Λίστα ελέγχου για προρυθμισμένο δρομολογητή VPN: τι να επαληθεύσετε κατά την παράδοση

Ένας προφορτωμένος δρομολογητής φτάνει με τις αποφάσεις κάποιου άλλου ήδη ψημένες μέσα του: σε ποια υπηρεσία VPN καλεί, ποιος λογαριασμός το πληρώνει, ποια κίνηση συλλαμβάνει και ποιος κρατά τον κωδικό που αλλάζει οποιοδήποτε από αυτά. Αντιμετωπίστε την παράδοση ως έλεγχο, όχι ως ξεπακετάρισμα. Τα πέντε βήματα παρακάτω είναι διατεταγμένα και το καθένα έχει συνθήκη διακοπής· αν ένα βήμα αποτύχει, τα επόμενα βήματα δεν μπορούν να σας πουν τίποτα αξιόπιστο για τη συσκευή. Περάστε τα με τον δρομολογητή μπροστά σας και ένα φορητό υπολογιστή πίσω του.

Βήμα 1: πάρτε τον διαχειριστικό έλεγχο της συσκευής

Βρείτε τη διεύθυνση διαχείρισης, συνδεθείτε και αλλάξτε τον κωδικό διαχειριστή πριν συνδέσετε κάτι σημαντικό. Σε έναν ταξιδιωτικό δρομολογητή GL.iNet αυτή η διεύθυνση είναι 192.168.8.1 και ο οδηγός πρώτης ρύθμισης σας ζητά να ορίσετε τον κωδικό· άλλοι πωλητές τεκμηριώνουν τη δική τους διεύθυνση και μπορεί να αποστείλουν σταθερά διαπιστευτήρια τυπωμένα στην ετικέτα. Αν η συσκευή έφτασε με ενεργοποιημένη απομακρυσμένη υποστήριξη ή διαχείριση στο cloud, αποφασίστε τώρα αν αυτό παραμένει ενεργό.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Αυτές οι τρεις εντολές απαντούν ποιος έφτιαξε το firmware, ποια έκδοση είναι και ποια αναθεώρηση υλικού λάβατε πραγματικά. Γράψτε την έξοδο στο αρχείο παράδοσης, γιατί μια μεταγενέστερη κλήση υποστήριξης θα αρχίσει με ακριβώς αυτές τις ερωτήσεις. Ένας δρομολογητής που απαντά σε SSH αλλά αρνείται αλλαγή κωδικού, ή που δεν έχει τεκμηριωμένη διαδρομή ανάκτησης, δεν είναι συσκευή που μπορείτε να έχετε.

Σταματήστε εδώ αν δεν μπορείτε να αποκτήσετε αποκλειστική διαχειριστική πρόσβαση. Όλα μετά από αυτό το σημείο προϋποθέτουν ότι μπορείτε να διαβάσετε και να αλλάξετε τη διαμόρφωση χωρίς να ρωτήσετε τον πωλητή.

Βήμα 2: καθορίστε ποιος λογαριασμός VPN χρησιμοποιεί η σήραγγα

Η σήραγγα είναι μια συνδρομή στο όνομα κάποιου, και η παράδοση δεν είναι πλήρης μέχρι να μάθετε σε ποιο όνομα. Ζητήστε τον πάροχο, τον κάτοχο του λογαριασμού, την ημερομηνία ανανέωσης και τα ακριβή διαπιστευτήρια που είναι εγκατεστημένα στη συσκευή. Μια προφορτωμένη διαμόρφωση που μοιράζεται ένα διαπιστευτήριο σε πολλούς αγοραστές δεν μπορεί να ανακληθεί μόνο για εσάς, και αυτό μετρά την ημέρα που ο πωλητής χάνει τον έλεγχό της.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

Στο WireGuard η έξοδος ονομάζει τον ομότιμο και την ώρα της τελευταίας χειραψίας· στο OpenVPN το προφίλ βρίσκεται κάτω από το /etc/openvpn και η εκτελούμενη υπηρεσία δείχνει ποιο προφίλ είναι ενεργό. Καταγράψτε τι βρίσκετε, γιατί μια επανασύνδεση που χρησιμοποιεί σιωπηλά άλλο τελικό σημείο είναι μια αλλαγή που θα θέλετε να εντοπίσετε και όχι να δικαιολογήσετε.

Σταματήστε εδώ αν ο λογαριασμός δεν μπορεί να μεταβιβαστεί, να ανανεωθεί ή να ανακληθεί στο δικό σας όνομα. Μια συσκευή που μπορείτε να διαχειριστείτε αλλά δεν μπορείτε να επαναπροσδιορίσετε γίνεται τούβλο την ημέρα που η συνδρομή λήγει.

