Контрольный список для предварительно настроенного VPN-роутера: что проверить при передаче

Предварительно загруженный роутер приходит с уже встроенными чужими решениями: к какому сервису VPN он подключается, чей аккаунт за это платит, какой трафик перехватывает и у кого пароль, который меняет любое из этого. Относитесь к передаче как к аудиту, а не как к распаковке. Пять шагов ниже упорядочены, и у каждого есть условие остановки; если шаг не удался, последующие шаги не смогут сказать вам ничего достоверного об устройстве. Пройдите их, когда роутер перед вами, а ноутбук за ним.

Шаг 1: возьмите административный контроль над устройством

Найдите адрес управления, войдите и смените пароль администратора, прежде чем подключать что-либо важное. На дорожном роутере GL.iNet этот адрес — 192.168.8.1, и мастер первой настройки просит задать пароль; другие продавцы документируют свой адрес и могут поставлять фиксированные учётные данные, напечатанные на этикетке. Если устройство пришло с включённой удалённой поддержкой или облачным управлением, решите сейчас, останется ли это включённым.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Эти три команды отвечают, кто собрал прошивку, какая это версия и какую ревизию оборудования вы действительно получили. Запишите вывод в протокол передачи, потому что последующий звонок в поддержку начнётся именно с этих вопросов. Роутер, который отвечает по SSH, но отказывается менять пароль, или не имеет документированного пути восстановления, — это не устройство, которым вы можете владеть.

Остановитесь здесь, если не можете получить исключительный административный доступ. Всё после этой точки предполагает, что вы можете читать и менять конфигурацию, не спрашивая продавца.

Шаг 2: установите, чей аккаунт VPN использует туннель

Туннель — это подписка на чьё-то имя, и передача не завершена, пока вы не знаете, на чьё. Запросите провайдера, владельца аккаунта, дату продления и точные учётные данные, установленные на устройстве. Предварительно загруженная конфигурация, которая делит одни учётные данные между многими покупателями, не может быть отозвана только для вас, и это важно в тот день, когда продавец теряет над ней контроль.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

В WireGuard вывод называет пира и время последнего рукопожатия; в OpenVPN профиль находится в /etc/openvpn, а работающая служба показывает, какой профиль активен. Запишите, что найдёте, потому что переподключение, которое молча использует другую конечную точку, — это изменение, которое вы захотите обнаружить, а не объяснить.

Остановитесь здесь, если аккаунт нельзя передать, продлить или отозвать на ваше имя. Устройство, которым вы можете управлять, но не можете переподготовить, становится кирпичом в тот день, когда подписка истекает.

Шаг 3: проверяйте расположение выхода с клиента, а не с роутера

Страна, напечатанная на коробке, страна в объявлении продавца и страна публичного адреса — три разных факта. Только последний влияет на то, что видит сайт, и его создаёт конечная точка провайдера, а не адрес доставки. Выполните проверку с ноутбука за роутером при включённом туннеле, а не из собственной оболочки роутера.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Сравните три ответа. Если они не совпадают, что-то между клиентом и конечной точкой переписывает или проксирует трафик, и вам следует выяснить, что именно, прежде чем полагаться на местоположение. Базы геолокации — это оценки, которые питают операторы, поэтому совпадающий код страны является подтверждающим доказательством, а не доказательством физического пути.

Остановитесь здесь, если выход отличается от того, на который вы заключили договор, или если ответ меняется между запросами. Вращающийся или непоследовательный выход ломает сервисы, зависящие от региона, и делает каждое последующее измерение неоднозначным.

Шаг 4: закрепите прошивку и канал обновлений

Предварительно настроенные устройства часто поставляются со старой сборкой и конфигурацией продавца, наложенной поверх OpenWrt. Прежде чем принять любое обновление, установите, сохраняет ли обновление профиль VPN, поставляет ли продавец заменяющий профиль и кто должен выполнять обновление. Читайте примечания к выпуску для модели, которая у вас действительно есть, а не для модели на фотографии объявления. Если продавец не отвечает ни на один из этих вопросов, считайте обновления неподдерживаемыми и заморозьте имеющуюся сборку.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Сохраните копию рабочей конфигурации вне устройства, прежде чем что-либо менять: ключи WireGuard, профиль OpenVPN и правила брандмауэра, реализующие политику маршрутизации. Сброс к заводским настройкам без этой копии удаляет именно ту конфигурацию, за которую вы заплатили, и продавец может её не выдать снова.

Шаг 5: решите, что покрывает туннель и что происходит при сбое

Маршрутизация всей сети, маршрутизация выбранных устройств, обработка DNS, IPv6 и поведение kill switch — это отдельные параметры, которые интерфейс часто сводит к одному переключателю. Проверяйте их по одному, потому что подключённый роутер доказывает лишь то, что сам роутер может достичь конечной точки. Проверьте с нижестоящего клиента при включённом туннеле, а затем снова при выключенном.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Если IPv6 включён в локальной сети, но не маршрутизируется в туннель, клиенты могут предпочесть его и полностью покинуть путь VPN, пока IPv4 всё ещё выглядит защищённым. Если kill switch выключен, упавший туннель возвращается на путь провайдера, и это хороший выбор только тогда, когда вы сделали это намеренно. Оба условия невидимы с панели провайдера.

Запишите распределение поддержки, прежде чем оно понадобится. Продавец оборудования, сопровождающий прошивку и оператор VPN — три стороны с тремя разными процедурами восстановления, и один контакт может покрывать несколько ролей, но не все. Передача завершена, когда вы можете управлять устройством, продлить или отозвать аккаунт, воспроизвести намеченный выход, обновить прошивку, не потеряв профиль, и точно сказать, что происходит, когда туннель падает.