רשימת בדיקה לנתב VPN מוגדר מראש: מה לבדוק במסירה

נתב שנטען מראש מגיע כשההחלטות של מישהו אחר כבר אפויות בתוכו: לאיזו שירות VPN הוא מחייג, של מי החשבון שמשלם עליו, איזה תעבורה הוא לוכד ומי מחזיק בסיסמה שמשנה כל אחד מאלה. התייחסו למסירה כביקורת ולא כפתיחת קופסה. חמשת השלבים שלמטה מסודרים, ולכל אחד תנאי עצירה; אם שלב נכשל, השלבים המאוחרים לא יכולים לומר לכם דבר אמין על המכשיר. עברו עליהם כשהנתב לפניכם ומחשב נייד מאחוריו.

שלב 1: קחו שליטה ניהולית במכשיר

מצאו את כתובת הניהול, התחברו ושנו את סיסמת המנהל לפני שתחברו משהו חשוב. בנתב נסיעות של GL.iNet הכתובת היא 192.168.8.1 ו אשף ההגדרה הראשונית מבקש מכם לקבוע את הסיסמה; מוכרים אחרים מתעדים כתובת משלהם ועשויים לשלוח פרטי התחברות קבועים המודפסים על התווית. אם המכשיר הגיע עם תמיכה מרחוק או ניהול ענן פעילים, החליטו עכשיו אם זה נשאר.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

שלוש הפקודות האלה עונות מי בנה את הקושחה, איזו גרסה היא ו איזו גרסת חומרה קיבלתם בפועל. רשמו את הפלט ביומן המסירה, כי שיחת תמיכה מאוחרת תתחיל בדיוק בשאלות האלה. נתב שעונה ל-SSH אך מסרב לשנות סיסמה, או שאין לו נתיב שחזור מתועד, אינו מכשיר שאתם יכולים להחזיק.

עצרו כאן אם אינכם יכולים להשיג גישה ניהולית בלעדית. כל מה שאחרי הנקודה הזו מניח שאתם יכולים לקרוא ולשנות את התצורה בלי לשאול את המוכר.

שלב 2: קבעו של מי חשבון ה-VPN שהמנהרה משתמשת בו

המנהרה היא מינוי על שם מישהו, והמסירה אינה שלמה עד שתדעו על שם מי. בקשו את הספק, את בעל החשבון, את תאריך החידוש ואת פרטי ההתחברות המדויקים המותקנים במכשיר. תצורה שנטענה מראש ומשתפת פרטי התחברות אחד בין קונים רבים אינה ניתנת לביטול רק עבורכם, וזה חשוב ביום שבו המוכר מאבד את השליטה בה.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

ב-WireGuard הפלט מציין את העמית ואת זמן לחיצת היד האחרונה; בפרוטוקול OpenVPN הפרופיל נמצא תחת /etc/openvpn והשירות הפעיל מראה איזה פרופיל פעיל. רשמו מה מצאתם, כי התחברות מחדש שמשתמשת בשקט בנקודת קצה אחרת היא שינוי שתרצו לגלות ולא להסביר.

עצרו כאן אם החשבון אינו ניתן להעברה, לחידוש או לביטול על שמכם. מכשיר שאתם יכולים לנהל אך לא להכין מחדש הופך ללבנה ביום שבו המינוי פג.

שלב 3: בדקו את מיקום היציאה מלקוח, לא מהנתב

המדינה המודפסת על הקופסה, המדינה במודעת המוכר ומדינת הכתובת הציבורית הן שלוש עובדות שונות. רק האחרונה משפיעה על מה שאתר רואה, והיא נוצרת על ידי נקודת הקצה של הספק ולא על ידי כתובת המשלוח. הריצו את הבדיקה ממחשב נייד מאחורי הנתב עם המנהרה פעילה, לא מהמעטפת של הנתב עצמו.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

השוו את שלוש התשובות. אם הן אינן תואמות, משהו בין הלקוח לנקודת הקצה כותב מחדש או מתווך את התעבורה, וכדאי לגלות מה לפני שתסתמכו על המיקום. מסדי נתוני מיקום גאוגרפי הם הערכות שמזינים מפעילים, לכן קוד מדינה תואם הוא ראיה תומכת ולא הוכחה לנתיב פיזי.

עצרו כאן אם היציאה שונה מזו שהתקשרתם עליה, או אם התשובה משתנה בין שאילתות. יציאה מסתובבת או לא עקבית שוברת שירותים תלויים באזור והופכת כל מדידה מאוחרת לדו-משמעית.

שלב 4: קבעו את הקושחה ואת ערוץ העדכונים

מכשירים מוגדרים מראש מגיעים לעתים קרובות עם בנייה ישנה ותצורת מוכר מעל OpenWrt. לפני שתקבלו עדכון, קבעו אם שדרוג משמר את פרופיל ה-VPN, אם המוכר מספק פרופיל חלופי ומי אמור לבצע את השדרוג. קראו את הערות הגרסה לדגם שיש לכם בפועל, לא לדגם בתמונת המודעה. אם המוכר לא עונה על אף אחת מהשאלות האלה, התייחסו לעדכונים כלא נתמכים והקפיאו את הבנייה שיש לכם.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

שמרו עותק של התצורה העובדת מחוץ למכשיר לפני שתשנו משהו: מפתחות WireGuard, פרופיל OpenVPN וכללי חומת האש שמממשים את מדיניות הניתוב. איפוס למצב יצרן בלי העותק הזה מסיר בדיוק את התצורה ששילמתם עליה, והמוכר אולי לא יוציא אותה שוב.

שלב 5: קבעו מה המנהרה מכסה ומה קורה כשזה נכשל

ניתוב כל הרשת, ניתוב מכשירים נבחרים, טיפול ב-DNS, IPv6 והתנהגות kill switch הם הגדרות נפרדות שממשק לעתים קרובות מכנס למתג אחד. בדקו אותן אחת אחת, כי נתב מחובר רק מוכיח שהנתב עצמו יכול להגיע לנקודת הקצה. בדקו מלקוח במורד הזרם כשהמנהרה פעילה, ואז שוב כשהיא כבויה.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

אם IPv6 מופעל ברשת המקומית אך אינו מנותב לתוך המנהרה, לקוחות עשויים להעדיף אותו ולעזוב לגמרי את מסלול ה-VPN בעוד IPv4 עדיין נראה מוגן. אם ה-kill switch כבוי, מנהרה שנפלה חוזרת למסלול ספק האינטרנט, וזו בחירה טובה רק כשעשיתם אותה בכוונה. שני התנאים בלתי נראים מלוח הבקרה של הספק.

רשמו את חלוקת התמיכה לפני שתצטרכו אותה. מוכר החומרה, מתחזק הקושחה ומפעיל ה-VPN הם שלושה צדדים עם שלושה נוהלי שחזור שונים, ואיש קשר אחד עשוי לכסות כמה תפקידים בלי לכסות את כולם. המסירה מסתיימת כשאתם יכולים לנהל את המכשיר, לחדש או לבטל את החשבון, לשחזר את היציאה המיועדת, לעדכן את הקושחה בלי לאבד את הפרופיל ולומר בדיוק מה קורה כשהמנהרה נופלת.