Rhestr wirio ar gyfer llwybrydd VPN wedi'i ragffurfweddu: beth i'w wirio wrth drosglwyddo

Mae llwybrydd wedi'i rag-lwytho yn cyrraedd gyda phenderfyniadau rhywun arall eisoes wedi'u pobi i mewn: pa wasanaeth VPN mae'n ei ddeialu, cyfrif pwy sy'n talu amdano, pa draffig mae'n ei ddal a phwy sy'n dal y cyfrinair sy'n newid unrhyw un o'r rhain. Trowch y trosglwyddiad yn archwiliad yn hytrach na dadbacio'r blwch. Mae'r pum cam isod wedi'u trefnu, ac mae gan bob un amod stopio; os bydd cam yn methu, ni all y camau diweddarach ddweud unrhyw beth dibynadwy wrthych am y ddyfais. Ewch drwyddynt gyda'r llwybrydd o'ch blaen a gliniadur y tu ôl iddo.

Cam 1: cymerwch reolaeth weinyddol dros y ddyfais

Dewch o hyd i'r cyfeiriad rheoli, mewngofnodwch, a newidiwch gyfrinair y gweinyddwr cyn i chi gysylltu unrhyw beth pwysig. Ar lwybrydd teithio GL.iNet y cyfeiriad hwnnw yw 192.168.8.1 ac mae'r dewin sefydlu cyntaf yn gofyn i chi osod y cyfrinair; mae gwerthwyr eraill yn dogfennu eu cyfeiriad eu hunain ac yn gallu anfon manylion mewngofnodi sefydlog wedi'u hargraffu ar y label. Os cyrhaeddodd y ddyfais gyda chymorth o bell neu reolaeth cwmwl wedi'i alluogi, penderfynwch nawr a yw hynny'n aros ymlaen.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Mae'r tri gorchymyn hynny'n ateb pwy a adeiladodd y firmware, pa ryddhad ydyw a pha adolygiad caledwedd y gwnaethoch ei dderbyn mewn gwirionedd. Ysgrifennwch yr allbwn yn y cofnod trosglwyddo, oherwydd bydd galwad cymorth yn ddiweddarach yn dechrau gyda'r union gwestiynau hynny. Nid yw llwybrydd sy'n ateb SSH ond yn gwrthod newid cyfrinair, neu heb lwybr adfer wedi'i ddogfennu, yn ddyfais y gallwch ei pherchenogi.

Stopiwch yma os na allwch gael mynediad gweinyddol unigryw. Mae popeth ar ôl y pwynt hwn yn tybio y gallwch ddarllen a newid y cyfluniad heb ofyn i'r gwerthwr.

Cam 2: sefwch pwy yw cyfrif VPN y tiwnel

Tanysgrifiad yn enw rhywun yw'r tiwnel, ac nid yw'r trosglwyddiad yn gyflawn nes i chi wybod pa enw. Gofynnwch am y darparwr, deiliad y cyfrif, y dyddiad adnewyddu a'r union fanylion mewngofnodi sydd wedi'u gosod ar y ddyfais. Ni ellir canslo cyfluniad wedi'i rag-lwytho sy'n rhannu un set o fanylion mewngofnodi ymhlith llawer o brynwyr ar eich cyfer chi'n unig, ac mae hynny'n bwysig y diwrnod y bydd y gwerthwr yn colli rheolaeth arno.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

Ar WireGuard mae'r allbwn yn enwi'r cymar ac amser yr ysgwyd llaw ddiwethaf; ar OpenVPN mae'r proffil o dan /etc/openvpn ac mae'r gwasanaeth sy'n rhedeg yn dangos pa broffil sy'n weithredol. Cofnodwch yr hyn a ganfyddwch, oherwydd mae ailgysylltu sy'n defnyddio diweddbwynt gwahanol yn dawel yn newid y byddwch am ei ganfod yn hytrach na'i esbonio i ffwrdd.

Stopiwch yma os na ellir trosglwyddo, adnewyddu na chanslo'r cyfrif yn eich enw chi. Mae dyfais y gallwch ei gweinyddu ond na allwch ei hailarfogi yn dod yn fricsen y diwrnod y bydd y tanysgrifiad yn dod i ben.

