Алдын ала конфигурацияланған VPN маршрутизаторының тексеру тізімі: тапсыру кезінде нені тексеру керек

Алдын ала жүктелген маршрутизатор біреудің шешімдері ішіне қазірдің өзінде пісіріліп келеді: қай VPN қызметіне қосылады, оның ақысын кімнің тіркелгісі төлейді, қандай трафикті ұстайды және осының кез келгенін өзгертетін құпиясөз кімде. Тапсыруды қорапты ашу емес, аудит ретінде қарастырыңыз. Төмендегі бес қадам ретімен және әрқайсысының тоқтау шарты бар; бір қадам сәтсіз болса, кейінгі қадамдар құрылғы туралы сізге сенімді ештеңе айта алмайды. Оларды маршрутизатор алдыңызда, ноутбук оның артында тұрған күйде өткізіңіз.

1-қадам: құрылғының әкімшілік бақылауын өз қолыңызға алыңыз

Басқару мекенжайын табыңыз, кіріңіз және маңызды нәрсені қоспас бұрын әкімші құпиясөзін өзгертіңіз. GL.iNet саяхат маршрутизаторында бұл мекенжай 192.168.8.1 және бірінші рет орнату шебері құпиясөзді орнатуды сұрайды; басқа сатушылар өз мекенжайларын құжаттайды және затбелгіге басылған тұрақты тіркелгі деректерін жіберуі мүмкін. Егер құрылғы қашықтан қолдау немесе бұлттық басқару қосылған күйде келсе, қазір оның қосылып қалатынын шешіңіз.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Осы үш пәрмен firmware-ді кім құрғанын, қай шығарылым екенін және сіз іс жүзінде қай аппараттық ревизияны алғаныңызды жауаптайды. Шығысты тапсыру хаттамасына жазыңыз, өйткені кейінгі қолдау қоңырауы дәл осы сұрақтардан басталады. SSH-ке жауап беретін, бірақ құпиясөзді өзгертуден бас тартатын немесе құжатталған қалпына келтіру жолы жоқ маршрутизатор — сіз ие бола алатын құрылғы емес.

Егер эксклюзивті әкімші рұқсатын ала алмасаңыз, осы жерде тоқтаңыз. Осы нүктеден кейінгінің бәрі конфигурацияны сатушыдан сұрамай оқып, өзгерте аласыз деп болжайды.

2-қадам: туннель қай VPN тіркелгісін пайдаланатынын анықтаңыз

Туннель біреудің атына жазылған жазылым және оның кімнің атына екенін білмейінше тапсыру толық емес. Провайдерді, тіркелгі иесін, жаңарту күнін және құрылғыға орнатылған нақты тіркелгі деректерін сұраңыз. Бір тіркелгі дерегін көптеген сатып алушылар арасында бөлетін алдын ала жүктелген конфигурацияны тек сіз үшін күшіне қайтару мүмкін емес, және бұл сатушы одан бақылаудан айырылатын күні маңызды.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

WireGuard-та шығыс әріптесті және соңғы қол алысудың уақытын атайды; OpenVPN-да профиль /etc/openvpn астында және жұмыс істеп тұрған қызмет қай профиль белсенді екенін көрсетеді. Тапқаныңызды жазып алыңыз, өйткені басқа соңғы нүктені үнсіз пайдаланатын қайта қосылу — түсіндіргіңіз келмейтін, анықтағыңыз келетін өзгеріс.

Егер тіркелгіні өз атыңызға аудару, жаңарту немесе жою мүмкін болмаса, осы жерде тоқтаңыз. Басқара алатын, бірақ қайта дайындай алмайтын құрылғы жазылым бітетін күні кірпішке айналады.

