Iš anksto sukonfigūruoto VPN maršrutizatoriaus kontrolinis sąrašas: ką patikrinti perduodant

Iš anksto įkeltas maršrutizatorius atvyksta su kito žmogaus sprendimais jau įkeptais viduje: prie kurios VPN paslaugos jis jungiasi, kieno paskyra už tai moka, kokį srautą jis pagauna ir kas laiko slaptažodį, kuris pakeičia bet kurią iš to. Perdavimą traktuokite kaip auditą, o ne kaip išpakavimą. Penki žemiau pateikti žingsniai yra išdėstyti tvarka ir kiekvienas turi sustojimo sąlygą; jei vienas žingsnis nepavyksta, vėlesni žingsniai negali jums nieko patikimo pasakyti apie įrenginį. Pereikite juos su maršrutizatoriumi priešais save ir nešiojamuoju kompiuteriu už jo.

1 žingsnis: perimkite administracinę įrenginio kontrolę

Raskite valdymo adresą, prisijunkite ir pakeiskite administratoriaus slaptažodį prieš prijungdami ką nors svarbaus. GL.iNet kelionių maršrutizatoriuje šis adresas yra 192.168.8.1 ir pirmojo nustatymo vedlys prašo nustatyti slaptažodį; kiti pardavėjai dokumentuoja savo adresą ir gali atsiųsti fiksuotus prisijungimo duomenis, atspausdintus etiketėje. Jei įrenginys atvyko su įjungta nuotoline pagalba ar debesų valdymu, nuspręskite dabar, ar tai liks įjungta.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Tos trys komandos atsako, kas sukūrė programinę įrangą, kuri tai versija ir kokią aparatinės įrangos reviziją jūs iš tikrųjų gavote. Įrašykite išvestį į perdavimo protokolą, nes vėlesnis pagalbos skambutis prasidės būtent tais klausimais. Maršrutizatorius, kuris atsako į SSH, bet atsisako pakeisti slaptažodį, arba neturi dokumentuoto atkūrimo kelio, nėra įrenginys, kurį galite turėti.

Sustokite čia, jei negalite gauti išskirtinės administratoriaus prieigos. Viskas po šio taško daro prielaidą, kad galite skaityti ir keisti konfigūraciją neprašydami pardavėjo.

2 žingsnis: nustatykite, kieno VPN paskyrą naudoja tunelis

Tunelis yra prenumerata kažkieno vardu, o perdavimas nėra baigtas, kol nežinote, kieno vardu. Paprašykite teikėjo, paskyros turėtojo, atnaujinimo datos ir tikslių įrenginyje įdiegtų prisijungimo duomenų. Iš anksto įkeltoji konfigūracija, kuri dalijasi vienu prisijungimo duomenų rinkiniu tarp daugybės pirkėjų, negali būti atšaukta tik jums, ir tai svarbu tą dieną, kai pardavėjas praranda jos kontrolę.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

WireGuard atveju išvestis nurodo partnerį ir paskutinio rankos paspaudimo laiką; OpenVPN atveju profilis yra po /etc/openvpn ir veikianti tarnyba rodo, kuris profilis aktyvus. Užsirašykite, ką radote, nes pakartotinis prisijungimas, tyliai naudojantis kitu galiniu tašku, yra pokytis, kurį norėsite aptikti, o ne paaiškinti.

Sustokite čia, jei paskyros negalima perduoti, atnaujinti ar atšaukti jūsų vardu. Įrenginys, kurį galite administruoti, bet negalite iš naujo paruošti, tampa plyta tą dieną, kai prenumerata baigiasi.

