Oldindan sozlangan VPN router tekshiruv ro'yxati: topshirishda nimani tekshirish kerak

Oldindan yuklangan router birovning qarorlari allaqachon ichiga pishirilgan holda keladi: qaysi VPN xizmatiga qo'ng'iroq qiladi, uning uchun kimning hisobi to'laydi, qanday trafikni ushlaydi va bularning birortasini o'zgartiradigan parol kimda. Topshirishni qutini ochish emas, audit sifatida ko'ring. Quyidagi besh qadam tartib bilan va har birining to'xtash sharti bor; bir qadam muvaffaqiyatsiz bo'lsa, keyingi qadamlar qurilma haqida sizga ishonchli hech narsa aytolmaydi. Ularni router oldingizda va noutbuk uning orqasida bo'lganda bajaring.

1-qadam: qurilmaning ma'muriy nazoratini oling

Boshqaruv manzilini toping, tizimga kiring va muhim narsani ulashdan oldin administrator parolini o'zgartiring. GL.iNet sayohat routerida bu manzil 192.168.8.1 va birinchi sozlash ustasi parolni belgilashni so'raydi; boshqa sotuvchilar o'z manzillarini hujjatlashtiradi va yorliqqa bosilgan qat'iy hisob ma'lumotlarini yuborishi mumkin. Agar qurilma masofaviy qo'llab-quvvatlash yoki bulut boshqaruvi yoqilgan holda kelgan bo'lsa, hozir shunday qolishini hal qiling.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

O'sha uchta buyruq firmwareni kim yaratganini, qaysi versiya ekanini va siz haqiqatda qaysi apparat reviziyasini olganingizni javob beradi. Natijani topshirish protokoliga yozing, chunki keyingi qo'llab-quvvatlash qo'ng'irog'i aynan shu savollardan boshlanadi. SSH ga javob beradigan, lekin parolni o'zgartirishdan bosh tortadigan yoki hujjatlashtirilgan tiklash yo'li bo'lmagan router siz ega bo'la oladigan qurilma emas.

Agar eksklyuziv administrator kirishini olmasangiz, shu yerda to'xtang. Bu nuqtadan keyin hamma narsa sotuvchidan so'ramasdan konfiguratsiyani o'qib, o'zgartira olasiz deb hisoblaydi.

2-qadam: tunnel kimning VPN hisobidan foydalanishini aniqlang

Tunnel birovning nomiga obuna va uning kimning nomida ekanini bilmaguningizcha topshirish to'liq emas. Provayder, hisob egasi, yangilash sanasi va qurilmaga o'rnatilgan aniq hisob ma'lumotlarini so'rang. Bir hisob ma'lumotini ko'plab xaridorlar o'rtasida bo'lishadigan oldindan yuklangan konfiguratsiyani faqat siz uchun bekor qilib bo'lmaydi va bu sotuvchi u ustidan nazoratni yo'qotadigan kunda muhim.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

WireGuard da natija hamkorni va oxirgi qo'l siqish vaqtini ko'rsatadi; OpenVPN da profil /etc/openvpn ostida va ishlab turgan xizmat qaysi profil faol ekanini ko'rsatadi. Topganingizni yozib qo'ying, chunki boshqa oxirgi nuqtadan jimgina foydalanadigan qayta ulanish siz tushuntirmoqchi emas, aniqlamoqchi bo'lgan o'zgarishdir.

Agar hisobni o'z nomingizga o'tkazish, yangilash yoki bekor qilish mumkin bo'lmasa, shu yerda to'xtang. Boshqara oladigan, lekin qayta tayyorlay olmaydigan qurilma obuna tugaydigan kunda g'ishtga aylanadi.

