Kontrolna lista za unaprijed konfiguriran VPN ruter: što provjeriti pri primopredaji

Unaprijed napunjen ruter dolazi s već ugrađenim odlukama nekog drugog: na koju se VPN uslugu spaja, čiji račun to plaća, koji promet hvata i ko drži lozinku koja mijenja sve to. Tretirajte primopredaju kao reviziju, a ne kao raspakivanje. Pet koraka ispod je poredano i svaki ima uslov zaustavljanja; ako korak ne uspije, kasniji koraci ne mogu vam reći ništa pouzdano o uređaju. Prođite kroz njih s ruterom ispred sebe i laptopom iza njega.

Korak 1: preuzmite administrativnu kontrolu nad uređajem

Nađite adresu za upravljanje, prijavite se i promijenite administratorsku lozinku prije nego što priključite nešto važno. Na GL.iNet putnom ruteru ta adresa je 192.168.8.1 i čarobnjak za prvo postavljanje traži da postavite lozinku; drugi prodavači dokumentiraju vlastitu adresu i mogu poslati fiksne akreditive otisnute na naljepnici. Ako je uređaj stigao s uključenom daljinskom podrškom ili upravljanjem iz oblaka, odlučite sada ostaje li to uključeno.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Te tri komande odgovaraju ko je izgradio firmware, koje je izdanje i koju ste reviziju hardvera zapravo dobili. Zapišite izlaz u zapisnik primopredaje, jer će kasniji poziv podršci početi upravo tim pitanjima. Ruter koji odgovara na SSH ali odbija promjenu lozinke, ili nema dokumentiran put oporavka, nije uređaj koji možete posjedovati.

Zaustavite se ovdje ako ne možete dobiti isključivi administratorski pristup. Sve nakon ove točke pretpostavlja da možete čitati i mijenjati konfiguraciju bez pitanja prodavača.

Korak 2: utvrdite čiji VPN račun tunel koristi

Tunel je pretplata na nečije ime i primopredaja nije potpuna dok ne znate na čije. Zatražite pružatelja, vlasnika računa, datum obnove i točne akreditive instalirane na uređaju. Unaprijed napunjena konfiguracija koja dijeli jedne akreditive među mnogim kupcima ne može se opozvati samo za vas, a to je važno onog dana kada prodavač izgubi kontrolu nad njom.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

Na WireGuardu izlaz navodi partnera i vrijeme zadnjeg rukovanja; na OpenVPN profil se nalazi pod /etc/openvpn i pokrenuta usluga pokazuje koji je profil aktivan. Zapišite što nađete, jer ponovno povezivanje koje tiho koristi drugu krajnju točku promjena je koju ćete htjeti otkriti, a ne objasniti.

Zaustavite se ovdje ako se račun ne može prenijeti, obnoviti ili opozvati na vaše ime. Uređaj kojim možete upravljati ali ga ne možete ponovno osposobiti postaje cigla onog dana kada pretplata istekne.

Korak 3: testirajte lokaciju izlaza s klijenta, ne s rutera

Zemlja otisnuta na kutiji, zemlja u prodavačevu oglasu i zemlja javne adrese tri su različite činjenice. Samo zadnja utječe na to što web stranica vidi, a proizvodi je pružateljeva krajnja točka, a ne adresa dostave. Provedite provjeru s laptopa iza rutera s uključenim tunelom, a ne iz ruterove vlastite ljuske.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Usporedite tri odgovora. Ako se ne slažu, nešto između klijenta i krajnje točke prepisuje ili proksira promet i trebate otkriti što prije nego što se pouzdate u lokaciju. Baze geolokacije operatorima su hranjene procjene, pa je podudarni kod zemlje potkrepljujući dokaz, a ne dokaz fizičkog puta.

Zaustavite se ovdje ako se izlaz razlikuje od ugovorenog ili ako se odgovor mijenja između upita. Rotirajući ili nedosljedan izlaz kvari usluge ovisne o regiji i čini svako kasnije mjerenje dvosmislenim.

Korak 4: prikvačite firmware i kanal ažuriranja

Unaprijed konfigurirani uređaji često dolaze sa starijom gradnjom i prodavačevom konfiguracijom naslojenom preko OpenWrta. Prije nego prihvatite bilo kakvo ažuriranje, utvrdite čuva li nadogradnja VPN profil, daje li prodavač zamjenski profil i ko se očekuje da izvede nadogradnju. Čitajte napomene o izdanju za model koji zapravo imate, a ne za model s fotografije u oglasu. Ako prodavač ne odgovori ni na jedno od tih pitanja, tretirajte ažuriranja kao nepodržana i zamrznite gradnju koju imate.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Držite kopiju radne konfiguracije izvan uređaja prije nego što bilo što promijenite: WireGuard ključeve, OpenVPN profil i pravila vatrozida koja provode politiku usmjeravanja. Tvorničko vraćanje bez te kopije uklanja točno konfiguraciju koju ste platili, a prodavač je možda neće ponovno izdati.

Korak 5: odlučite što tunel pokriva i što se događa pri kvaru

Usmjeravanje cijele mreže, usmjeravanje odabranih uređaja, rukovanje DNS-om, IPv6 i ponašanje kill switcha odvojene su postavke koje sučelje često stapa u jedan prekidač. Provjeravajte ih jednu po jednu, jer priključen ruter dokazuje samo da sam ruter može doći do krajnje točke. Testirajte s nizvodnog klijenta s uključenim tunelom, pa ponovno s isključenim.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Ako je IPv6 uključen na LAN-u ali nije usmjeren u tunel, klijenti ga mogu preferirati i potpuno napustiti VPN put dok IPv4 još izgleda zaštićeno. Ako je kill switch isključen, prekinuti tunel pada natrag na ISP put, što je dobar izbor samo kada ste to učinili namjerno. Oba su uslova nevidljiva s pružateljeve nadzorne ploče.

Zapišite podjelu podrške prije nego što vam zatreba. Prodavač hardvera, održavatelj firmwarea i VPN operator tri su strane s tri različita postupka oporavka, a jedan kontakt može pokrivati nekoliko uloga bez pokrivanja svih. Primopredaja je gotova kada možete upravljati uređajem, obnoviti ili opozvati račun, reproducirati željeni izlaz, ažurirati firmware bez gubljenja profila i točno reći što se događa kada tunel padne.