Gátlisti fyrir forstilltan VPN-beini: hvað á að staðfesta við afhendingu

Forhlaðin beini kemur með ákvarðanir einhvers annars þegar bakaðar inn: hvaða VPN-þjónustu hún hringir í, hvers reikningur borgar fyrir hana, hvaða umferð hún grípur og hver heldur lykilorðinu sem breytir einhverju af þessu. Meðhöndlaðu afhendinguna sem úttekt, ekki sem upppökkun. Fimm skrefin hér að neðan eru í röð og hvert hefur stöðvunarskilyrði; ef skref mistekst geta síðari skref ekki sagt þér neitt áreiðanlegt um tækið. Farðu í gegnum þau með beininn fyrir framan þig og fartölvu fyrir aftan.

Skref 1: taktu stjórnunarleg stjórn á tækinu

Finndu stjórnandslóðina, skráðu þig inn og breyttu lykilorði kerfisstjóra áður en þú tengir eitthvað mikilvægt. Á GL.iNet ferðabeini er þessi slóð 192.168.8.1 og leiðsagnarforrit fyrstu uppsetningar biður þig að setja lykilorðið; aðrir seljendur skrá eigin slóð og geta sent föst auðkenni prentuð á merkimiðann. Ef tækið kom með fjarstuðningi eða skýjastjórnun virkri skaltu ákveða núna hvort það verði áfram virkt.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Þessar þrjár skipanir svara hver byggði fastbúnaðinn, hvaða útgáfa það er og hvaða vélbúnaðarútgáfu þú fékkst í raun. Skrifaðu úttakið í afhendingarskrána, því síðara stuðningssímtal mun byrja á nákvæmlega þessum spurningum. Beini sem svarar SSH en neitar að breyta lykilorði, eða hefur enga skráða endurheimtaleið, er ekki tæki sem þú getur átt.

Stoppaðu hér ef þú getur ekki fengið einkaaðgang kerfisstjóra. Allt eftir þennan punkt gerir ráð fyrir að þú getir lesið og breytt stillingunum án þess að spyrja seljandann.

Skref 2: ákvarða hvers VPN-reikningur göngin nota

Göngin eru áskrift í nafni einhvers, og afhendingin er ekki fullkomin fyrr en þú veist í hvers nafni. Biddu um veitandann, reikningshafann, endurnýjunardaginn og nákvæmu auðkennin sem eru uppsett á tækinu. Forhlaðin stilling sem deilir einu auðkenni með mörgum kaupendum er ekki hægt að afturkalla bara fyrir þig, og það skiptir máli daginn sem seljandinn missir stjórn á henni.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

Á WireGuard nefnir úttakið mótaðilann og tíma síðustu handtaks; á OpenVPN er sniðið undir /etc/openvpn og keyrandi þjónustan sýnir hvaða snið er virkt. Skráðu það sem þú finnur, því endurtenging sem notar hljóðlega annan endapunkt er breyting sem þú vilt greina frekar en útskýra.

Stoppaðu hér ef ekki er hægt að flytja reikninginn, endurnýja hann eða afturkalla í þínu nafni. Tæki sem þú getur stjórnað en getur ekki útbúið að nýju verður múrsteinn daginn sem áskriftin rennur út.

Skref 3: prófaðu útgangsstaðsetninguna frá biðlara, ekki frá beininum

Landið sem prentað er á kassann, landið í auglýsingu seljandans og land opinberu heimilisfangsins eru þrjár mismunandi staðreyndir. Aðeins það síðasta hefur áhrif á það sem vefsíða sér, og það er framleitt af endapunkti veitandans en ekki af sendingarheimilisfanginu. Framkvæmdu athugunina frá fartölvu fyrir aftan beininn með göngin virk, ekki úr skel beinisins sjálfs.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Berðu saman þrjú svörin. Ef þau stemma ekki er eitthvað milli biðlarans og endapunktsins að endurskrifa eða umboðsfæra umferðina, og þú ættir að komast að því hvað áður en þú treystir staðsetningunni. Staðsetningargrunnar eru mat fóðrað af rekstraraðilum, svo samsvarandi landskóði er stuðningssönnun en ekki sönnun líkamlegrar leiðar.

Stoppaðu hér ef útgangurinn er frábrugðinn þeim sem þú samdi um, eða ef svarið breytist milli fyrirspurna. Snúningsútgangur eða ósamkvæmur útgangur brýtur svæðisbundnar þjónustur og gerir hverja síðari mælingu tvíræða.

Skref 4: festu fastbúnaðinn og uppfærslurásina

Forstillt tæki koma oft með eldri smíði og seljandans stillingum lagðar ofan á OpenWrt. Áður en þú samþykkir uppfærslu skaltu ákvarða hvort uppfærsla varðveitir VPN-sniðið, hvort seljandinn útvegar varasnið og hverjir eiga að framkvæma uppfærsluna. Lestu útgáfuskýringar fyrir það líkan sem þú hefur í raun, ekki fyrir líkanið á auglýsingarmyndinni. Ef seljandinn svarar engri þessara spurninga skaltu meðhöndla uppfærslur sem óstuddar og frysta smíðina sem þú hefur.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Haltu afriti af virku stillingunni utan tækisins áður en þú breytir einhverju: WireGuard-lyklarnir, OpenVPN-sniðið og eldveggsreglurnar sem framkvæma leiðarstefnuna. Verksmiðjuendurstilling án þess afrits fjarlægir nákvæmlega þá stillingu sem þú borgaðir fyrir, og seljandinn gæti ekki gefið hana út aftur.

Skref 5: ákveddu hvað göngin ná yfir og hvað gerist þegar þau bregðast

Leiðsla alls netsins, leiðsla valinna tækja, DNS-meðferð, IPv6 og hegðun kill switch eru aðskildar stillingar sem viðmót þjappar oft saman í einn rofa. Athugaðu þær eina í einu, því tengdur beinir sannar aðeins að beinirinn sjálfur nái endapunktinum. Prófaðu frá niðstreymisbiðlara með göngin virk og svo aftur með þau óvirk.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Ef IPv6 er virkt á LAN en leiðast ekki inn í göngin geta biðlarar viljað það og yfirgefið VPN-leiðina algjörlega á meðan IPv4 virðist enn varið. Ef kill switch er slökkt fellur göngin sem féll aftur á ISP-leiðina, sem er góður kostur aðeins þegar þú gerðir það viljandi. Bæði skilyrðin eru ósýnileg frá stjórnborði veitandans.

Skrifaðu niður stuðningsskiptinguna áður en þú þarft hana. Vélbúnaðarseljandinn, viðhaldsaðili fastbúnaðarins og VPN-rekstraraðilinn eru þrír aðilar með þrjár mismunandi endurheimtaraðferðir, og ein tenging getur náð yfir nokkur hlutverk án þess að ná yfir þau öll. Afhendingunni er lokið þegar þú getur stjórnað tækinu, endurnýjað eða afturkallað reikninginn, endurskapað fyrirhugaðan útgang, uppfært fastbúnaðinn án þess að missa sniðið og sagt nákvæmlega hvað gerist þegar göngin falla.