Kontrolný zoznam pre predkonfigurovaný VPN router: čo overiť pri odovzdaní

Predinštalovaný router prichádza s rozhodnutiami niekoho iného už zapečenými: ku ktorej VPN službe sa pripája, koho účet za to platí, akú prevádzku zachytáva a kto drží heslo, ktoré čokoľvek z toho mení. Berte odovzdanie ako audit, nie ako vybaľovanie. Päť krokov nižšie je usporiadaných a každý má podmienku zastavenia; ak krok zlyhá, neskoršie kroky vám o zariadení nepovedia nič spoľahlivé. Prejdite ich s routerom pred sebou a notebookom za ním.

Krok 1: prevezmite administratívnu kontrolu nad zariadením

Nájdite adresu správy, prihláste sa a zmeňte heslo správcu, skôr než pripojíte niečo dôležité. Na cestovnom routeri GL.iNet je táto adresa 192.168.8.1 a sprievodca prvým nastavením vás požiada o nastavenie hesla; iní predajcovia dokumentujú svoju vlastnú adresu a môžu dodať pevné prihlasovacie údaje vytlačené na štítku. Ak zariadenie dorazilo so zapnutou vzdialenou podporou alebo správou v cloude, rozhodnite teraz, či to zostane zapnuté.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Tieto tri príkazy odpovedajú, kto firmvér postavil, ktorá verzia to je a ktorú revíziu hardvéru ste skutočne dostali. Zapíšte výstup do odovzdávacieho protokolu, pretože neskorší hovor podpory sa začne presne týmito otázkami. Router, ktorý odpovedá na SSH, ale odmieta zmenu hesla, alebo nemá zdokumentovanú cestu obnovy, nie je zariadenie, ktoré môžete vlastniť.

Zastavte sa tu, ak nemôžete získať výhradný administrátorský prístup. Všetko po tomto bode predpokladá, že môžete čítať a meniť konfiguráciu bez toho, aby ste sa pýtali predajcu.

Krok 2: zistite, koho VPN účet tunel používa

Tunel je predplatné na niekoho meno a odovzdanie nie je úplné, kým neviete, na koho. Vyžiadajte poskytovateľa, držiteľa účtu, dátum obnovenia a presné prihlasovacie údaje nainštalované v zariadení. Predinštalovaná konfigurácia, ktorá zdieľa jeden prihlasovací údaj medzi mnohými kupujúcimi, nemôže byť zrušená len pre vás, a to je dôležité v deň, keď predajca nad ňou stratí kontrolu.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

Pri WireGuard výstup uvádza partnera a čas posledného podania ruky; pri OpenVPN profil leží pod /etc/openvpn a bežiaca služba ukazuje, ktorý profil je aktívny. Zapíšte si, čo nájdete, pretože opätovné pripojenie, ktoré potichu používa iný koncový bod, je zmena, ktorú budete chcieť odhaliť, a nie vysvetliť.

Zastavte sa tu, ak účet nemožno preniesť, obnoviť alebo zrušiť na vaše meno. Zariadenie, ktoré môžete spravovať, ale nemôžete ho znova pripraviť, sa stane tehlou v deň, keď predplatné vyprší.

Krok 3: testujte umiestnenie výstupu z klienta, nie z routera

Krajina vytlačená na krabici, krajina v inzeráte predajcu a krajina verejnej adresy sú tri rôzne skutočnosti. Len posledná ovplyvňuje, čo vidí webová stránka, a vytvára ju koncový bod poskytovateľa, nie doručovacia adresa. Vykonajte kontrolu z notebooku za routerom so zapnutým tunelom, nie z vlastného shellu routera.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Porovnajte tri odpovede. Ak sa nezhodujú, niečo medzi klientom a koncovým bodom prepisuje alebo proxuje prevádzku, a mali by ste zistiť čo, skôr než sa spoľahnete na umiestnenie. Geolokačné databázy sú odhady napájané operátormi, takže zhodný kód krajiny je podporný dôkaz, nie dôkaz fyzickej cesty.

Zastavte sa tu, ak sa výstup líši od toho, na ktorý ste uzavreli zmluvu, alebo ak sa odpoveď mení medzi dotazmi. Rotujúci alebo nekonzistentný výstup rozbíja služby závislé od regiónu a robí každé neskoršie meranie nejednoznačným.

Krok 4: pripnite firmvér a kanál aktualizácií

Predkonfigurované zariadenia často prichádzajú so starším buildom a konfiguráciou predajcu vrstvenou nad OpenWrt. Skôr než prijmete akúkoľvek aktualizáciu, zistite, či upgrade zachová VPN profil, či predajca dodáva náhradný profil a kto má upgrade vykonať. Čítajte poznámky k vydaniu pre model, ktorý skutočne máte, nie pre model na fotke v inzeráte. Ak predajca neodpovie na žiadnu z týchto otázok, považujte aktualizácie za nepodporované a zmrazte build, ktorý máte.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Uchovajte kópiu fungujúcej konfigurácie mimo zariadenia, skôr než čokoľvek zmeníte: kľúče WireGuard, profil OpenVPN a pravidlá firewallu, ktoré implementujú smerovaciu politiku. Továrenský reset bez tejto kópie odstráni presne tú konfiguráciu, za ktorú ste zaplatili, a predajca ju nemusí znova vydať.

Krok 5: rozhodnite, čo tunel pokrýva a čo sa stane pri zlyhaní

Smerovanie celej siete, smerovanie vybraných zariadení, spracovanie DNS, IPv6 a správanie kill switch sú samostatné nastavenia, ktoré rozhranie často zlieva do jedného prepínača. Kontrolujte ich jedno po druhom, pretože pripojený router dokazuje len to, že router sám dokáže dosiahnuť koncový bod. Testujte z klientskeho zariadenia nižšie po trase so zapnutým tunelom, potom znova s vypnutým.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Ak je IPv6 zapnuté v LAN, ale nie je smerované do tunela, klienti ho môžu uprednostniť a úplne opustiť cestu VPN, zatiaľ čo IPv4 stále vyzerá chránené. Ak je kill switch vypnutý, spadnutý tunel sa vráti na cestu ISP, čo je dobrá voľba len vtedy, keď ste to urobili zámerne. Obe podmienky sú z panelu poskytovateľa neviditeľné.

Zapíšte si rozdelenie podpory, skôr než ju budete potrebovať. Predajca hardvéru, správca firmvéru a VPN operátor sú tri strany s tromi rôznymi postupmi obnovy a jeden kontakt môže pokrývať viacero rolí, ale nie všetky. Odovzdanie je hotové, keď môžete zariadenie spravovať, účet obnoviť alebo zrušiť, reprodukovať zamýšľaný výstup, aktualizovať firmvér bez straty profilu a presne povedať, čo sa stane, keď tunel spadne.