Llista de comprovació per a un encaminador VPN preconfigurat: què cal verificar en el lliurament

Un encaminador precarregat arriba amb les decisions d'una altra persona ja incorporades: a quin servei VPN es connecta, de qui és el compte que ho paga, quin trànsit captura i qui té la contrasenya que canvia tot això. Tracteu el lliurament com una auditoria i no com un desembalatge. Els cinc passos següents estan ordenats i cadascun té una condició d'aturada; si un pas falla, els passos posteriors no us poden dir res fiable sobre el dispositiu. Feu-los amb l'encaminador davant vostre i un portàtil darrere.

Pas 1: preneu el control administratiu de l'equip

Trobeu l'adreça de gestió, inicieu la sessió i canvieu la contrasenya d'administrador abans de connectar-hi res important. En un encaminador de viatge GL.iNet aquesta adreça és 192.168.8.1 i l'assistent de primera configuració us demana que establiu la contrasenya; altres venedors documenten la seva pròpia adreça i poden enviar credencials fixes impreses a l'etiqueta. Si el dispositiu ha arribat amb suport remot o gestió al núvol activats, decidiu ara si això es queda.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Aquestes tres ordres responen qui va construir el firmware, quina versió és i quina revisió de maquinari heu rebut realment. Escriviu la sortida al registre de lliurament, perquè una trucada de suport posterior començarà exactament amb aquestes preguntes. Un encaminador que respon per SSH però refusa canviar la contrasenya, o que no té cap camí de recuperació documentat, no és un dispositiu que pugueu posseir.

Atureu-vos aquí si no podeu obtenir accés administratiu exclusiu. Tot el que ve després assumeix que podeu llegir i canviar la configuració sense preguntar al venedor.

Pas 2: establiu de qui és el compte VPN que fa servir el túnel

El túnel és una subscripció a nom d'algú i el lliurament no és complet fins que sapigueu de qui. Demaneu el proveïdor, el titular del compte, la data de renovació i les credencials exactes instal·lades al dispositiu. Una configuració precarregada que comparteix una credencial entre molts compradors no es pot revocar només per a vosaltres, cosa que importa el dia que el venedor en perdi el control.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

A WireGuard la sortida indica el parell i l'hora de l'última encaixada de mans; a OpenVPN el perfil és sota /etc/openvpn i el servei en marxa mostra quin perfil és actiu. Anoteu què trobeu, perquè una reconnexió que silenciosament fa servir un altre punt final és un canvi que voldreu detectar i no explicar.

Atureu-vos aquí si el compte no es pot transferir, renovar o revocar al vostre nom. Un dispositiu que podeu administrar però no podeu proveir de nou es converteix en un maó el dia que la subscripció caduca.

Pas 3: proveu la ubicació de sortida des d'un client, no des de l'encaminador

El país imprès a la capsa, el país de l'anunci del venedor i el país de l'adreça pública són tres fets diferents. Només l'últim afecta què veu una pàgina web, i el produeix el punt final del proveïdor i no l'adreça d'enviament. Feu la comprovació des d'un portàtil darrere de l'encaminador amb el túnel aixecat, no des de l'intèrpret d'ordres de l'encaminador.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Compareu les tres respostes. Si no coincideixen, alguna cosa entre el client i el punt final reescriu o fa de proxy del trànsit, i hauríeu d'esbrinar què abans de confiar en la ubicació. Les bases de geolocalització són estimacions alimentades pels operadors, així que un codi de país coincident és una evidència de suport i no una prova d'un camí físic.

Atureu-vos aquí si la sortida difereix de la que heu contractat, o si la resposta canvia entre consultes. Una sortida rotativa o inconsistent trenca serveis dependents de la regió i fa ambigu qualsevol mesura posterior.

Pas 4: fixeu el firmware i el canal d'actualització

Els dispositius preconfigurats sovint arriben amb una compilació més antiga i una configuració del venedor superposada a OpenWrt. Abans d'acceptar cap actualització, establiu si una actualització conserva el perfil VPN, si el venedor subministra un perfil de recanvi i qui ha de fer l'actualització. Llegiu les notes de la versió per al model que realment teniu, no per al model de la foto de l'anunci. Si el venedor no respon cap d'aquestes preguntes, tracteu les actualitzacions com a no suportades i congeleu la compilació que teniu.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Guardeu una còpia de la configuració que funciona fora del dispositiu abans de canviar res: les claus de WireGuard, el perfil d'OpenVPN i les regles de tallafoc que implementen la política d'encaminament. Una restauració de fàbrica sense aquesta còpia elimina exactament la configuració que heu pagat, i el venedor potser no la tornarà a emetre.

Pas 5: decidiu què cobreix el túnel i què passa quan falla

L'encaminament de tota la xarxa, l'encaminament de dispositius seleccionats, la gestió de DNS, IPv6 i el comportament del kill switch són paràmetres separats que una interfície sovint col·lapsa en un sol commutador. Comproveu-los d'un en un, perquè un encaminador connectat només demostra que el propi encaminador pot arribar al punt final. Proveu-ho des d'un client aigües avall amb el túnel aixecat, i després amb el túnel caigut.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Si IPv6 està activat a la LAN però no s'encamina cap al túnel, els clients poden preferir-lo i abandonar del tot el camí VPN mentre IPv4 encara sembla protegit. Si el kill switch està desactivat, un túnel caigut torna al camí de l'ISP, cosa que només és una bona elecció quan ho heu fet a propòsit. Totes dues condicions són invisibles des del tauler del proveïdor.

Escriviu el repartiment de suport abans que us calgui. El venedor de maquinari, el mantenidor del firmware i l'operador de VPN són tres parts amb tres procediments de recuperació diferents, i un sol contacte pot cobrir diversos rols sense cobrir-los tots. El lliurament s'acaba quan podeu administrar el dispositiu, renovar o revocar el compte, reproduir la sortida prevista, actualitzar el firmware sense perdre el perfil i dir exactament què passa quan el túnel cau.