पूर्व-कॉन्फ़िगर किए गए VPN राउटर के लिए चेकलिस्ट: हैंडऑफ़ पर क्या जाँचें

प्रीलोडेड राउटर किसी और के फैसलों के साथ पहले से भरा हुआ आता है: यह किस VPN सेवा से जुड़ता है, इसका खर्च किसके खाते से जाता है, यह कौन-सा ट्रैफ़िक पकड़ता है और इनमें से कुछ भी बदलने वाला पासवर्ड किसके पास है। हैंडऑफ़ को अनबॉक्सिंग नहीं, ऑडिट की तरह देखें। नीचे दिए पाँच चरण क्रम में हैं और हर एक की एक रुकने की शर्त है; अगर कोई चरण विफल हो जाए, तो बाद के चरण आपको डिवाइस के बारे में कुछ भी भरोसेमंद नहीं बता सकते। राउटर सामने और लैपटॉप पीछे रखकर इन्हें पूरा करें।

चरण 1: डिवाइस का प्रशासनिक नियंत्रण लें

प्रबंधन पता खोजें, लॉग इन करें और कुछ भी महत्वपूर्ण जोड़ने से पहले एडमिनिस्ट्रेटर पासवर्ड बदलें। GL.iNet ट्रैवल राउटर पर वह पता 192.168.8.1 है और पहली सेटअप विज़ार्ड आपसे पासवर्ड सेट करने को कहता है; दूसरे विक्रेता अपना पता दस्तावेज़ करते हैं और लेबल पर छपे स्थिर क्रेडेंशियल भेज सकते हैं। अगर डिवाइस रिमोट सपोर्ट या क्लाउड प्रबंधन चालू होने के साथ आया है, तो अभी तय करें कि यह चालू रहेगा या नहीं।

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

वे तीन कमांड बताते हैं कि फ़र्मवेयर किसने बनाया, यह कौन-सा रिलीज़ है और आपको वास्तव में कौन-सा हार्डवेयर रिवीज़न मिला। आउटपुट को हैंडऑफ़ रिकॉर्ड में लिखें, क्योंकि बाद का सपोर्ट कॉल ठीक उन्हीं सवालों से शुरू होगा। जो राउटर SSH का जवाब देता है पर पासवर्ड बदलने से मना करता है, या जिसका कोई दस्तावेज़ित रिकवरी रास्ता नहीं है, वह ऐसा डिवाइस नहीं है जिसे आप अपना सकें।

अगर आप विशेष एडमिन पहुँच नहीं पा सकते तो यहीं रुकें। इस बिंदु के बाद सब कुछ मानता है कि आप विक्रेता से पूछे बिना कॉन्फ़िगरेशन पढ़ और बदल सकते हैं।

चरण 2: तय करें कि टनल किसका VPN खाता इस्तेमाल करती है

टनल किसी के नाम पर सदस्यता है, और जब तक आप नहीं जानते कि किसके नाम पर है, हैंडऑफ़ अधूरा है। प्रदाता, खाताधारक, नवीनीकरण की तारीख और डिवाइस पर लगे सटीक क्रेडेंशियल मांगें। कई खरीदारों के बीच एक ही क्रेडेंशियल बाँटने वाला प्रीलोडेड कॉन्फ़िगरेशन सिर्फ़ आपके लिए रद्द नहीं किया जा सकता, और यह उस दिन मायने रखता है जब विक्रेता इसका नियंत्रण खो देता है।

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

WireGuard पर आउटपुट सहकर्मी और आखिरी हैंडशेक का समय बताता है; OpenVPN पर प्रोफ़ाइल /etc/openvpn के अंतर्गत है और चल रही सेवा दिखाती है कि कौन-सी प्रोफ़ाइल सक्रिय है। जो मिले उसे दर्ज करें, क्योंकि अलग एंडपॉइंट चुपचाप इस्तेमाल करने वाला पुनः कनेक्शन वह बदलाव है जिसे आप समझाना नहीं, पकड़ना चाहेंगे।

अगर खाता आपके नाम पर स्थानांतरित, नवीनीकृत या रद्द नहीं किया जा सकता तो यहीं रुकें। जिस डिवाइस को आप प्रबंधित कर सकते हैं पर फिर से तैयार नहीं कर सकते, वह सदस्यता खत्म होने के दिन ईंट बन जाता है।

चरण 3: एग्ज़िट स्थान क्लाइंट से जाँचें, राउटर से नहीं

डिब्बे पर छपा देश, विक्रेता के विज्ञापन का देश और सार्वजनिक पते का देश तीन अलग तथ्य हैं। सिर्फ़ आखिरी वेबसाइट को प्रभावित करता है, और यह प्रदाता के एंडपॉइंट से बनता है, शिपिंग पते से नहीं। टनल चालू रखकर राउटर के पीछे वाले लैपटॉप से जाँच करें, राउटर के अपने शेल से नहीं।

