Lista kontrolna dla wstępnie skonfigurowanego routera VPN: co sprawdzić przy przekazaniu

Wstępnie załadowany router przychodzi z decyzjami kogoś innego już wbudowanymi: do której usługi VPN się łączy, czyje konto za to płaci, jaki ruch przechwytuje i kto trzyma hasło, które zmienia którąkolwiek z tych rzeczy. Traktuj przekazanie jak audyt, a nie jak rozpakowanie. Pięć kroków poniżej jest uporządkowanych i każdy ma warunek zatrzymania; jeśli jeden krok zawiedzie, późniejsze kroki nie powiedzą ci nic pewnego o urządzeniu. Przejdź je z routerem przed sobą i laptopem za nim.

Krok 1: przejmij kontrolę administracyjną nad urządzeniem

Znajdź adres zarządzania, zaloguj się i zmień hasło administratora, zanim podłączysz coś ważnego. W routerze podróżnym GL.iNet ten adres to 192.168.8.1, a kreator pierwszej konfiguracji prosi o ustawienie hasła; inni sprzedawcy dokumentują własny adres i mogą dostarczyć stałe dane logowania wydrukowane na etykiecie. Jeśli urządzenie przyszło z włączonym wsparciem zdalnym lub zarządzaniem w chmurze, zdecyduj teraz, czy to zostaje.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Te trzy polecenia odpowiadają, kto zbudował firmware, która to wersja i jaką rewizję sprzętową faktycznie otrzymałeś. Zapisz wynik w protokole przekazania, bo późniejsza rozmowa z pomocą techniczną zacznie się dokładnie od tych pytań. Router, który odpowiada na SSH, ale odmawia zmiany hasła, albo nie ma udokumentowanej ścieżki odzyskiwania, nie jest urządzeniem, które możesz posiadać.

Zatrzymaj się tutaj, jeśli nie możesz uzyskać wyłącznego dostępu administratora. Wszystko po tym punkcie zakłada, że możesz czytać i zmieniać konfigurację bez pytania sprzedawcy.

Krok 2: ustal, czyjego konta VPN używa tunel

Tunel to subskrypcja na czyjeś nazwisko, a przekazanie nie jest kompletne, dopóki nie wiesz, na czyje. Poproś o dostawcę, posiadacza konta, datę odnowienia i dokładne dane logowania zainstalowane na urządzeniu. Wstępnie załadowanej konfiguracji, która dzieli jedno poświadczenie między wielu kupujących, nie można unieważnić tylko dla ciebie, a to ma znaczenie w dniu, w którym sprzedawca traci nad nią kontrolę.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

W WireGuard wynik podaje peera i czas ostatniego uścisku dłoni; w OpenVPN profil znajduje się pod /etc/openvpn, a działająca usługa pokazuje, który profil jest aktywny. Zanotuj to, co znajdziesz, bo ponowne połączenie, które po cichu używa innego punktu końcowego, jest zmianą, którą będziesz chciał wykryć, a nie wytłumaczyć.

Zatrzymaj się tutaj, jeśli konta nie można przenieść, odnowić ani unieważnić na twoje nazwisko. Urządzenie, którym możesz zarządzać, ale nie możesz go ponownie przygotować, staje się cegłą w dniu, w którym subskrypcja wygasa.

Krok 3: testuj lokalizację wyjścia z klienta, nie z routera

Kraj wydrukowany na pudełku, kraj w ogłoszeniu sprzedawcy i kraj adresu publicznego to trzy różne fakty. Tylko ostatni wpływa na to, co widzi strona internetowa, i jest tworzony przez punkt końcowy dostawcy, a nie przez adres wysyłki. Wykonaj sprawdzenie z laptopa za routerem przy aktywnym tunelu, a nie z własnej powłoki routera.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Porównaj trzy odpowiedzi. Jeśli się nie zgadzają, coś między klientem a punktem końcowym przepisuje lub proxy ruch, i powinieneś dowiedzieć się co, zanim zaufasz lokalizacji. Bazy geolokalizacyjne to szacunki zasilane przez operatorów, więc pasujący kod kraju jest dowodem wspierającym, a nie dowodem fizycznej trasy.

Zatrzymaj się tutaj, jeśli wyjście różni się od tego, na które zawarłeś umowę, albo jeśli odpowiedź zmienia się między zapytaniami. Obrotowe lub niespójne wyjście psuje usługi zależne od regionu i czyni każdy późniejszy pomiar niejednoznacznym.

Krok 4: przypnij firmware i kanał aktualizacji

Wstępnie skonfigurowane urządzenia często przychodzą ze starszym buildem i konfiguracją sprzedawcy nałożoną na OpenWrt. Zanim zaakceptujesz jakąkolwiek aktualizację, ustal, czy aktualizacja zachowuje profil VPN, czy sprzedawca dostarcza profil zastępczy i kto ma wykonać aktualizację. Czytaj informacje o wydaniu dla modelu, który naprawdę masz, a nie dla modelu na zdjęciu z ogłoszenia. Jeśli sprzedawca nie odpowiada na żadne z tych pytań, traktuj aktualizacje jako nieobsługiwane i zamroź posiadany build.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Zachowaj kopię działającej konfiguracji poza urządzeniem, zanim cokolwiek zmienisz: klucze WireGuard, profil OpenVPN i reguły zapory, które realizują politykę routingu. Reset fabryczny bez tej kopii usuwa dokładnie tę konfigurację, za którą zapłaciłeś, a sprzedawca może jej nie wydać ponownie.

Krok 5: zdecyduj, co obejmuje tunel i co dzieje się przy awarii

Routing całej sieci, routing wybranych urządzeń, obsługa DNS, IPv6 i zachowanie kill switch to osobne ustawienia, które interfejs często sprowadza do jednego przełącznika. Sprawdzaj je po kolei, bo podłączony router dowodzi tylko, że sam router może dotrzeć do punktu końcowego. Testuj z klienta poniżej w łańcuchu przy aktywnym tunelu, a potem ponownie go wyłączając.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Jeśli IPv6 jest włączony w sieci LAN, ale nie jest routowany do tunelu, klienci mogą go preferować i całkowicie opuścić ścieżkę VPN, podczas gdy IPv4 nadal wygląda na chroniony. Jeśli kill switch jest wyłączony, zerwany tunel wraca na ścieżkę ISP, co jest dobrym wyborem tylko wtedy, gdy zrobiłeś to celowo. Oba warunki są niewidoczne z panelu dostawcy.

Zapisz podział wsparcia, zanim go potrzebujesz. Sprzedawca sprzętu, opiekun firmware i operator VPN to trzy strony z trzema różnymi procedurami odzyskiwania, a jeden kontakt może obejmować kilka ról, ale nie wszystkie. Przekazanie jest zakończone, gdy możesz zarządzać urządzeniem, odnowić lub unieważnić konto, odtworzyć zamierzone wyjście, zaktualizować firmware bez utraty profilu i dokładnie powiedzieć, co się dzieje, gdy tunel pada.