто павінен выконваць абнаўленне. Чытайце заўвагі да выпуску для мадэлі, якая ў вас фактычна ёсць, а не для мадэлі на фота ў аб'яве. Калі прадавец не адказвае ні на адно з гэтых пытанняў, лічыце абнаўленні непадтрымліванымі і замарозьце зборку, якая ў вас ёсць.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Захавайце копію працоўнай канфігурацыі па-за прыладай, перш чым нешта змяніць: ключы WireGuard, профіль OpenVPN і правілы брандмаўэра, якія рэалізуюць палітыку маршрутызацыі. Скід да завадскіх наладаў без гэтай копіі выдаляе менавіта тую канфігурацыю, за якую вы заплацілі, і прадавец можа не выдаць яе зноў.

Крок 5: вырашыце, што ахоплівае тунель і што адбываецца пры збоі

Маршрутызацыя ўсёй сеткі, маршрутызацыя выбраных прылад, апрацоўка DNS, IPv6 і паводзіны kill-switch — гэта асобныя налады, якія інтэрфейс часта згортвае ў адзін пераключальнік. Правярайце іх па адной, бо падключаны роўтар даказвае толькі тое, што сам роўтар можа дасягнуць канчатковай кропкі. Тэстуйце з ніжэйшага кліента пры ўзнятым тунелі, а затым зноў пры апушчаным.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Калі IPv6 уключаны ў LAN, але не маршрутызуецца ў тунель, кліенты могуць аддаць яму перавагу і цалкам пакінуць шлях VPN, пакуль IPv4 яшчэ выглядае абароненым. Калі kill switch выключаны, абарваны тунель вяртаецца на шлях інтэрнэт-правайдэра, і гэта добры выбар толькі тады, калі вы зрабілі гэта наўмысна. Абедзве ўмовы нябачныя з панэлі пастаўшчыка.

Запішыце падзел падтрымкі да таго, як ён спатрэбіцца. Прадавец абсталявання, суправаджальнік прашыўкі і аператар VPN — гэта тры бакі з трыма рознымі працэдурамі аднаўлення, і адзін кантакт можа ахопліваць некалькі роляў, але не ўсе. Перадача завершана, калі вы можаце кіраваць прыладай, падоўжыць або адклікаць акаўнт, узнавіць жаданы выхад, абнавіць прашыўку без страты профілю і дакладна сказаць, што адбываецца, калі тунель абрываецца.