3 žingsnis: išėjimo vietą tikrinkite iš kliento, o ne iš maršrutizatoriaus

Šalis, atspausdinta ant dėžutės, šalis pardavėjo skelbime ir viešojo adreso šalis yra trys skirtingi faktai. Tik paskutinis veikia tai, ką mato svetainė, ir jį sukuria teikėjo galinis taškas, o ne pristatymo adresas. Patikrinimą atlikite iš nešiojamojo kompiuterio už maršrutizatoriaus, kai tunelis įjungtas, o ne iš paties maršrutizatoriaus apvalkalo.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Palyginkite tris atsakymus. Jei jie nesutampa, kažkas tarp kliento ir galinio taško perrašo arba proxina srautą, ir turėtumėte išsiaiškinti, kas tai, prieš pasikliaudami vieta. Geografinės vietos duomenų bazės yra operatorių tiekiami įverčiai, todėl sutampantis šalies kodas yra patvirtinantis įrodymas, o ne fizinio kelio įrodymas.

Sustokite čia, jei išėjimas skiriasi nuo to, dėl kurio sudarėte sutartį, arba jei atsakymas keičiasi tarp užklausų. Kintantis ar nenuoseklus išėjimas sulaužo nuo regiono priklausančias paslaugas ir padaro kiekvieną vėlesnį matavimą dviprasmišką.

4 žingsnis: užfiksuokite programinę įrangą ir atnaujinimų kanalą

Iš anksto sukonfigūruoti įrenginiai dažnai atvyksta su senesniu rinkiniu ir pardavėjo konfigūracija, sluoksniuota ant OpenWrt. Prieš priimdami bet kokį atnaujinimą, nustatykite, ar naujinimas išsaugo VPN profilį, ar pardavėjas tiekia pakaitinį profilį ir kas turėtų atlikti naujinimą. Skaitykite leidimo pastabas apie modelį, kurį iš tikrųjų turite, o ne apie modelį skelbimo nuotraukoje. Jei pardavėjas neatsako nė į vieną iš šių klausimų, laikykite atnaujinimus nepalaikomais ir užšaldykite turimą rinkinį.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Prieš ką nors keisdami, laikykite veikiančios konfigūracijos kopiją už įrenginio ribų: WireGuard raktus, OpenVPN profilį ir ugniasienės taisykles, įgyvendinančias maršrutizavimo politiką. Gamyklos atstatymas be šios kopijos pašalina būtent tą konfigūraciją, už kurią sumokėjote, ir pardavėjas gali jos nebepakartoti.

5 žingsnis: nuspręskite, ką apima tunelis ir kas nutinka, kai jis sugenda

Viso tinklo maršrutizavimas, pasirinktų įrenginių maršrutizavimas, DNS tvarkymas, IPv6 ir kill switch elgsena yra atskiri nustatymai, kuriuos sąsaja dažnai sujungia į vieną jungiklį. Tikrinkite juos po vieną, nes prijungtas maršrutizatorius įrodo tik tai, kad pats maršrutizatorius gali pasiekti galinį tašką. Išbandykite iš pasroviui esančio kliento su įjungtu tuneliu, tada dar kartą jį išjungę.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Jei IPv6 įjungtas LAN tinkle, bet nėra maršrutizuojamas į tunelį, klientai gali jam teikti pirmenybę ir visiškai palikti VPN kelią, kol IPv4 vis dar atrodo apsaugotas. Jei kill switch išjungtas, nutrūkęs tunelis grįžta į ISP kelią, ir tai yra geras pasirinkimas tik tada, kai tai padarėte tyčia. Abi sąlygos nematomos teikėjo skydelyje.

Užsirašykite pagalbos pasiskirstymą, kol jo dar nereikia. Aparatinės įrangos pardavėjas, programinės įrangos prižiūrėtojas ir VPN operatorius yra trys šalys su trimis skirtingomis atkūrimo procedūromis, o vienas kontaktas gali apimti kelis vaidmenis, bet ne visus. Perdavimas baigtas, kai galite administruoti įrenginį, atnaujinti ar atšaukti paskyrą, atkurti numatytą išėjimą, atnaujinti programinę įrangą neprarandant profilio ir tiksliai pasakyti, kas nutinka, kai tunelis nukrenta.