Cam 3: profwch leoliad yr allanfa o gleient, nid o'r llwybrydd

Mae'r wlad a argraffwyd ar y blwch, y wlad yng nghofnod y gwerthwr a gwlad y cyfeiriad cyhoeddus yn dri ffaith wahanol. Dim ond yr olaf sy'n effeithio ar yr hyn y mae gwefan yn ei weld, a chaiff ei gynhyrchu gan ddiweddbwynt y darparwr yn hytrach na chan y cyfeiriad cludo. Rhedwch y gwiriad o liniadur y tu ôl i'r llwybrydd gyda'r tiwnel i fyny, nid o gragen y llwybrydd ei hun.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Cymharwch y tri ateb. Os nad ydynt yn cytuno, mae rhywbeth rhwng y cleient a'r diweddbwynt yn ailysgrifennu neu'n dirprwyo traffig, a dylech ddarganfod beth cyn dibynnu ar y lleoliad. Amcangyfrifon a fwydir gan weithredwyr yw cronfeydd data geolocation, felly mae cod gwlad sy'n cyfateb yn dystiolaeth ategol yn hytrach na phrawf o lwybr corfforol.

Stopiwch yma os yw'r allanfa'n wahanol i'r un y gwnaethoch gontract ar ei chyfer, neu os yw'r ateb yn newid rhwng ymholiadau. Mae allanfa gylchdroi neu anghyson yn torri gwasanaethau sy'n dibynnu ar ranbarth ac yn gwneud pob mesuriad diweddarach yn amwys.

Cam 4: pinwch y firmware a'r sianel ddiweddaru

Mae dyfeisiau wedi'u rhagffurfweddu'n aml yn cyrraedd gyda build hŷn a chyfluniad gwerthwr wedi'i haenu dros OpenWrt. Cyn derbyn unrhyw ddiweddariad, sefwch a yw uwchraddiad yn cadw'r proffil VPN, a yw'r gwerthwr yn darparu proffil amnewid, a phwy a ddisgwylir i wneud yr uwchraddiad. Darllenwch y nodiadau rhyddhau ar gyfer y model sydd gennych mewn gwirionedd, nid ar gyfer y model yn y llun yn y cofnod. Os nad yw'r gwerthwr yn ateb unrhyw un o'r cwestiynau hynny, triniwch ddiweddariadau fel rhai heb gefnogaeth a rhewi'r build sydd gennych.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Cadwch gopi o'r cyfluniad sy'n gweithio oddi ar y ddyfais cyn i chi newid unrhyw beth: allweddi WireGuard, proffil OpenVPN a'r rheolau wal dân sy'n gweithredu'r polisi llwybro. Mae ailosod ffatri heb y copi hwnnw'n tynnu'n union y cyfluniad y gwnaethoch dalu amdano, ac efallai na fydd y gwerthwr yn ei ailgyhoeddi.

Cam 5: penderfynwch beth mae'r tiwnel yn ei gwmpasu a beth sy'n digwydd pan fydd yn methu

Mae llwybro rhwydwaith cyfan, llwybro dyfeisiau dethol, trin DNS, IPv6 ac ymddygiad kill switch yn osodiadau ar wahân y mae rhyngwyneb yn aml yn eu cywasgu i un togl. Gwiriwch nhw un ar y tro, oherwydd dim ond bod y llwybrydd ei hun yn gallu cyrraedd y diweddbwynt y mae llwybrydd cysylltiedig yn ei brofi. Profwch o gleient i lawr y llif gyda'r tiwnel i fyny, yna eto gyda'r tiwnel i lawr.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Os yw IPv6 wedi'i alluogi ar y LAN ond heb ei lwybro i'r tiwnel, gall cleientiaid ei ffafrio a gadael llwybr VPN yn gyfan gwbl tra bo IPv4 yn dal i edrych yn gwarchodedig. Os yw'r kill switch i ffwrdd, mae tiwnel sydd wedi disgyn yn disgyn yn ôl i lwybr yr ISP, sy'n ddewis da dim ond pan wnaethoch hynny'n fwriadol. Mae'r ddau amod yn anweledig o ddangosfwrdd y darparwr.

Ysgrifennwch y rhaniad cymorth i lawr cyn i chi ei angen. Mae gwerthwr caledwedd, cynhaliwr firmware a gweithredwr VPN yn dri pharti â thri gweithdrefn adfer wahanol, a gall un cyswllt gwmpasu sawl rôl heb gynnwys pob un. Mae'r trosglwyddiad wedi gorffen pan allwch weinyddu'r ddyfais, adnewyddu neu ganslo'r cyfrif, atgynhyrchu'r allanfa arfaethedig, diweddaru'r firmware heb golli'r proffil, a dweud yn union beth sy'n digwydd pan fydd y tiwnel yn cwympo.