Checklist voor een vooraf geconfigureerde VPN-router: wat je bij de overdracht moet controleren

Een vooraf geladen router arriveert met de beslissingen van iemand anders al ingebakken: welke VPN-dienst hij belt, wiens account ervoor betaalt, welk verkeer hij onderschept en wie het wachtwoord heeft dat daar iets aan verandert. Behandel de overdracht als een audit, niet als een uitpakpartij. De vijf stappen hieronder zijn geordend en elk heeft een stopvoorwaarde; als één stap mislukt, kunnen de latere stappen je niets betrouwbaars over het apparaat vertellen. Doorloop ze met de router voor je en een laptop erachter.

Stap 1: neem de administratieve controle over het apparaat over

Zoek het beheeradres, log in en wijzig het beheerderswachtwoord voordat je iets belangrijks aansluit. Op een GL.iNet-reisrouter is dat adres 192.168.8.1 en vraagt de wizard voor de eerste installatie je om het wachtwoord in te stellen; andere verkopers documenteren hun eigen adres en kunnen vaste inloggegevens meeleveren die op het etiket zijn gedrukt. Als het apparaat is aangekomen met externe ondersteuning of cloudbeheer ingeschakeld, beslis dan nu of dat aan blijft.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Die drie opdrachten beantwoorden wie de firmware heeft gebouwd, welke versie het is en welke hardware-revisie je werkelijk hebt ontvangen. Schrijf de uitvoer in het overdrachtsverslag, want een later supportgesprek begint precies met die vragen. Een router die SSH beantwoordt maar een wachtwoordwijziging weigert, of die geen gedocumenteerd herstelpad heeft, is geen apparaat dat je kunt bezitten.

Stop hier als je geen exclusieve beheerderstoegang kunt krijgen. Alles na dit punt veronderstelt dat je de configuratie kunt lezen en wijzigen zonder de verkoper te vragen.

Stap 2: stel vast wiens VPN-account de tunnel gebruikt

De tunnel is een abonnement op iemands naam, en de overdracht is niet compleet tot je weet op wiens naam. Vraag de provider, de accounthouder, de verlengdatum en de exacte inloggegevens die op het apparaat zijn geïnstalleerd. Een vooraf geladen configuratie die één inloggegeven onder veel kopers deelt, kan niet alleen voor jou worden ingetrokken, en dat telt op de dag dat de verkoper de controle erover verliest.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

Bij WireGuard noemt de uitvoer de peer en het tijdstip van de laatste handshake; bij OpenVPN staat het profiel onder /etc/openvpn en laat de draaiende dienst zien welk profiel actief is. Noteer wat je vindt, want een herverbinding die stilzwijgend een ander eindpunt gebruikt, is een wijziging die je wilt opsporen in plaats van weg te verklaren.

Stop hier als het account niet op jouw naam kan worden overgedragen, verlengd of ingetrokken. Een apparaat dat je kunt beheren maar niet opnieuw kunt inrichten, wordt een baksteen op de dag dat het abonnement afloopt.

Stap 3: test de exitlocatie vanaf een client, niet vanaf de router

Het land dat op de doos is gedrukt, het land in de advertentie van de verkoper en het land van het openbare adres zijn drie verschillende feiten. Alleen het laatste beïnvloedt wat een website ziet, en het wordt geproduceerd door het eindpunt van de provider, niet door het verzendadres. Voer de controle uit vanaf een laptop achter de router met de tunnel actief, niet vanuit de eigen shell van de router.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Vergelijk de drie antwoorden. Als ze niet overeenkomen, herschrijft of proxyt iets tussen de client en het eindpunt het verkeer, en je moet uitzoeken wat voordat je op de locatie vertrouwt. Geolocatiedatabases zijn door operators gevoede schattingen, dus een overeenkomende landcode is ondersteunend bewijs en geen bewijs van een fysiek pad.

Stop hier als de exit afwijkt van degene waarvoor je hebt gecontracteerd, of als het antwoord tussen query's verandert. Een roterende of inconsistente exit breekt regiogebonden diensten en maakt elke latere meting dubbelzinnig.

Stap 4: zet de firmware en het updatekanaal vast

Vooraf geconfigureerde apparaten komen vaak met een oudere build en een verkopersconfiguratie boven op OpenWrt. Voordat je een update accepteert, stel je vast of een upgrade het VPN-profiel behoudt, of de verkoper een vervangend profiel levert en wie de upgrade moet uitvoeren. Lees de releaseopmerkingen voor het model dat je werkelijk hebt, niet voor het model op de advertentiefoto. Als de verkoper geen van die vragen beantwoordt, behandel updates dan als niet-ondersteund en bevries de build die je hebt.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Bewaar een kopie van de werkende configuratie buiten het apparaat voordat je iets wijzigt: de WireGuard-sleutels, het OpenVPN-profiel en de firewallregels die het routeringsbeleid implementeren. Een fabrieksreset zonder die kopie verwijdert precies de configuratie waarvoor je hebt betaald, en de verkoper geeft die misschien niet opnieuw uit.

Stap 5: beslis wat de tunnel dekt en wat er gebeurt als hij faalt

Routering van het hele netwerk, routering van geselecteerde apparaten, DNS-afhandeling, IPv6 en kill switch-gedrag zijn afzonderlijke instellingen die een interface vaak in één schakelaar samenvat. Controleer ze één voor één, want een verbonden router bewijst alleen dat de router zelf het eindpunt kan bereiken. Test vanaf een downstream client met de tunnel actief, en daarna opnieuw met de tunnel uit.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Als IPv6 is ingeschakeld op het LAN maar niet naar de tunnel wordt gerouteerd, kunnen clients het verkiezen en het VPN-pad helemaal verlaten, terwijl IPv4 er nog steeds beschermd uitziet. Als de kill switch uit staat, valt een weggevallen tunnel terug op het ISP-pad, wat alleen een goede keuze is als je dat met opzet deed. Beide voorwaarden zijn onzichtbaar vanaf het dashboard van de provider.

Schrijf de supportverdeling op voordat je die nodig hebt. De hardwareverkoper, de firmwarebeheerder en de VPN-operator zijn drie partijen met drie verschillende herstelprocedures, en één contact kan meerdere rollen dekken zonder ze allemaal te dekken. De overdracht is klaar wanneer je het apparaat kunt beheren, het account kunt verlengen of intrekken, de bedoelde exit kunt reproduceren, de firmware kunt bijwerken zonder het profiel te verliezen en precies kunt zeggen wat er gebeurt als de tunnel wegvalt.