Tjekliste til en forudkonfigureret VPN-router: hvad du skal verificere ved overdragelsen

En forudindlæst router ankommer med en andens beslutninger allerede bagt ind: hvilken VPN-tjeneste den ringer til, hvis konto der betaler for det, hvilken trafik den opfanger, og hvem der har adgangskoden, som ændrer noget af det. Behandl overdragelsen som en revision, ikke som en udpakning. De fem trin nedenfor er ordnet, og hvert har en stopbetingelse; hvis et trin fejler, kan de senere trin ikke fortælle dig noget pålideligt om enheden. Gå igennem dem med routeren foran dig og en laptop bag den.

Trin 1: overtag den administrative kontrol over enheden

Find administrationsadressen, log ind, og skift administratoradgangskoden, før du tilslutter noget vigtigt. På en GL.iNet-rejserouter er denne adresse 192.168.8.1, og guiden til første opsætning beder dig angive adgangskoden; andre sælgere dokumenterer deres egen adresse og kan levere faste legitimationsoplysninger trykt på etiketten. Hvis enheden er ankommet med fjernsupport eller cloudadministration aktiveret, skal du nu beslutte, om det forbliver slået til.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Disse tre kommandoer besvarer, hvem der byggede firmwaren, hvilken udgivelse det er, og hvilken hardwareversion du faktisk modtog. Skriv outputtet i overdragelsesprotokollen, for et senere supportopkald vil begynde med præcis de spørgsmål. En router, der svarer på SSH, men nægter at ændre adgangskode, eller som ikke har en dokumenteret gendannelsesvej, er ikke en enhed, du kan eje.

Stop her, hvis du ikke kan få eksklusiv administrativ adgang. Alt efter dette punkt forudsætter, at du kan læse og ændre konfigurationen uden at spørge sælgeren.

Trin 2: fastslå, hvis VPN-konto tunnelen bruger

Tunnelen er et abonnement i nogens navn, og overdragelsen er ufuldstændig, indtil du ved hvis. Bed om udbyderen, kontohaveren, fornyelsesdatoen og de præcise legitimationsoplysninger, der er installeret på enheden. En forudindlæst konfiguration, der deler én legitimationsoplysning blandt mange købere, kan ikke tilbagekaldes kun for dig, og det betyder noget den dag, sælgeren mister kontrollen over den.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

På WireGuard angiver outputtet modparten og tidspunktet for det sidste håndtryk; på OpenVPN ligger profilen under /etc/openvpn, og den kørende tjeneste viser, hvilken profil der er aktiv. Noter, hvad du finder, for en genopkobling, der i det stille bruger et andet endepunkt, er en ændring, du vil opdage frem for at bortforklare.

Stop her, hvis kontoen ikke kan overføres, fornyes eller tilbagekaldes i dit eget navn. En enhed, du kan administrere, men ikke kan genopsætte, bliver en mursten den dag, abonnementet udløber.

Trin 3: test exitplaceringen fra en klient, ikke fra routeren

Landet trykt på kassen, landet i sælgerens annonce og landet for den offentlige adresse er tre forskellige fakta. Kun det sidste påvirker, hvad et websted ser, og det produceres af udbyderens endepunkt frem for af leveringsadressen. Kør kontrollen fra en laptop bag routeren med tunnelen oppe, ikke fra routerens egen shell.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Sammenlign de tre svar. Hvis de er uenige, omskriver eller proxier noget mellem klienten og endepunktet trafikken, og du bør finde ud af hvad, før du stoler på placeringen. Geolokationsdatabaser er estimater, som operatører fodrer, så en matchende landekode er understøttende bevis snarere end bevis for en fysisk rute.

Stop her, hvis exitpunktet afviger fra det, du har kontraheret, eller hvis svaret ændrer sig mellem forespørgsler. Et roterende eller inkonsistent exitpunkt ødelægger regionsafhængige tjenester og gør enhver senere måling tvetydig.

Trin 4: fastlås firmwaren og opdateringskanalen

Forudkonfigurerede enheder leveres ofte med et ældre build og en sælgerkonfiguration lagt oven på OpenWrt. Før du accepterer en opdatering, skal du fastslå, om en opgradering bevarer VPN-profilen, om sælgeren leverer en erstatningsprofil, og hvem der forventes at udføre opgraderingen. Læs udgivelsesnoterne for den model, du faktisk har, ikke for modellen på annoncebilledet. Hvis sælgeren ikke besvarer nogen af disse spørgsmål, skal du behandle opdateringer som ikke-understøttede og fryse det build, du har.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Gem en kopi af den fungerende konfiguration uden for enheden, før du ændrer noget: WireGuard-nøglerne, OpenVPN-profilen og firewallreglerne, der implementerer routingpolitikken. En fabriksnulstilling uden den kopi fjerner præcis den konfiguration, du betalte for, og sælgeren udsteder den måske ikke igen.

Trin 5: beslut, hvad tunnelen dækker, og hvad der sker ved fejl

Routing for hele netværket, routing for udvalgte enheder, DNS-håndtering, IPv6 og kill switch-adfærd er separate indstillinger, som en grænseflade ofte kollapser til én kontakt. Kontroller dem én ad gangen, for en tilsluttet router beviser kun, at routeren selv kan nå endepunktet. Test fra en nedstrøms klient med tunnelen oppe, og derefter igen med den nede.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Hvis IPv6 er aktiveret på LAN'et, men ikke routet ind i tunnelen, kan klienter foretrække det og forlade VPN-stien helt, mens IPv4 stadig ser beskyttet ud. Hvis kill switch er slået fra, falder en nedbrudt tunnel tilbage til ISP-stien, hvilket kun er et godt valg, når du gjorde det med vilje. Begge betingelser er usynlige fra udbyderens dashboard.

Skriv supportopdelingen ned, før du får brug for den. Hardwaresælgeren, firmwarevedligeholderen og VPN-operatøren er tre parter med tre forskellige gendannelsesprocedurer, og én kontakt kan dække flere roller uden at dække dem alle. Overdragelsen er færdig, når du kan administrere enheden, forny eller tilbagekalde kontoen, gengive det tilsigtede exitpunkt, opdatere firmwaren uden at miste profilen og sige præcis, hvad der sker, når tunnelen falder.