Liste de contrôle pour un routeur VPN préconfiguré : que vérifier à la remise

Un routeur préchargé arrive avec les décisions de quelqu'un d'autre déjà cuites à l'intérieur : à quel service VPN il se connecte, dont le compte paie pour lui, quel trafic il capture et qui détient le mot de passe qui change tout cela. Traitez la remise comme un audit, et non comme un déballage. Les cinq étapes ci-dessous sont ordonnées, et chacune a une condition d'arrêt ; si une étape échoue, les étapes suivantes ne peuvent rien vous dire de fiable sur l'appareil. Parcourez-les avec le routeur devant vous et un ordinateur portable derrière.

Étape 1 : prenez le contrôle administratif de l'équipement

Trouvez l'adresse d'administration, connectez-vous et changez le mot de passe administrateur avant de brancher quoi que ce soit d'important. Sur un routeur de voyage GL.iNet, cette adresse est 192.168.8.1 et l'assistant de première configuration vous demande de définir le mot de passe ; d'autres vendeurs documentent leur propre adresse et peuvent livrer des identifiants fixes imprimés sur l'étiquette. Si l'appareil est arrivé avec l'assistance à distance ou la gestion cloud activée, décidez maintenant si cela reste ainsi.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Ces trois commandes répondent à qui a construit le firmware, quelle version c'est et quelle révision matérielle vous avez réellement reçue. Écrivez la sortie dans le procès-verbal de remise, car un appel d'assistance ultérieur commencera exactement par ces questions. Un routeur qui répond en SSH mais refuse un changement de mot de passe, ou qui n'a aucun chemin de récupération documenté, n'est pas un appareil que vous pouvez posséder.

Arrêtez-vous ici si vous ne pouvez pas obtenir un accès administratif exclusif. Tout ce qui suit suppose que vous pouvez lire et modifier la configuration sans demander au vendeur.

Étape 2 : déterminez à qui appartient le compte VPN utilisé par le tunnel

Le tunnel est un abonnement au nom de quelqu'un, et la remise n'est pas complète tant que vous ne savez pas de qui. Demandez le fournisseur, le titulaire du compte, la date de renouvellement et les identifiants exacts installés sur l'appareil. Une configuration préchargée qui partage un identifiant entre de nombreux acheteurs ne peut pas être révoquée pour vous seul, ce qui compte le jour où le vendeur en perd le contrôle.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

Sur WireGuard, la sortie nomme le pair et l'heure de la dernière poignée de main ; sur OpenVPN, le profil se trouve sous /etc/openvpn et le service en cours indique quel profil est actif. Notez ce que vous trouvez, car une reconnexion qui utilise silencieusement un autre point de terminaison est un changement que vous voudrez détecter plutôt qu'expliquer.

Arrêtez-vous ici si le compte ne peut pas être transféré, renouvelé ou révoqué à votre nom. Un appareil que vous pouvez administrer mais pas reprovisionner devient une brique le jour où l'abonnement expire.

Étape 3 : testez l'emplacement de sortie depuis un client, pas depuis le routeur

Le pays imprimé sur la boîte, le pays de l'annonce du vendeur et le pays de l'adresse publique sont trois faits différents. Seul le dernier affecte ce que voit un site web, et il est produit par le point de terminaison du fournisseur plutôt que par l'adresse d'expédition. Effectuez le contrôle depuis un ordinateur portable derrière le routeur avec le tunnel actif, et non depuis le shell du routeur lui-même.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Comparez les trois réponses. Si elles diffèrent, quelque chose entre le client et le point de terminaison réécrit ou proxifie le trafic, et vous devriez découvrir quoi avant de vous fier à l'emplacement. Les bases de géolocalisation sont des estimations alimentées par les opérateurs, donc un code de pays correspondant est une preuve de soutien et non la preuve d'un chemin physique.

Arrêtez-vous ici si la sortie diffère de celle pour laquelle vous avez contracté, ou si la réponse change entre les requêtes. Une sortie rotative ou incohérente casse les services dépendants de la région et rend toute mesure ultérieure ambiguë.

Étape 4 : figez le firmware et le canal de mise à jour

Les appareils préconfigurés arrivent souvent avec une version plus ancienne et une configuration du vendeur superposée à OpenWrt. Avant d'accepter une mise à jour, déterminez si une mise à niveau préserve le profil VPN, si le vendeur fournit un profil de remplacement et qui est censé effectuer la mise à niveau. Lisez les notes de version pour le modèle que vous avez réellement, pas pour celui de la photo de l'annonce. Si le vendeur ne répond à aucune de ces questions, traitez les mises à jour comme non prises en charge et figez la version que vous avez.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Gardez une copie de la configuration fonctionnelle hors de l'appareil avant de changer quoi que ce soit : les clés WireGuard, le profil OpenVPN et les règles de pare-feu qui mettent en œuvre la politique de routage. Une réinitialisation d'usine sans cette copie supprime exactement la configuration que vous avez payée, et le vendeur pourrait ne pas la réémettre.

Étape 5 : décidez ce que couvre le tunnel et ce qui se passe en cas d'échec

Le routage de tout le réseau, le routage d'appareils sélectionnés, la gestion du DNS, IPv6 et le comportement du kill switch sont des réglages distincts qu'une interface réduit souvent à un seul commutateur. Vérifiez-les un par un, car un routeur connecté prouve seulement que le routeur lui-même peut atteindre le point de terminaison. Testez depuis un client en aval avec le tunnel actif, puis de nouveau avec le tunnel coupé.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Si IPv6 est activé sur le LAN mais n'est pas routé dans le tunnel, les clients peuvent le préférer et quitter entièrement le chemin VPN tandis qu'IPv4 semble encore protégé. Si le kill switch est désactivé, un tunnel tombé revient au chemin du FAI, ce qui n'est un bon choix que lorsque vous l'avez fait exprès. Les deux conditions sont invisibles depuis le tableau de bord du fournisseur.

Écrivez la répartition du support avant d'en avoir besoin. Le vendeur de matériel, le mainteneur du firmware et l'opérateur VPN sont trois parties avec trois procédures de récupération différentes, et un seul contact peut couvrir plusieurs rôles sans les couvrir tous. La remise est terminée lorsque vous pouvez administrer l'appareil, renouveler ou révoquer le compte, reproduire la sortie prévue, mettre à jour le firmware sans perdre le profil et dire exactement ce qui se passe lorsque le tunnel tombe.