미리 구성된 VPN 라우터 체크리스트: 인수인계 시 확인할 사항

미리 로드된 라우터에는 판매자의 계정, 펌웨어, 출구 정책이 들어 있습니다. 관리자 접근, 계정 소유권, 출구 위치, 업데이트, 정책을 점검하십시오.

미리 로드된 라우터는 어떤 VPN 서비스에 접속하는지, 누구의 계정이 비용을 내는지, 어떤 트래픽을 가로채는지, 그리고 그중 무엇이든 바꾸는 비밀번호를 누가 쥐고 있는지 하는 다른 사람의 결정이 이미 안에 구워진 채로 도착합니다. 인수인계를 개봉이 아니라 감사로 다루십시오. 아래 다섯 단계는 순서가 있으며 각 단계에는 중지 조건이 있고, 한 단계가 실패하면 이후 단계로는 기기에 대해 신뢰할 수 있는 것을 알 수 없습니다. 라우터를 눈앞에, 노트북을 그 뒤에 두고 차례로 진행하십시오.

1단계: 기기의 관리 권한을 넘겨받으십시오

관리 주소를 찾아 로그인하고, 중요한 것을 연결하기 전에 관리자 비밀번호를 바꾸십시오. GL.iNet 여행용 라우터에서 그 주소는 192.168.8.1 이며 최초 설정 마법사가 비밀번호 설정을 요청하고, 다른 판매자는 자체 주소를 문서화하며 라벨에 인쇄된 고정 자격 증명을 함께 보낼 수 있습니다. 기기가 원격 지원이나 클라우드 관리가 켜진 상태로 도착했다면 그것을 그대로 둘지 지금 결정하십시오.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

그 세 명령은 펌웨어를 누가 만들었는지, 어느 릴리스인지, 그리고 실제로 어떤 하드웨어 리비전을 받았는지를 답합니다. 출력을 인수인계 기록에 적으십시오, 나중의 지원 통화가 바로 그 질문들로 시작되기 때문입니다. SSH에는 응답하지만 비밀번호 변경을 거부하는 라우터, 또는 문서화된 복구 경로가 없는 라우터는 소유할 수 있는 기기가 아닙니다.

독점적인 관리자 접근을 얻을 수 없다면 여기서 멈추십시오. 이 지점 이후의 모든 것은 판매자에게 묻지 않고 구성을 읽고 바꿀 수 있다고 가정합니다.

2단계: 터널이 누구의 VPN 계정을 쓰는지 확인하십시오

터널은 누군가의 이름으로 된 구독이며, 누구의 이름인지 알기 전까지 인수인계는 완료되지 않습니다. 공급자, 계정 소유자, 갱신 날짜, 기기에 설치된 정확한 자격 증명을 요구하십시오. 많은 구매자 사이에서 하나의 자격 증명을 공유하는 미리 로드된 구성은 오직 귀하만을 위해 폐기할 수 없으며, 판매자가 그 통제를 잃는 날 그것이 문제가 됩니다.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

WireGuard에서는 출력이 피어와 마지막 핸드셰이크 시각을 표시하고, OpenVPN에서는 프로필이 /etc/openvpn 아래에 있으며 실행 중인 서비스가 어느 프로필이 활성인지 보여 줍니다. 찾은 내용을 기록하십시오, 다른 엔드포인트를 조용히 사용하는 재연결은 설명할 것이 아니라 탐지하고 싶은 변경이기 때문입니다.

계정을 귀하의 이름으로 이전, 갱신, 폐기할 수 없다면 여기서 멈추십시오. 관리할 수는 있지만 다시 프로비저닝할 수 없는 기기는 구독이 만료되는 날 벽돌이 됩니다.