3-қадам: шығу орнын маршрутизатордан емес, клиенттен тексеріңіз

Қорапқа басылған ел, сатушының хабарландыруындағы ел және жария мекенжайдың елі — үш түрлі факт. Тек соңғысы ғана сайттың не көретініне әсер етеді және оны жеткізу мекенжайы емес, провайдердің соңғы нүктесі жасайды. Тексеруді туннель қосулы күйде маршрутизатордың артындағы ноутбуктен жасаңыз, маршрутизатордың өз shell-інен емес.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Үш жауапты салыстырыңыз. Егер олар сәйкеспейтін болса, клиент пен соңғы нүкте арасында бірдеңе трафикті қайта жазып немесе проксилеп отыр, және орнына сенбес бұрын оның не екенін білуіңіз керек. Геолокация дерекқорлары операторлар толтыратын болжамдар, сондықтан сәйкес келетін ел коды физикалық жолдың дәлелі емес, қолдаушы дәлел.

Егер шығу келісім жасағаннан өзгеше болса немесе сұраулар арасында жауап өзгерсе, осы жерде тоқтаңыз. Айналатын немесе дәйексіз шығу аймаққа тәуелді қызметтерді бұзады және әрбір кейінгі өлшеуді екіұшты етеді.

4-қадам: firmware мен жаңарту арнасын бекітіңіз

Алдын ала конфигурацияланған құрылғылар көбіне ескірек құрастырмамен және OpenWrt үстіне қабатталған сатушы конфигурациясымен келеді. Кез келген жаңартуды қабылдамас бұрын жаңарту VPN профилін сақтайтынын, сатушы ауыстыру профилін беретінін және жаңартуды кім жасауы керектігін анықтаңыз. Шығарылым ескертпелерін нақты өзіңізде бар модель үшін оқыңыз, хабарландыру суретіндегі модель үшін емес. Егер сатушы осы сұрақтардың ешқайсысына жауап бермесе, жаңартуларды қолдау жоқ деп санаңыз және бар құрастырманы қатырыңыз.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Бірдеңені өзгерту алдында жұмыс істеп тұрған конфигурацияның көшірмесін құрылғыдан тыс жерде ұстаңыз: WireGuard кілттері, OpenVPN профилі және маршруттау саясатын жүзеге асыратын firewall ережелері. Осы көшірмесіз зауыттық қалпына келтіру дәл сіз ақы төлеген конфигурацияны жояды және сатушы оны қайта бермеуі мүмкін.

5-қадам: туннель нені қамтитынын және істен шыққанда не болатынын шешіңіз

Бүкіл желіні маршруттау, таңдалған құрылғыларды маршруттау, DNS өңдеу, IPv6 және kill switch мінез-құлқы — интерфейс жиі бір ажыратқышқа біріктіретін жеке параметрлер. Оларды бір-бірлеп тексеріңіз, өйткені қосылған маршрутизатор тек маршрутизатордың өзі соңғы нүктеге жете алатынын дәлелдейді. Туннель қосулы күйде төменгі ағындағы клиенттен сынап көріңіз, содан кейін өшіріп қайталаңыз.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Егер IPv6 LAN-да қосулы болып, бірақ туннельге маршрутталмаса, клиенттер оны қалап, VPN жолын толық тастауы мүмкін, ал IPv4 әлі қорғалған көрінеді. Егер kill switch өшірулі болса, үзілген туннель ISP жолына қайтады, бұл оны әдейі жасаған кезде ғана жақсы таңдау. Екі шарт та провайдердің тақтасынан көрінбейді.

Қолдау бөлінісін қажет болмай тұрып жазып қойыңыз. Аппарат сатушысы, firmware-ді ұстаушы және VPN операторы — үш түрлі қалпына келтіру рәсімі бар үш тарап, ал бір байланыс бірнеше рөлді қамтуы мүмкін, бірақ барлығын емес. Тапсыру құрылғыны басқара, тіркелгіні жаңарта немесе жоя, көзделген шығуды қайта жасай, профильді жоғалтпай firmware-ді жаңарта және туннель құлағанда дәл не болатынын айта алған кезде аяқталады.