Контролен списък за предварително конфигуриран VPN рутер: какво да проверите при предаването

Предварително зареден рутер пристига с вече вградени чужди решения: към коя VPN услуга се свързва, чий акаунт плаща за нея, какъв трафик прихваща и кой държи паролата, която променя всичко това. Приемете предаването като одит, а не като разопаковане. Петте стъпки по-долу са подредени и всяка има условие за спиране; ако една стъпка се провали, следващите не могат да ви кажат нищо надеждно за устройството. Минете през тях с рутера пред вас и лаптоп зад него.

Стъпка 1: поемете административен контрол над устройството

Намерете адреса за управление, влезте и сменете администраторската парола, преди да свържете нещо важно. При GL.iNet туристически рутер този адрес е 192.168.8.1 и съветникът за първоначална настройка ви иска да зададете паролата; други продавачи документират свой адрес и може да доставят фиксирани данни за достъп, отпечатани на етикета. Ако устройството е пристигнало с включена отдалечена поддръжка или облачно управление, решете сега дали това остава включено.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Тези три команди отговарят кой е изградил фърмуера, кое издание е и каква ревизия на хардуера всъщност сте получили. Запишете изхода в протокола за предаване, защото по-късно обаждане до поддръжката ще започне точно с тези въпроси. Рутер, който отговаря по SSH, но отказва смяна на паролата, или няма документиран път за възстановяване, не е устройство, което можете да притежавате.

Спрете тук, ако не можете да получите изключителен административен достъп. Всичко след тази точка предполага, че можете да четете и променяте конфигурацията, без да питате продавача.

Стъпка 2: установете чий VPN акаунт използва тунелът

Тунелът е абонамент на нечие име и предаването не е пълно, докато не знаете на кого. Поискайте доставчика, титуляра на акаунта, датата на подновяване и точните данни за достъп, инсталирани на устройството. Предварително заредена конфигурация, която споделя едни данни за достъп между много купувачи, не може да бъде отменена само за вас, а това има значение в деня, в който продавачът загуби контрол над нея.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

При WireGuard изходът посочва партньора и времето на последното ръкостискане; при OpenVPN профилът се намира под /etc/openvpn и работещата услуга показва кой профил е активен. Запишете какво намерите, защото повторно свързване, което тихо използва друга крайна точка, е промяна, която ще искате да откриете, а не да обясните.

Спрете тук, ако акаунтът не може да бъде прехвърлен, подновен или отменен на ваше име. Устройство, което можете да администрирате, но не можете да преконфигурирате, се превръща в тухла в деня, в който абонаментът изтече.

Стъпка 3: тествайте изходното местоположение от клиент, не от рутера

Държавата, отпечатана на кутията, държавата в обявата на продавача и държавата на публичния адрес са три различни факта. Само последната влияе на това какво вижда сайтът и тя се създава от крайната точка на доставчика, а не от адреса за доставка. Извършете проверката от лаптоп зад рутера с вдигнат тунел, а не от собствената обвивка на рутера.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Сравнете трите отговора. Ако се разминават, нещо между клиента и крайната точка пренаписва или проксира трафика и трябва да разберете какво, преди да разчитате на местоположението. Базите с геолокация са оценки, захранвани от оператори, така че съвпадащият код на държавата е подкрепящо доказателство, а не доказателство за физически път.

Спрете тук, ако изходът се различава от договорения или ако отговорът се променя между заявките. Променящ се или непоследователен изход чупи услугите, зависими от региона, и прави всяко следващо измерване двусмислено.

Стъпка 4: фиксирайте фърмуера и канала за актуализации

Предварително конфигурираните устройства често се доставят със стара сглобка и конфигурация на продавача, наслоена върху OpenWrt. Преди да приемете актуализация, установете дали надграждането запазва VPN профила, дали продавачът предоставя заместващ профил и кой се очаква да извърши надграждането. Четете бележките към изданието за модела, който всъщност имате, а не за модела на снимката в обявата. Ако продавачът не отговори на нито един от тези въпроси, считайте актуализациите за неподдържани и замразете сглобката, която имате.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Пазете копие от работещата конфигурация извън устройството, преди да промените нещо: ключовете на WireGuard, профила на OpenVPN и правилата на защитната стена, които реализират маршрутната политика. Фабрично нулиране без това копие премахва точно конфигурацията, за която сте платили, и продавачът може да не я издаде отново.

Стъпка 5: решете какво покрива тунелът и какво се случва при отказ

Маршрутизиране на цялата мрежа, маршрутизиране на избрани устройства, обработка на DNS, IPv6 и поведение на kill switch са отделни настройки, които интерфейсът често свива в един превключвател. Проверявайте ги една по една, защото свързан рутер доказва само, че самият рутер може да достигне крайната точка. Тествайте от клиент надолу по веригата с вдигнат тунел, после отново със свален.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Ако IPv6 е включен в LAN, но не е маршрутизиран в тунела, клиентите може да го предпочетат и да напуснат изцяло VPN пътя, докато IPv4 още изглежда защитен. Ако kill switch е изключен, прекъснат тунел се връща към пътя на доставчика на интернет, което е добър избор само когато сте го направили нарочно. И двете условия са невидими от таблото на доставчика.

Запишете разделението на поддръжката, преди да ви потрябва. Продавачът на хардуер, поддържащият фърмуера и VPN операторът са три страни с три различни процедури за възстановяване и един контакт може да покрива няколко роли, без да покрива всички. Предаването е завършено, когато можете да администрирате устройството, да подновите или отмените акаунта, да възпроизведете желания изход, да актуализирате фърмуера без загуба на профила и да кажете точно какво се случва, когато тунелът падне.