Ellenőrzőlista előre konfigurált VPN-routerhez: mit kell ellenőrizni átadáskor

Az előre betöltött router másvalaki döntéseivel érkezik, már beleütve: melyik VPN-szolgáltatást hívja, kinek a fiókja fizeti, milyen forgalmat fog el, és ki tartja a jelszót, amely bármelyiket megváltoztatja. Kezelje az átadást auditként, ne kicsomagolásként. Az alábbi öt lépés sorrendben van, és mindegyiknek van leállítási feltétele; ha egy lépés elbukik, a későbbi lépések semmit sem mondhatnak biztosan az eszközről. Menjen végig rajtuk úgy, hogy a router Ön előtt, a laptop pedig mögötte van.

1. lépés: vegye át az eszköz adminisztratív irányítását

Keresse meg a kezelési címet, jelentkezzen be, és változtassa meg az adminisztrátori jelszót, mielőtt bármi fontosat csatlakoztat. Egy GL.iNet utazórouteren ez a cím 192.168.8.1, és az első beállítási varázsló kéri, hogy állítsa be a jelszót; más eladók a saját címüket dokumentálják, és előfordulhat, hogy a címkén nyomtatott fix hitelesítő adatokat küldenek. Ha az eszköz távtámogatással vagy felhőkezeléssel bekapcsolva érkezett, most döntse el, hogy ez marad-e.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Ez a három parancs megválaszolja, ki építette a firmware-t, melyik kiadás ez, és milyen hardverrevíziót kapott valójában. Írja ki a kimenetet az átadási jegyzőkönyvbe, mert egy későbbi támogatási hívás pontosan ezekkel a kérdésekkel fog kezdődni. Az a router, amely válaszol az SSH-n, de megtagadja a jelszó módosítását, vagy nincs dokumentált helyreállítási útvonala, nem olyan eszköz, amelyet birtokolhat.

Álljon meg itt, ha nem tud kizárólagos adminisztrátori hozzáférést szerezni. Az e pont utáni minden azt feltételezi, hogy a konfigurációt az eladó megkérdezése nélkül olvashatja és módosíthatja.

2. lépés: állapítsa meg, kinek a VPN-fiókját használja az alagút

Az alagút valaki nevére szóló előfizetés, és az átadás nem teljes, amíg nem tudja, kinek a nevére. Kérje meg a szolgáltatót, a fióktulajdonost, a megújítási dátumot és az eszközre telepített pontos hitelesítő adatokat. Az előre betöltött konfiguráció, amely egy hitelesítő adatot oszt meg sok vásárló között, nem vonható vissza csak az Ön számára, és ez azon a napon számít, amikor az eladó elveszíti felette az ellenőrzést.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

WireGuard esetén a kimenet megnevezi a partnert és az utolsó kézfogás idejét; OpenVPN esetén a profil a /etc/openvpn alatt található, és a futó szolgáltatás mutatja, melyik profil aktív. Jegyezze fel, amit talál, mert az újracsatlakozás, amely csendben más végpontot használ, olyan változás, amelyet inkább fel szeretne fedezni, mint megmagyarázni.

Álljon meg itt, ha a fiók nem ruházható át, nem újítható meg és nem vonható vissza az Ön nevére. Az az eszköz, amelyet kezelhet, de nem tud újra kiépíteni, téglává válik azon a napon, amikor az előfizetés lejár.

3. lépés: tesztelje a kilépési helyet ügyfélről, ne a routerről

A dobozra nyomtatott ország, az eladó hirdetésében szereplő ország és a nyilvános cím országa három különböző tény. Csak az utolsó befolyásolja, mit lát egy webhely, és azt a szolgáltató végpontja állítja elő, nem a szállítási cím. Végezze el az ellenőrzést a router mögötti laptopról, az alagút bekapcsolt állapotában, nem a router saját héjából.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Hasonlítsa össze a három választ. Ha nem egyeznek, valami az ügyfél és a végpont között átírja vagy proxyzza a forgalmat, és érdemes kiderítenie, mi az, mielőtt a helyre támaszkodna. A geolokációs adatbázisok üzemeltetők által táplált becslések, ezért az egyező országkód alátámasztó bizonyíték, nem fizikai útvonal bizonyítéka.

Álljon meg itt, ha a kilépés eltér attól, amelyre szerződött, vagy ha a válasz lekérdezések között változik. A forgó vagy következetlen kilépés megtöri a régiófüggő szolgáltatásokat, és minden későbbi mérést kétértelművé tesz.

4. lépés: rögzítse a firmware-t és a frissítési csatornát

Az előre konfigurált eszközök gyakran régebbi builddel és az OpenWrt fölé rétegzett eladói konfigurációval érkeznek. Mielőtt bármilyen frissítést elfogadna, állapítsa meg, hogy a frissítés megőrzi-e a VPN-profilt, hogy az eladó biztosít-e csereprofilt, és kinek kell elvégeznie a frissítést. A ténylegesen birtokolt modell kiadási megjegyzéseit olvassa, ne a hirdetés fotóján szereplő modellét. Ha az eladó egyik kérdésre sem válaszol, tekintse a frissítéseket nem támogatottnak, és fagyassza le a meglévő buildet.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Tartson másolatot a működő konfigurációról az eszközön kívül, mielőtt bármit módosít: a WireGuard-kulcsokat, az OpenVPN-profilt és a routing-szabályzatot megvalósító tűzfal-szabályokat. A gyári visszaállítás e másolat nélkül pontosan azt a konfigurációt távolítja el, amelyért fizetett, és az eladó esetleg nem adja ki újra.

5. lépés: döntse el, mit fed le az alagút, és mi történik hiba esetén

A teljes hálózat útválasztása, a kiválasztott eszközök útválasztása, a DNS-kezelés, az IPv6 és a kill switch viselkedése külön beállítások, amelyeket egy felület gyakran egyetlen kapcsolóba sűrít. Ellenőrizze őket egyenként, mert egy csatlakoztatott router csak azt bizonyítja, hogy maga a router eléri a végpontot. Tesztelje egy lefelé lévő ügyfélről, az alagút bekapcsolva, majd újra kikapcsolva.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Ha az IPv6 engedélyezett a LAN-on, de nem irányítódik az alagútba, az ügyfelek előnyben részesíthetik, és teljesen elhagyhatják a VPN-útvonalat, miközben az IPv4 még védettnek látszik. Ha a kill switch ki van kapcsolva, a megszakadt alagút visszaesik az ISP-útvonalra, ami csak akkor jó választás, ha szándékosan tette. Mindkét feltétel láthatatlan a szolgáltató műszerfaláról.

Írja le a támogatási felosztást, mielőtt szüksége lesz rá. A hardvereladó, a firmware-karbantartó és a VPN-üzemeltető három fél, három különböző helyreállítási eljárással, és egy kapcsolattartó több szerepet is lefedhet anélkül, hogy mindegyiket lefedné. Az átadás akkor kész, ha kezelheti az eszközt, megújíthatja vagy visszavonhatja a fiókot, reprodukálhatja a tervezett kilépést, frissítheti a firmware-t a profil elvesztése nélkül, és pontosan meg tudja mondani, mi történik, amikor az alagút leesik.