VPN verbind tuis, maar tydverstreke op hotel-Wi-Fi

Die skootrekenaar sluit by die huis se Wi-Fi aan, die kliënt verbind binne drie sekondes, en dieselfde profiel misluk 'n uur later by die hotel. Niks is intussen opgedateer nie. Om dit saam met 'n kliënt voor jou deur te werk, gaan meestal daaroor om te weet watter fout by watter fase hoort, want die nuttige inligting is in die kode wat die kliënt druk, nie in die feit dat dit misluk het nie. Werk die vier stappe hieronder in volgorde deur en jy sal weet of 'n naam, 'n pakket, 'n poort of 'n beleid jou geweier het.

Lees die foutkode as 'n fase, nie as 'n vonnis nie

Die kliënt bereik drie afsonderlike mylpale voordat 'n tonnel bestaan. Dit los die bedienernaam op, dit kry 'n antwoord van iets op die netwerk, en dit onderhandel 'n sekuriteitsassosiasie. Elke mylpaal het sy eie mislukkingsboodskap, en veral Windows is vrygewig met verskillende kodes sodra jy weet by watter fase hulle hoort.

Twee van daardie kodes beteken die netwerk is onskuldig. 'n 789 beteken pakkette het gevloei en die twee kante het oor kripto verskil, wat 'n konfigurasieprobleem is wat jy tuis kan regmaak. 'n 868 beteken geen pakket hoef ooit te vertrek nie, so die tonnelontwerp is irrelevant totdat die naam opgelos word. Om die kode in die regte fase te sorteer, spaar meer tyd as enige opname, want dit sê vir jou watter van die volgende drie stappe om oor te slaan.

Wees gepas versigtig as die kliënt nie Windows is nie. Derde-party kliënte verminder die meeste hiervan tot "konneksie het misluk", en daarom steun die volgende twee stappe glad nie op die boodskap nie.

Kontroleer die naam voordat jy die tonnel blameer

Hotel- en lughawe-netwerke onderskep DNS gedurig, en 'n oplosser wat met 'n portaaladres antwoord, lewer 'n fout wat presies soos 'n dooie bediener lyk. Vergelyk wat die plaaslike oplosser sê met wat 'n publieke oplosser sê:

Resolve-DnsName vpn.example.net -Type A
nslookup vpn.example.net 1.1.1.1
ipconfig /all | findstr /i "DNS Servers"

As die twee antwoorde verskil, word jy gestuur en die res van die diagnose is vermors totdat dit opgelos is. Veral 'n portaaladres sal die TCP-verbinding gelukkig aanvaar en dan vassteek, en daarom kan dit soos 'n firewall-blok lyk wanneer jy met 'n blaaier toets.

Bevestig nou dat die adres wat jy wil bereik, die een is wat gebruik word. Sommige kliënte kas die vorige oplossing vir die leeftyd van die profiel, so 'n herkonneksie ná die DNS-verandering gaan steeds na die ou adres. Maak die kliënt heeltemal toe voordat jy weer toets, eerder as om in dieselfde venster op ontkoppel en koppel te druk.

Vind uit watter buitenste pakket verdwyn

Die tonnel het 'n buitenste vloei wat heeltemal aan die pad tussen jou en die bediener behoort, en dit is daardie vloei wat middleware klassifiseer en laat val. Vang dit op die kliënt en vergelyk dan 'n werkende netwerk met die een wat misluk. Op Windows is die ingeboude opname genoeg vir 'n eerste kyk:

pktmon filter remove
pktmon filter add -p 500 -t UDP
pktmon start --capture --pkt-size 128
pktmon stop
pktmon etl2txt PktMon.etl

Wat jy wil sien, is of jou pakkette hoegenaamd vertrek, en of iets terugkom. Pakkette uit met niks terug beteken die pad of die verre kant laat hulle val; niks uit hoegenaamd beteken die kliënt het nooit so ver gekom om te stuur nie, wat terug wys na naamoplossing of na 'n plaaslike firewall-beleid.

Herhaal dieselfde toets op 'n selfoon-hotspot. Dit is die enkele mees insiggewende vergelyking wat jy tot jou beskikking het, want dit verwyder elke boks in die hotel uit die pad terwyl die skootrekenaar, die kliënt en die geloofsbriewe identies bly. As die tonnel op die hotspot opkom, hou op om na die bediener te kyk. As dit ook daar misluk, het jy 'n kliënt- of rekeningprobleem wat die netwerk nooit veroorsaak het nie.

Verander een vervoer en toets weer

Sodra jy weet die buitenste vloei word laat val, is die praktiese vraag watter vloei die netwerk wel toelaat. Die meeste beperkte netwerke laat uitgaande TCP 443 toe omdat hulle anders nie kan funksioneer nie, so om die luisteraar daarheen te skuif is die gewone antwoord. Op OpenVPN is dit 'n kliëntkant-skakelaar totdat die bediener verander word:

openvpn --config corp.ovpn --proto tcp-client --remote vpn.example.net 443 --verb 4

IPsec-kliënte het 'n ekwivalente knop in hul eie instellingspanele, gewoonlik beskryf as IPsec oor TCP of NAT-traversal. Om dit te verander is ook 'n diagnose: as die tonnel oor TCP opkom en oor UDP doodgaan, het jy bewys die netwerk filter UDP, en jy het ook die instelling gevind wat jy elke keer sal nodig hê wanneer jy daardie terrein besoek.

Weerstaan die versoeking om routerfunksies met die eerste poging af te skakel. Om toestandsinpeksie of vloedbeskerming op 'n hotelnetwerk af te skakel, is in elk geval nie vir jou beskikbaar nie, en op jou eie toerusting ruil dit 'n werklike beskerming vir een skootrekenaar in. Let op watter instelling die uitkoms verander het, sit dit dan terug en soek 'n vervoer wat die netwerk reeds toelaat.

Verifieer dieselfde profiel op die tweede netwerk

Voordat jy die kaartjie sluit, bewys dat die verandering die gebou verlaat het en oorleef het. Herverbind op die oorspronklike netwerk met die oorspronklike instellings, vang die eerste dertig sekondes, en bevestig dat die kliënt dieselfde toestand bereik wat dit op die hotspot bereik het:

pktmon filter add -p 443 -t TCP
pktmon start --capture
Get-VpnConnection -Name "Corp" | Select-Object ConnectionStatus, TunnelType, ServerAddress

Die onderskeid wat die laaste opdrag blootlê, is die moeite werd om te hou: die profiel kan 'n verbinde tonnel rapporteer terwyl die routering daarbinne verkeerd is, en dit lewer "die VPN is op maar niks werk nie", wat 'n ander artikel is. As die tonneltipe ná jou wysiging verander het, is die profiel nie die een wat jy getoets het nie.

Skryf dan die bevinding waar die volgende persoon sal kyk. "Corp-profiel het TCP 443 by hierdie terrein nodig; UDP 500 word deur die hotel gefiltreer" is 'n sin waarop 'n kollega kan reageer. "VPN wisselvallig by hotelle" is nie, en dit waarborg dat dieselfde uur volgende maand weer bestee word.