Danh sách kiểm tra cho router VPN được cấu hình sẵn: cần xác minh gì khi bàn giao

Một router được nạp sẵn đến với các quyết định của người khác đã nướng sẵn bên trong: nó quay số tới dịch vụ VPN nào, tài khoản của ai trả tiền cho nó, nó bắt lưu lượng nào và ai giữ mật khẩu có thể thay đổi bất kỳ điều nào trong số đó. Hãy coi việc bàn giao như một cuộc kiểm toán, không phải như việc mở hộp. Năm bước dưới đây được sắp theo thứ tự và mỗi bước có một điều kiện dừng; nếu một bước thất bại, các bước sau không thể cho bạn biết điều gì đáng tin cậy về thiết bị. Hãy thực hiện chúng với router ở phía trước và máy tính xách tay ở phía sau.

Bước 1: nắm quyền kiểm soát quản trị thiết bị

Tìm địa chỉ quản lý, đăng nhập và đổi mật khẩu quản trị viên trước khi kết nối bất cứ thứ gì quan trọng. Trên router du lịch GL.iNet, địa chỉ đó là 192.168.8.1 và trình hướng dẫn thiết lập lần đầu yêu cầu bạn đặt mật khẩu; những người bán khác ghi lại địa chỉ của riêng họ và có thể gửi thông tin đăng nhập cố định in trên nhãn. Nếu thiết bị đến với tính năng hỗ trợ từ xa hoặc quản lý đám mây đang bật, hãy quyết định ngay bây giờ liệu điều đó có giữ nguyên không.

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

Ba lệnh đó trả lời ai đã xây dựng firmware, đây là bản phát hành nào và bạn thực sự đã nhận được bản sửa đổi phần cứng nào. Hãy ghi đầu ra vào biên bản bàn giao, vì một cuộc gọi hỗ trợ sau này sẽ bắt đầu chính xác bằng những câu hỏi đó. Một router trả lời SSH nhưng từ chối đổi mật khẩu, hoặc không có đường khôi phục được ghi lại, không phải là thiết bị bạn có thể sở hữu.

Dừng lại ở đây nếu bạn không thể có quyền truy cập quản trị độc quyền. Mọi thứ sau điểm này giả định rằng bạn có thể đọc và thay đổi cấu hình mà không cần hỏi người bán.

Bước 2: xác định tunnel dùng tài khoản VPN của ai

Tunnel là một đăng ký dưới tên của ai đó, và việc bàn giao chưa hoàn tất cho đến khi bạn biết dưới tên ai. Hãy yêu cầu nhà cung cấp, chủ tài khoản, ngày gia hạn và thông tin đăng nhập chính xác được cài trên thiết bị. Một cấu hình được nạp sẵn chia sẻ một thông tin đăng nhập cho nhiều người mua không thể bị thu hồi chỉ cho riêng bạn, và điều đó quan trọng vào ngày người bán mất quyền kiểm soát nó.

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

Trên WireGuard, đầu ra nêu tên peer và thời điểm bắt tay cuối cùng; trên OpenVPN, hồ sơ nằm dưới /etc/openvpn và dịch vụ đang chạy cho thấy hồ sơ nào đang hoạt động. Hãy ghi lại những gì bạn tìm thấy, vì một lần kết nối lại âm thầm dùng điểm cuối khác là thay đổi bạn muốn phát hiện chứ không phải giải thích.

Dừng lại ở đây nếu tài khoản không thể chuyển nhượng, gia hạn hoặc thu hồi dưới tên bạn. Một thiết bị bạn có thể quản trị nhưng không thể cấp phát lại sẽ thành cục gạch vào ngày đăng ký hết hạn.

Bước 3: kiểm tra vị trí thoát từ máy khách, không phải từ router

Quốc gia in trên hộp, quốc gia trong tin đăng của người bán và quốc gia của địa chỉ công khai là ba sự thật khác nhau. Chỉ cái cuối ảnh hưởng đến điều một trang web nhìn thấy, và nó được tạo ra bởi điểm cuối của nhà cung cấp chứ không phải địa chỉ giao hàng. Chạy kiểm tra từ máy tính xách tay phía sau router khi tunnel đang bật, không phải từ shell của chính router.

