Kontrolní seznam pro předkonfigurovaný VPN router: co ověřit při předání

Předem nahraný router přichází s rozhodnutími někoho jiného už zapečenými: ke které VPN službě se připojuje, čí účet to platí, jaký provoz zachycuje a kdo drží heslo, které cokoli z toho mění. Berte předání jako audit, ne jako vybalování. Pět kroků níže je seřazeno a každý má podmínku zastavení; selže-li krok, pozdější kroky vám o zařízení neřeknou nic spolehlivého. Projděte je s routerem před sebou a notebookem za ním.

Krok 1: převezměte administrativní kontrolu nad zařízením

Najděte adresu správy, přihlaste se a změňte heslo správce, než připojíte něco důležitého. U cestovního routeru GL.iNet je tato adresa 192.168.8.1 a průvodce prvním nastavením vás požádá o nastavení hesla; jiní prodejci dokumentují vlastní adresu a mohou dodat pevné přihlašovací údaje vytištěné na štítku. Pokud zařízení dorazilo se zapnutou vzdálenou podporou nebo správou v cloudu, rozhodněte nyní, zda to zůstane zapnuté.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Tyto tři příkazy odpovídají, kdo firmware postavil, která verze to je a kterou revizi hardwaru jste skutečně dostali. Zapište výstup do předávacího záznamu, protože pozdější volání podpory začne přesně těmito otázkami. Router, který odpovídá na SSH, ale odmítá změnu hesla, nebo nemá zdokumentovanou cestu obnovy, není zařízení, které můžete vlastnit.

Zastavte se zde, pokud nemůžete získat výhradní administrátorský přístup. Vše po tomto bodu předpokládá, že můžete číst a měnit konfiguraci, aniž byste se ptali prodejce.

Krok 2: zjistěte, čí VPN účet tunel používá

Tunel je předplatné na něčí jméno a předání není úplné, dokud nevíte, na čí. Vyžádejte poskytovatele, držitele účtu, datum obnovení a přesné přihlašovací údaje nainstalované v zařízení. Předem nahraná konfigurace, která sdílí jedny přihlašovací údaje mezi mnoha kupci, nemůže být zrušena jen pro vás, což je důležité v den, kdy prodejce nad ní ztratí kontrolu.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

U WireGuard výstup uvádí protějšek a čas posledního handshake; u OpenVPN profil leží pod /etc/openvpn a běžící služba ukazuje, který profil je aktivní. Zapište, co najdete, protože opětovné připojení, které tiše používá jiný koncový bod, je změna, kterou budete chtít odhalit, a ne vysvětlit.

Zastavte se zde, pokud účet nelze převést, obnovit nebo zrušit na vaše jméno. Zařízení, které můžete spravovat, ale nemůžete znovu zřídit, se stane cihlou v den, kdy předplatné vyprší.

Krok 3: otestujte umístění výstupu z klienta, ne z routeru

Země vytištěná na krabici, země v prodejcově nabídce a země veřejné adresy jsou tři různé skutečnosti. Jen poslední ovlivňuje, co webová stránka vidí, a vytváří ji koncový bod poskytovatele, ne doručovací adresa. Proveďte kontrolu z notebooku za routerem se zapnutým tunelem, ne z vlastního shellu routeru.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Porovnejte tři odpovědi. Pokud se neshodují, něco mezi klientem a koncovým bodem přepisuje nebo proxuje provoz, a měli byste zjistit co, než se na umístění spolehnete. Geolokační databáze jsou odhady plněné operátory, takže shodný kód země je podpůrný důkaz, ne důkaz fyzické cesty.

Zastavte se zde, pokud se výstup liší od toho, na který jste uzavřeli smlouvu, nebo pokud se odpověď mezi dotazy mění. Rotující nebo nekonzistentní výstup rozbíjí služby závislé na regionu a činí každé další měření nejednoznačným.

Krok 4: připněte firmware a kanál aktualizací

Předkonfigurovaná zařízení často přicházejí se starším buildem a konfigurací prodejce vrstvenou nad OpenWrt. Než přijmete jakoukoli aktualizaci, zjistěte, zda upgrade zachová VPN profil, zda prodejce dodává náhradní profil a kdo má upgrade provést. Čtěte poznámky k vydání pro model, který skutečně máte, ne pro model na fotce v nabídce. Pokud prodejce na žádnou z těchto otázek neodpoví, považujte aktualizace za nepodporované a zmrazte build, který máte.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Uchovejte kopii funkční konfigurace mimo zařízení, než cokoli změníte: klíče WireGuard, profil OpenVPN a pravidla firewallu, která provádějí směrovací politiku. Tovární reset bez této kopie odstraní přesně tu konfiguraci, za kterou jste zaplatili, a prodejce ji nemusí znovu vydat.

Krok 5: rozhodněte, co tunel pokrývá a co se stane při selhání

Směrování celé sítě, směrování vybraných zařízení, zpracování DNS, IPv6 a chování kill switch jsou samostatná nastavení, která rozhraní často slévá do jednoho přepínače. Kontrolujte je jedno po druhém, protože připojený router dokazuje jen to, že router sám dosáhne na koncový bod. Testujte z klientského zařízení níže po trase se zapnutým tunelem, pak znovu s vypnutým.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Pokud je IPv6 zapnuto v LAN, ale není směrováno do tunelu, klienti jej mohou upřednostnit a zcela opustit cestu VPN, zatímco IPv4 stále vypadá chráněně. Pokud je kill switch vypnutý, spadlý tunel se vrátí na cestu ISP, což je dobrá volba jen tehdy, když jste to udělali záměrně. Obě podmínky jsou z panelu poskytovatele neviditelné.

Zapište si rozdělení podpory, než je budete potřebovat. Prodejce hardwaru, správce firmwaru a VPN operátor jsou tři strany se třemi různými postupy obnovy a jeden kontakt může pokrývat několik rolí, aniž by pokrýval všechny. Předání je hotové, když můžete zařízení spravovat, účet obnovit nebo zrušit, reprodukovat zamýšlený výstup, aktualizovat firmware bez ztráty profilu a přesně říci, co se stane, když tunel spadne.