Sjekkliste for en forhåndskonfigurert VPN-ruter: hva du må kontrollere ved overlevering

En forhåndslastet ruter kommer med noen andres beslutninger allerede bakt inn: hvilken VPN-tjeneste den ringer, hvis konto som betaler for den, hvilken trafikk den fanger opp, og hvem som har passordet som endrer noe av dette. Behandle overleveringen som en revisjon, ikke som en utpakking. De fem trinnene nedenfor er ordnet, og hvert har en stoppbetingelse; hvis ett trinn feiler, kan de senere trinnene ikke fortelle deg noe pålitelig om enheten. Gå gjennom dem med ruteren foran deg og en bærbar PC bak den.

Trinn 1: overta den administrative kontrollen over enheten

Finn administrasjonsadressen, logg inn og endre administratorpassordet før du kobler til noe viktig. På en GL.iNet-reiseruter er denne adressen 192.168.8.1, og veiviseren for første oppsett ber deg angi passordet; andre selgere dokumenterer sin egen adresse og kan levere faste påloggingsdata trykt på etiketten. Hvis enheten ankom med fjernsupport eller skyadministrasjon aktivert, må du nå avgjøre om det skal forbli slått på.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Disse tre kommandoene svarer på hvem som bygde fastvaren, hvilken utgivelse det er, og hvilken maskinvareversjon du faktisk mottok. Skriv utdataene i overleveringsprotokollen, for en senere supporttelefon vil begynne med nøyaktig disse spørsmålene. En ruter som svarer på SSH, men nekter å endre passord, eller som ikke har en dokumentert gjenopprettingsvei, er ikke en enhet du kan eie.

Stopp her hvis du ikke kan få eksklusiv administratortilgang. Alt etter dette punktet forutsetter at du kan lese og endre konfigurasjonen uten å spørre selgeren.

Trinn 2: fastslå hvis VPN-konto tunnelen bruker

Tunnelen er et abonnement i noens navn, og overleveringen er ikke komplett før du vet hvis navn. Be om leverandøren, kontohaveren, fornyelsesdatoen og de nøyaktige påloggingsdataene som er installert på enheten. En forhåndslastet konfigurasjon som deler én pålogging blant mange kjøpere, kan ikke tilbakekalles bare for deg, og det betyr noe den dagen selgeren mister kontrollen over den.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

På WireGuard oppgir utdataene motparten og tidspunktet for siste håndtrykk; på OpenVPN ligger profilen under /etc/openvpn, og tjenesten som kjører viser hvilken profil som er aktiv. Noter det du finner, for en gjenoppkobling som stille bruker et annet endepunkt, er en endring du vil oppdage fremfor å bortforklare.

Stopp her hvis kontoen ikke kan overføres, fornyes eller tilbakekalles i ditt eget navn. En enhet du kan administrere, men ikke kan klargjøre på nytt, blir en murstein den dagen abonnementet utløper.

Trinn 3: test utgangsplasseringen fra en klient, ikke fra ruteren

Landet trykt på esken, landet i selgerens annonse og landet for den offentlige adressen er tre forskjellige fakta. Bare det siste påvirker hva et nettsted ser, og det produseres av leverandørens endepunkt, ikke av leveringsadressen. Kjør kontrollen fra en bærbar PC bak ruteren med tunnelen oppe, ikke fra ruterens egen skal.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Sammenlign de tre svarene. Hvis de er uenige, skriver eller proxyer noe mellom klienten og endepunktet trafikken, og du bør finne ut hva før du stoler på plasseringen. Geolokaliseringsdatabaser er estimater som operatører fôrer, så en samsvarende landkode er støttende bevis, ikke bevis for en fysisk rute.

Stopp her hvis utgangen avviker fra den du har kontrahert, eller hvis svaret endrer seg mellom spørringer. En roterende eller inkonsistent utgang bryter regionsavhengige tjenester og gjør hver senere måling tvetydig.

Trinn 4: lås fastvaren og oppdateringskanalen

Forhåndskonfigurerte enheter leveres ofte med et eldre bygg og en selgerkonfigurasjon lagt over OpenWrt. Før du godtar en oppdatering, fastslå om en oppgradering bevarer VPN-profilen, om selgeren leverer en erstatningsprofil, og hvem som forventes å utføre oppgraderingen. Les utgivelsesnotatene for modellen du faktisk har, ikke for modellen på annonsebildet. Hvis selgeren ikke svarer på noen av disse spørsmålene, skal du behandle oppdateringer som ikke støttet og fryse bygget du har.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Ta vare på en kopi av den fungerende konfigurasjonen utenfor enheten før du endrer noe: WireGuard-nøklene, OpenVPN-profilen og brannmurreglene som implementerer rutingpolitikken. En fabrikknullstilling uten den kopien fjerner nøyaktig konfigurasjonen du betalte for, og selgeren gir den kanskje ikke ut på nytt.

Trinn 5: avgjør hva tunnelen dekker og hva som skjer når den svikter

Ruting for hele nettverket, ruting for utvalgte enheter, DNS-håndtering, IPv6 og kill switch-oppførsel er separate innstillinger som et grensesnitt ofte slår sammen til én bryter. Kontroller dem én om gangen, for en tilkoblet ruter beviser bare at ruteren selv kan nå endepunktet. Test fra en nedstrøms klient med tunnelen oppe, og deretter igjen med den nede.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Hvis IPv6 er aktivert på LAN-et, men ikke rutes inn i tunnelen, kan klienter foretrekke det og forlate VPN-veien helt, mens IPv4 fortsatt ser beskyttet ut. Hvis kill switch er av, faller en brutt tunnel tilbake til ISP-veien, noe som bare er et godt valg når du gjorde det med vilje. Begge betingelsene er usynlige fra leverandørens dashbord.

Skriv ned supportfordelingen før du trenger den. Maskinvareleverandøren, fastvarevedlikeholderen og VPN-operatøren er tre parter med tre forskjellige gjenopprettingsprosedyrer, og én kontakt kan dekke flere roller uten å dekke alle. Overleveringen er ferdig når du kan administrere enheten, fornye eller tilbakekalle kontoen, gjenskape den tiltenkte utgangen, oppdatere fastvaren uten å miste profilen og si nøyaktig hva som skjer når tunnelen faller.