Նախապես կարգավորված VPN երթուղիչի ստուգաթերթ. ինչ ստուգել հանձնման պահին

Նախապես բեռնված երթուղիչը գալիս է ուրիշի որոշումներով արդեն ներսում թխված. թե որ VPN ծառայությանն է միանում, ում հաշիվն է վճարում դրա համար, ինչ երթևեկություն է որսում և ով է պահում գաղտնաբառը, որը փոխում է այդ ամենից որևէ մեկը։ Հանձնումը դիտարկեք որպես աուդիտ, ոչ թե տուփը բացելը։ Ստորև ներկայացված հինգ քայլերը դասավորված են, և յուրաքանչյուրն ունի կանգառի պայման. եթե քայլը ձախողվի, հաջորդ քայլերը չեն կարող ձեզ ոչինչ վստահելի ասել սարքի մասին։ Անցեք դրանցով՝ երթուղիչը ձեր առջև և նոութբուքը՝ դրա հետևում։

Քայլ 1. վերցրեք սարքի ադմինիստրատիվ վերահսկողությունը

Գտեք կառավարման հասցեն, մուտք գործեք և փոխեք ադմինիստրատորի գաղտնաբառը, նախքան որևէ կարևոր բան միացնելը։ GL.iNet ճամփորդական երթուղիչում այդ հասցեն 192.168.8.1 է, և առաջին կարգավորման կախարդը խնդրում է սահմանել գաղտնաբառը. այլ վաճառողներ փաստաթղթավորում են իրենց հասցեն և կարող են ուղարկել պիտակի վրա տպված հաստատուն հավատարմագրեր։ Եթե սարքը եկել է հեռավոր աջակցությամբ կամ ամպային կառավարմամբ միացված, հիմա որոշեք, թե դա մնում է միացված, թե ոչ։

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Այդ երեք հրամանները պատասխանում են, թե ով է կառուցել որոնվածը, որ թողարկումն է այն և թե որ ապարատային վերանայումն եք իրականում ստացել։ Գրեք ելքը հանձնման արձանագրության մեջ, որովհետև ավելի ուշ աջակցության զանգը կսկսվի հենց այդ հարցերով։ Երթուղիչը, որը պատասխանում է SSH-ին, բայց հրաժարվում է գաղտնաբառի փոփոխությունից, կամ որը չունի փաստաթղթավորված վերականգնման ուղի, այնպիսի սարք չէ, որը կարող եք ունենալ։

Կանգ առեք այստեղ, եթե չեք կարող ստանալ բացառիկ ադմինիստրատորի մուտք։ Այս կետից հետո ամեն ինչ ենթադրում է, որ կարող եք կարդալ և փոխել կարգավորումները՝ չհարցնելով վաճառողին։

Քայլ 2. պարզեք, ում VPN հաշիվն է օգտագործում թունելը

Թունելը ինչ-որ մեկի անունով բաժանորդագրություն է, և հանձնումը ամբողջական չէ, մինչև չիմանաք, թե ում անունով։ Պահանջեք մատակարարին, հաշվի սեփականատիրոջը, նորացման ամսաթիվը և սարքում տեղադրված ճշգրիտ հավատարմագրերը։ Նախապես բեռնված կարգավորումը, որը մեկ հավատարմագիր է կիսում շատ գնորդների միջև, չի կարող չեղարկվել միայն ձեզ համար, և դա կարևոր է այն օրը, երբ վաճառողը կորցնում է դրա նկատմամբ վերահսկողությունը։

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

WireGuard-ում ելքը նշում է զուգընկերոջը և վերջին ձեռքսեղմման ժամանակը. OpenVPN-ում պրոֆիլը գտնվում է /etc/openvpn-ի տակ, և աշխատող ծառայությունը ցույց է տալիս, թե որ պրոֆիլն է ակտիվ։ Գրանցեք այն, ինչ գտնում եք, որովհետև լուռ այլ վերջնակետ օգտագործող վերամիացումը փոփոխություն է, որը կուզենաք հայտնաբերել, այլ ոչ թե բացատրել։

Կանգ առեք այստեղ, եթե հաշիվը չի կարող փոխանցվել, նորացվել կամ չեղարկվել ձեր անունով։ Սարքը, որը կարող եք կառավարել, բայց չեք կարող վերապատրաստել, աղյուս է դառնում այն օրը, երբ բաժանորդագրությունը լրանում է։

Քայլ 3. ստուգեք ելքի գտնվելու վայրը հաճախորդից, ոչ թե երթուղիչից

Տուփի վրա տպված երկիրը, վաճառողի հայտարարության մեջ եղած երկիրը և հանրային հասցեի երկիրը երեք տարբեր փաստեր են։ Միայն վերջինն է ազդում այն բանի վրա, ինչ տեսնում է կայքը, և այն արտադրվում է մատակարարի վերջնակետով, ոչ թե առաքման հասցեով։ Ստուգումը կատարեք երթուղիչի հետևում գտնվող նոութբուքից՝ թունելը միացված, ոչ թե հենց երթուղիչի shell-ից։