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

So sánh ba câu trả lời. Nếu chúng không khớp, có gì đó giữa máy khách và điểm cuối đang viết lại hoặc làm proxy lưu lượng, và bạn nên tìm hiểu đó là gì trước khi dựa vào vị trí. Cơ sở dữ liệu định vị địa lý là các ước tính do nhà mạng cung cấp, nên mã quốc gia khớp là bằng chứng hỗ trợ chứ không phải bằng chứng về một đường đi vật lý.

Dừng lại ở đây nếu điểm thoát khác với điểm bạn đã ký hợp đồng, hoặc nếu câu trả lời thay đổi giữa các truy vấn. Một điểm thoát quay vòng hoặc không nhất quán phá vỡ các dịch vụ phụ thuộc khu vực và làm mọi phép đo sau đó trở nên mơ hồ.

Bước 4: ghim firmware và kênh cập nhật

Các thiết bị được cấu hình sẵn thường đến với bản dựng cũ hơn và cấu hình của người bán phủ lên OpenWrt. Trước khi chấp nhận bất kỳ bản cập nhật nào, hãy xác định liệu bản nâng cấp có giữ hồ sơ VPN không, người bán có cung cấp hồ sơ thay thế không và ai được kỳ vọng sẽ thực hiện nâng cấp. Hãy đọc ghi chú phát hành cho mẫu bạn thực sự có, không phải cho mẫu trong ảnh tin đăng. Nếu người bán không trả lời bất kỳ câu hỏi nào trong số đó, hãy coi các bản cập nhật là không được hỗ trợ và đóng băng bản dựng bạn đang có.

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

Giữ một bản sao của cấu hình đang hoạt động bên ngoài thiết bị trước khi bạn thay đổi bất cứ điều gì: khóa WireGuard, hồ sơ OpenVPN và các quy tắc tường lửa thực thi chính sách định tuyến. Đặt lại về mặc định nhà máy mà không có bản sao đó sẽ xóa đúng cấu hình bạn đã trả tiền, và người bán có thể không phát hành lại.

Bước 5: quyết định tunnel bao phủ những gì và điều gì xảy ra khi nó hỏng

Định tuyến toàn mạng, định tuyến thiết bị được chọn, xử lý DNS, IPv6 và hành vi kill switch là các cài đặt riêng biệt mà giao diện thường gộp vào một công tắc duy nhất. Kiểm tra từng cái một, vì một router đã kết nối chỉ chứng minh rằng bản thân router có thể tới điểm cuối. Kiểm tra từ một máy khách ở hạ nguồn khi tunnel đang bật, rồi lại kiểm tra khi tunnel tắt.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

Nếu IPv6 được bật trên LAN nhưng không được định tuyến vào tunnel, máy khách có thể thích nó hơn và rời khỏi đường VPN hoàn toàn trong khi IPv4 vẫn trông như được bảo vệ. Nếu kill switch tắt, một tunnel bị rớt sẽ quay lại đường ISP, điều đó chỉ là lựa chọn tốt khi bạn cố ý làm vậy. Cả hai điều kiện đều vô hình từ bảng điều khiển của nhà cung cấp.

Hãy viết ra cách phân chia hỗ trợ trước khi bạn cần đến nó. Người bán phần cứng, người bảo trì firmware và nhà vận hành VPN là ba bên với ba quy trình khôi phục khác nhau, và một đầu mối liên hệ có thể bao phủ nhiều vai trò mà không bao phủ tất cả. Việc bàn giao hoàn tất khi bạn có thể quản trị thiết bị, gia hạn hoặc thu hồi tài khoản, tái tạo điểm thoát dự định, cập nhật firmware mà không mất hồ sơ và nói chính xác điều gì xảy ra khi tunnel rớt.