Checkliste für einen vorkonfigurierten VPN-Router: Was bei der Übergabe zu prüfen ist

Ein vorbereiteter Router trägt das Konto, die Firmware und die Exit-Richtlinie des Verkäufers. Prüfen Sie Administratorzugang, Kontoinhaberschaft, Exit-Standort, Updates und Richtlinie.

Ein vorbespielter Router kommt mit den Entscheidungen anderer bereits eingebacken: welchen VPN-Dienst er anwählt, wessen Konto dafür zahlt, welchen Verkehr er mitschneidet und wer das Passwort hält, das all das ändert. Behandeln Sie die Übergabe als Prüfung, nicht als Auspacken. Die fünf Schritte unten sind geordnet, und jeder hat eine Abbruchbedingung; scheitert ein Schritt, können die späteren Schritte Ihnen nichts Verlässliches über das Gerät sagen. Arbeiten Sie sie mit dem Router vor sich und einem Laptop dahinter durch.

Schritt 1: Übernehmen Sie die administrative Kontrolle über das Gerät

Finden Sie die Verwaltungsadresse, melden Sie sich an und ändern Sie das Administratorkennwort, bevor Sie etwas Wichtiges anschließen. Bei einem GL.iNet-Reiserouter ist diese Adresse 192.168.8.1, und der Assistent für die Ersteinrichtung fordert Sie auf, das Kennwort festzulegen; andere Verkäufer dokumentieren ihre eigene Adresse und liefern möglicherweise feste, auf dem Etikett gedruckte Zugangsdaten. Wenn das Gerät mit aktiviertem Fernsupport oder Cloud-Verwaltung angekommen ist, entscheiden Sie jetzt, ob das so bleibt.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Diese drei Befehle beantworten, wer die Firmware gebaut hat, welche Version es ist und welche Hardware-Revision Sie tatsächlich erhalten haben. Schreiben Sie die Ausgabe in das Übergabeprotokoll, denn ein späterer Supportanruf beginnt mit genau diesen Fragen. Ein Router, der SSH beantwortet, aber eine Kennwortänderung verweigert, oder der keinen dokumentierten Wiederherstellungsweg hat, ist kein Gerät, das Sie besitzen können.

Halten Sie hier an, wenn Sie keinen exklusiven Administratorzugang erhalten können. Alles nach diesem Punkt setzt voraus, dass Sie die Konfiguration lesen und ändern können, ohne den Verkäufer zu fragen.

Schritt 2: Stellen Sie fest, wessen VPN-Konto der Tunnel nutzt

Der Tunnel ist ein Abonnement auf jemandes Namen, und die Übergabe ist unvollständig, bis Sie wissen, auf wessen Namen. Fragen Sie nach dem Anbieter, dem Kontoinhaber, dem Verlängerungsdatum und den genauen auf dem Gerät installierten Zugangsdaten. Eine vorbespielte Konfiguration, die einen Zugangsdatensatz auf viele Käufer verteilt, kann nicht allein für Sie widerrufen werden, was an dem Tag zählt, an dem der Verkäufer die Kontrolle darüber verliert.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

Bei WireGuard nennt die Ausgabe den Peer und die Zeit des letzten Handshakes; bei OpenVPN liegt das Profil unter /etc/openvpn, und der laufende Dienst zeigt, welches Profil aktiv ist. Notieren Sie, was Sie finden, denn eine Wiederverbindung, die stillschweigend einen anderen Endpunkt nutzt, ist eine Änderung, die Sie erkennen statt wegerklären wollen.

Halten Sie hier an, wenn das Konto nicht auf Ihren Namen übertragen, verlängert oder widerrufen werden kann. Ein Gerät, das Sie verwalten, aber nicht neu bereitstellen können, wird an dem Tag zum Ziegelstein, an dem das Abonnement erlischt.

