Урьдчилан тохируулсан VPN чиглүүлэгчийн шалгах хуудас: хүлээлцэх үед юу шалгах

Урьдчилан ачаалсан чиглүүлэгч нь өөр хэн нэгний шийдвэр аль хэдийн дотор нь шингэсэн байдалтай ирдэг: аль VPN үйлчилгээнд холбогддог, түүний төлбөрийг хэний бүртгэл төлдөг, ямар урсгалыг барьж авдаг, тэдгээрийн аль нэгийг өөрчилдөг нууц үгийг хэн барьдаг. Хүлээлцэхийг задлах биш, аудит гэж үзээрэй. Доорх таван алхам дараалалтай бөгөөд тус бүр зогсох нөхцөлтэй; нэг алхам бүтэлгүйтвэл дараагийн алхмууд төхөөрөмжийн талаар танд найдвартай юу ч хэлж чадахгүй. Чиглүүлэгчийг өмнө тань, зөөврийн компьютерыг араас нь байрлуулж тэдгээрийг дамжуулан хийгээрэй.

1-р алхам: төхөөрөмжийн захиргааны хяналтыг аваарай

Удирдлагын хаягийг олж, нэвтэрч, чухал зүйлийг холбохоос өмнө администраторын нууц үгийг солино уу. GL.iNet аяллын чиглүүлэгчид тэр хаяг нь 192.168.8.1 бөгөөд эхний тохиргооны шидтэн нууц үгийг тавихыг хүснэ; бусад худалдагчид өөрсдийн хаягийг баримтжуулж, шошгон дээр хэвлэсэн тогтмол нэвтрэх мэдээллийг илгээж болно. Хэрэв төхөөрөмж алсын дэмжлэг эсвэл үүлэн удирдлага идэвхтэй байдалтай ирсэн бол энэ нь идэвхтэй үлдэх эсэхийг одоо шийдээрэй.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Тэр гурван команд нь firmware-г хэн бүтээсэн, ямар хувилбар болох, та бодитоор ямар техник хангамжийн хувилбар авснаа хариулдаг. Гаралтыг хүлээлцэх протоколд бичээрэй, учир нь дараагийн дэмжлэгийн дуудлага яг тэр асуултуудаас эхэлнэ. SSH-д хариулдаг боловч нууц үг солихоос татгалздаг, эсвэл баримтжуулсан сэргээх замгүй чиглүүлэгч нь таны эзэмшиж болох төхөөрөмж биш юм.

Хэрэв та онцгой админ нэвтрэх эрх авч чадахгүй бол энд зогсоорой. Энэ цэгийн дараах бүхэн та худалдагчаас асуулгүйгээр тохиргоог уншиж, өөрчилж чадна гэж үздэг.

2-р алхам: туннель хэний VPN бүртгэлийг ашигладаг болохыг тодорхойлоорой

Туннель бол хэн нэгний нэр дээрх захиалга бөгөөд хэний нэр дээр байгааг мэдэх хүртэл хүлээлцэх бүрэн биш. Үйлчилгээ үзүүлэгч, бүртгэл эзэмшигч, сунгах огноо болон төхөөрөмжид суулгасан яг нэвтрэх мэдээллийг шаардаарай. Олон худалдан авагчийн хооронд нэг нэвтрэх мэдээллийг хуваалцдаг урьдчилан ачаалсан тохиргоог зөвхөн танд зориулж цуцалж болохгүй бөгөөд худалдагч түүний хяналтыг алддаг өдөр энэ нь чухал.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

WireGuard-д гаралт нь хамтрагч болон сүүлчийн гар барих цагийг нэрлэдэг; OpenVPN-д профайл /etc/openvpn доор байрладаг бөгөөд ажиллаж буй үйлчилгээ аль профайл идэвхтэйг харуулна. Олсон зүйлээ тэмдэглээрэй, учир нь өөр төгсгөлийн цэгийг чимээгүй ашиглах дахин холболт нь тайлбарлах биш, илрүүлэхийг хүсэх өөрчлөлт юм.

Хэрэв бүртгэлийг таны нэр дээр шилжүүлэх, сунгах, цуцлах боломжгүй бол энд зогсоорой. Удирдаж болох боловч дахин бэлтгэж чадахгүй төхөөрөмж захиалга дуусах өдөр тоосго болно.

