Eelkonfigureeritud VPN-ruuteri kontroll-loend: mida üleandmisel kontrollida

Eellaaditud ruuter saabub juba kellegi teise otsustega sisse küpsetatud: millise VPN-teenusega see ühendub, kelle konto selle eest maksab, millist liiklust see püüab ja kes hoiab parooli, mis ükskõik mida sellest muudab. Käsitlege üleandmist auditina, mitte lahtipakkimisena. Allpool olevad viis sammu on järjestatud ja igaühel on peatumistingimus; kui samm ebaõnnestub, ei saa hilisemad sammud teile seadme kohta midagi usaldusväärset öelda. Minge nendest läbi, kui ruuter on teie ees ja sülearvuti selle taga.

Samm 1: võtke seadme üle administratiivne kontroll

Leidke haldusaadress, logige sisse ja muutke administraatori parooli, enne kui ühendate midagi olulist. GL.iNet reisiruuteril on see aadress 192.168.8.1 ja esmase seadistamise viib palub teil parooli määrata; teised müüjad dokumenteerivad oma aadressi ja võivad saata sildile trükitud fikseeritud mandaadi. Kui seade saabus kaugtuge või pilvehaldusega lubatud kujul, otsustage kohe, kas see jääb sisse lülitatuks.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Need kolm käsku vastavad, kes püsivara ehitas, mis väljaanne see on ja millise riistvaraversiooni te tegelikult saite. Kirjutage väljund üleandmisprotokolli, sest hilisem tugikõne algab täpselt nende küsimustega. Ruuter, mis vastab SSH-le, kuid keeldub parooli muutmast, või millel pole dokumenteeritud taasteteed, ei ole seade, mida te saate omada.

Peatuge siin, kui te ei saa ainult teile kuuluvat administraatori juurdepääsu. Kõik pärast seda punkti eeldab, et saate konfiguratsiooni lugeda ja muuta ilma müüjalt küsimata.

Samm 2: tehke kindlaks, kelle VPN-kontot tunnel kasutab

Tunnel on kellegi nimele tehtud tellimus ja üleandmine pole täielik enne, kui teate, kelle nimele. Küsige pakkujat, konto omanikku, uuendamise kuupäeva ja seadmesse paigaldatud täpseid mandaate. Eellaaditud konfiguratsiooni, mis jagab üht mandaati paljude ostjate vahel, ei saa ainult teie jaoks tühistada, ja see loeb päeval, mil müüja kaotab selle üle kontrolli.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

WireGuardis nimetab väljund vastaspoolt ja viimase käepigistuse aega; OpenVPN puhul asub profiil /etc/openvpn all ja töötav teenus näitab, milline profiil on aktiivne. Märkige üles, mida leiate, sest erinevat lõpp-punkti vaikselt kasutav taastamine on muudatus, mille te pigem tuvastate kui maha seletate.

Peatuge siin, kui kontot ei saa teie nimele üle anda, uuendada ega tühistada. Seade, mida saate hallata, kuid mitte uuesti ette valmistada, muutub tellimuse aegumise päeval telliskiviks.

Samm 3: testige väljumiskohta kliendist, mitte ruuterist

Karbile trükitud riik, müüja kuulutuses olev riik ja avaliku aadressi riik on kolm erinevat fakti. Ainult viimane mõjutab seda, mida veebisait näeb, ja seda toodab pakkuja lõpp-punkt, mitte saatmisaadress. Tehke kontroll sülearvutist ruuteri taga, tunnel sisse lülitatud, mitte ruuteri enda kestast.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Võrrelge kolme vastust. Kui need ei ühti, kirjutab või puhverserverdab midagi kliendi ja lõpp-punkti vahel liiklust ümber, ja peaksite enne asukohale toetumist välja selgitama, mis see on. Geolokatsiooni andmebaasid on operaatorite toidetud hinnangud, seega sobiv riigikood on toetav tõend, mitte tõestus füüsilisest teest.

Peatuge siin, kui väljumine erineb sellest, millele te lepingu sõlmisite, või kui vastus muutub päringute vahel. Pöörlev või ebajärjekindel väljumine rikub piirkonnast sõltuvaid teenuseid ja muudab iga hilisema mõõtmise mitmetähenduslikuks.

Samm 4: kinnitage püsivara ja värskenduskanal

Eelkonfigureeritud seadmed tarnitakse sageli vanema püsivara-versiooniga ja müüja konfiguratsiooniga, mis on OpenWrti peale kihitatud. Enne mis tahes värskenduse vastuvõtmist tehke kindlaks, kas uuendus säilitab VPN-profiili, kas müüja tarnib asendusprofiili ja kes peaks uuenduse tegema. Lugege väljalaskemärkmeid selle mudeli kohta, mis tegelikult teil on, mitte kuulutuse fotol oleva mudeli kohta. Kui müüja ei vasta ühelegi neist küsimustest, käsitlege värskendusi toetamata ja külmutage olemasolev versioon.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Hoidke töötava konfiguratsiooni koopiat väljaspool seadet enne, kui midagi muudate: WireGuardi võtmed, OpenVPN-profiil ja tulemüürireeglid, mis rakendavad marsruutimispoliitikat. Tehase lähtestamine ilma selle koopiata eemaldab täpselt selle konfiguratsiooni, mille eest te maksite, ja müüja ei pruugi seda uuesti väljastada.

Samm 5: otsustage, mida tunnel katab ja mis juhtub rikke korral

Kogu võrgu marsruutimine, valitud seadmete marsruutimine, DNS-käsitlus, IPv6 ja kill switchi käitumine on eraldi seaded, mille liides sageli üheks lülitiks kokku surub. Kontrollige neid ükshaaval, sest ühendatud ruuter tõestab ainult seda, et ruuter ise jõuab lõpp-punkti. Testige allavoolu kliendist tunneliga sisse lülitatud ja seejärel uuesti välja lülitatud kujul.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Kui IPv6 on LAN-is lubatud, kuid ei ole tunnelisse marsruuditud, võivad kliendid seda eelistada ja VPN-tee täielikult hüljata, samal ajal kui IPv4 näib endiselt kaitstuna. Kui kill switch on väljas, langeb katkenud tunnel tagasi ISP-teele, mis on hea valik ainult siis, kui tegite seda meelega. Mõlemad tingimused on pakkuja juhtpaneelilt nähtamatud.

Kirjutage tugijaotus üles enne, kui seda vajate. Riistvaramüüja, püsivara hooldaja ja VPN-operaator on kolm osapoolt kolme erineva taastamisprotseduuriga ning üks kontakt võib katta mitu rolli, kuid mitte kõiki. Üleandmine on lõpetatud, kui saate seadet hallata, kontot uuendada või tühistada, ettenähtud väljumise taastada, püsivara värskendada ilma profiili kaotamata ja öelda täpselt, mis juhtub, kui tunnel katkeb.