Kontrolni seznam za vnaprej konfiguriran usmerjevalnik VPN: kaj preveriti ob predaji

Vnaprej naložen usmerjevalnik prispe z odločitvami nekoga drugega že vpečenimi: kateri storitvi VPN se prijavi, čigav račun to plačuje, kateri promet prestreže in kdo ima geslo, ki karkoli od tega spremeni. Predajo obravnavajte kot revizijo, ne kot odpiranje embalaže. Pet spodnjih korakov je urejenih in vsak ima pogoj za ustavitev; če en korak spodleti, vam poznejši koraki ne morejo povedati nič zanesljivega o napravi. Pojdite skoznje z usmerjevalnikom pred seboj in prenosnikom za njim.

Korak 1: prevzemite skrbniški nadzor nad napravo

Poiščite naslov za upravljanje, prijavite se in spremenite skrbniško geslo, preden priklopite kaj pomembnega. Na potovalnem usmerjevalniku GL.iNet je ta naslov 192.168.8.1 in čarovnik za prvo nastavitev vas prosi, da nastavite geslo; drugi prodajalci dokumentirajo svoj naslov in lahko priložijo fiksne poverilnice, natisnjene na nalepki. Če je naprava prispela z omogočeno oddaljeno podporo ali upravljanjem v oblaku, se zdaj odločite, ali to ostane vklopljeno.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Ti trije ukazi odgovorijo, kdo je zgradil strojno programsko opremo, katera različica je in katero revizijo strojne opreme ste dejansko prejeli. Zapišite izhod v protokol predaje, ker se bo poznejši klic podpore začel natanko s temi vprašanji. Usmerjevalnik, ki odgovarja na SSH, a zavrača spremembo gesla, ali nima dokumentirane poti za obnovitev, ni naprava, ki bi jo lahko imeli v lasti.

Ustavite se tukaj, če ne morete pridobiti izključnega skrbniškega dostopa. Vse po tej točki predpostavlja, da lahko berete in spreminjate konfiguracijo, ne da bi vprašali prodajalca.

Korak 2: ugotovite, čigav račun VPN uporablja tunel

Tunel je naročnina na neko ime in predaja ni popolna, dokler ne veste, na čigavo. Zahtevajte ponudnika, imetnika računa, datum obnovitve in točne poverilnice, nameščene na napravi. Vnaprej naložene konfiguracije, ki si deli ene poverilnice med številnimi kupci, ni mogoče preklicati samo za vas, in to šteje na dan, ko prodajalec izgubi nadzor nad njo.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

Pri WireGuardu izhod navaja partnerja in čas zadnjega rokovanja; pri OpenVPN je profil pod /etc/openvpn in delujoča storitev pokaže, kateri profil je aktiven. Zapišite, kar najdete, ker je ponovna povezava, ki tiho uporablja drugo končno točko, sprememba, ki jo boste želeli odkriti in ne pojasniti.

Ustavite se tukaj, če računa ni mogoče prenesti, obnoviti ali preklicati na vaše ime. Naprava, ki jo lahko upravljate, a je ne morete znova pripraviti, postane opeka na dan, ko naročnina poteče.

Korak 3: preizkusite lokacijo izhoda pri odjemalcu, ne pri usmerjevalniku

Država, natisnjena na škatli, država v prodajalčevem oglasu in država javnega naslova so tri različna dejstva. Samo zadnja vpliva na to, kar vidi spletno mesto, in ustvari jo končna točka ponudnika, ne naslov pošiljanja. Preverjanje izvedite s prenosnika za usmerjevalnikom z aktivnim tunelom, ne iz lastne lupine usmerjevalnika.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Primerjajte tri odgovore. Če se ne ujemajo, nekaj med odjemalcem in končno točko prepisuje ali posreduje promet, in ugotoviti bi morali, kaj, preden se zanesete na lokacijo. Baze geolokacije so ocene, ki jih napajajo operaterji, zato je ujemajoča koda države podporni dokaz in ne dokaz fizične poti.

Ustavite se tukaj, če se izhod razlikuje od tistega, za katerega ste sklenili pogodbo, ali če se odgovor med poizvedbami spremeni. Vrteči ali nedosleden izhod zlomi storitve, odvisne od regije, in naredi vsako poznejšo meritev dvoumno.

Korak 4: pritrdite strojno programsko opremo in kanal posodobitev

Vnaprej konfigurirane naprave pogosto prispejo s starejšo različico in prodajalčevo konfiguracijo, plastjo nad OpenWrt. Preden sprejmete kakršno koli posodobitev, ugotovite, ali nadgradnja ohrani profil VPN, ali prodajalec priskrbi nadomestni profil in kdo naj nadgradnjo izvede. Preberite opombe ob izdaji za model, ki ga resnično imate, ne za model na fotografiji oglasa. Če prodajalec ne odgovori na nobeno od teh vprašanj, obravnavajte posodobitve kot nepodprte in zamrznite različico, ki jo imate.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Preden karkoli spremenite, shranite kopijo delujoče konfiguracije zunaj naprave: ključe WireGuard, profil OpenVPN in pravila požarnega zidu, ki izvajajo usmerjevalno politiko. Tovarniška ponastavitev brez te kopije odstrani natanko konfiguracijo, ki ste jo plačali, in prodajalec je morda ne bo izdal znova.

Korak 5: odločite, kaj tunel pokriva in kaj se zgodi ob okvari

Usmerjanje celotnega omrežja, usmerjanje izbranih naprav, obdelava DNS, IPv6 in vedenje kill switch so ločene nastavitve, ki jih vmesnik pogosto združi v eno stikalo. Preverjajte jih eno za drugo, ker priključen usmerjevalnik dokazuje le, da usmerjevalnik sam lahko doseže končno točko. Preizkusite pri odjemalcu nižje po verigi z aktivnim tunelom, nato znova z izklopljenim.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Če je IPv6 omogočen v omrežju LAN, a ni usmerjen v tunel, lahko odjemalci raje izberejo njega in povsem zapustijo pot VPN, medtem ko IPv4 še vedno izgleda zaščiten. Če je kill switch izklopljen, se prekinjen tunel vrne na pot ponudnika interneta, kar je dobra izbira le, kadar ste to storili namerno. Oba pogoja sta nevidna s ponudnikove nadzorne plošče.

Zapišite razdelitev podpore, preden jo potrebujete. Prodajalec strojne opreme, vzdrževalec strojne programske opreme in operater VPN so tri strani s tremi različnimi postopki obnovitve, en stik pa lahko pokrije več vlog, ne pa vseh. Predaja je končana, ko lahko upravljate napravo, obnovite ali prekličete račun, reproducirate predvideni izhod, posodobite strojno programsko opremo brez izgube profila in natančno poveste, kaj se zgodi, ko tunel pade.