3-р алхам: гарах байршлыг чиглүүлэгчээс биш, клиентээс шалгаарай

Хайрцаг дээр хэвлэсэн улс, худалдагчийн зар дээрх улс, нийтийн хаягийн улс нь гурван өөр баримт. Зөвхөн сүүлчийнх нь вэбсайт юу хардагт нөлөөлдөг бөгөөд үүнийг хүргэлтийн хаяг биш, үйлчилгээ үзүүлэгчийн төгсгөлийн цэг үүсгэдэг. Шалгалтыг туннель асаалттай байхад чиглүүлэгчийн ард байгаа зөөврийн компьютерээс хийгээрэй, чиглүүлэгчийн өөрийн бүрхүүлээс биш.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Гурван хариултыг харьцуулаарай. Хэрэв тэд таарахгүй бол клиент болон төгсгөлийн цэгийн хооронд ямар нэг зүйл урсгалыг дахин бичиж эсвэл прокси хийж байна, байршилд найдахын өмнө энэ юу болохыг мэдэх хэрэгтэй. Гео байршлын өгөгдлийн сангууд нь операторуудын нийлүүлдэг тооцоо тул тохирох улсын код нь физик замын баталгаа биш, дэмжих нотолгоо юм.

Хэрэв гарах нь таны гэрээлсэнээс өөр бол, эсвэл хариулт асуултуудын хооронд өөрчлөгдвөл энд зогсоорой. Эргэлддэг эсвэл тогтворгүй гарах нь бүс нутгаас хамааралтай үйлчилгээг эвдэж, дараагийн хэмжилт бүрийг хоёрдмол утгатай болгодог.

4-р алхам: firmware болон шинэчлэлтийн сувгийг бэхлээрэй

Урьдчилан тохируулсан төхөөрөмжүүд ихэвчлэн хуучин бүтээц болон OpenWrt дээр давхарласан худалдагчийн тохиргоотой ирдэг. Аливаа шинэчлэлтийг хүлээн авахаас өмнө шинэчлэлт VPN профайлыг хадгалж байгаа эсэх, худалдагч орлуулах профайл нийлүүлж байгаа эсэх, шинэчлэлтийг хэн хийх ёстойг тодорхойлоорой. Зар сурталчилгааны зураг дээрх загвар биш, таны бодитоор эзэмшиж буй загварын хувилбарын тэмдэглэлийг уншаарай. Хэрэв худалдагч эдгээр асуултын аль нэгэнд ч хариулахгүй бол шинэчлэлтийг дэмжлэггүй гэж үзэж, одоо байгаа бүтээцийг царцаагаарай.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Ямар нэг зүйлийг өөрчлөхөөс өмнө ажиллаж буй тохиргооны хуулбарыг төхөөрөмжийн гадна хадгалаарай: WireGuard түлхүүрүүд, OpenVPN профайл, маршрутжуулалтын бодлогыг хэрэгжүүлдэг галт ханын дүрмүүд. Тэр хуулбаргүйгээр үйлдвэрийн тохиргоо руу буцаах нь таны төлсөн тохиргоог яг арилгаж, худалдагч түүнийг дахин олгож магадгүй.

5-р алхам: туннель юуг хамарч, бүтэлгүйтэхэд юу болохыг шийдээрэй

Бүх сүлжээний маршрутжуулалт, сонгосон төхөөрөмжийн маршрутжуулалт, DNS боловсруулалт, IPv6 болон kill switch-ийн зан төлөв нь интерфэйс ихэвчлэн нэг унтраалгад нэгтгэдэг тусдаа тохиргоо юм. Тэдгээрийг нэг нэгээр нь шалгаарай, учир нь холбогдсон чиглүүлэгч нь зөвхөн чиглүүлэгч өөрөө төгсгөлийн цэгт хүрч чадна гэдгийг нотолдог. Туннель асаалттай байхад доод урсгалын клиентээс туршаад, дараа нь унтрааж дахин туршаарай.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Хэрэв IPv6 нь LAN дээр идэвхтэй боловч туннель рүү чиглүүлэгдэхгүй бол клиентүүд түүнийг илүүд үзэж, VPN замыг бүрэн орхиж болох бөгөөд IPv4 хараахан хамгаалагдсан мэт харагдана. Хэрэв kill switch унтарсан бол тасарсан туннель ISP-ийн зам руу буцаж, энэ нь та үүнийг санаатайгаар хийсэн тохиолдолд л сайн сонголт юм. Хоёр нөхцөл хоёулаа үйлчилгээ үзүүлэгчийн хяналтын самбараас үл үзэгдэх юм.

Дэмжлэгийн хуваарилалтыг хэрэгтэй болохоос өмнө бичээрэй. Техник хангамжийн худалдагч, firmware-ийн засварчин, VPN оператор нь өөр өөр гурван сэргээх журамтай гурван тал бөгөөд нэг холбоо барих нь хэд хэдэн үүргийг хамарч болох ч бүгдийг нь биш. Төхөөрөмжийг удирдаж, бүртгэлийг сунгаж эсвэл цуцалж, зорьсон гарахыг дахин үүсгэж, профайлыг алдалгүйгээр firmware-г шинэчилж, туннель унах үед яг юу болохыг хэлж чаддаг бол хүлээлцэх дууссан.