Lista de verificación para un router VPN preconfigurado: que comprobar na entrega

Un router precargado chega coas decisións doutra persoa xa incorporadas: a que servizo VPN marca, de quen é a conta que o paga, que tráfico captura e quen ten o contrasinal que cambia calquera desas cousas. Trate a entrega como unha auditoría e non como un desembalaxe. Os cinco pasos seguintes están ordenados e cada un ten unha condición de parada; se un paso falla, os pasos posteriores non poden dicirlle nada fiable sobre o dispositivo. Percórraos co router diante e un portátil detrás.

Paso 1: tome o control administrativo do equipo

Atope o enderezo de xestión, inicie sesión e cambie o contrasinal de administrador antes de conectar algo importante. Nun router de viaxe GL.iNet ese enderezo é 192.168.8.1 e o asistente de primeira configuración pídelle que estableza o contrasinal; outros vendedores documentan o seu propio enderezo e poden enviar credenciais fixas impresas na etiqueta. Se o dispositivo chegou co soporte remoto ou a xestión na nube activados, decida agora se iso queda.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Eses tres comandos responden quen construíu o firmware, que versión é e que revisión de hardware recibiu realmente. Escriba a saída no rexistro de entrega, porque unha chamada de soporte posterior comezará exactamente con esas preguntas. Un router que responde por SSH pero négase a cambiar o contrasinal, ou que non ten unha ruta de recuperación documentada, non é un dispositivo que poida posuír.

Detéñase aquí se non pode obter acceso administrativo exclusivo. Todo o que segue supón que pode ler e cambiar a configuración sen preguntar ao vendedor.

Paso 2: estableza de quen é a conta VPN que usa o túnel

O túnel é unha subscrición a nome de alguén, e a entrega non está completa ata que saiba de quen. Pida o provedor, o titular da conta, a data de renovación e as credenciais exactas instaladas no dispositivo. Unha configuración precargada que comparte unha credencial entre moitos compradores non se pode revogar só para vostede, o que importa o día en que o vendedor perda o control sobre ela.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

En WireGuard a saída nomea o par e a hora do último aperto de mans; en OpenVPN o perfil está baixo /etc/openvpn e o servizo en execución mostra que perfil está activo. Anote o que atope, porque unha reconexión que usa en silencio outro punto final é un cambio que quererá detectar en lugar de xustificar.

Detéñase aquí se a conta non se pode transferir, renovar ou revogar ao seu nome. Un dispositivo que pode administrar pero non pode reaprovisionar convértese nun ladrillo o día en que a subscrición caduca.

Paso 3: probe a localización de saída desde un cliente, non desde o router

O país impreso na caixa, o país do anuncio do vendedor e o país do enderezo público son tres feitos distintos. Só o último afecta o que ve un sitio web, e prodúceo o punto final do provedor e non o enderezo de envío. Execute a comprobación desde un portátil detrás do router co túnel activo, non desde o propio shell do router.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Compare as tres respostas. Se non coinciden, algo entre o cliente e o punto final reescribe ou fai de proxy do tráfico, e debería averiguar que antes de confiar na localización. As bases de xeolocalización son estimacións alimentadas por operadores, así que un código de país coincidente é unha evidencia de apoio e non unha proba dunha ruta física.

Detéñase aquí se a saída difire da que contratou, ou se a resposta cambia entre consultas. Unha saída rotativa ou incoherente rompe os servizos dependentes da rexión e fai ambigua calquera medición posterior.

Paso 4: fixe o firmware e a canle de actualización

Os dispositivos preconfigurados adoitan chegar cunha compilación máis antiga e unha configuración do vendedor superposta sobre OpenWrt. Antes de aceptar calquera actualización, estableza se unha actualización conserva o perfil VPN, se o vendedor subministra un perfil de reposición e quen debe realizar a actualización. Lea as notas da versión para o modelo que realmente ten, non para o modelo da foto do anuncio. Se o vendedor non responde ningunha desas preguntas, trate as actualizacións como non compatibles e conxele a compilación que ten.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Garde unha copia da configuración que funciona fóra do dispositivo antes de cambiar nada: as claves de WireGuard, o perfil de OpenVPN e as regras de cortafuegos que implementan a política de encamiñamento. Un restablecemento de fábrica sen esa copia elimina exactamente a configuración que pagou, e o vendedor pode que non a volva emitir.

Paso 5: decida que cobre o túnel e que pasa cando falla

O encamiñamento de toda a rede, o encamiñamento de dispositivos seleccionados, a xestión de DNS, IPv6 e o comportamento do kill switch son axustes separados que unha interface a miúdo colapsa nun só interruptor. Compróbeos un a un, porque un router conectado só demostra que o propio router pode alcanzar o punto final. Probe desde un cliente augas abaixo co túnel activo, e logo outra vez con el desactivado.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Se IPv6 está habilitado na LAN pero non se encamiña cara ao túnel, os clientes poden preferilo e abandonar por completo a ruta VPN mentres IPv4 aínda parece protexido. Se o kill switch está desactivado, un túnel caído volve á ruta do ISP, o que só é unha boa elección cando o fixo a propósito. Ambas as condicións son invisibles desde o panel do provedor.

Escriba o reparto de soporte antes de necesitalo. O vendedor de hardware, o mantedor do firmware e o operador de VPN son tres partes con tres procedementos de recuperación distintos, e un só contacto pode cubrir varios roles sen cubrilos todos. A entrega remata cando pode administrar o dispositivo, renovar ou revogar a conta, reproducir a saída prevista, actualizar o firmware sen perder o perfil e dicir exactamente que pasa cando o túnel cae.