Контрольний список для попередньо налаштованого VPN-роутера: що перевірити під час передачі

Попередньо завантажений роутер приходить із уже вбудованими чужими рішеннями: до якого сервісу VPN він підключається, чий обліковий запис за це платить, який трафік перехоплює і в кого пароль, що змінює будь-що з цього. Ставтеся до передачі як до аудиту, а не як до розпакування. П'ять кроків нижче впорядковані, і кожен має умову зупинки; якщо крок не вдався, наступні кроки не можуть сказати вам нічого достовірного про пристрій. Пройдіть їх, коли роутер перед вами, а ноутбук за ним.

Крок 1: візьміть адміністративний контроль над пристроєм

Знайдіть адресу керування, увійдіть і змініть пароль адміністратора, перш ніж підключати щось важливе. На дорожньому роутері GL.iNet ця адреса — 192.168.8.1, і майстер першого налаштування просить задати пароль; інші продавці документують свою адресу і можуть постачати фіксовані облікові дані, надруковані на етикетці. Якщо пристрій прийшов із увімкненою віддаленою підтримкою або хмарним керуванням, вирішіть зараз, чи це залишиться ввімкненим.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Ці три команди відповідають, хто зібрав прошивку, яка це версія і яку ревізію обладнання ви насправді отримали. Запишіть вивід у протокол передачі, бо подальший дзвінок до підтримки почнеться саме з цих питань. Роутер, який відповідає по SSH, але відмовляється змінювати пароль, або не має задокументованого шляху відновлення, — це не пристрій, яким ви можете володіти.

Зупиніться тут, якщо не можете отримати виключний адміністративний доступ. Усе після цієї точки припускає, що ви можете читати й змінювати конфігурацію, не питаючи продавця.

Крок 2: встановіть, чий обліковий запис VPN використовує тунель

Тунель — це підписка на чиєсь ім'я, і передача не завершена, доки ви не знаєте, на чиє. Запросіть провайдера, власника облікового запису, дату поновлення та точні облікові дані, встановлені на пристрої. Попередньо завантажена конфігурація, яка ділить одні облікові дані між багатьма покупцями, не може бути відкликана лише для вас, і це важливо того дня, коли продавець втрачає над нею контроль.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

У WireGuard вивід називає піра та час останнього рукостискання; у OpenVPN профіль лежить у /etc/openvpn, а служба, що працює, показує, який профіль активний. Запишіть, що знайдете, бо перепідключення, яке мовчки використовує іншу кінцеву точку, — це зміна, яку ви захочете виявити, а не пояснити.

Зупиніться тут, якщо обліковий запис не можна передати, поновити або відкликати на ваше ім'я. Пристрій, яким ви можете керувати, але не можете перепідготувати, стає цеглиною того дня, коли підписка закінчується.

Крок 3: перевіряйте розташування виходу з клієнта, а не з роутера

Країна, надрукована на коробці, країна в оголошенні продавця і країна публічної адреси — три різні факти. Лише остання впливає на те, що бачить сайт, і її створює кінцева точка провайдера, а не адреса доставки. Виконайте перевірку з ноутбука за роутером при ввімкненому тунелі, а не з власної оболонки роутера.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Порівняйте три відповіді. Якщо вони не збігаються, щось між клієнтом і кінцевою точкою переписує або проксіює трафік, і вам слід з'ясувати, що саме, перш ніж покладатися на розташування. Бази геолокації — це оцінки, які живлять оператори, тому збіжний код країни є підтверджувальним доказом, а не доказом фізичного шляху.

Зупиніться тут, якщо вихід відрізняється від того, на який ви уклали договір, або якщо відповідь змінюється між запитами. Обертовий або непослідовний вихід ламає сервіси, залежні від регіону, і робить кожне подальше вимірювання неоднозначним.

Крок 4: закріпіть прошивку та канал оновлень

Попередньо налаштовані пристрої часто постачаються зі старішою збіркою та конфігурацією продавця, накладеною поверх OpenWrt. Перш ніж прийняти будь-яке оновлення, встановіть, чи зберігає оновлення профіль VPN, чи постачає продавець замінний профіль і хто має виконувати оновлення. Читайте примітки до випуску для моделі, яка у вас справді є, а не для моделі на фото з оголошення. Якщо продавець не відповідає на жодне з цих питань, вважайте оновлення непідтримуваними і заморозьте наявну збірку.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Збережіть копію робочої конфігурації поза пристроєм, перш ніж щось змінювати: ключі WireGuard, профіль OpenVPN і правила брандмауера, що реалізують політику маршрутизації. Скидання до заводських налаштувань без цієї копії видаляє саме ту конфігурацію, за яку ви заплатили, і продавець може її більше не видати.

Крок 5: вирішіть, що покриває тунель і що стається при збої

Маршрутизація всієї мережі, маршрутизація вибраних пристроїв, обробка DNS, IPv6 і поведінка kill switch — це окремі налаштування, які інтерфейс часто зводить до одного перемикача. Перевіряйте їх по одному, бо підключений роутер доводить лише те, що сам роутер може досягти кінцевої точки. Перевірте з нижчого клієнта при ввімкненому тунелі, а потім знову при вимкненому.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Якщо IPv6 увімкнено в локальній мережі, але не маршрутизується в тунель, клієнти можуть віддати йому перевагу і повністю залишити шлях VPN, поки IPv4 ще виглядає захищеним. Якщо kill switch вимкнено, обірваний тунель повертається на шлях провайдера, і це хороший вибір лише тоді, коли ви зробили це навмисно. Обидві умови невидимі з панелі провайдера.

Запишіть розподіл підтримки, перш ніж він знадобиться. Продавець обладнання, супроводжувач прошивки і оператор VPN — три сторони з трьома різними процедурами відновлення, і один контакт може покривати кілька ролей, але не всі. Передача завершена, коли ви можете керувати пристроєм, поновити або відкликати обліковий запис, відтворити запланований вихід, оновити прошивку, не втративши профіль, і точно сказати, що відбувається, коли тунель падає.