Listë kontrolli për një ruter VPN të parakonfiguruar: çfarë të verifikohet në dorëzim

Një ruter i parangarkuar vjen me vendimet e dikujt tjetër tashmë të pjekura brenda: cilin shërbim VPN thërret, llogaria e kujt paguan për të, çfarë trafiku kap dhe kush mban fjalëkalimin që ndryshon cilëndo nga këto. Trajto dorëzimin si auditim, jo si shpaketim. Pesë hapat më poshtë janë të renditur dhe secili ka një kusht ndalimi; nëse një hap dështon, hapat e mëvonshëm nuk mund t'ju thonë asgjë të besueshme për pajisjen. Kaloji me ruterin përpara jush dhe një laptop pas tij.

Hapi 1: merrni kontrollin administrativ të pajisjes

Gjeni adresën e menaxhimit, hyni dhe ndryshoni fjalëkalimin e administratorit përpara se të lidhni diçka të rëndësishme. Në një ruter udhëtimi GL.iNet kjo adresë është 192.168.8.1 dhe magjistari i konfigurimit të parë ju kërkon të vendosni fjalëkalimin; shitës të tjerë dokumentojnë adresën e tyre dhe mund të dërgojnë kredenciale fikse të shtypura në etiketë. Nëse pajisja ka mbërritur me mbështetje në distancë ose menaxhim në re të aktivizuar, vendosni tani nëse kjo mbetet e ndezur.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Ato tre komanda përgjigjen se kush e ndërtoi firmware-in, cila version është dhe cilin rishikim harduerik keni marrë në të vërtetë. Shkruani daljen në procesverbalin e dorëzimit, sepse një telefonatë e mëvonshme mbështetjeje do të fillojë pikërisht me ato pyetje. Një ruter që përgjigjet në SSH por refuzon ndryshimin e fjalëkalimit, ose që nuk ka një rrugë rikuperimi të dokumentuar, nuk është pajisje që mund të zotëroni.

Ndaloni këtu nëse nuk mund të merrni akses administrativ ekskluziv. Gjithçka pas kësaj pike supozon se mund të lexoni dhe ndryshoni konfigurimin pa pyetur shitësin.

Hapi 2: përcaktoni llogarinë e kujt VPN përdor tuneli

Tuneli është një abonim në emër të dikujt, dhe dorëzimi nuk është i plotë derisa të dini në emër të kujt. Kërkoni ofruesin, mbajtësin e llogarisë, datën e rinovimit dhe kredencialet e sakta të instaluara në pajisje. Një konfigurim i parangarkuar që ndan një kredencial mes shumë blerësve nuk mund të revokohet vetëm për ju, dhe kjo ka rëndësi ditën kur shitësi humbet kontrollin mbi të.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

Në WireGuard dalja emërton palën dhe kohën e shtrëngimit të fundit të duarve; në OpenVPN profili ndodhet nën /etc/openvpn dhe shërbimi që punon tregon cili profil është aktiv. Shkruani atë që gjeni, sepse një rilidhje që përdor në heshtje një pikë tjetër fundore është një ndryshim që do të doni ta zbuloni, jo ta shpjegoni.

Ndaloni këtu nëse llogaria nuk mund të transferohet, rinovohet ose revokohet në emrin tuaj. Një pajisje që mund ta administroni por nuk mund ta riparaqitni bëhet tullë ditën kur abonimi skadon.

Hapi 3: provoni vendndodhjen e daljes nga një klient, jo nga ruteri

Vendi i shtypur në kuti, vendi në shpalljen e shitësit dhe vendi i adresës publike janë tre fakte të ndryshme. Vetëm i fundit ndikon në atë që sheh një faqe interneti, dhe prodhohet nga pika fundore e ofruesit, jo nga adresa e dërgesës. Kryeni kontrollin nga një laptop pas ruterit me tunelin aktiv, jo nga shell-i i vetë ruterit.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Krahasoni tre përgjigjet. Nëse nuk përputhen, diçka midis klientit dhe pikës fundore po rishkruan ose po bën proxy trafikun, dhe duhet të zbuloni çfarë përpara se të mbështeteni në vendndodhje. Bazat e të dhënave të gjeolokacionit janë vlerësime të ushqyera nga operatorët, kështu që një kod vendi që përputhet është provë mbështetëse dhe jo provë e një rruge fizike.

Ndaloni këtu nëse dalja ndryshon nga ajo për të cilën keni kontraktuar, ose nëse përgjigjja ndryshon midis pyetjeve. Një dalje rrotulluese ose jo konsistente prish shërbimet që varen nga rajoni dhe e bën çdo matje të mëvonshme të paqartë.

Hapi 4: fiksoni firmware-in dhe kanalin e përditësimit

Pajisjet e parakonfiguruara shpesh vijnë me një ndërtim më të vjetër dhe një konfigurim të shitësit të shtresuar mbi OpenWrt. Përpara se të pranoni çdo përditësim, përcaktoni nëse një përmirësim ruan profilin VPN, nëse shitësi furnizon një profil zëvendësues dhe kush pritet ta kryejë përmirësimin. Lexoni shënimet e lëshimit për modelin që keni në të vërtetë, jo për modelin në foton e shpalljes. Nëse shitësi nuk përgjigjet asnjë prej këtyre pyetjeve, trajtoni përditësimet si të pambështetura dhe ngrijeni ndërtimin që keni.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Mbani një kopje të konfigurimit që punon jashtë pajisjes përpara se të ndryshoni diçka: çelësat WireGuard, profilin OpenVPN dhe rregullat e murit të zjarrit që zbatojnë politikën e rrugëzimit. Një rivendosje fabrike pa atë kopje heq pikërisht konfigurimin për të cilin keni paguar, dhe shitësi mund të mos e lëshojë përsëri.

Hapi 5: vendosni çfarë mbulon tuneli dhe çfarë ndodh kur dështon

Rrugëzimi i të gjithë rrjetit, rrugëzimi i pajisjeve të zgjedhura, trajtimi i DNS, IPv6 dhe sjellja e kill switch janë cilësime të veçanta që një ndërfaqe shpesh i shndërron në një çelës të vetëm. Kontrollojini një nga një, sepse një ruter i lidhur provon vetëm se vetë ruteri mund të arrijë pikën fundore. Provoni nga një klient në rrjedhën e poshtme me tunelin aktiv, pastaj përsëri me të fikur.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Nëse IPv6 është aktivizuar në LAN por nuk rrugëzohet në tunel, klientët mund ta preferojnë dhe të largohen plotësisht nga rruga VPN, ndërsa IPv4 ende duket i mbrojtur. Nëse kill switch është i fikur, një tunel i rënë kthehet në rrugën e ISP-së, gjë që është zgjedhje e mirë vetëm kur e keni bërë me qëllim. Të dyja kushtet janë të padukshme nga paneli i ofruesit.

Shkruani ndarjen e mbështetjes përpara se t'ju duhet. Shitësi i harduerit, mirëmbajtësi i firmware-it dhe operatori VPN janë tre palë me tre procedura rikuperimi të ndryshme, dhe një kontakt mund të mbulojë disa role pa i mbuluar të gjitha. Dorëzimi përfundon kur mund të administroni pajisjen, të rinovoni ose revokoni llogarinë, të riprodhoni daljen e synuar, të përditësoni firmware-in pa humbur profilin dhe të thoni saktësisht çfarë ndodh kur tuneli bie.