Iepriekš konfigurēta VPN maršrutētāja kontrolsaraksts: kas jāpārbauda nodošanas laikā

Iepriekš ielādēts maršrutētājs pienāk ar kāda cita lēmumiem jau iekšā ieceptiem: pie kura VPN pakalpojuma tas pieslēdzas, kura konts par to maksā, kādu satiksmi tas notver un kam pieder parole, kas maina jebko no tā. Uztveriet nodošanu kā auditu, nevis kā izpakošanu. Pieci turpmāk minētie soļi ir sakārtoti, un katram ir apstāšanās nosacījums; ja kāds solis neizdodas, vēlākie soļi nevar jums pastāstīt neko uzticamu par ierīci. Izejiet tiem cauri ar maršrutētāju jums priekšā un klēpjdatoru aiz tā.

1. solis: pārņemiet ierīces administratīvo kontroli

Atrodiet pārvaldības adresi, piesakieties un nomainiet administratora paroli pirms jebko svarīga pievienošanas. GL.iNet ceļojumu maršrutētājā šī adrese ir 192.168.8.1 un pirmās iestatīšanas vednis lūdz iestatīt paroli; citi pārdevēji dokumentē savu adresi un var piegādāt etiķetē iespiestus fiksētus pieteikšanās datus. Ja ierīce ir pienākusi ar iespējotu attālo atbalstu vai mākoņpārvaldību, izlemiet tagad, vai tas paliek iespējots.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Šīs trīs komandas atbild, kas izveidoja programmaparatūru, kura versija tā ir un kādu aparatūras revīziju jūs faktiski saņēmāt. Ierakstiet izvadi nodošanas protokolā, jo vēlāks atbalsta zvans sāksies tieši ar šiem jautājumiem. Maršrutētājs, kas atbild uz SSH, bet atsakās mainīt paroli, vai kuram nav dokumentēta atjaunošanas ceļa, nav ierīce, kuru jūs varat piederēt.

Apstājieties šeit, ja nevarat iegūt ekskluzīvu administratora piekļuvi. Viss pēc šī punkta pieņem, ka varat lasīt un mainīt konfigurāciju, nejautājot pārdevējam.

2. solis: noskaidrojiet, kura VPN kontu izmanto tunelis

Tunelis ir abonements kāda vārdā, un nodošana nav pabeigta, kamēr nezināt, kura vārdā. Pieprasiet pakalpojumu sniedzēju, konta turētāju, atjaunināšanas datumu un precīzus ierīcē instalētos pieteikšanās datus. Iepriekš ielādētu konfigurāciju, kas dala vienus pieteikšanās datus starp daudziem pircējiem, nevar atsaukt tikai jums, un tas ir svarīgi tajā dienā, kad pārdevējs zaudē kontroli pār to.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

WireGuard gadījumā izvade nosauc partneri un pēdējā rokasspiediena laiku; OpenVPN gadījumā profils atrodas zem /etc/openvpn un darbojošais pakalpojums parāda, kurš profils ir aktīvs. Pierakstiet, ko atrodat, jo atkārtots savienojums, kas klusi izmanto citu galapunktu, ir izmaiņa, kuru jūs gribēsiet atklāt, nevis izskaidrot.

Apstājieties šeit, ja kontu nevar nodot, atjaunot vai atsaukt jūsu vārdā. Ierīce, kuru varat pārvaldīt, bet nevarat no jauna sagatavot, kļūst par ķieģeli tajā dienā, kad abonements beidzas.

3. solis: pārbaudiet izejas atrašanās vietu no klienta, nevis no maršrutētāja

Valsts, kas iespiesta uz kastes, valsts pārdevēja sludinājumā un publiskās adreses valsts ir trīs dažādi fakti. Tikai pēdējais ietekmē to, ko redz vietne, un to rada pakalpojumu sniedzēja galapunkts, nevis piegādes adrese. Pārbaudi veiciet no klēpjdatora aiz maršrutētāja ar ieslēgtu tuneli, nevis no paša maršrutētāja čaulas.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Salīdziniet trīs atbildes. Ja tās nesakrīt, kaut kas starp klientu un galapunktu pārraksta vai proxy satiksmi, un jums vajadzētu noskaidrot, kas tas ir, pirms paļauties uz atrašanās vietu. Ģeolokācijas datubāzes ir operatoru piegādātas aplēses, tāpēc atbilstošs valsts kods ir apstiprinošs pierādījums, nevis fiziska ceļa pierādījums.

Apstājieties šeit, ja izeja atšķiras no tās, par kuru noslēdzāt līgumu, vai ja atbilde mainās starp vaicājumiem. Rotējoša vai nekonsekventa izeja salauž no reģiona atkarīgus pakalpojumus un padara katru vēlāko mērījumu neviennozīmīgu.

4. solis: nofiksējiet programmaparatūru un atjauninājumu kanālu

Iepriekš konfigurētas ierīces bieži pienāk ar vecāku būvējumu un pārdevēja konfigurāciju, kas uzklāta virs OpenWrt. Pirms piekrītat jebkuram atjauninājumam, nosakiet, vai jauninājums saglabā VPN profilu, vai pārdevējs piegādā aizvietojošu profilu un kam ir jāveic jauninājums. Lasiet izlaiduma piezīmes par modeli, kas jums tiešām ir, nevis par modeli sludinājuma fotoattēlā. Ja pārdevējs neatbild ne uz vienu no šiem jautājumiem, uzskatiet atjauninājumus par neatbalstītiem un iesaldējiet esošo būvējumu.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Pirms kaut ko maināt, glabājiet strādājošas konfigurācijas kopiju ārpus ierīces: WireGuard atslēgas, OpenVPN profilu un ugunsmūra noteikumus, kas īsteno maršrutēšanas politiku. Rūpnīcas atiestatīšana bez šīs kopijas noņem tieši to konfigurāciju, par kuru jūs samaksājāt, un pārdevējs to var arī vairs neizsniegt.

5. solis: izlemiet, ko tunelis aptver un kas notiek, kad tas neizdodas

Visa tīkla maršrutēšana, atlasīto ierīču maršrutēšana, DNS apstrāde, IPv6 un kill switch uzvedība ir atsevišķi iestatījumi, ko saskarne bieži savelk vienā slēdžā. Pārbaudiet tos pa vienam, jo pievienots maršrutētājs pierāda tikai to, ka pats maršrutētājs var sasniegt galapunktu. Pārbaudiet no lejupstraumes klienta ar ieslēgtu tuneli un pēc tam vēlreiz to izslēdzot.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Ja IPv6 ir iespējots LAN tīklā, bet netiek maršrutēts tunelī, klienti var to dot priekšroku un pilnībā pamest VPN ceļu, kamēr IPv4 joprojām izskatās aizsargāts. Ja kill switch ir izslēgts, pārtraukts tunelis atgriežas ISP ceļā, un tas ir labs risinājums tikai tad, ja jūs to izdarījāt apzināti. Abi nosacījumi nav redzami pakalpojumu sniedzēja panelī.

Pierakstiet atbalsta sadalījumu, pirms tas jums vajadzīgs. Aparatūras pārdevējs, programmaparatūras uzturētājs un VPN operators ir trīs puses ar trim dažādām atjaunošanas procedūrām, un viens kontakts var aptvert vairākas lomas, bet ne visas. Nodošana ir pabeigta, kad varat pārvaldīt ierīci, atjaunot vai atsaukt kontu, reproducēt paredzēto izeju, atjaunināt programmaparatūru, nezaudējot profilu, un precīzi pateikt, kas notiek, kad tunelis nokrīt.