3단계: 출구 위치는 라우터가 아니라 클라이언트에서 시험하십시오

상자에 인쇄된 국가, 판매자 게시물의 국가, 공인 주소의 국가는 서로 다른 세 가지 사실입니다. 웹사이트가 보는 것에 영향을 주는 것은 마지막 하나뿐이며, 그것은 배송 주소가 아니라 공급자의 엔드포인트가 만들어 냅니다. 터널이 켜진 상태에서 라우터 뒤의 노트북으로 확인하십시오, 라우터 자체의 셸에서가 아니라.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

세 응답을 비교하십시오. 일치하지 않는다면 클라이언트와 엔드포인트 사이의 무언가가 트래픽을 다시 쓰거나 프록시하고 있으므로, 위치에 의존하기 전에 그것이 무엇인지 알아내야 합니다. 지오로케이션 데이터베이스는 사업자가 공급하는 추정치이므로 일치하는 국가 코드는 물리적 경로의 증거가 아니라 보조 증거입니다.

출구가 계약한 것과 다르거나 질의 사이에 응답이 달라진다면 여기서 멈추십시오. 회전하거나 일관성 없는 출구는 지역 의존 서비스를 깨뜨리고 이후의 모든 측정을 모호하게 만듭니다.

4단계: 펌웨어와 업데이트 채널을 고정하십시오

미리 구성된 기기는 흔히 더 오래된 빌드와 OpenWrt 위에 겹쳐진 판매자 구성으로 도착합니다. 업데이트를 받아들이기 전에 업그레이드가 VPN 프로필을 보존하는지, 판매자가 대체 프로필을 제공하는지, 누가 업그레이드를 수행해야 하는지 확인하십시오. 실제로 가진 모델의 릴리스 노트를 읽으십시오, 게시물 사진 속 모델의 것이 아니라. 판매자가 이러한 질문에 하나도 답하지 않는다면 업데이트를 지원되지 않는 것으로 보고 현재 빌드를 고정하십시오.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

무엇이든 바꾸기 전에 작동하는 구성의 사본을 기기 밖에 보관하십시오, WireGuard 키, OpenVPN 프로필, 라우팅 정책을 구현하는 방화벽 규칙입니다. 그 사본 없는 공장 초기화는 귀하가 지불한 구성을 정확히 제거하며, 판매자가 다시 발급하지 않을 수도 있습니다.

5단계: 터널이 무엇을 덮고 실패할 때 무슨 일이 생기는지 정하십시오

전체 네트워크 라우팅, 선택한 기기 라우팅, DNS 처리, IPv6, kill switch 동작은 별도 설정이지만 인터페이스가 흔히 하나의 토글로 합쳐 버립니다. 하나씩 확인하십시오, 연결된 라우터는 라우터 자체가 엔드포인트에 도달할 수 있다는 것만 증명합니다. 터널이 켜진 상태에서 하위 클라이언트로 시험하고, 그다음 꺼진 상태로 다시 시험하십시오.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

IPv6가 LAN에서 켜져 있지만 터널로 라우팅되지 않으면 클라이언트가 그것을 선호해 VPN 경로를 완전히 떠날 수 있으며, 그동안 IPv4는 여전히 보호되는 것처럼 보입니다. kill switch가 꺼져 있으면 끊긴 터널이 ISP 경로로 되돌아가는데, 이는 의도적으로 그렇게 했을 때만 좋은 선택입니다. 두 조건 모두 공급자 대시보드에서는 보이지 않습니다.

지원 분담을 필요해지기 전에 적어 두십시오. 하드웨어 판매자, 펌웨어 유지 관리자, VPN 사업자는 서로 다른 세 가지 복구 절차를 가진 세 당사자이며, 하나의 연락처가 여러 역할을 맡아도 전부를 맡지는 않습니다. 기기를 관리하고, 계정을 갱신하거나 폐기하고, 의도한 출구를 재현하고, 프로필을 잃지 않고 펌웨어를 업데이트하고, 터널이 끊길 때 정확히 무슨 일이 일어나는지 말할 수 있을 때 인수인계가 끝납니다.

관련 글