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Համեմատեք երեք պատասխանները։ Եթե դրանք չեն համընկնում, հաճախորդի և վերջնակետի միջև ինչ-որ բան վերագրում կամ վստահված անցում է անում երթևեկությունը, և դուք պետք է պարզեք, թե ինչ է դա, նախքան գտնվելու վայրին ապավինելը։ Երկրաճանաչման տվյալների բազաները օպերատորների կողմից սնվող գնահատականներ են, ուստի համընկնող երկրի կոդը հաստատող ապացույց է, ոչ թե ֆիզիկական ուղու ապացույց։

Կանգ առեք այստեղ, եթե ելքը տարբերվում է նրանից, ինչի համար պայմանագիր եք կնքել, կամ եթե պատասխանը փոխվում է հարցումների միջև։ Պտտվող կամ անհետևողական ելքը կոտրում է տարածաշրջանից կախված ծառայությունները և յուրաքանչյուր հետագա չափում դարձնում է երկիմաստ։

Քայլ 4. ամրացրեք որոնվածը և թարմացումների ալիքը

Նախապես կարգավորված սարքերը հաճախ գալիս են ավելի հին կառուցվածքով և վաճառողի կարգավորումներով՝ OpenWrt-ի վրա շերտավորված։ Նախքան որևէ թարմացում ընդունելը, պարզեք՝ արդյոք թարմացումը պահպանում է VPN պրոֆիլը, արդյոք վաճառողը տրամադրում է փոխարինող պրոֆիլ, և ով է ակնկալվում, որ կկատարի թարմացումը։ Կարդացեք թողարկման նշումները ձեր իրականում ունեցած մոդելի համար, ոչ թե հայտարարության լուսանկարում եղած մոդելի համար։ Եթե վաճառողը չի պատասխանում այդ հարցերից ոչ մեկին, թարմացումները համարեք չաջակցվող և սառեցրեք ունեցած կառուցվածքը։

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Պահեք աշխատող կարգավորման պատճենը սարքից դուրս, նախքան որևէ բան փոխելը. WireGuard բանալիները, OpenVPN պրոֆիլը և երթուղավորման քաղաքականությունն իրականացնող firewall-ի կանոնները։ Առանց այդ պատճենի գործարանային վերականգնումը հեռացնում է հենց այն կարգավորումը, որի համար վճարել եք, և վաճառողը կարող է այն նորից չթողարկել։

Քայլ 5. ամրացրեք, թե ինչ է ծածկում թունելը և ինչ է լինում ձախողման դեպքում

Ամբողջ ցանցի երթուղավորումը, ընտրված սարքերի երթուղավորումը, DNS-ի մշակումը, IPv6-ը և kill switch-ի վարքագիծը առանձին կարգավորումներ են, որոնք ինտերֆեյսը հաճախ սեղմում է մեկ անջատիչի մեջ։ Ստուգեք դրանք մեկ առ մեկ, որովհետև միացված երթուղիչը միայն ապացուցում է, որ երթուղիչն ինքը կարող է հասնել վերջնակետին։ Փորձարկեք ներքևի հաճախորդից՝ թունելը միացված, ապա նորից՝ անջատված։

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Եթե IPv6-ը միացված է LAN-ում, բայց չի երթուղավորվում թունել, հաճախորդները կարող են նախընտրել այն և ամբողջովին լքել VPN ուղին, մինչ IPv4-ը դեռ պաշտպանված է թվում։ Եթե kill switch-ն անջատված է, ընկած թունելը վերադառնում է ISP ուղուն, ինչը լավ ընտրություն է միայն այն դեպքում, երբ դա արել եք դիտավորյալ։ Երկու պայմաններն էլ անտեսանելի են մատակարարի վահանակից։

Գրեք աջակցության բաժանումը, նախքան դրա կարիքը կունենաք։ Ապարատային վաճառողը, որոնվածի պահպանողը և VPN օպերատորը երեք կողմեր են՝ երեք տարբեր վերականգնման ընթացակարգերով, և մեկ կոնտակտ կարող է ծածկել մի քանի դեր՝ չծածկելով բոլորը։ Հանձնումն ավարտված է, երբ կարող եք կառավարել սարքը, նորացնել կամ չեղարկել հաշիվը, վերարտադրել նախատեսված ելքը, թարմացնել որոնվածը՝ չկորցնելով պրոֆիլը, և ճշգրիտ ասել, թե ինչ է տեղի ունենում, երբ թունելն ընկնում է։