Senarai semak penghala VPN yang telah dikonfigurasikan: apa yang perlu disahkan semasa penyerahan

Penghala yang dimuatkan terlebih dahulu tiba dengan keputusan orang lain sudah tertanam di dalamnya: perkhidmatan VPN mana yang didailnya, akaun siapa yang membayarnya, trafik apa yang ditangkapnya dan siapa yang memegang kata laluan yang mengubah mana-mana daripadanya. Anggap penyerahan sebagai audit, bukan sebagai pembukaan kotak. Lima langkah di bawah tersusun, dan setiap satu mempunyai syarat berhenti; jika satu langkah gagal, langkah seterusnya tidak boleh memberitahu anda apa-apa yang boleh dipercayai tentang peranti itu. Laluinya dengan penghala di hadapan anda dan komputer riba di belakangnya.

Langkah 1: ambil kawalan pentadbiran ke atas peranti

Cari alamat pengurusan, log masuk dan tukar kata laluan pentadbir sebelum anda menyambungkan apa-apa yang penting. Pada penghala perjalanan GL.iNet alamat itu ialah 192.168.8.1 dan wizard persediaan pertama meminta anda menetapkan kata laluan; penjual lain mendokumenkan alamat mereka sendiri dan mungkin menghantar kelayakan tetap yang dicetak pada label. Jika peranti tiba dengan sokongan jauh atau pengurusan awan diaktifkan, putuskan sekarang sama ada ia kekal diaktifkan.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Ketiga-tiga arahan itu menjawab siapa yang membina firmware, keluaran mana ia dan semakan perkakasan mana yang anda benar-benar terima. Tulis output itu dalam rekod penyerahan, kerana panggilan sokongan kemudian akan bermula dengan tepat soalan-soalan itu. Penghala yang menjawab SSH tetapi enggan menukar kata laluan, atau yang tiada laluan pemulihan yang didokumenkan, bukan peranti yang boleh anda miliki.

Berhenti di sini jika anda tidak boleh mendapatkan akses pentadbir eksklusif. Segala-galanya selepas titik ini menganggap anda boleh membaca dan mengubah konfigurasi tanpa bertanya kepada penjual.

Langkah 2: tentukan akaun VPN siapa yang digunakan oleh terowong

Terowong ialah langganan atas nama seseorang, dan penyerahan tidak lengkap sehingga anda tahu atas nama siapa. Minta penyedia, pemegang akaun, tarikh pembaharuan dan kelayakan tepat yang dipasang pada peranti. Konfigurasi yang dimuatkan terlebih dahulu yang berkongsi satu kelayakan antara banyak pembeli tidak boleh dibatalkan untuk anda sahaja, dan itu penting pada hari penjual kehilangan kawalan ke atasnya.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

Pada WireGuard output menamakan rakan dan masa jabat tangan terakhir; pada OpenVPN profil berada di bawah /etc/openvpn dan perkhidmatan yang berjalan menunjukkan profil mana yang aktif. Catat apa yang anda temui, kerana penyambungan semula yang diam-diam menggunakan titik akhir lain ialah perubahan yang anda mahu kesan, bukan jelaskan.

Berhenti di sini jika akaun tidak boleh dipindahkan, diperbaharui atau dibatalkan atas nama anda sendiri. Peranti yang boleh anda urus tetapi tidak boleh anda sediakan semula menjadi bata pada hari langganan tamat.

Langkah 3: uji lokasi keluar dari klien, bukan dari penghala

Negara yang dicetak pada kotak, negara dalam iklan penjual dan negara alamat awam ialah tiga fakta berbeza. Hanya yang terakhir mempengaruhi apa yang dilihat oleh laman web, dan ia dihasilkan oleh titik akhir penyedia, bukan oleh alamat penghantaran. Jalankan semakan dari komputer riba di belakang penghala dengan terowong diaktifkan, bukan dari shell penghala itu sendiri.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Bandingkan ketiga-tiga jawapan. Jika ia tidak sepadan, sesuatu antara klien dan titik akhir sedang menulis semula atau memproksi trafik, dan anda harus mengetahui apa sebelum bergantung pada lokasi itu. Pangkalan data geolokasi ialah anggaran yang dibekalkan oleh pengendali, jadi kod negara yang sepadan ialah bukti sokongan, bukan bukti laluan fizikal.

Berhenti di sini jika keluar berbeza daripada yang anda kontrakkan, atau jika jawapan berubah antara pertanyaan. Keluar yang berputar atau tidak konsisten merosakkan perkhidmatan bergantung wilayah dan menjadikan setiap pengukuran kemudian samar-samar.

Langkah 4: pin firmware dan saluran kemas kini

Peranti yang telah dikonfigurasikan sering tiba dengan binaan lebih lama dan konfigurasi penjual yang dilapisi di atas OpenWrt. Sebelum menerima sebarang kemas kini, tentukan sama ada peningkatan mengekalkan profil VPN, sama ada penjual membekalkan profil pengganti dan siapa yang dijangka melakukan peningkatan itu. Baca nota keluaran untuk model yang benar-benar anda miliki, bukan untuk model dalam foto iklan. Jika penjual tidak menjawab mana-mana soalan itu, anggap kemas kini sebagai tidak disokong dan bekukan binaan yang anda miliki.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Simpan salinan konfigurasi yang berfungsi di luar peranti sebelum anda mengubah apa-apa: kunci WireGuard, profil OpenVPN dan peraturan firewall yang melaksanakan dasar penghalaan. Set semula kilang tanpa salinan itu membuang tepat konfigurasi yang anda bayar, dan penjual mungkin tidak mengeluarkannya semula.

Langkah 5: putuskan apa yang diliputi terowong dan apa yang berlaku apabila ia gagal

Penghalaan seluruh rangkaian, penghalaan peranti terpilih, pengendalian DNS, IPv6 dan tingkah laku kill switch ialah tetapan berasingan yang sering digabungkan oleh antara muka menjadi satu togol. Periksa satu demi satu, kerana penghala yang bersambung hanya membuktikan bahawa penghala itu sendiri boleh mencapai titik akhir. Uji dari klien hiliran dengan terowong diaktifkan, kemudian sekali lagi dengan terowong dimatikan.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Jika IPv6 diaktifkan pada LAN tetapi tidak dihalakan ke dalam terowong, klien mungkin lebih suka dan meninggalkan laluan VPN sepenuhnya sementara IPv4 masih kelihatan dilindungi. Jika kill switch dimatikan, terowong yang terputus kembali ke laluan ISP, yang merupakan pilihan baik hanya apabila anda melakukannya dengan sengaja. Kedua-dua keadaan tidak kelihatan dari papan pemuka penyedia.

Tulis pembahagian sokongan sebelum anda memerlukannya. Penjual perkakasan, penyelia firmware dan pengendali VPN ialah tiga pihak dengan tiga prosedur pemulihan berbeza, dan satu kenalan mungkin meliputi beberapa peranan tanpa meliputi semuanya. Penyerahan selesai apabila anda boleh mentadbir peranti, memperbaharui atau membatalkan akaun, menghasilkan semula keluar yang dimaksudkan, mengemas kini firmware tanpa kehilangan profil dan mengatakan dengan tepat apa yang berlaku apabila terowong terputus.