Lista de comprobación para un router VPN preconfigurado: qué verificar en la entrega

Un router precargado llega con las decisiones de otra persona ya incorporadas: a qué servicio VPN marca, de quién es la cuenta que lo paga, qué tráfico captura y quién tiene la contraseña que cambia cualquiera de esas cosas. Trate la entrega como una auditoría y no como un desempaquetado. Los cinco pasos siguientes están ordenados y cada uno tiene una condición de parada; si un paso falla, los pasos posteriores no pueden decirle nada fiable sobre el dispositivo. Recórralos con el router delante y un portátil detrás.

Paso 1: tome el control administrativo del equipo

Encuentre la dirección de gestión, inicie sesión y cambie la contraseña de administrador antes de conectar algo importante. En un router de viaje GL.iNet esa dirección es 192.168.8.1 y el asistente de primera configuración le pide que establezca la contraseña; otros vendedores documentan su propia dirección y pueden enviar credenciales fijas impresas en la etiqueta. Si el dispositivo llegó con soporte remoto o gestión en la nube activados, decida ahora si eso se queda.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Esos tres comandos responden quién construyó el firmware, qué versión es y qué revisión de hardware recibió realmente. Escriba la salida en el registro de entrega, porque una llamada de soporte posterior empezará exactamente con esas preguntas. Un router que responde por SSH pero se niega a cambiar la contraseña, o que no tiene una ruta de recuperación documentada, no es un dispositivo que pueda poseer.

Deténgase aquí si no puede obtener acceso administrativo exclusivo. Todo lo que sigue supone que puede leer y cambiar la configuración sin preguntar al vendedor.

Paso 2: establezca de quién es la cuenta VPN que usa el túnel

El túnel es una suscripción a nombre de alguien, y la entrega no está completa hasta que sepa de quién. Pida el proveedor, el titular de la cuenta, la fecha de renovación y las credenciales exactas instaladas en el dispositivo. Una configuración precargada que comparte una credencial entre muchos compradores no se puede revocar solo para usted, lo que importa el día en que el vendedor pierda el control sobre ella.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

En WireGuard la salida nombra el par y la hora del último apretón de manos; en OpenVPN el perfil está bajo /etc/openvpn y el servicio en ejecución muestra qué perfil está activo. Anote lo que encuentre, porque una reconexión que usa en silencio otro punto final es un cambio que querrá detectar en lugar de justificar.

Deténgase aquí si la cuenta no se puede transferir, renovar o revocar a su nombre. Un dispositivo que puede administrar pero no puede reaprovisionar se convierte en un ladrillo el día en que la suscripción caduca.

Paso 3: pruebe la ubicación de salida desde un cliente, no desde el router

El país impreso en la caja, el país del anuncio del vendedor y el país de la dirección pública son tres hechos distintos. Solo el último afecta a lo que ve un sitio web, y lo produce el punto final del proveedor y no la dirección de envío. Ejecute la comprobación desde un portátil detrás del router con el túnel activo, no desde el propio shell del router.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Compare las tres respuestas. Si no coinciden, algo entre el cliente y el punto final reescribe o hace de proxy del tráfico, y debería averiguar qué antes de confiar en la ubicación. Las bases de geolocalización son estimaciones alimentadas por operadores, así que un código de país coincidente es una evidencia de apoyo y no una prueba de una ruta física.

Deténgase aquí si la salida difiere de la que contrató, o si la respuesta cambia entre consultas. Una salida rotativa o incoherente rompe los servicios dependientes de la región y hace ambigua cualquier medición posterior.

Paso 4: fije el firmware y el canal de actualización

Los dispositivos preconfigurados suelen llegar con una compilación más antigua y una configuración del vendedor superpuesta sobre OpenWrt. Antes de aceptar cualquier actualización, establezca si una actualización conserva el perfil VPN, si el vendedor suministra un perfil de repuesto y quién debe realizar la actualización. Lea las notas de la versión para el modelo que realmente tiene, no para el modelo de la foto del anuncio. Si el vendedor no responde ninguna de esas preguntas, trate las actualizaciones como no compatibles y congele la compilación que tiene.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Guarde una copia de la configuración que funciona fuera del dispositivo antes de cambiar nada: las claves de WireGuard, el perfil de OpenVPN y las reglas de cortafuegos que implementan la política de enrutamiento. Un restablecimiento de fábrica sin esa copia elimina exactamente la configuración que pagó, y el vendedor puede que no la vuelva a emitir.

Paso 5: decida qué cubre el túnel y qué pasa cuando falla

El enrutamiento de toda la red, el enrutamiento de dispositivos seleccionados, el manejo de DNS, IPv6 y el comportamiento del kill switch son ajustes separados que una interfaz a menudo colapsa en un solo interruptor. Compruébelos uno a uno, porque un router conectado solo demuestra que el propio router puede alcanzar el punto final. Pruebe desde un cliente aguas abajo con el túnel activo, y luego otra vez con él desactivado.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Si IPv6 está habilitado en la LAN pero no se enruta hacia el túnel, los clientes pueden preferirlo y abandonar por completo la ruta VPN mientras IPv4 todavía parece protegido. Si el kill switch está desactivado, un túnel caído vuelve a la ruta del ISP, lo que solo es una buena elección cuando lo hizo a propósito. Ambas condiciones son invisibles desde el panel del proveedor.

Escriba el reparto de soporte antes de necesitarlo. El vendedor de hardware, el mantenedor del firmware y el operador de VPN son tres partes con tres procedimientos de recuperación distintos, y un solo contacto puede cubrir varios roles sin cubrirlos todos. La entrega termina cuando puede administrar el dispositivo, renovar o revocar la cuenta, reproducir la salida prevista, actualizar el firmware sin perder el perfil y decir exactamente qué pasa cuando el túnel cae.