3-qadam: chiqish joyini routerdan emas, mijozdan sinang

Qutiga bosilgan mamlakat, sotuvchi e'lonidagi mamlakat va ommaviy manzilning mamlakati uch xil fakt. Faqat oxirgisi veb-sayt ko'radigan narsaga ta'sir qiladi va u yetkazib berish manzilidan emas, provayderning oxirgi nuqtasidan hosil bo'ladi. Tekshiruvni tunnel yoqilgan holda router orqasidagi noutbukdan o'tkazing, routerning o'z shellidan emas.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

Uch javobni solishtiring. Agar ular mos kelmasa, mijoz va oxirgi nuqta o'rtasida nimadir trafikni qayta yozmoqda yoki proksilamoqda va joylashuvga tayanishdan oldin uning nima ekanini aniqlashingiz kerak. Geolokatsiya ma'lumotlar bazalari operatorlar tomonidan oziqlanadigan taxminlar, shuning uchun mos keladigan mamlakat kodi jismoniy yo'lning isboti emas, qo'llab-quvvatlovchi dalildir.

Chiqish siz shartnoma qilganidan farq qilsa yoki so'rovlar orasida javob o'zgarsa, shu yerda to'xtang. Aylanadigan yoki izchil bo'lmagan chiqish mintaqaga bog'liq xizmatlarni buzadi va har bir keyingi o'lchovni noaniq qiladi.

4-qadam: firmware va yangilanish kanalini mahkamlang

Oldindan sozlangan qurilmalar ko'pincha eskiroq build va OpenWrt ustiga qatlamlangan sotuvchi konfiguratsiyasi bilan keladi. Har qanday yangilanishni qabul qilishdan oldin yangilanish VPN profilini saqlaydimi, sotuvchi almashtiruvchi profil beradimi va yangilanishni kim bajarishi kerakligini aniqlang. Reliz eslatmalarini haqiqatda sizda bo'lgan model uchun o'qing, e'lon fotosidagi model uchun emas. Agar sotuvchi bu savollarning hech biriga javob bermasa, yangilanishlarni qo'llab-quvvatlanmaydigan deb hisoblang va mavjud buildni muzlatib qo'ying.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Biror narsani o'zgartirishdan oldin ishlayotgan konfiguratsiyaning nusxasini qurilmadan tashqarida saqlang: WireGuard kalitlari, OpenVPN profili va marshrutlash siyosatini amalga oshiradigan firewall qoidalari. O'sha nusxasiz zavod sozlamalariga qaytarish aynan siz to'lagan konfiguratsiyani olib tashlaydi va sotuvchi uni qayta bermasligi mumkin.

5-qadam: tunnel nimani qamrab olishini va ishlamay qolganda nima bo'lishini hal qiling

Butun tarmoq marshrutlash, tanlangan qurilmalar marshrutlash, DNS ishlov berish, IPv6 va kill switch xatti-harakati alohida sozlamalar bo'lib, interfeys ularni ko'pincha bitta tugmaga jamlaydi. Ularni birma-bir tekshiring, chunki ulangan router faqat routerning o'zi oxirgi nuqtaga yeta olishini isbotlaydi. Tunnel yoqilgan holda quyi oqimdagi mijozdan sinab ko'ring, keyin o'chirib yana sinang.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Agar IPv6 LAN da yoqilgan bo'lsa, lekin tunnelga marshrutlanmasa, mijozlar uni afzal ko'rib VPN yo'lini butunlay tark etishi mumkin, IPv4 esa hali ham himoyalanganga o'xshaydi. Agar kill switch o'chirilgan bo'lsa, uzilgan tunnel ISP yo'liga qaytadi, bu faqat buni ataylab qilganingizda yaxshi tanlov. Ikkala shart ham provayder panelidan ko'rinmaydi.

Qo'llab-quvvatlash taqsimotini kerak bo'lishidan oldin yozib qo'ying. Apparat sotuvchisi, firmware xizmatchisi va VPN operatori uch xil tiklash tartibiga ega uch tomon, va bitta aloqa bir nechta rolni qamrab olishi mumkin, ammo hammasini emas. Topshirish qurilmani boshqara olganingizda, hisobni yangilay yoki bekor qila olganingizda, mo'ljallangan chiqishni qayta hosil qila olganingizda, profilni yo'qotmasdan firmwareni yangilay olganingizda va tunnel yiqilganda nima bo'lishini aniq ayta olganingizda tugaydi.