چک‌لیست روتر VPN از پیش پیکربندی‌شده: هنگام تحویل چه چیزی را بررسی کنیم

روتر از پیش بارگذاری‌شده با تصمیم‌های فرد دیگری که از قبل در آن پخته شده‌اند می‌رسد: به کدام سرویس VPN وصل می‌شود، حساب چه کسی هزینه آن را می‌پردازد، چه ترافیکی را می‌گیرد و رمزی که هر یک از این‌ها را تغییر می‌دهد دست کیست. تحویل را به‌جای باز کردن جعبه، یک بازرسی در نظر بگیرید. پنج گام زیر به ترتیب است و هر یک شرط توقف دارد؛ اگر گامی شکست بخورد، گام‌های بعدی نمی‌توانند چیز قابل اعتمادی درباره دستگاه به شما بگویند. آن‌ها را با روتر در مقابل و یک لپ‌تاپ در پشت آن طی کنید.

گام 1: کنترل مدیریتی دستگاه را به دست بگیرید

نشانی مدیریت را پیدا کنید، وارد شوید و پیش از اتصال هر چیز مهمی رمز مدیر را عوض کنید. در یک روتر سفر GL.iNet آن نشانی 192.168.8.1 است و جادوگر راه‌اندازی اولیه از شما می‌خواهد رمز را تعیین کنید؛ فروشندگان دیگر نشانی خودشان را مستند می‌کنند و ممکن است اعتبارنامه ثابت چاپ‌شده روی برچسب را ارسال کنند. اگر دستگاه با پشتیبانی از راه دور یا مدیریت ابری فعال رسیده است، همین حالا تصمیم بگیرید که روشن بماند یا نه.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

آن سه فرمان پاسخ می‌دهند که فرم‌ور را چه کسی ساخته، کدام نسخه است و واقعاً کدام بازنگری سخت‌افزاری را دریافت کرده‌اید. خروجی را در سابقه تحویل بنویسید، چون تماس پشتیبانی بعدی دقیقاً با همین پرسش‌ها آغاز می‌شود. روتری که به SSH پاسخ می‌دهد اما تغییر رمز را رد می‌کند، یا مسیر بازیابی مستندی ندارد، دستگاهی نیست که بتوانید مالک آن باشید.

اگر نمی‌توانید دسترسی مدیریتی انحصاری به دست آورید، همین‌جا متوقف شوید. همه چیز پس از این نقطه فرض می‌کند می‌توانید پیکربندی را بدون پرسیدن از فروشنده بخوانید و تغییر دهید.

گام 2: مشخص کنید تونل از حساب VPN چه کسی استفاده می‌کند

تونل اشتراکی به نام کسی است و تحویل تا زمانی که ندانید به نام چه کسی است کامل نیست. ارائه‌دهنده، صاحب حساب، تاریخ تمدید و اعتبارنامه دقیق نصب‌شده روی دستگاه را بخواهید. پیکربندی از پیش بارگذاری‌شده‌ای که یک اعتبارنامه را میان خریداران بسیاری تقسیم می‌کند نمی‌تواند فقط برای شما لغو شود و این مسئله روزی اهمیت می‌یابد که فروشنده کنترل آن را از دست بدهد.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

در WireGuard خروجی نام همتا و زمان آخرین دست‌دهی را می‌گوید؛ در OpenVPN نمایه زیر /etc/openvpn قرار دارد و سرویس در حال اجرا نشان می‌دهد کدام نمایه فعال است. آنچه می‌یابید ثبت کنید، چون اتصال مجددی که بی‌صدا از نقطه پایانی دیگری استفاده می‌کند تغییری است که می‌خواهید کشفش کنید نه توجیهش.

اگر حساب به نام خودتان قابل انتقال، تمدید یا لغو نیست، همین‌جا متوقف شوید. دستگاهی که می‌توانید مدیریتش کنید اما نمی‌توانید دوباره آماده‌سازی‌اش کنید، روزی که اشتراک منقضی شود به آجر تبدیل می‌شود.

