รายการตรวจสอบเราเตอร์ VPN ที่กำหนดค่าไว้ล่วงหน้า: สิ่งที่ต้องตรวจสอบตอนส่งมอบ

เราเตอร์ที่โหลดไว้ล่วงหน้าจะมาพร้อมกับการตัดสินใจของคนอื่นที่อบอยู่ข้างในแล้ว: บริการ VPN ที่มันเชื่อมต่อ บัญชีของใครที่จ่ายให้มัน ทราฟฟิกที่มันดักจับ และใครถือรหัสผ่านที่เปลี่ยนอะไรก็ตามในนั้น มองการส่งมอบเป็นการตรวจสอบ ไม่ใช่การแกะกล่อง ห้าขั้นตอนด้านล่างเรียงลำดับ และแต่ละขั้นมีเงื่อนไขหยุด; ถ้าขั้นหนึ่งล้มเหลว ขั้นถัดไปก็บอกอะไรที่เชื่อถือได้เกี่ยวกับอุปกรณ์ไม่ได้ ทำงานผ่านมันโดยมีเราเตอร์อยู่ตรงหน้าและแล็ปท็อปอยู่ข้างหลัง

ขั้นที่ 1: เข้าควบคุมการบริหารจัดการอุปกรณ์

หาที่อยู่จัดการ เข้าสู่ระบบ และเปลี่ยนรหัสผ่านผู้ดูแลก่อนเชื่อมต่ออะไรที่สำคัญ บนเราเตอร์พกพา GL.iNet ที่อยู่นั้นคือ 192.168.8.1 และ ตัวช่วยตั้งค่าครั้งแรก ขอให้คุณตั้งรหัสผ่าน; ผู้ขายรายอื่นจัดทำเอกสารที่อยู่ของตนเองและอาจส่งข้อมูลรับรองแบบตายตัวที่พิมพ์บนฉลาก หากอุปกรณ์มาพร้อมการสนับสนุนระยะไกลหรือการจัดการคลาวด์ที่เปิดอยู่ ให้ตัดสินใจตอนนี้ว่าจะคงไว้หรือไม่

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

สามคำสั่งนั้นตอบว่าใครสร้างเฟิร์มแวร์ เป็นรุ่นใด และ คุณได้รับฮาร์ดแวร์รีวิชันใดจริง ๆ เขียนผลลัพธ์ลงในบันทึกการส่งมอบ เพราะการโทรขอความช่วยเหลือในภายหลังจะเริ่มต้นด้วยคำถามเหล่านั้นพอดี เราเตอร์ที่ตอบ SSH ได้แต่ปฏิเสธการเปลี่ยนรหัสผ่าน หรือไม่มีเส้นทางการกู้คืนที่จัดทำเอกสารไว้ ไม่ใช่อุปกรณ์ที่คุณเป็นเจ้าของได้

หยุดตรงนี้ถ้าคุณไม่ได้สิทธิ์ผู้ดูแลแบบเฉพาะตัว ทุกอย่างหลังจุดนี้ถือว่าคุณอ่านและเปลี่ยนการกำหนดค่าได้โดยไม่ต้องถามผู้ขาย

ขั้นที่ 2: ระบุว่าอุโมงค์ใช้บัญชี VPN ของใคร

อุโมงค์คือการสมัครสมาชิกในนามของใครคนหนึ่ง และการส่งมอบยังไม่สมบูรณ์จนกว่าคุณจะรู้ว่าเป็นนามของใคร ขอผู้ให้บริการ เจ้าของบัญชี วันที่ต่ออายุ และข้อมูลรับรองที่ติดตั้งบนอุปกรณ์อย่างแม่นยำ การกำหนดค่าที่โหลดไว้ล่วงหน้าซึ่งแบ่งปันข้อมูลรับรองชุดเดียวในหมู่ผู้ซื้อจำนวนมากไม่สามารถเพิกถอนเพื่อคุณเพียงคนเดียวได้ และเรื่องนี้สำคัญในวันที่ผู้ขายสูญเสียการควบคุมมัน

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

บน WireGuard ผลลัพธ์ระบุคู่ค้าและเวลาจับมือครั้งล่าสุด; บน OpenVPN โปรไฟล์อยู่ใต้ /etc/openvpn และบริการที่ทำงานอยู่แสดงว่าโปรไฟล์ใดใช้งานอยู่ บันทึกสิ่งที่พบ เพราะการเชื่อมต่อใหม่ที่ใช้จุดปลายทางอื่นอย่างเงียบ ๆ คือการเปลี่ยนแปลงที่คุณอยากตรวจจับ ไม่ใช่อธิบายให้พ้นตัว

หยุดตรงนี้ถ้าบัญชีไม่สามารถโอน ต่ออายุ หรือเพิกถอนในนามของคุณ อุปกรณ์ที่คุณจัดการได้แต่เตรียมการใหม่ไม่ได้จะกลายเป็นอิฐในวันที่การสมัครสมาชิกหมดอายุ

ขั้นที่ 3: ทดสอบตำแหน่งทางออกจากไคลเอนต์ ไม่ใช่จากเราเตอร์

ประเทศที่พิมพ์บนกล่อง ประเทศในประกาศของผู้ขาย และประเทศของที่อยู่สาธารณะเป็นข้อเท็จจริงสามอย่างที่ต่างกัน เฉพาะอย่างหลังเท่านั้นที่ส่งผลต่อสิ่งที่เว็บไซต์เห็น และมันถูกสร้างโดยจุดปลายทางของผู้ให้บริการ ไม่ใช่ที่อยู่จัดส่ง ตรวจสอบจากแล็ปท็อปที่อยู่หลังเราเตอร์ขณะอุโมงค์เปิดอยู่ ไม่ใช่จากเชลล์ของเราเตอร์เอง

