预配置 VPN 路由器交接清单：交付时应核查什么

预装路由器带着卖家的账户、固件和出口策略。请审计管理员权限、账户归属、出口位置、更新与策略。

预装路由器到手时，别人的决定已经烘焙在里面：它拨号连接哪家 VPN 服务、由谁的账户付费、捕获哪些流量，以及谁掌握着能改变这一切的密码。把交接当作审计，而不是开箱。下面五步有先后顺序，每一步都有停止条件；如果某一步失败，后续步骤就无法就这台设备告诉你任何可靠信息。请让路由器在面前、笔记本电脑在其后，逐步走完。

第 1 步：取得设备的管理控制权

找到管理地址，登录，并在连接任何重要设备之前修改管理员密码。在 GL.iNet 旅行路由器上，该地址是 192.168.8.1，首次设置向导会要求你设置密码；其他卖家会记录自己的地址，也可能随附印在标签上的固定凭据。如果设备到手时已启用远程支持或云端管理，现在就决定是否保留。

ssh [email protected]
cat /etc/openwrt_release
ubus call system board

这三条命令回答了固件由谁构建、是哪个版本，以及 你实际拿到的是哪个硬件版本。把输出写进交接记录，因为日后的支持电话会正好从这些问题开始。能响应 SSH 却拒绝改密码的路由器，或者没有文档化恢复路径的路由器，不是你能真正拥有的设备。

如果无法取得独占的管理权限，请就此停下。此后的所有内容都假设你能在不询问卖家的情况下读取和修改配置。

第 2 步：确认隧道使用谁的 VPN 账户

隧道是某人名下的订阅，在弄清是谁的名字之前，交接不算完成。索取服务商、账户持有人、续费日期，以及设备上安装的确切凭据。同一份凭据被多个买家共享的预装配置无法只为你一人吊销，而这一点在卖家失去控制的那天就很重要。

wg show
uci show network | grep -i -E 'vpn|wireguard|openvpn'
ip route show table all | head -40

在 WireGuard 上，输出会列出对端和最后一次握手时间；在 OpenVPN 上，配置文件位于 /etc/openvpn 之下，运行中的服务会显示哪个配置处于活动状态。把发现记下来，因为悄悄换了端点重新连接，是你想要发现而不是解释掉的变更。

如果账户无法以你的名义转移、续费或吊销，请就此停下。能管理却无法重新配置的设备，会在订阅到期那天变成砖头。

第 3 步：从客户端而不是路由器测试出口位置

盒子上印的国家、卖家页面上的国家、公网地址所属的国家，是三件不同的事实。只有最后一项影响网站看到的内容，而它由服务商的出口节点产生，而不是收货地址。请在隧道开启时从路由器后面的笔记本上检查，而不是从路由器自己的 shell 里检查。

curl -s https://ifconfig.me
curl -s https://ipinfo.io/json
dig +short myip.opendns.com @resolver1.opendns.com

比较三个答案。如果它们不一致，说明客户端与端点之间有东西在重写或代理流量，在依赖该位置之前你应该查清那是什么。地理定位数据库是运营商喂出来的估算值，所以国家代码一致只是佐证，不是物理路径的证明。

如果出口与你签约的出口不同，或者答案在多次查询之间变化，请就此停下。轮换或不一致的出口会破坏依赖地区的服务，并让之后的每一次测量都变得模糊。

第 4 步：固定固件与更新通道

预配置设备常常带着较旧的构建，以及叠在 OpenWrt 之上的卖家配置。在接受任何更新之前，先确认升级是否会保留 VPN 配置、卖家是否提供替换配置，以及应由谁执行升级。请阅读你实际拥有的型号的发行说明，而不是广告照片里的型号。如果卖家对这些问题的任何一个都不作答，就把更新视为不受支持，并冻结现有构建。

cat /etc/openwrt_release
cat /etc/glversion 2>/dev/null
opkg list-installed | wc -l

在改动任何东西之前，把可用配置的副本保存在设备之外：WireGuard 密钥、OpenVPN 配置，以及实现路由策略的防火墙规则。没有这份副本的恢复出厂设置，会正好删掉你付钱买来的配置，而卖家可能不会再发一次。

第 5 步：决定隧道覆盖什么，以及失败时会发生什么

全网路由、选定设备路由、DNS 处理、IPv6 与 kill switch 行为是彼此独立的设置，界面却常常把它们收拢成一个开关。请逐项检查，因为路由器已连接只能证明路由器本身能到达端点。在隧道开启时从下游客户端测试，然后再关闭隧道测一次。

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111
nft list ruleset

如果 LAN 上启用了 IPv6 却没有把它路由进隧道，客户端可能更偏好它，从而完全离开 VPN 路径，而 IPv4 看起来仍受保护。如果 kill switch 关闭，隧道断开就会回落到 ISP 路径，这只在你故意如此时才是好选择。这两种情况在服务商面板上都看不见。

在需要之前先把支持分工写下来。硬件卖家、固件维护者和 VPN 运营商是三方，各有一套不同的恢复流程，一个联系人可能覆盖多个角色，却覆盖不了全部。当你能管理设备、续费或吊销账户、复现预期出口、在不丢失配置的情况下更新固件，并准确说出隧道断开时会发生什么，交接才算完成。

相关文章