Контролна листа за однапред конфигуриран VPN рутер: што да се провери при предавање

Однапред вчитаниот рутер пристигнува со одлуките на некој друг веќе вградени внатре: на кој VPN сервис се поврзува, чија сметка плаќа за него, каков сообраќај фаќа и кој ја држи лозинката што менува било што од тоа. Третирајте го предавањето како ревизија, а не како отпакување. Петте чекори подолу се подредени и секој има услов за запирање; ако еден чекор не успее, подоцнежните чекори не можат да ви кажат ништо веродостојно за уредот. Поминете ги со рутерот пред вас и лаптоп зад него.

Чекор 1: преземете административна контрола над уредот

Најдете ја адресата за управување, најавете се и сменете ја администраторската лозинка пред да поврзете нешто важно. На GL.iNet патнички рутер таа адреса е 192.168.8.1 и волшебникот за прво поставување бара да поставите лозинка; други продавачи ја документираат својата адреса и може да испорачаат фиксни акредитиви испечатени на етикетата. Ако уредот пристигнал со овозможена далечинска поддршка или облачно управување, одлучете сега дали тоа останува.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Тие три команди одговараат кој го изградил фирмверот, кое издание е и која хардверска ревизија всушност ја добивте. Запишете го излезот во протоколот за предавање, бидејќи подоцнежниот повик за поддршка ќе започне токму со тие прашања. Рутер што одговара на SSH, но одбива промена на лозинка, или нема документиран пат за обновување, не е уред што можете да го поседувате.

Запрете овде ако не можете да добиете ексклузивен администраторски пристап. Сето по оваа точка претпоставува дека можете да ја читате и менувате конфигурацијата без да го прашате продавачот.

Чекор 2: утврдете чија VPN сметка ја користи тунелот

Тунелот е претплата на нечие име и предавањето не е целосно додека не знаете на чие. Побарајте го давателот, сопственикот на сметката, датумот на обновување и точните акредитиви инсталирани на уредот. Однапред вчитаната конфигурација што дели едни акредитиви меѓу многу купувачи не може да се отповика само за вас, а тоа е важно во денот кога продавачот ќе ја изгуби контролата врз неа.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

На WireGuard излезот го именува партнерот и времето на последното ракување; на OpenVPN профилот се наоѓа под /etc/openvpn и сервисот што работи покажува кој профил е активен. Запишете што најдовте, бидејќи повторното поврзување што тивко користи друга крајна точка е промена што ќе сакате да ја откриете, а не да ја објасните.

Запрете овде ако сметката не може да се пренесе, обнови или отповика на ваше име. Уред што можете да го администрирате, но не можете повторно да го подготвите, станува тула во денот кога претплатата истекува.

Чекор 3: тестирајте ја излезната локација од клиент, не од рутерот

Земјата испечатена на кутијата, земјата во огласот на продавачот и земјата на јавната адреса се три различни факти. Само последната влијае на тоа што гледа веб-страницата, и ја создава крајната точка на давателот, а не адресата за испорака. Проверката изведете ја од лаптоп зад рутерот со вклучен тунел, а не од сопствената обвивка на рутерот.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Споредете ги трите одговори. Ако не се совпаѓаат, нешто помеѓу клиентот и крајната точка го препишува или проксира сообраќајот, и треба да откриете што е тоа пред да се потпрете на локацијата. Базите на геолокација се проценки што ги хранат операторите, затоа совпаѓачкиот код на земја е поткрепнувачки доказ, а не доказ за физичка патека.

Запрете овде ако излезот се разликува од оној за кој склучивте договор, или ако одговорот се менува меѓу прашањата. Ротирачки или непостојан излез ги крши услугите зависни од регионот и го прави секое подоцнежно мерење двосмислено.

Чекор 4: закачете го фирмверот и каналот за ажурирања

Однапред конфигурираните уреди често пристигнуваат со постара изградба и конфигурација на продавачот слоена врз OpenWrt. Пред да прифатите какво било ажурирање, утврдете дали надградбата го зачувува VPN профилот, дали продавачот доставува замена профил и кој треба да ја изврши надградбата. Читајте ги белешките за изданието за моделот што навистина го имате, не за моделот на фотографијата од огласот. Ако продавачот не одговори на ниту едно од тие прашања, третирајте ги ажурирањата како неподдржани и замрзнете ја изградбата што ја имате.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Чувајте копија од работната конфигурација надвор од уредот пред да промените нешто: клучевите на WireGuard, профилот на OpenVPN и правилата на огнениот ѕид што ја спроведуваат политиката за рутирање. Фабричко ресетирање без таа копија го отстранува точно онаа конфигурација за која плативте, а продавачот може да не ја издаде повторно.

Чекор 5: одлучете што покрива тунелот и што се случува при неуспех

Рутирањето на целата мрежа, рутирањето на избраните уреди, ракувањето со DNS, IPv6 и однесувањето на kill switch се одделни поставки што интерфејсот често ги спојува во еден прекинувач. Проверувајте ги една по една, бидејќи поврзаниот рутер докажува само дека самиот рутер може да ја достигне крајната точка. Тестирајте од клиент низводно со вклучен тунел, потоа повторно со исклучен.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Ако IPv6 е овозможен на LAN, но не се рутира во тунелот, клиентите може да го претпочитаат и целосно да ја напуштат VPN патеката, додека IPv4 изгледа заштитен. Ако kill switch е исклучен, паднатиот тунел се враќа на ISP патеката, што е добар избор само кога го направивте намерно. Двата услови се невидливи од панелот на давателот.

Запишете ја поделбата на поддршката пред да ви треба. Продавачот на хардвер, одржувачот на фирмверот и VPN операторот се три страни со три различни постапки за обновување, и еден контакт може да покрие неколку улоги без да ги покрие сите. Предавањето е завршено кога можете да го администрирате уредот, да ја обновите или отповикате сметката, да го репродуцирате предвидениот излез, да го ажурирате фирмверот без губење на профилот и точно да кажете што се случува кога тунелот ќе падне.