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

เปรียบเทียบคำตอบทั้งสาม หากไม่ตรงกัน มีบางอย่างระหว่างไคลเอนต์กับจุดปลายทางกำลังเขียนทราฟฟิกใหม่หรือพร็อกซี และคุณควรค้นหาว่ามันคืออะไรก่อนพึ่งพาตำแหน่ง ฐานข้อมูลจีโอโลเคชันเป็นการประมาณที่ผู้ให้บริการป้อนเข้ามา ดังนั้นรหัสประเทศที่ตรงกันจึงเป็นหลักฐานสนับสนุน ไม่ใช่ข้อพิสูจน์เส้นทางกายภาพ

หยุดตรงนี้ถ้าทางออกต่างจากที่คุณทำสัญญาไว้ หรือถ้าคำตอบเปลี่ยนไประหว่างการสอบถาม ทางออกที่หมุนเวียนหรือไม่สม่ำเสมอทำให้บริการที่พึ่งพาภูมิภาคพังและทำให้การวัดทุกครั้งหลังจากนั้นกำกวม

ขั้นที่ 4: ปักหมุดเฟิร์มแวร์และช่องทางการอัปเดต

อุปกรณ์ที่กำหนดค่าไว้ล่วงหน้ามักมาพร้อมบิลด์ที่เก่ากว่าและการกำหนดค่าของผู้ขายที่วางทับบน OpenWrt ก่อนยอมรับการอัปเดตใด ๆ ให้ระบุว่าการอัปเกรดรักษาโปรไฟล์ VPN ไว้หรือไม่ ผู้ขายจัดหาโปรไฟล์ทดแทนหรือไม่ และใครควรทำการอัปเกรด อ่านบันทึกประจำรุ่นสำหรับรุ่นที่คุณมีจริง ไม่ใช่รุ่นในภาพโฆษณา ถ้าผู้ขายไม่ตอบคำถามเหล่านี้เลย ให้ถือว่าการอัปเดตไม่ได้รับการสนับสนุนและตรึงบิลด์ที่คุณมีไว้

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

เก็บสำเนาการกำหนดค่าที่ใช้งานได้ไว้นอกอุปกรณ์ก่อนเปลี่ยนอะไร: คีย์ WireGuard โปรไฟล์ OpenVPN และกฎไฟร์วอลล์ที่นำนโยบายการกำหนดเส้นทางไปใช้ การรีเซ็ตเป็นค่าจากโรงงานโดยไม่มีสำเนานั้นจะลบการกำหนดค่าที่คุณจ่ายเงินไปพอดี และผู้ขายอาจไม่ออกให้อีก

ขั้นที่ 5: ตัดสินใจว่าอุโมงค์ครอบคลุมอะไรและเกิดอะไรขึ้นเมื่อล้มเหลว

การกำหนดเส้นทางทั้งเครือข่าย การกำหนดเส้นทางอุปกรณ์ที่เลือก การจัดการ DNS IPv6 และพฤติกรรม kill switch เป็นการตั้งค่าแยกกันที่อินเทอร์เฟซมักรวมเป็นสวิตช์เดียว ตรวจสอบทีละอย่าง เพราะเราเตอร์ที่เชื่อมต่ออยู่พิสูจน์เพียงว่าเราเตอร์เองไปถึงจุดปลายทางได้ ทดสอบจากไคลเอนต์ปลายน้ำขณะอุโมงค์เปิดอยู่ แล้วทดสอบอีกครั้งเมื่อปิด

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

หาก IPv6 เปิดอยู่บน LAN แต่ไม่ถูกกำหนดเส้นทางเข้าอุโมงค์ ไคลเอนต์อาจเลือกใช้มันและออกจากเส้นทาง VPN ทั้งหมด ในขณะที่ IPv4 ยังดูเหมือนได้รับการป้องกัน หาก kill switch ปิดอยู่ อุโมงค์ที่หลุดจะกลับไปใช้เส้นทาง ISP ซึ่งเป็นทางเลือกที่ดีเฉพาะเมื่อคุณทำโดยเจตนา ทั้งสองเงื่อนไขมองไม่เห็นจากแดชบอร์ดของผู้ให้บริการ

เขียนการแบ่งความรับผิดชอบด้านสนับสนุนไว้ก่อนที่คุณจะต้องการมัน ผู้ขายฮาร์ดแวร์ ผู้ดูแลเฟิร์มแวร์ และผู้ประกอบการ VPN เป็นสามฝ่ายที่มีขั้นตอนการกู้คืนที่ต่างกันสามแบบ และผู้ติดต่อรายเดียวอาจครอบคลุมหลายบทบาทแต่ไม่ใช่ทั้งหมด การส่งมอบเสร็จสิ้นเมื่อคุณจัดการอุปกรณ์ได้ ต่ออายุหรือเพิกถอนบัญชีได้ สร้างทางออกที่ตั้งใจไว้ซ้ำได้ อัปเดตเฟิร์มแวร์โดยไม่สูญเสียโปรไฟล์ และบอกได้อย่างแม่นยำว่าเกิดอะไรขึ้นเมื่ออุโมงค์หลุด