Schritt 3: Testen Sie den Exit-Standort von einem Client, nicht vom Router

Das auf der Schachtel gedruckte Land, das Land in der Anzeige des Verkäufers und das Land der öffentlichen Adresse sind drei verschiedene Fakten. Nur das letzte beeinflusst, was eine Website sieht, und es wird vom Endpunkt des Anbieters erzeugt, nicht von der Lieferadresse. Führen Sie die Prüfung von einem Laptop hinter dem Router mit aktivem Tunnel durch, nicht aus der eigenen Shell des Routers.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Vergleichen Sie die drei Antworten. Wenn sie nicht übereinstimmen, schreibt oder proxyt etwas zwischen Client und Endpunkt den Verkehr um, und Sie sollten herausfinden, was, bevor Sie sich auf den Standort verlassen. Geolokalisierungsdatenbanken sind von Betreibern gespeiste Schätzungen, ein passender Ländercode ist also ein stützender Beleg und kein Beweis für einen physischen Pfad.

Halten Sie hier an, wenn der Exit von dem abweicht, für den Sie einen Vertrag geschlossen haben, oder wenn sich die Antwort zwischen Abfragen ändert. Ein rotierender oder inkonsistenter Exit bricht regionsabhängige Dienste und macht jede spätere Messung mehrdeutig.

Schritt 4: Nageln Sie Firmware und Update-Kanal fest

Vorkonfigurierte Geräte kommen oft mit einem älteren Build und einer Verkäuferkonfiguration über OpenWrt. Bevor Sie ein Update annehmen, stellen Sie fest, ob ein Upgrade das VPN-Profil erhält, ob der Verkäufer ein Ersatzprofil liefert und wer das Upgrade durchführen soll. Lesen Sie die Versionshinweise für das Modell, das Sie tatsächlich haben, nicht für das Modell auf dem Anzeigenfoto. Wenn der Verkäufer keine dieser Fragen beantwortet, behandeln Sie Updates als nicht unterstützt und frieren Sie das vorhandene Build ein.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Bewahren Sie eine Kopie der funktionierenden Konfiguration außerhalb des Geräts auf, bevor Sie etwas ändern: die WireGuard-Schlüssel, das OpenVPN-Profil und die Firewallregeln, die die Routing-Richtlinie umsetzen. Ein Werksreset ohne diese Kopie entfernt genau die Konfiguration, für die Sie bezahlt haben, und der Verkäufer stellt sie möglicherweise nicht erneut aus.

Schritt 5: Entscheiden Sie, was der Tunnel abdeckt und was bei einem Ausfall passiert

Netzwerkweites Routing, Routing ausgewählter Geräte, DNS-Behandlung, IPv6 und Kill-Switch-Verhalten sind getrennte Einstellungen, die eine Oberfläche oft in einen einzigen Schalter zusammenfasst. Prüfen Sie sie einzeln, denn ein verbundener Router beweist nur, dass der Router selbst den Endpunkt erreichen kann. Testen Sie von einem nachgelagerten Client bei aktivem Tunnel und dann erneut bei getrenntem Tunnel.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Wenn IPv6 im LAN aktiviert, aber nicht in den Tunnel geroutet ist, bevorzugen Clients es möglicherweise und verlassen den VPN-Pfad ganz, während IPv4 noch geschützt aussieht. Wenn der Kill-Switch aus ist, fällt ein abgebrochener Tunnel auf den ISP-Pfad zurück, was nur dann eine gute Wahl ist, wenn Sie es absichtlich so eingerichtet haben. Beide Bedingungen sind vom Dashboard des Anbieters aus unsichtbar.

Schreiben Sie die Support-Aufteilung auf, bevor Sie sie brauchen. Der Hardwareverkäufer, der Firmware-Maintainer und der VPN-Betreiber sind drei Parteien mit drei verschiedenen Wiederherstellungsverfahren, und ein Kontakt kann mehrere Rollen abdecken, ohne alle zu decken. Die Übergabe ist abgeschlossen, wenn Sie das Gerät verwalten, das Konto verlängern oder widerrufen, den beabsichtigten Exit reproduzieren, die Firmware aktualisieren können, ohne das Profil zu verlieren, und genau sagen können, was passiert, wenn der Tunnel abbricht.

Ähnliche Artikel