Lista di controllo per un router VPN preconfigurato: cosa verificare alla consegna

Un router precaricato arriva con le decisioni di qualcun altro già incorporate: a quale servizio VPN si collega, di chi è l'account che lo paga, quale traffico cattura e chi tiene la password che cambia qualunque di queste cose. Trattate la consegna come un audit e non come un disimballaggio. I cinque passaggi seguenti sono in ordine e ciascuno ha una condizione di arresto; se un passaggio fallisce, i passaggi successivi non possono dirvi nulla di affidabile sul dispositivo. Percorreteli con il router davanti a voi e un portatile dietro.

Passaggio 1: prendete il controllo amministrativo del dispositivo

Trovate l'indirizzo di gestione, accedete e cambiate la password di amministratore prima di collegare qualcosa di importante. Su un router da viaggio GL.iNet quell'indirizzo è 192.168.8.1 e la procedura guidata di prima configurazione vi chiede di impostare la password; altri venditori documentano il proprio indirizzo e possono spedire credenziali fisse stampate sull'etichetta. Se il dispositivo è arrivato con il supporto remoto o la gestione cloud attivi, decidete ora se questo resta.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Quei tre comandi rispondono a chi ha costruito il firmware, quale versione è e quale revisione hardware avete realmente ricevuto. Scrivete l'output nel verbale di consegna, perché una successiva chiamata al supporto inizierà esattamente con quelle domande. Un router che risponde via SSH ma rifiuta un cambio di password, o che non ha un percorso di ripristino documentato, non è un dispositivo che potete possedere.

Fermatevi qui se non riuscite a ottenere un accesso amministrativo esclusivo. Tutto ciò che segue presuppone che possiate leggere e modificare la configurazione senza chiedere al venditore.

Passaggio 2: stabilite di chi è l'account VPN che usa il tunnel

Il tunnel è un abbonamento a nome di qualcuno, e la consegna non è completa finché non sapete di chi. Chiedete il fornitore, il titolare dell'account, la data di rinnovo e le credenziali esatte installate sul dispositivo. Una configurazione precaricata che condivide una credenziale tra molti acquirenti non può essere revocata solo per voi, e questo conta il giorno in cui il venditore ne perde il controllo.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

Su WireGuard l'output nomina il peer e l'ora dell'ultima stretta di mano; su OpenVPN il profilo si trova sotto /etc/openvpn e il servizio in esecuzione mostra quale profilo è attivo. Annotate ciò che trovate, perché una riconnessione che usa silenziosamente un altro endpoint è un cambiamento che vorrete rilevare anziché giustificare.

Fermatevi qui se l'account non può essere trasferito, rinnovato o revocato a vostro nome. Un dispositivo che potete amministrare ma non riprovisionare diventa un mattone il giorno in cui l'abbonamento scade.

Passaggio 3: testate la posizione di uscita da un client, non dal router

Il paese stampato sulla scatola, il paese nell'annuncio del venditore e il paese dell'indirizzo pubblico sono tre fatti diversi. Solo l'ultimo influisce su ciò che vede un sito web, ed è prodotto dall'endpoint del fornitore e non dall'indirizzo di spedizione. Eseguite il controllo da un portatile dietro il router con il tunnel attivo, non dalla shell del router stesso.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Confrontate le tre risposte. Se non coincidono, qualcosa tra il client e l'endpoint riscrive o fa da proxy al traffico, e dovreste scoprire cosa prima di affidarvi alla posizione. I database di geolocalizzazione sono stime alimentate dagli operatori, quindi un codice paese corrispondente è una prova di supporto e non la prova di un percorso fisico.

Fermatevi qui se l'uscita differisce da quella per cui avete stipulato il contratto, o se la risposta cambia tra le interrogazioni. Un'uscita rotante o incoerente rompe i servizi dipendenti dalla regione e rende ambigua ogni misurazione successiva.

Passaggio 4: fissate il firmware e il canale di aggiornamento

I dispositivi preconfigurati arrivano spesso con una build più vecchia e una configurazione del venditore sovrapposta a OpenWrt. Prima di accettare qualsiasi aggiornamento, stabilite se un aggiornamento conserva il profilo VPN, se il venditore fornisce un profilo sostitutivo e chi dovrebbe eseguire l'aggiornamento. Leggete le note di rilascio per il modello che avete davvero, non per il modello nella foto dell'annuncio. Se il venditore non risponde a nessuna di queste domande, trattate gli aggiornamenti come non supportati e congelate la build che avete.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Conservate una copia della configurazione funzionante fuori dal dispositivo prima di cambiare qualcosa: le chiavi WireGuard, il profilo OpenVPN e le regole del firewall che implementano la politica di routing. Un ripristino di fabbrica senza quella copia rimuove esattamente la configurazione che avete pagato, e il venditore potrebbe non emetterla di nuovo.

Passaggio 5: decidete cosa copre il tunnel e cosa succede in caso di guasto

Il routing dell'intera rete, il routing di dispositivi selezionati, la gestione DNS, IPv6 e il comportamento del kill switch sono impostazioni separate che un'interfaccia spesso riduce a un solo interruttore. Controllatele una per una, perché un router connesso dimostra solo che il router stesso può raggiungere l'endpoint. Provate da un client a valle con il tunnel attivo, poi di nuovo con il tunnel disattivato.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Se IPv6 è abilitato sulla LAN ma non è instradato nel tunnel, i client possono preferirlo e abbandonare del tutto il percorso VPN mentre IPv4 sembra ancora protetto. Se il kill switch è disattivato, un tunnel caduto torna sul percorso dell'ISP, che è una buona scelta solo quando l'avete fatto apposta. Entrambe le condizioni sono invisibili dal pannello del fornitore.

Scrivete la suddivisione del supporto prima di averne bisogno. Il venditore hardware, il manutentore del firmware e l'operatore VPN sono tre parti con tre diverse procedure di ripristino, e un solo contatto può coprire più ruoli senza coprirli tutti. La consegna è conclusa quando potete amministrare il dispositivo, rinnovare o revocare l'account, riprodurre l'uscita prevista, aggiornare il firmware senza perdere il profilo e dire esattamente cosa succede quando il tunnel cade.