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

तीनों जवाबों की तुलना करें। अगर वे मेल नहीं खाते, तो क्लाइंट और एंडपॉइंट के बीच कुछ ट्रैफ़िक को फिर से लिख रहा है या प्रॉक्सी कर रहा है, और स्थान पर भरोसा करने से पहले आपको पता लगाना चाहिए कि वह क्या है। जियोलोकेशन डेटाबेस ऑपरेटरों द्वारा भरे गए अनुमान हैं, इसलिए मेल खाता देश कोड भौतिक मार्ग का प्रमाण नहीं, सहायक साक्ष्य है।

अगर एग्ज़िट उससे अलग है जिसके लिए आपने अनुबंध किया, या पूछताछ के बीच जवाब बदलता है, तो यहीं रुकें। घूमता या असंगत एग्ज़िट क्षेत्र-निर्भर सेवाओं को तोड़ता है और आगे के हर मापन को अस्पष्ट बनाता है।

चरण 4: फ़र्मवेयर और अपडेट चैनल तय करें

पूर्व-कॉन्फ़िगर किए गए डिवाइस अक्सर पुरानी बिल्ड और OpenWrt के ऊपर परत किए गए विक्रेता कॉन्फ़िगरेशन के साथ आते हैं। कोई भी अपडेट स्वीकार करने से पहले तय करें कि अपग्रेड VPN प्रोफ़ाइल बचाता है या नहीं, विक्रेता बदली प्रोफ़ाइल देता है या नहीं, और अपग्रेड कौन करेगा। जो मॉडल वास्तव में आपके पास है उसके लिए रिलीज़ नोट्स पढ़ें, विज्ञापन की फ़ोटो वाले मॉडल के लिए नहीं। अगर विक्रेता इनमें से किसी भी सवाल का जवाब नहीं देता, तो अपडेट को असमर्थित मानें और अपनी मौजूदा बिल्ड को स्थिर कर दें।

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

कुछ भी बदलने से पहले काम कर रहे कॉन्फ़िगरेशन की एक कॉपी डिवाइस के बाहर रखें: WireGuard कुंजियाँ, OpenVPN प्रोफ़ाइल और रूटिंग नीति लागू करने वाले फ़ायरवॉल नियम। उस कॉपी के बिना फ़ैक्टरी रीसेट ठीक वही कॉन्फ़िगरेशन हटा देता है जिसके लिए आपने भुगतान किया, और विक्रेता शायद इसे दोबारा जारी न करे।

चरण 5: तय करें कि टनल क्या कवर करती है और विफलता पर क्या होता है

पूरे नेटवर्क का रूटिंग, चुने गए डिवाइस का रूटिंग, DNS प्रबंधन, IPv6 और kill switch का व्यवहार अलग सेटिंग्स हैं जिन्हें इंटरफ़ेस अक्सर एक ही टॉगल में समेट देता है। इन्हें एक-एक करके जाँचें, क्योंकि जुड़ा हुआ राउटर सिर्फ़ यह साबित करता है कि राउटर खुद एंडपॉइंट तक पहुँच सकता है। डाउनस्ट्रीम क्लाइंट से टनल चालू रखकर परीक्षण करें, फिर इसे बंद करके दोबारा।

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

अगर LAN पर IPv6 सक्षम है पर टनल में रूट नहीं होता, तो क्लाइंट उसे प्राथमिकता देकर VPN मार्ग पूरी तरह छोड़ सकते हैं जबकि IPv4 अभी भी सुरक्षित दिखता है। अगर kill switch बंद है, तो टूटी टनल ISP मार्ग पर लौट जाती है, जो अच्छा विकल्प सिर्फ़ तब है जब आपने इसे जानबूझकर किया हो। दोनों स्थितियाँ प्रदाता के डैशबोर्ड से अदृश्य हैं।

सपोर्ट का बँटवारा ज़रूरत पड़ने से पहले लिख लें। हार्डवेयर विक्रेता, फ़र्मवेयर अनुरक्षक और VPN ऑपरेटर तीन पक्ष हैं जिनकी तीन अलग रिकवरी प्रक्रियाएँ हैं, और एक संपर्क कई भूमिकाएँ कवर कर सकता है, सभी नहीं। हैंडऑफ़ तब पूरा होता है जब आप डिवाइस प्रबंधित कर सकें, खाता नवीनीकृत या रद्द कर सकें, इच्छित एग्ज़िट दोबारा बना सकें, प्रोफ़ाइल खोए बिना फ़र्मवेयर अपडेट कर सकें और ठीक-ठीक बता सकें कि टनल गिरने पर क्या होता है।