گام 3: مکان خروج را از یک کارخواه بیازمایید، نه از روتر

کشوری که روی جعبه چاپ شده، کشوری که در آگهی فروشنده است و کشوری که نشانی عمومی به آن تعلق دارد سه واقعیت متفاوت‌اند. تنها آخری بر آنچه یک وب‌سایت می‌بیند اثر می‌گذارد و آن را نقطه پایانی ارائه‌دهنده تولید می‌کند، نه نشانی ارسال. بررسی را با لپ‌تاپی در پشت روتر و با تونل روشن انجام دهید، نه از پوسته خود روتر.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

سه پاسخ را مقایسه کنید. اگر هم‌خوانی ندارند، چیزی میان کارخواه و نقطه پایانی ترافیک را بازنویسی یا واسطه‌گری می‌کند و پیش از تکیه بر مکان باید بفهمید آن چیست. پایگاه‌های داده زمین‌مکانی برآوردهایی هستند که اپراتورها تغذیه می‌کنند، پس کد کشور هم‌خوان شواهد پشتیبان است نه اثبات مسیر فیزیکی.

اگر خروج با آنچه برایش قرارداد بسته‌اید تفاوت دارد، یا پاسخ میان پرس‌وجوها تغییر می‌کند، همین‌جا متوقف شوید. خروج چرخان یا ناسازگار سرویس‌های وابسته به منطقه را می‌شکند و هر سنجش بعدی را مبهم می‌کند.

گام 4: فرم‌ور و کانال به‌روزرسانی را تثبیت کنید

دستگاه‌های از پیش پیکربندی‌شده اغلب با ساخت قدیمی‌تر و پیکربندی فروشنده لایه‌شده روی OpenWrt ارسال می‌شوند. پیش از پذیرش هر به‌روزرسانی، مشخص کنید که ارتقا نمایه VPN را حفظ می‌کند یا نه، فروشنده نمایه جایگزین می‌دهد یا نه و چه کسی باید ارتقا را انجام دهد. یادداشت‌های انتشار را برای مدلی بخوانید که واقعاً دارید، نه مدلی که در عکس آگهی است. اگر فروشنده به هیچ‌یک از این پرسش‌ها پاسخ ندهد، به‌روزرسانی‌ها را پشتیبانی‌نشده بدانید و ساخت موجود را ثابت نگه دارید.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

پیش از تغییر هر چیزی نسخه‌ای از پیکربندی سالم را بیرون از دستگاه نگه دارید: کلیدهای WireGuard، نمایه OpenVPN و قواعد دیوار آتش که سیاست مسیریابی را پیاده می‌کنند. بازگردانی کارخانه‌ای بدون آن نسخه دقیقاً همان پیکربندی را که برایش پول داده‌اید حذف می‌کند و ممکن است فروشنده دوباره صادرش نکند.

گام 5: تصمیم بگیرید تونل چه چیزی را پوشش می‌دهد و در صورت شکست چه رخ می‌دهد

مسیریابی کل شبکه، مسیریابی دستگاه‌های انتخابی، مدیریت DNS، IPv6 و رفتار kill switch تنظیمات جداگانه‌ای هستند که یک رابط اغلب آن‌ها را در یک کلید جمع می‌کند. آن‌ها را یکی‌یکی بررسی کنید، چون روتر متصل فقط ثابت می‌کند که خود روتر می‌تواند به نقطه پایانی برسد. از کارخواهی پایین‌دست با تونل روشن آزمایش کنید و سپس دوباره با تونل خاموش.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

اگر IPv6 در شبکه محلی فعال است اما به تونل مسیریابی نمی‌شود، کارخواه‌ها ممکن است آن را ترجیح دهند و مسیر VPN را کاملاً ترک کنند در حالی که IPv4 هنوز محافظت‌شده به نظر می‌رسد. اگر kill switch خاموش است، تونل قطع‌شده به مسیر ISP بازمی‌گردد و این تنها وقتی انتخاب خوبی است که عمداً آن را کرده باشید. هر دو شرط از داشبورد ارائه‌دهنده نامرئی‌اند.

تقسیم پشتیبانی را پیش از نیاز بنویسید. فروشنده سخت‌افزار، نگه‌دارنده فرم‌ور و اپراتور VPN سه طرف با سه رویه بازیابی متفاوت‌اند و یک تماس ممکن است چند نقش را پوشش دهد بدون اینکه همه را بپوشاند. تحویل زمانی کامل است که بتوانید دستگاه را مدیریت کنید، حساب را تمدید یا لغو کنید، خروج مورد نظر را بازتولید کنید، فرم‌ور را بدون از دست دادن نمایه به‌روزرسانی کنید و دقیقاً بگویید وقتی تونل قطع می‌شود چه رخ می‌دهد.