Sjekkliste for ein førehandskonfigurert VPN-ruter: kva du må kontrollere ved overlevering

Ein førehandslasta ruter kjem med avgjerdene til nokon andre alt innbakte: kva VPN-teneste han ringer, kven sin konto som betaler for han, kva trafikk han fangar opp, og kven som har passordet som endrar noko av dette. Handter overleveringa som ein revisjon, ikkje som ei utpakking. Dei fem trinna nedanfor er ordna, og kvart har ein stoppbetingelse; viss eitt trinn feilar, kan dei seinare trinna ikkje fortelje deg noko påliteleg om eininga. Gå gjennom dei med ruteren framfor deg og ein berbar PC bak han.

Trinn 1: ta over den administrative kontrollen over eininga

Finn administrasjonsadressa, logg inn og endre administratorpassordet før du koplar til noko viktig. På ein GL.iNet-reiseruter er denne adressa 192.168.8.1, og rettleiaren for første oppsett ber deg oppgje passordet; andre seljarar dokumenterer si eiga adresse og kan levere faste påloggingsdata trykte på etiketten. Viss eininga kom med fjernsupport eller skyadministrasjon aktivert, må du no avgjere om det skal halde fram med å vere påslått.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Desse tre kommandoane svarar på kven som bygde fastvaren, kva utgåve det er, og kva maskinvareversjon du faktisk fekk. Skriv utdataa i overleveringsprotokollen, for ein seinare supporttelefon vil byrje med nettopp desse spørsmåla. Ein ruter som svarar på SSH, men nektar å endre passord, eller som ikkje har ein dokumentert gjenopprettingsveg, er ikkje ei eining du kan eige.

Stopp her viss du ikkje kan få eksklusiv administratortilgang. Alt etter dette punktet føreset at du kan lese og endre konfigurasjonen utan å spørje seljaren.

Trinn 2: fastslå kven sin VPN-konto tunnelen brukar

Tunnelen er eit abonnement i nokon sitt namn, og overleveringa er ikkje komplett før du veit kven sitt namn. Be om leverandøren, kontohaldaren, fornyingsdatoen og dei nøyaktige påloggingsdataa som er installerte på eininga. Ein førehandslasta konfigurasjon som deler éin pålogging mellom mange kjøparar, kan ikkje kallast tilbake berre for deg, og det tel den dagen seljaren mistar kontrollen over han.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

På WireGuard oppgjev utdataa motparten og tidspunktet for siste handtrykk; på OpenVPN ligg profilen under /etc/openvpn, og tenesta som køyrer viser kva profil som er aktiv. Noter det du finn, for ein gjenoppkopling som stille brukar eit anna endepunkt, er ei endring du vil oppdage framfor å bortforklare.

Stopp her viss kontoen ikkje kan overførast, fornyast eller kallast tilbake i ditt eige namn. Ei eining du kan administrere, men ikkje kan klargjere på nytt, blir ein murstein den dagen abonnementet går ut.

Trinn 3: test utgangsplasseringa frå ein klient, ikkje frå ruteren

Landet trykt på eska, landet i annonsen til seljaren og landet for den offentlege adressa er tre ulike fakta. Berre det siste påverkar kva eit nettstad ser, og det blir produsert av endepunktet til leverandøren, ikkje av leveringsadressa. Køyr kontrollen frå ein berbar PC bak ruteren med tunnelen oppe, ikkje frå rutaren sin eigen skal.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Samanlikn dei tre svara. Viss dei er usamde, skriv eller proxyar noko mellom klienten og endepunktet trafikken, og du bør finne ut kva før du stolar på plasseringa. Geolokaliseringsdatabasar er estimat som operatørar fôrar, så ein samsvarande landkode er støttande prov, ikkje prov for ein fysisk rute.

Stopp her viss utgangen avvik frå den du har kontrahert, eller viss svaret endrar seg mellom spørjingar. Ein roterande eller inkonsistent utgang bryt regionsavhengige tenester og gjer kvar seinare måling tvitydig.

Trinn 4: lås fastvaren og oppdateringskanalen

Førehandskonfigurerte einingar blir ofte leverte med eit eldre bygg og ein seljarkonfigurasjon lagd over OpenWrt. Før du godtek ei oppdatering, fastslå om ei oppgradering bevarar VPN-profilen, om seljaren leverer ein erstatningsprofil, og kven som er venta å utføre oppgraderinga. Les utgivingsnotata for modellen du faktisk har, ikkje for modellen på annonsebiletet. Viss seljaren ikkje svarar på nokon av desse spørsmåla, skal du handsame oppdateringar som ikkje støtta og fryse bygget du har.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Ta vare på ein kopi av den fungerande konfigurasjonen utanfor eininga før du endrar noko: WireGuard-nøklane, OpenVPN-profilen og brannmurreglane som implementerer rutingspolitikken. Ein fabrikknullstilling utan den kopien fjernar nøyaktig konfigurasjonen du betalte for, og seljaren gir han kanskje ikkje ut på nytt.

Trinn 5: avgjer kva tunnelen dekkjer og kva som skjer når han sviktar

Ruting for heile nettverket, ruting for utvalde einingar, DNS-handtering, IPv6 og kill switch-åtferd er separate innstillingar som eit grensesnitt ofte slår saman til éin brytar. Kontroller dei éin om gongen, for ein tilkopla ruter beviser berre at ruteren sjølv kan nå endepunktet. Test frå ein nedstraums klient med tunnelen oppe, og deretter igjen med han nede.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Viss IPv6 er aktivert på LAN-et, men ikkje blir ruta inn i tunnelen, kan klientar føretrekkje det og forlate VPN-vegen heilt, medan IPv4 framleis ser verna ut. Viss kill switch er av, fell ein broten tunnel tilbake til ISP-vegen, noko som berre er eit godt val når du gjorde det med vilje. Begge vilkåra er usynlege frå dashbordet til leverandøren.

Skriv ned supportfordelinga før du treng henne. Maskinvareleverandøren, fastvarevedlikehaldaren og VPN-operatøren er tre partar med tre ulike gjenopprettingsprosedyrar, og éin kontakt kan dekkje fleire rollar utan å dekkje alle. Overleveringa er ferdig når du kan administrere eininga, fornye eller kalle tilbake kontoen, gjenskape den tiltenkte utgangen, oppdatere fastvaren utan å miste profilen og seie nøyaktig kva som skjer når tunnelen fell.