Aurrez konfiguratutako VPN bideratzailearen zerrenda: zer egiaztatu entregan

Aurrez kargatutako bideratzaile bat beste norbaitek hartutako erabakiekin iristen da, jada barruan sartuta: zein VPN zerbitzuri deitzen dion, norberaren kontuak ordaintzen duen, zein trafiko harrapatzen duen eta horietako edozein aldatzen duen pasahitza nor den. Trata ezazu entrega ikuskapen gisa, eta ez desenbalatze gisa. Beheko bost urratsak ordenatuta daude eta bakoitzak gelditzeko baldintza bat du; urrats batek huts egiten badu, ondorengo urratsek ezin dizute ezer fidagarririk esan gailuaz. Joan horietatik bideratzailea aurrean duzula eta ordenagailu eramangarri bat atzean.

1. urratsa: hartu gailuaren kontrol administratiboa

Aurkitu kudeaketa-helbidea, hasi saioa eta aldatu administratzailearen pasahitza zerbait garrantzitsua konektatu aurretik. GL.iNet bidaia-bideratzaile batean helbide hori 192.168.8.1 da eta lehen konfigurazioko morroiak pasahitza ezartzeko eskatzen dizu; beste saltzaile batzuek beren helbidea dokumentatzen dute eta etiketan inprimatutako kredentzial finkoak bidal ditzakete. Gailua urruneko laguntza edo hodeiko kudeaketa gaituta iritsi bada, erabaki orain hori martxan geratzen den.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Hiru komando horiek erantzuten dute nork eraiki zuen firmwarea, zein bertsio den eta zein hardware berrikuspen jaso zenuen benetan. Idatzi irteera entrega-erregistroan, geroagoko laguntza-dei batek galdera horiekin bertarekin hasiko baita. SSHri erantzuten dion baina pasahitza aldatzea ukatzen duen bideratzailea, edo dokumentatutako berreskuratze-biderik ez duena, ez da edukitzeko moduko gailua.

Gelditu hemen administrazio-sarbide esklusiboa lortu ezin baduzu. Puntu honen ondoren guztiak suposatzen du konfigurazioa irakurri eta aldatu dezakezula saltzaileari galdetu gabe.

2. urratsa: zehaztu tunelak norberaren VPN kontua erabiltzen duen

Tunela norbaiten izenean dagoen harpidetza da, eta entrega ez da osoa izango norena den jakin arte. Eskatu hornitzailea, kontuaren titularra, berritze-data eta gailuan instalatutako kredentzial zehatzak. Bezero askoren artean kredentzial bat partekatzen duen aurrez kargatutako konfigurazioa ezin da zuretzat bakarrik baliogabetu, eta hori garrantzitsua da saltzaileak haren kontrola galtzen duen egunean.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

WireGuard-en irteerak parekidea eta azken esku-ukaldiaren ordua izendatzen ditu; OpenVPN-n profila /etc/openvpn azpian dago eta martxan dagoen zerbitzuak erakusten du zein profil den aktiboa. Idatzi aurkitzen duzuna, isilpean beste amaiera-puntu bat erabiltzen duen berriz konektatze bat antzeman nahi duzun aldaketa delako, azaldu beharrean.

Gelditu hemen kontua zure izenean transferitu, berritu edo baliogabetu ezin bada. Kudeatu dezakezun baina berriro hornitu ezin duzun gailua adreilu bihurtzen da harpidetza iraungitzen den egunean.

3. urratsa: probatu irteera-kokapena bezero batetik, ez bideratzailetik

Kaxan inprimatutako herrialdea, saltzailearen iragarkian dagoen herrialdea eta helbide publikoaren herrialdea hiru egitate desberdin dira. Azkenak soilik eragiten dio webgune batek ikusten duenari, eta hornitzailearen amaiera-puntuak sortzen du, ez bidalketa-helbideak. Egin egiaztapena bideratzailearen atzeko ordenagailu eramangarritik tunela martxan dela, ez bideratzailearen beraren shell-etik.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Konparatu hiru erantzunak. Ados ez badaude, zerbait ari da trafikoa berridazten edo proxy egiten bezeroaren eta amaiera-puntuaren artean, eta jakin beharko zenuke zer den kokapenean fidatu aurretik. Geokokapen datu-baseak operadoreek elikatutako estimazioak dira, beraz, bat datorren herrialde-kodea laguntza-ebidentzia da, ez bide fisikoaren froga.

Gelditu hemen irteera kontratatu zenuen hortik desberdina bada, edo erantzuna kontsulten artean aldatzen bada. Irteera birakari edo koherenteak ez den batek eskualdearen araberako zerbitzuak hausten ditu eta ondorengo neurketa guztiak anbiguo egiten ditu.

4. urratsa: finkatu firmwarea eta eguneraketa-kanala

Aurrez konfiguratutako gailuak maiz OpenWrt-ren gainean geruzatutako konfigurazio zaharrago batekin eta saltzailearen konfigurazio batekin iristen dira. Edozein eguneraketa onartu aurretik, zehaztu bertsio-berritze batek VPN profila mantentzen duen, saltzaileak ordezko profil bat ematen duen eta nork egin behar duen bertsio-berritzea. Irakurri bertsio-oharrak benetan duzun modeloarentzat, ez iragarkiko argazkian dagoen modeloarentzat. Saltzaileak galdera horietako bat ere erantzuten ez badu, tratatu eguneraketak onartzen ez diren gisa eta izoztu duzun bertsioa.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Gorde funtzionatzen duen konfigurazioaren kopia bat gailutik kanpo ezer aldatu aurretik: WireGuard gakoak, OpenVPN profila eta bideratze-politika implementatzen duten suebakiko arauak. Kopia hori gabe fabrikako berrezarpenak ordaindu zenuen konfigurazio zehatza kentzen du, eta saltzaileak agian ez du berriro emango.

5. urratsa: erabaki zer estaltzen duen tunelek eta zer gertatzen den huts eginez gero

Sare osoaren bideratzea, hautatutako gailuen bideratzea, DNS kudeaketa, IPv6 eta kill switch portaera ezarpen bereiziak dira, eta interfaze batek askotan etengailu bakarrean txikitzen ditu. Egiaztatu bata bestearen ondoren, konektatutako bideratzaile batek bideratzaileak berak amaiera-puntua harrapa dezakeela soilik frogatzen duelako. Probatu beheranzko bezero batetik tunela martxan dela, eta gero berriro itzalita.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

IPv6 LANean gaituta badago baina tunelera bideratzen ez bada, bezeroek hura nahiago dezakete eta VPN bidea erabat utzi, IPv4 oraindik babestuta dirudien bitartean. Kill switch itzalita badago, eroritako tunela ISP bidera itzultzen da, eta hori aukerarik onena da nahita egin duzunean soilik. Bi baldintzak ikusezinak dira hornitzailearen panelean.

Idatzi laguntza-banaketa behar duzun aurretik. Hardware saltzailea, firmware mantentzailea eta VPN operadorea hiru alderdi eta hiru berreskuratze-prozedura desberdin dira, eta kontaktu bakar batek hainbat rol estali ditzake denak estali gabe. Entrega amaituta dago gailua kudeatu, kontua berritu edo baliogabetu, nahi den irteera erreproduzitu, firmwarea profila galdu gabe eguneratu eta tunela erortzen denean zer gertatzen den zehazki esateko gai zarenean.