Контролна листа за унапред конфигурисан VPN рутер: шта проверити при предаји

Унапред учитан рутер долази са одлукама неког другог већ уграђеним унутра: на који VPN сервис се повезује, чији налог за то плаћа, какав саобраћај хвата и ко држи лозинку која мења било шта од тога. Третирајте предају као ревизију, а не као отпакивање. Пет корака испод је поређано и сваки има услов за заустављање; ако један корак не успе, каснији кораци не могу вам рећи ништа поуздано о уређају. Прођите их са рутером испред себе и лаптопом иза њега.

Корак 1: преузмите административну контролу над уређајем

Пронађите адресу за управљање, пријавите се и промените администраторску лозинку пре него што повежете нешто важно. На GL.iNet путном рутеру та адреса је 192.168.8.1 и чаробњак за прво подешавање тражи да поставите лозинку; други продавци документују своју адресу и могу послати фиксне акредитиве одштампане на етикети. Ако је уређај стигао са омогућеном даљинском подршком или управљањем у облаку, одлучите сада да ли то остаје.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Те три команде одговарају ко је направио фирмвер, које је издање и коју сте ревизију хардвера заиста добили. Запишите излаз у записник о предаји, јер ће каснији позив подршци почети управо тим питањима. Рутер који одговара на SSH, али одбија промену лозинке, или нема документован пут опоравка, није уређај који можете поседовати.

Зауставите се овде ако не можете да добијете ексклузиван административни приступ. Све после ове тачке претпоставља да можете да читате и мењате конфигурацију без питања продавца.

Корак 2: утврдите чији VPN налог користи тунел

Тунел је претплата на нечије име и предаја није потпуна док не знате на чије. Затражите провајдера, власника налога, датум обнове и тачне акредитиве инсталиране на уређају. Унапред учитана конфигурација која дели једне акредитиве међу многим купцима не може се опозвати само за вас, а то је важно оног дана када продавац изгуби контролу над њом.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

На WireGuard излаз наводи партнера и време последњег руковања; на OpenVPN профил се налази под /etc/openvpn и сервис који ради показује који је профил активан. Запишите шта нађете, јер поновно повезивање које тихо користи другу крајњу тачку је промена коју ћете хтети да откријете, а не да објасните.

Зауставите се овде ако налог не може да се пренесе, обнови или опозове на ваше име. Уређај којим можете да управљате, али не можете поново да га припремите, постаје цигла оног дана када претплата истекне.

Корак 3: тестирајте локацију излаза са клијента, не са рутера

Земља одштампана на кутији, земља у огласу продавца и земља јавне адресе су три различите чињенице. Само последња утиче на то шта веб-сајт види, и њу ствара крајња тачка провајдера, а не адреса испоруке. Проверу обавите са лаптопа иза рутера са укљученим тунелом, а не из сопственог shell-а рутера.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Упоредите три одговора. Ако се не слажу, нешто између клијента и крајње тачке преписује или проксира саобраћај, и требало би да откријете шта пре него што се поуздате у локацију. Базе геолокације су процене које хране оператери, тако да је поклапајући код земље поткрепљујући доказ, а не доказ физичке путање.

Зауставите се овде ако се излаз разликује од оног за који сте уговорили, или ако се одговор мења између упита. Ротирајући или неконзистентан излаз крши услуге зависне од региона и чини свако касније мерење двосмисленим.

Корак 4: закачите фирмвер и канал ажурирања

Унапред конфигурисани уређаји често стижу са старијом изградњом и конфигурацијом продавца насликаном преко OpenWrt-а. Пре него што прихватите било какво ажурирање, утврдите да ли надоградња чува VPN профил, да ли продавац доставља заменски профил и ко треба да изврши надоградњу. Читајте белешке о издању за модел који заиста имате, не за модел на фотографији из огласа. Ако продавац не одговори ни на једно од тих питања, третирајте ажурирања као неподржана и замрзните изградњу коју имате.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Чувајте копију радне конфигурације изван уређаја пре него што било шта промените: WireGuard кључеве, OpenVPN профил и правила заштитног зида која спроводе политику рутирања. Фабричко ресетовање без те копије уклања тачно ону конфигурацију за коју сте платили, а продавац је можда неће поново издати.

Корак 5: одлучите шта тунел покрива и шта се дешава при неуспеху

Рутирање целе мреже, рутирање изабраних уређаја, руковање DNS-ом, IPv6 и понашање kill switch-а су одвојена подешавања која интерфејс често спаја у један прекидач. Проверавајте их једно по једно, јер повезан рутер доказује само да сам рутер може да достигне крајњу тачку. Тестирајте са клијента низводно са укљученим тунелом, па поново са искљученим.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Ако је IPv6 омогућен на LAN-у, али се не рутира у тунел, клијенти могу да га преферирају и потпуно напусте VPN путању, док IPv4 још изгледа заштићено. Ако је kill switch искључен, прекинут тунел се враћа на ISP путању, што је добар избор само када сте то урадили намерно. Оба услова су невидљива са панела провајдера.

Запишите поделу подршке пре него што вам затреба. Продавац хардвера, одржавалац фирмвера и VPN оператер су три стране са три различите процедуре опоравка, а један контакт може да покрије неколико улога, али не све. Предаја је завршена када можете да администрирате уређај, обновите или опозовете налог, репродукујете жељени излаз, ажурирате фирмвер без губитка профила и тачно кажете шта се дешава када тунел падне.