Checklista för en förkonfigurerad VPN-router: vad du ska verifiera vid överlämningen

En förladdad router kommer med någon annans beslut redan inbakade: vilken VPN-tjänst den ringer, vems konto som betalar för den, vilken trafik den fångar upp och vem som har lösenordet som ändrar något av detta. Behandla överlämningen som en revision, inte som en uppackning. De fem stegen nedan är ordnade och varje steg har ett stoppvillkor; om ett steg misslyckas kan de senare stegen inte berätta något tillförlitligt om enheten. Gå igenom dem med routern framför dig och en bärbar dator bakom den.

Steg 1: ta över den administrativa kontrollen över enheten

Hitta administrationsadressen, logga in och ändra administratörslösenordet innan du ansluter något viktigt. På en GL.iNet-reserouter är den adressen 192.168.8.1 och guiden för första installationen ber dig ange lösenordet; andra säljare dokumenterar sin egen adress och kan leverera fasta inloggningsuppgifter tryckta på etiketten. Om enheten kom med fjärrsupport eller molnadministration aktiverat måste du nu avgöra om det ska förbli påslaget.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

De tre kommandona svarar på vem som byggde firmware, vilken version det är och vilken hårdvarurevision du faktiskt fick. Skriv utdata i överlämningsprotokollet, för ett senare supportärende börjar med exakt de frågorna. En router som svarar på SSH men vägrar ändra lösenord, eller som saknar en dokumenterad återställningsväg, är inte en enhet du kan äga.

Stanna här om du inte kan få exklusiv administratörsåtkomst. Allt efter denna punkt förutsätter att du kan läsa och ändra konfigurationen utan att fråga säljaren.

Steg 2: fastställ vems VPN-konto tunneln använder

Tunneln är en prenumeration i någons namn, och överlämningen är inte komplett förrän du vet vems. Be om leverantören, kontoinnehavaren, förnyelsedatumet och de exakta inloggningsuppgifter som är installerade på enheten. En förladdad konfiguration som delar en inloggningsuppgift mellan många köpare kan inte återkallas bara för dig, och det spelar roll den dag säljaren förlorar kontrollen över den.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

På WireGuard anger utdata motparten och tiden för det senaste handslaget; på OpenVPN ligger profilen under /etc/openvpn och tjänsten som körs visar vilken profil som är aktiv. Anteckna vad du hittar, för en återanslutning som tyst använder en annan slutpunkt är en ändring du vill upptäcka i stället för att bortförklara.

Stanna här om kontot inte kan överföras, förnyas eller återkallas i ditt eget namn. En enhet du kan administrera men inte kan tillhandahålla på nytt blir en tegelsten den dag prenumerationen löper ut.

Steg 3: testa utgångsplatsen från en klient, inte från routern

Landet som är tryckt på lådan, landet i säljarens annons och landet för den offentliga adressen är tre olika fakta. Bara det sista påverkar vad en webbplats ser, och det produceras av leverantörens slutpunkt, inte av leveransadressen. Utför kontrollen från en bärbar dator bakom routern med tunneln uppe, inte från routerns eget skal.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Jämför de tre svaren. Om de inte stämmer överens skriver eller proxar något mellan klienten och slutpunkten trafiken, och du bör ta reda på vad innan du litar på platsen. Geolokaliseringsdatabaser är uppskattningar som operatörer matar, så en matchande landskod är stödjande bevis och inte bevis för en fysisk väg.

Stanna här om utgången skiljer sig från den du har avtalat, eller om svaret ändras mellan frågorna. En roterande eller inkonsekvent utgång bryter regionberoende tjänster och gör varje senare mätning tvetydig.

Steg 4: fäst firmware och uppdateringskanal

Förkonfigurerade enheter levereras ofta med en äldre build och en säljarkonfiguration lagd ovanpå OpenWrt. Innan du accepterar en uppdatering, fastställ om en uppgradering bevarar VPN-profilen, om säljaren tillhandahåller en ersättningsprofil och vem som förväntas utföra uppgraderingen. Läs versionsinformationen för den modell du faktiskt har, inte för modellen på annonsbilden. Om säljaren inte svarar på någon av dessa frågor, behandla uppdateringar som ej stödda och frys den build du har.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Spara en kopia av den fungerande konfigurationen utanför enheten innan du ändrar något: WireGuard-nycklarna, OpenVPN-profilen och brandväggsreglerna som implementerar routningspolicyn. En fabriksåterställning utan den kopian tar bort exakt den konfiguration du betalade för, och säljaren kanske inte utfärdar den igen.

Steg 5: avgör vad tunneln täcker och vad som händer vid fel

Routing för hela nätverket, routing för valda enheter, DNS-hantering, IPv6 och kill switch-beteende är separata inställningar som ett gränssnitt ofta slår ihop till en enda reglage. Kontrollera dem en i taget, eftersom en ansluten router bara bevisar att routern själv kan nå slutpunkten. Testa från en nedströms klient med tunneln uppe och sedan igen med den nere.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Om IPv6 är aktiverat på LAN men inte routas in i tunneln kan klienter föredra det och lämna VPN-vägen helt, medan IPv4 fortfarande ser skyddat ut. Om kill switch är av faller en bruten tunnel tillbaka till ISP-vägen, vilket bara är ett bra val när du gjorde det med avsikt. Båda villkoren är osynliga från leverantörens instrumentpanel.

Skriv ner supportuppdelningen innan du behöver den. Hårdvarusäljaren, firmwareunderhållaren och VPN-operatören är tre parter med tre olika återställningsprocedurer, och en kontakt kan täcka flera roller utan att täcka alla. Överlämningen är klar när du kan administrera enheten, förnya eller återkalla kontot, återskapa den avsedda utgången, uppdatera firmware utan att förlora profilen och exakt säga vad som händer när tunneln faller.