Listă de verificare pentru un router VPN preconfigurat: ce trebuie verificat la predare

Un router preîncărcat vine cu deciziile altcuiva deja încorporate: la ce serviciu VPN se conectează, al cui cont plătește pentru el, ce trafic captează și cine deține parola care schimbă oricare dintre acestea. Tratați predarea ca un audit, nu ca o despachetare. Cei cinci pași de mai jos sunt ordonați și fiecare are o condiție de oprire; dacă un pas eșuează, pașii următori nu vă pot spune nimic de încredere despre dispozitiv. Parcurgeți-i cu routerul în față și un laptop în spatele lui.

Pasul 1: preluați controlul administrativ asupra dispozitivului

Găsiți adresa de administrare, autentificați-vă și schimbați parola de administrator înainte de a conecta ceva important. Pe un router de călătorie GL.iNet acea adresă este 192.168.8.1 și asistentul pentru prima configurare vă cere să stabiliți parola; alți vânzători își documentează propria adresă și pot livra credențiale fixe tipărite pe etichetă. Dacă dispozitivul a sosit cu suport la distanță sau administrare în cloud activate, decideți acum dacă acestea rămân.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Cele trei comenzi răspund cine a construit firmware-ul, ce versiune este și ce revizie hardware ați primit de fapt. Scrieți rezultatul în procesul-verbal de predare, pentru că un apel ulterior la suport va începe exact cu aceste întrebări. Un router care răspunde la SSH dar refuză schimbarea parolei, sau care nu are o cale de recuperare documentată, nu este un dispozitiv pe care îl puteți deține.

Opriți-vă aici dacă nu puteți obține acces administrativ exclusiv. Tot ce urmează presupune că puteți citi și modifica configurația fără să întrebați vânzătorul.

Pasul 2: stabiliți al cui cont VPN îl folosește tunelul

Tunelul este un abonament pe numele cuiva, iar predarea nu este completă până nu știți pe numele cui. Cereți furnizorul, titularul contului, data reînnoirii și credențialele exacte instalate pe dispozitiv. O configurație preîncărcată care partajează o singură credențială între mulți cumpărători nu poate fi revocată doar pentru dumneavoastră, iar acest lucru contează în ziua în care vânzătorul pierde controlul asupra ei.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

La WireGuard rezultatul numește partenerul și momentul ultimei strângeri de mână; la OpenVPN profilul se află sub /etc/openvpn, iar serviciul care rulează arată ce profil este activ. Notați ce găsiți, pentru că o reconectare care folosește în tăcere alt punct final este o schimbare pe care veți vrea să o detectați, nu să o explicați.

Opriți-vă aici dacă contul nu poate fi transferat, reînnoit sau revocat pe numele dumneavoastră. Un dispozitiv pe care îl puteți administra dar nu îl puteți reprovisiona devine o cărămidă în ziua în care abonamentul expiră.

Pasul 3: testați locația de ieșire de la un client, nu de la router

Țara tipărită pe cutie, țara din anunțul vânzătorului și țara adresei publice sunt trei fapte diferite. Doar ultima afectează ce vede un site web, și este produsă de punctul final al furnizorului, nu de adresa de expediere. Efectuați verificarea de pe un laptop din spatele routerului cu tunelul activ, nu din shell-ul routerului însuși.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Comparați cele trei răspunsuri. Dacă nu coincid, ceva între client și punctul final rescrie sau face proxy traficului, și ar trebui să aflați ce înainte de a vă baza pe locație. Bazele de date de geolocalizare sunt estimări alimentate de operatori, așa că un cod de țară potrivit este o dovadă de sprijin, nu o dovadă a unei rute fizice.

Opriți-vă aici dacă ieșirea diferă de cea pentru care ați contractat, sau dacă răspunsul se schimbă între interogări. O ieșire rotativă sau inconsistentă rupe serviciile dependente de regiune și face ambiguă orice măsurătoare ulterioară.

Pasul 4: fixați firmware-ul și canalul de actualizare

Dispozitivele preconfigurate sosesc adesea cu o compilare mai veche și o configurație a vânzătorului suprapusă peste OpenWrt. Înainte de a accepta orice actualizare, stabiliți dacă o actualizare păstrează profilul VPN, dacă vânzătorul furnizează un profil de înlocuire și cine ar trebui să efectueze actualizarea. Citiți notele de versiune pentru modelul pe care îl aveți de fapt, nu pentru modelul din fotografia anunțului. Dacă vânzătorul nu răspunde la niciuna dintre aceste întrebări, tratați actualizările ca neacceptate și înghețați compilarea pe care o aveți.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Păstrați o copie a configurației funcționale în afara dispozitivului înainte de a schimba ceva: cheile WireGuard, profilul OpenVPN și regulile de firewall care implementează politica de rutare. O resetare din fabrică fără acea copie elimină exact configurația pentru care ați plătit, iar vânzătorul poate să nu o mai emită.

Pasul 5: decideți ce acoperă tunelul și ce se întâmplă când eșuează

Rutarea întregii rețele, rutarea dispozitivelor selectate, gestionarea DNS, IPv6 și comportamentul kill switch sunt setări separate pe care o interfață le reunește adesea într-un singur comutator. Verificați-le pe rând, pentru că un router conectat dovedește doar că routerul însuși poate ajunge la punctul final. Testați de la un client din aval cu tunelul activ, apoi din nou cu el oprit.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Dacă IPv6 este activat în LAN dar nu este rutat în tunel, clienții îl pot prefera și pot părăsi complet calea VPN, în timp ce IPv4 încă pare protejat. Dacă kill switch-ul este oprit, un tunel căzut revine pe calea ISP, ceea ce este o alegere bună doar când ați făcut-o intenționat. Ambele condiții sunt invizibile din panoul furnizorului.

Scrieți împărțirea suportului înainte de a avea nevoie de ea. Vânzătorul de hardware, întreținătorul firmware-ului și operatorul VPN sunt trei părți cu trei proceduri de recuperare diferite, iar un singur contact poate acoperi mai multe roluri fără a le acoperi pe toate. Predarea este încheiată când puteți administra dispozitivul, reînnoi sau revoca contul, reproduce ieșirea dorită, actualiza firmware-ul fără a pierde profilul și spune exact ce se întâmplă când tunelul cade.