Lista de verificação para um router VPN pré-configurado: o que verificar na entrega

Um router pré-carregado chega com as decisões de outra pessoa já incorporadas: a que serviço VPN se liga, de quem é a conta que o paga, que tráfego captura e quem tem a palavra-passe que muda qualquer uma dessas coisas. Trate a entrega como uma auditoria e não como um desempacotamento. Os cinco passos abaixo estão ordenados e cada um tem uma condição de paragem; se um passo falhar, os passos seguintes não lhe podem dizer nada de fiável sobre o dispositivo. Percorra-os com o router à sua frente e um portátil atrás.

Passo 1: assuma o controlo administrativo do equipamento

Encontre o endereço de gestão, inicie sessão e altere a palavra-passe de administrador antes de ligar algo importante. Num router de viagem GL.iNet esse endereço é 192.168.8.1 e o assistente de primeira configuração pede-lhe para definir a palavra-passe; outros vendedores documentam o seu próprio endereço e podem enviar credenciais fixas impressas na etiqueta. Se o dispositivo chegou com o suporte remoto ou a gestão na nuvem ativados, decida agora se isso fica.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Esses três comandos respondem a quem construiu o firmware, que versão é e que revisão de hardware recebeu realmente. Escreva a saída no registo de entrega, porque uma chamada de suporte posterior começará exatamente com essas perguntas. Um router que responde por SSH mas recusa mudar a palavra-passe, ou que não tem um caminho de recuperação documentado, não é um dispositivo que possa possuir.

Pare aqui se não conseguir obter acesso administrativo exclusivo. Tudo o que se segue assume que pode ler e alterar a configuração sem perguntar ao vendedor.

Passo 2: estabeleça de quem é a conta VPN que o túnel usa

O túnel é uma subscrição em nome de alguém, e a entrega não está completa até saber de quem. Peça o fornecedor, o titular da conta, a data de renovação e as credenciais exatas instaladas no dispositivo. Uma configuração pré-carregada que partilha uma credencial entre muitos compradores não pode ser revogada só para si, e isso importa no dia em que o vendedor perde o controlo sobre ela.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

No WireGuard a saída indica o par e a hora do último aperto de mão; no OpenVPN o perfil está sob /etc/openvpn e o serviço em execução mostra qual perfil está ativo. Anote o que encontrar, porque uma reconexão que usa silenciosamente outro ponto final é uma mudança que quererá detetar e não justificar.

Pare aqui se a conta não puder ser transferida, renovada ou revogada em seu nome. Um dispositivo que pode administrar mas não pode reaprovisionar torna-se um tijolo no dia em que a subscrição caduca.

Passo 3: teste a localização de saída a partir de um cliente, não do router

O país impresso na caixa, o país do anúncio do vendedor e o país do endereço público são três factos diferentes. Só o último afeta o que um site vê, e é produzido pelo ponto final do fornecedor e não pelo endereço de envio. Execute a verificação a partir de um portátil atrás do router com o túnel ativo, e não a partir da própria shell do router.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Compare as três respostas. Se não coincidirem, algo entre o cliente e o ponto final reescreve ou faz proxy do tráfego, e deve descobrir o que antes de confiar na localização. As bases de dados de geolocalização são estimativas alimentadas pelos operadores, pelo que um código de país correspondente é uma evidência de apoio e não uma prova de um caminho físico.

Pare aqui se a saída diferir da que contratou, ou se a resposta mudar entre consultas. Uma saída rotativa ou inconsistente quebra serviços dependentes da região e torna ambígua qualquer medição posterior.

Passo 4: fixe o firmware e o canal de atualização

Os dispositivos pré-configurados chegam muitas vezes com uma compilação mais antiga e uma configuração do vendedor sobreposta ao OpenWrt. Antes de aceitar qualquer atualização, estabeleça se uma atualização preserva o perfil VPN, se o vendedor fornece um perfil de substituição e quem deve realizar a atualização. Leia as notas de versão para o modelo que realmente tem, não para o modelo da fotografia do anúncio. Se o vendedor não responder a nenhuma dessas perguntas, trate as atualizações como não suportadas e congele a compilação que tem.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Guarde uma cópia da configuração funcional fora do dispositivo antes de mudar algo: as chaves do WireGuard, o perfil OpenVPN e as regras de firewall que implementam a política de encaminhamento. Um restauro de fábrica sem essa cópia remove exatamente a configuração que pagou, e o vendedor pode não a emitir novamente.

Passo 5: decida o que o túnel cobre e o que acontece quando falha

O encaminhamento de toda a rede, o encaminhamento de dispositivos selecionados, o tratamento de DNS, o IPv6 e o comportamento do kill switch são definições separadas que uma interface frequentemente colapsa num único interruptor. Verifique-as uma a uma, porque um router ligado só prova que o próprio router consegue chegar ao ponto final. Teste a partir de um cliente a jusante com o túnel ativo, e depois novamente com ele desligado.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Se o IPv6 estiver ativo na LAN mas não for encaminhado para o túnel, os clientes podem preferi-lo e abandonar por completo o caminho VPN enquanto o IPv4 ainda parece protegido. Se o kill switch estiver desligado, um túnel caído volta ao caminho do ISP, o que só é uma boa escolha quando o fez de propósito. Ambas as condições são invisíveis a partir do painel do fornecedor.

Escreva a divisão do suporte antes de precisar dela. O vendedor de hardware, o mantenedor do firmware e o operador VPN são três partes com três procedimentos de recuperação diferentes, e um único contacto pode cobrir vários papéis sem cobri-los todos. A entrega termina quando pode administrar o dispositivo, renovar ou revogar a conta, reproduzir a saída pretendida, atualizar o firmware sem perder o perfil e dizer exatamente o que acontece quando o túnel cai.