Kontrôl list foar in foarôf konfigurearre VPN-rûter: wat te kontrolearjen by oerdracht

In foarladen rûter komt mei de besluten fan in oar der al yn bakt: hokker VPN-tsjinst er oanropt, hwaans akkount derfoar betellet, hokker ferkear er opfangt en wa't it wachtwurd hat dat dêrfan wat feroaret. Behannelje de oerdracht as in audit, net as in útpakken. De fiif stappen hjirûnder binne oardere en elk hat in stopbetingst; as ien stap mislearret, kinne de lettere stappen jo neat betroubers oer it apparaat sizze. Wurkje se troch mei de rûter foar jo en in laptop efter him.

Stap 1: nim de administratyve kontrôle oer it apparaat

Fyn it behearadres, meld jo oan en feroarje it administratorwachtwurd foardat jo eat wichtich oanslute. Op in GL.iNet reisrûter is dat adres 192.168.8.1 en de tovenaar foar de earste ynstelling freget jo it wachtwurd yn te stellen; oare ferkeapers dokumintearje har eigen adres en leverje miskien fêste tagongsgegevens dy't op it label printe binne. As it apparaat oankommen is mei ôfstânsstipe of wolkbehear ynskeakele, beslút dan no oft dat oan bliuwt.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Dy trije kommando's beantwurdzje wa't de firmware boud hat, hokker ferzje it is en hokker hardwareferzje jo echt krigen hawwe. Skriuw de útfier yn it oerdrachtsdossier, want in lettere stipe-oprop sil krekt mei dy fragen begjinne. In rûter dy't SSH beantwurdet mar in wachtwurdferoaring wegert, of dy't gjin dokumintearre herstelpaad hat, is gjin apparaat dat jo besitte kinne.

Stop hjir as jo gjin eksklusive admin tagong krije kinne. Alles nei dit punt ferûnderstelt dat jo de konfiguraasje lêze en feroarje kinne sûnder de ferkeaper te freegjen.

Stap 2: stel fêst hwaans VPN-akkount de tunnel brûkt

De tunnel is in abonnemint op immen syn namme, en de oerdracht is net foltôge oant jo witte op hwaans namme. Freegje de oanbieder, de akkounthâlder, de fernijingsdatum en de krekte tagongsgegevens dy't op it apparaat ynstallearre binne. In foarladen konfiguraasje dy't ien set tagongsgegevens ûnder in protte keapers dielt, kin net allinnich foar jo ynlutsen wurde, en dat is fan belang op de dei dat de ferkeaper de kontrôle deroer ferliest.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

By WireGuard neamt de útfier de peer en de tiid fan de lêste hânskudding; by OpenVPN sit it profyl ûnder /etc/openvpn en lit de rinnende tsjinst sjen hokker profyl aktyf is. Skriuw op wat jo fine, want in werferbining dy't stil in oar einpunt brûkt is in feroaring dy't jo ûntdekke wolle ynstee fan fuorttútsje.

Stop hjir as it akkount net op jo eigen namme oerdroegen, fernijd of ynlutsen wurde kin. In apparaat dat jo beheare kinne mar net op 'e nij tarisse kinne, wurdt in bakstien op de dei dat it abonnemint ferrint.

Stap 3: test de útgongslokaasje fan in klant, net fan de rûter

It lân dat op de doaze printe is, it lân yn 'e advertinsje fan 'e ferkeaper en it lân fan it iepenbiere adres binne trije ferskillende feiten. Allinnich it lêste beynfloedet wat in webside sjocht, en it wurdt makke troch it einpunt fan de oanbieder, net troch it ferstieradres. Doch de kontrôle fan in laptop efter de rûter mei de tunnel oan, net fan 'e eigen shell fan 'e rûter.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Fergelykje de trije antwurden. As se net oerienkomme, skriuwt of proxy't eat tusken de klant en it einpunt it ferkear om, en jo moatte útfine wat foardat jo op 'e lokaasje fertrouwe. Geolokaasjedatabases binne skattings dy't troch operators fied wurde, dus in oerienkommende lânkoade is stypjend bewiis, gjin bewiis fan in fysike rûte.

Stop hjir as de útgong ferskilt fan dy't jo kontraktearre hawwe, of as it antwurd tusken fragen feroaret. In draaiende of ynkonsistinte útgong brekt tsjinsten dy't fan regio ôfhinklik binne en makket elke lettere mjitting dûbelsinnich.

Stap 4: pin de firmware en it updatekanaal fêst

Foarôf konfigurearre apparaten komme faak mei in âldere build en in ferkeaperkonfiguraasje lagen oer OpenWrt. Foardat jo in update akseptearje, stel fêst oft in upgrade it VPN-profyl bewarret, oft de ferkeaper in ferfangend profyl leveret en wa't ferwachte wurdt de upgrade te dwaan. Lês de ferzjenotysjes foar it model dat jo echt hawwe, net foar it model op 'e foto fan 'e advertinsje. As de ferkeaper gjin fan dy fragen beantwurdet, behannelje updates as net stipe en frieze de build dy't jo hawwe.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Hâld in kopy fan de wurkjende konfiguraasje bûten it apparaat foardat jo eat feroarje: de WireGuard-kaaien, it OpenVPN-profyl en de firewallregels dy't it routingbelied ymplementearje. In fabrykreset sûnder dy kopy ferwideret krekt de konfiguraasje dêr't jo foar betelle hawwe, en de ferkeaper jout dy miskien net op 'e nij út.

Stap 5: beslút wat de tunnel dekt en wat der bart by in flater

Routing fan it hiele netwurk, routing fan selektearre apparaten, DNS-behanneling, IPv6 en kill switch-gedrach binne aparte ynstellingen dy't in ynterface faak yn ien skeakel gearfettet. Kontrolearje se ien foar ien, want in ferbûn rûter bewiist allinnich dat de rûter sels it einpunt berikke kin. Test fan in downstream klant mei de tunnel oan, en dan wer mei de tunnel út.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

As IPv6 oan is op it LAN mar net yn 'e tunnel rûte wurdt, kinne klanten der de foarkar oan jaan en it VPN-paad hielendal ferlitte, wylst IPv4 noch beskerme liket. As de kill switch út is, falt in fallen tunnel werom op it ISP-paad, wat allinnich in goede kar is as jo it mei opsetsin dien hawwe. Beide betingsten binne ûnsichtber fan it dashboard fan 'e oanbieder.

Skriuw de stipeferdieling op foardat jo dy nedich hawwe. De hardwareferkeaper, de firmware-ûnderhâlder en de VPN-operator binne trije partijen mei trije ferskillende herstelprosedueres, en ien kontakt kin ferskate rollen dekke sûnder se allegear te dekken. De oerdracht is dien as jo it apparaat beheare kinne, it akkount fernije of ynlûke, de bedoelde útgong reprodusearje, de firmware bywurkje kinne sûnder it profyl te ferliezen, en krekt sizze kinne wat der bart as de tunnel falt.