Kontrola listo por antaŭagordita VPN-vojdirektilo: kion kontroli ĉe la transdono

Antaŭŝarĝita vojdirektilo alvenas kun la decidoj de iu alia jam enbakitaj: al kiu VPN-servo ĝi alvokas, kies konto pagas por ĝi, kiun trafikon ĝi kaptas kaj kiu tenas la pasvorton, kiu ŝanĝas ajnan el tio. Traktu la transdonon kiel revizion, ne kiel malpakaĵon. La kvin paŝoj sube estas ordigitaj, kaj ĉiu havas haltkondiĉon; se paŝo malsukcesas, la postaj paŝoj ne povas diri al vi ion fidindan pri la aparato. Trairu ilin kun la vojdirektilo antaŭ vi kaj tekkomputilo malantaŭ ĝi.

Paŝo 1: prenu administran regadon super la aparato

Trovu la administran adreson, ensalutu kaj ŝanĝu la administran pasvorton antaŭ ol konekti ion gravan. Ĉe GL.iNet vojaĝa vojdirektilo tiu adreso estas 192.168.8.1 kaj la gvidilo por unua agordo petas vin starigi la pasvorton; aliaj vendantoj dokumentas sian propran adreson kaj povas sendi fiksajn akreditaĵojn presitajn sur la etikedo. Se la aparato alvenis kun malproksima subteno aŭ nuba administrado ŝaltitaj, decidu nun ĉu tio restas ŝaltita.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Tiuj tri komandoj respondas, kiu konstruis la firmvaron, kiu eldono ĝi estas kaj kiun aparatan revizion vi efektive ricevis. Skribu la eligon en la transdonan protokolon, ĉar posta subtena alvoko komenciĝos ĝuste per tiuj demandoj. Vojdirektilo, kiu respondas al SSH sed rifuzas pasvortŝanĝon, aŭ kiu ne havas dokumentitan restarigan vojon, ne estas aparato, kiun vi povas posedi.

Haltu ĉi tie se vi ne povas akiri ekskluzivan administran aliron. Ĉio post ĉi tiu punkto supozas, ke vi povas legi kaj ŝanĝi la agordon sen demandi la vendanton.

Paŝo 2: starigu, kies VPN-konton la tunelo uzas

La tunelo estas abono je la nomo de iu, kaj la transdono ne estas kompleta ĝis vi scias je kies nomo. Petu la provizanton, la kontposedanton, la renovigan daton kaj la precizajn akreditaĵojn instalitajn sur la aparato. Antaŭŝarĝita agordo, kiu dividas unu akreditaĵon inter multaj aĉetantoj, ne povas esti revokita nur por vi, kaj tio gravas en la tago, kiam la vendanto perdas regadon super ĝi.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

Ĉe WireGuard la eligo nomas la kunulon kaj la tempon de la lasta manpremo; ĉe OpenVPN la profilo kuŝas sub /etc/openvpn kaj la kuranta servo montras, kiu profilo estas aktiva. Notu, kion vi trovas, ĉar rekonekto, kiu silente uzas alian finpunkton, estas ŝanĝo, kiun vi volos malkovri anstataŭ klarigi for.

Haltu ĉi tie se la konto ne povas esti transdonita, renovigita aŭ revokita je via propra nomo. Aparato, kiun vi povas administri sed ne povas re-provizi, iĝas briko en la tago, kiam la abono eksvalidiĝas.

Paŝo 3: testu la elirlokon de kliento, ne de la vojdirektilo

La lando presita sur la skatolo, la lando en la anonco de la vendanto kaj la lando de la publika adreso estas tri malsamaj faktoj. Nur la lasta influas tion, kion retejo vidas, kaj ĝin produktas la finpunkto de la provizanto, ne la sendoadreso. Farigu la kontrolon de tekkomputilo malantaŭ la vojdirektilo kun la tunelo ŝaltita, ne de la propra ŝelo de la vojdirektilo.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Komparu la tri respondojn. Se ili malkongruas, io inter la kliento kaj la finpunkto reverkas aŭ prokuras la trafikon, kaj vi devus malkovri kio antaŭ ol fidi la lokon. Geolokaj datumbazoj estas taksoj provizitaj de funkciigantoj, do kongrua landokodo estas subtena pruvo, ne pruvo de fizika vojo.

Haltu ĉi tie se la eliro diferencas de tiu, pri kiu vi kontraktis, aŭ se la respondo ŝanĝiĝas inter demandoj. Rotacianta aŭ malkonsista eliro rompas region-dependajn servojn kaj igas ĉiun postan mezuradon ambigua.

Paŝo 4: fiksu la firmvaron kaj la ĝisdatigan kanalon

Antaŭagorditaj aparatoj ofte venas kun pli malnova konstruaĵo kaj vendanta agordo tavoligita super OpenWrt. Antaŭ ol akcepti ajnan ĝisdatigon, starigu ĉu ĝisdatigo konservas la VPN-profilon, ĉu la vendanto liveras anstataŭan profilon kaj kiu devus plenumi la ĝisdatigon. Legu la eldonnotojn por la modelo, kiun vi efektive havas, ne por la modelo en la anonca foto. Se la vendanto respondas neniun el tiuj demandoj, traktu ĝisdatigojn kiel nesubtenatajn kaj frostigu la konstruaĵon, kiun vi havas.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Konservu kopion de la funkcianta agordo ekster la aparato antaŭ ol ŝanĝi ion: la WireGuard-ŝlosilojn, la OpenVPN-profilon kaj la fajroŝirmilajn regulojn, kiuj realigas la vojigan politikon. Fabrika restarigo sen tiu kopio forigas ĝuste la agordon, kiun vi pagis, kaj la vendanto eble ne reeldonos ĝin.

Paŝo 5: decidu, kion la tunelo kovras kaj kio okazas ĉe malsukceso

Vojigo de la tuta reto, vojigo de elektitaj aparatoj, pritraktado de DNS, IPv6 kaj konduto de kill switch estas apartaj agordoj, kiujn fasado ofte kunfandas en unu ŝaltilon. Kontrolu ilin unu post la alia, ĉar konektita vojdirektilo pruvas nur, ke la vojdirektilo mem povas atingi la finpunkton. Testu de malsupra kliento kun la tunelo ŝaltita, poste denove kun ĝi malŝaltita.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Se IPv6 estas ŝaltita en la loka reto sed ne vojigita en la tunelon, klientoj povas preferi ĝin kaj tute forlasi la VPN-vojon, dum IPv4 ankoraŭ aspektas protektita. Se la kill switch estas malŝaltita, falinta tunelo reiras al la ISP-vojo, kio estas bona elekto nur kiam vi faris ĝin intence. Ambaŭ kondiĉoj estas nevideblaj de la panelo de la provizanto.

Skribu la subtenan dividon antaŭ ol vi bezonos ĝin. La aparatvendanto, la firmvara prizorganto kaj la VPN-funkciiganto estas tri partioj kun tri malsamaj restarigaj proceduroj, kaj unu kontakto povas kovri plurajn rolojn sen kovri ĉiujn. La transdono estas finita kiam vi povas administri la aparaton, renovigi aŭ revoki la konton, reprodukti la celitan eliron, ĝisdatigi la firmvaron sen perdi la profilon, kaj diri precize, kio okazas kiam la tunelo falas.