設定済みVPNルーターの引き渡しチェックリスト: 確認すべき項目

プリロード済みのルーターには、どのVPNサービスに接続するのか、誰のアカウントが料金を払うのか、どんな通信を捕捉するのか、そしてそれらを変えるパスワードを誰が持っているのかという、他人の決定がすでに焼き込まれています。引き渡しは開封ではなく監査として扱ってください。以下の五つの手順には順序があり、それぞれに停止条件があり、ある手順が失敗すれば、後の手順でデバイスについて信頼できることは何も分かりません。ルーターを目の前に、ノートパソコンをその後ろに置いて、順に進めてください。

手順1: デバイスの管理権限を引き継ぐ

管理アドレスを見つけてログインし、重要なものを接続する前に管理者パスワードを変更します。GL.iNetのトラベルルーターではそのアドレスは 192.168.8.1 で、初回セットアップウィザードがパスワードの設定を求め、他の販売者は独自のアドレスを文書化しており、ラベルに印刷された固定の資格情報を同梱することがあります。デバイスがリモートサポートやクラウド管理を有効にした状態で届いたなら、それを有効のままにするか今決めてください。

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

この三つのコマンドは、ファームウェアを誰が作ったか、どのリリースか、そして実際に受け取ったハードウェアリビジョンを示します。出力は引き渡し記録に書き留めてください、後日のサポート通話はまさにその質問から始まるからです。SSHには応答するがパスワード変更を拒否するルーターや、文書化された復旧経路がないルーターは、あなたが所有できるデバイスではありません。

排他的な管理者アクセスを得られない場合はここで止まってください。この時点以降はすべて、販売者に聞かずに設定を読み、変更できることを前提としています。

手順2: トンネルが使うVPNアカウントの持ち主を特定する

トンネルは誰かの名義のサブスクリプションであり、誰の名義か分かるまで引き渡しは完了しません。プロバイダー、アカウント保有者、更新日、デバイスにインストールされた正確な資格情報を求めてください。多数の購入者で一つの資格情報を共有するプリロード済み設定は、あなただけのために失効させることができず、販売者がその制御を失う日にはそれが問題になります。

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

WireGuardでは出力にピアと最後のハンドシェイク時刻が示され、OpenVPNではプロファイルが /etc/openvpn の下にあり、稼働中のサービスがどのプロファイルが有効かを示します。見つけた内容を記録してください、別のエンドポイントを黙って使う再接続は、言い訳するのではなく検出すべき変更だからです。

アカウントを自分の名義で移転、更新、失効できない場合はここで止まってください。管理はできるが再プロビジョニングできないデバイスは、サブスクリプションが切れる日にレンガになります。

手順3: 出口の場所はルーターではなくクライアントから確認する

箱に印刷された国、販売者の出品にある国、公開アドレスの国は三つの異なる事実です。ウェブサイトが見るものに影響するのは最後の一つだけで、それは配送先ではなくプロバイダーのエンドポイントが生み出します。トンネルを起動した状態で、ルーターの後ろのノートパソコンから確認してください、ルーター自身のシェルからではありません。

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

三つの答えを比較してください。食い違うなら、クライアントとエンドポイントの間の何かが通信を書き換えたり代理したりしているので、場所に頼る前にそれが何か突き止めるべきです。ジオロケーションデータベースは事業者が供給する推定値なので、国コードの一致は補強証拠であり、物理的な経路の証明ではありません。

出口が契約したものと異なる場合、または問い合わせのたびに答えが変わる場合はここで止まってください。回転する、あるいは一貫しない出口は地域依存のサービスを壊し、以降のあらゆる測定を曖昧にします。

手順4: ファームウェアと更新チャネルを固定する

設定済みのデバイスは、古いビルドとOpenWrtの上に重ねられた販売者の設定で届くことがよくあります。更新を受け入れる前に、アップグレードがVPNプロファイルを保持するか、販売者が代替プロファイルを提供するか、誰がアップグレードを行うのかを確認してください。実際に持っているモデルのリリースノートを読んでください、出品写真のモデルのものではありません。販売者がこれらの質問に一つも答えないなら、更新は未サポートとして扱い、今あるビルドを固定してください。

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

何かを変える前に、動作する設定のコピーをデバイスの外に保管してください、WireGuardの鍵、OpenVPNプロファイル、ルーティングポリシーを実装するファイアウォール規則です。そのコピーなしの工場出荷時リセットは、あなたが料金を払った設定をまさに削除し、販売者が再発行しないこともあります。

手順5: トンネルが何を覆い、失敗時に何が起きるかを決める

ネットワーク全体のルーティング、選択したデバイスのルーティング、DNS処理、IPv6、kill switchの挙動は別々の設定ですが、インターフェースはしばしば一つのトグルにまとめてしまいます。一つずつ確認してください、接続されたルーターは、ルーター自身がエンドポイントに届くことしか証明しないからです。トンネルを起動した状態で下流のクライアントから試し、次に停止した状態でもう一度試してください。

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

IPv6がLANで有効なのにトンネルにルーティングされていないと、クライアントはそちらを優先してVPN経路を完全に離れることがあり、その間IPv4は保護されているように見えます。kill switchが無効なら、落ちたトンネルはISP経路に戻りますが、それが良い選択なのは、意図してそうした場合だけです。どちらの条件もプロバイダーのダッシュボードからは見えません。

サポートの分担は必要になる前に書き留めてください。ハードウェア販売者、ファームウェアの保守担当、VPN事業者は三つの異なる復旧手順を持つ三者であり、一つの連絡先が複数の役割を担ってもすべてを担うわけではありません。デバイスを管理でき、アカウントを更新または失効でき、意図した出口を再現でき、プロファイルを失わずにファームウェアを更新でき、トンネルが落ちたときに何が起きるかを正確に言えるとき、引き渡しは完了します。