Βήμα 3: ελέγξτε την τοποθεσία εξόδου από πελάτη, όχι από τον δρομολογητή

Η χώρα που είναι τυπωμένη στο κουτί, η χώρα στην αγγελία του πωλητή και η χώρα της δημόσιας διεύθυνσης είναι τρία διαφορετικά γεγονότα. Μόνο το τελευταίο επηρεάζει τι βλέπει ένας ιστότοπος, και παράγεται από το τελικό σημείο του παρόχου και όχι από τη διεύθυνση αποστολής. Εκτελέστε τον έλεγχο από φορητό υπολογιστή πίσω από τον δρομολογητή με τη σήραγγα ενεργή, όχι από το κέλυφος του ίδιου του δρομολογητή.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Συγκρίνετε τις τρεις απαντήσεις. Αν διαφωνούν, κάτι ανάμεσα στον πελάτη και το τελικό σημείο ξαναγράφει ή κάνει διαμεσολάβηση στην κίνηση, και θα πρέπει να μάθετε τι πριν βασιστείτε στην τοποθεσία. Οι βάσεις γεωεντοπισμού είναι εκτιμήσεις που τροφοδοτούνται από παρόχους, οπότε ένας κωδικός χώρας που ταιριάζει είναι υποστηρικτική απόδειξη και όχι απόδειξη φυσικής διαδρομής.

Σταματήστε εδώ αν η έξοδος διαφέρει από αυτή για την οποία συμβληθήκατε, ή αν η απάντηση αλλάζει μεταξύ ερωτημάτων. Μια περιστρεφόμενη ή ασυνεπής έξοδος σπάει υπηρεσίες που εξαρτώνται από την περιοχή και κάνει κάθε μεταγενέστερη μέτρηση αμφίσημη.

Βήμα 4: καρφιτσώστε το firmware και το κανάλι ενημερώσεων

Οι προρυθμισμένες συσκευές συχνά αποστέλλονται με παλαιότερη έκδοση και διαμόρφωση πωλητή πάνω από το OpenWrt. Πριν δεχτείτε οποιαδήποτε ενημέρωση, καθορίστε αν μια αναβάθμιση διατηρεί το προφίλ VPN, αν ο πωλητής παρέχει προφίλ αντικατάστασης και ποιος αναμένεται να εκτελέσει την αναβάθμιση. Διαβάστε τις σημειώσεις έκδοσης για το μοντέλο που έχετε πραγματικά, όχι για το μοντέλο στη φωτογραφία της αγγελίας. Αν ο πωλητής δεν απαντήσει σε καμία από αυτές τις ερωτήσεις, θεωρήστε τις ενημερώσεις μη υποστηριζόμενες και παγώστε την έκδοση που έχετε.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Κρατήστε ένα αντίγραφο της λειτουργικής διαμόρφωσης εκτός της συσκευής πριν αλλάξετε οτιδήποτε: τα κλειδιά WireGuard, το προφίλ OpenVPN και τους κανόνες τείχους προστασίας που υλοποιούν την πολιτική δρομολόγησης. Μια επαναφορά εργοστασιακών ρυθμίσεων χωρίς αυτό το αντίγραφο αφαιρεί ακριβώς τη διαμόρφωση που πληρώσατε, και ο πωλητής μπορεί να μην την εκδώσει ξανά.

Βήμα 5: αποφασίστε τι καλύπτει η σήραγγα και τι συμβαίνει σε αποτυχία

Η δρομολόγηση ολόκληρου του δικτύου, η δρομολόγηση επιλεγμένων συσκευών, ο χειρισμός DNS, το IPv6 και η συμπεριφορά kill switch είναι ξεχωριστές ρυθμίσεις που μια διεπαφή συχνά συνθλίβει σε έναν διακόπτη. Ελέγξτε τις μία προς μία, γιατί ένας συνδεδεμένος δρομολογητής αποδεικνύει μόνο ότι ο ίδιος ο δρομολογητής μπορεί να φτάσει στο τελικό σημείο. Δοκιμάστε από πελάτη κατάντη με τη σήραγγα ενεργή και μετά ξανά με αυτήν κλειστή.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Αν το IPv6 είναι ενεργό στο LAN αλλά δεν δρομολογείται στη σήραγγα, οι πελάτες μπορεί να το προτιμήσουν και να εγκαταλείψουν εντελώς τη διαδρομή VPN, ενώ το IPv4 εξακολουθεί να φαίνεται προστατευμένο. Αν το kill switch είναι κλειστό, μια σήραγγα που πέφτει επιστρέφει στη διαδρομή του ISP, κάτι που είναι καλή επιλογή μόνο όταν το κάνατε επίτηδες. Και οι δύο συνθήκες είναι αόρατες από τον πίνακα ελέγχου του παρόχου.

Γράψτε τον διαχωρισμό υποστήριξης πριν τον χρειαστείτε. Ο πωλητής υλικού, ο συντηρητής του firmware και ο φορέας εκμετάλλευσης VPN είναι τρία μέρη με τρεις διαφορετικές διαδικασίες ανάκτησης, και μία επαφή μπορεί να καλύπτει αρκετούς ρόλους χωρίς να τους καλύπτει όλους. Η παράδοση ολοκληρώνεται όταν μπορείτε να διαχειριστείτε τη συσκευή, να ανανεώσετε ή να ανακαλέσετε τον λογαριασμό, να αναπαραγάγετε την προβλεπόμενη έξοδο, να ενημερώσετε το firmware χωρίς να χάσετε το προφίλ και να πείτε ακριβώς τι συμβαίνει όταν η σήραγγα πέσει.