Чаму VPN не можа падключыцца да сеткі Wi-Fi без сервера

Запыт звычайна прыходзіць як варыянт той жа надзеі: накіраваць кліента на сетку Wi-Fi і апынуцца ўнутры яе. Тунэль робіць не гэта. Тунэль злучае кліента з чымсьці, што ўжо слухае. Калі ў мэтавай сетцы няма нічога, што слухае для аддаленага доступу, іншага канца няма.

Тунэль — гэта сувязь, а не налада

Адзін бок слухае, другі падключаецца, і абодва дамаўляюцца аб пратаколе і ўліковых даных. Бок, які слухае, павінен знаходзіцца ўнутры сеткі, да якой вы хочаце дабрацца. Гэтую частку нельга выдумаць з кліента. Профіль з правільным адрасам і няправільнай сеткай за ім дае перавышэнне часу чакання, а не доступ.

Менавіта таму сумленны адказ на некаторыя з гэтых пытанняў — аддаленага доступу для гэтай сеткі не існуе. Даданне пратакола, порта або іншага кліента не стварае канцавы пункт, які ўладальнік ніколі не разгортваў.

Падрабязнасці Wi-Fi — не ўліковыя даныя тунэля

SSID, падсетка, шлюз і парольная фраза — гэта факты пра знаходжанне ў будынку. Ніводзін з іх не аўтэнтыфікуе вас у сэрвісе ў іншым месцы інтэрнэту. Кампусныя і гатэльныя сеткі публікуюць гэтую інфармацыю для гасцей у будынку, а не для кліентаў у інтэрнэце.

Капіраванне ўнутранай падсеткі ў профіль VPN стварае спробу дасягнуць адраса, які не маршрутызуецца з вашага месца. Спроба правальваецца раней, чым правяраюцца ўліковыя даныя, таму змена імя карыстальніка або метаду аўтэнтыфікацыі ніколі не дапамагае.

Калі арганізацыя запускае сэрвіс аддаленага доступу, яе дакументацыя называе канцавы пункт і метад. Спытайце менавіта гэтыя два факты, бо служба падтрымкі інакш адкажа на пытанне, якое звычайна чуе, — пра Wi-Fi.

Выхад не выбірае вашу зыходную сетку

Некаторыя серверы адказваюць толькі кліентам, чый адрас трапляе ў пэўны дыяпазон. Гэта праверка крыніцы. Камерцыйны выхад знаходзіцца па-за ім, таму злучэнне адхіляецца да абмену любымі данымі праграмы. Арыфметыка не мяняецца, калі вы выбіраеце іншага пастаўшчыка, бо адрас усё яшчэ не той, які патрэбен серверу.

Застаюцца тры варыянты, і толькі тры. Знайдзіце канцавы пункт унутры дазволенага дыяпазону, выкарыстайце ўзгоднены прамежкавы хост, які ўжо ёсць, або папрасіце ўладальніка змяніць палітыку. Усё астатняе — варыяцыя надзеі на тое, што праверка не выконваецца.

Лакальны тунэль шыфруе не той сегмент

Сервер, прывязаны да інтэрфейсу loopback, абараняе трафік паміж двума працэсамі на адной машыне. Па-за гэтым шляхам пакеты пакідаюць хост гэтак жа, як і раней. Абарона, якую вы хацелі для сеткі, ніколі не існавала, хоць выдаткі на апрацоўку рэальныя.

У гэтай схемы ёсць законнае выкарыстанне: тэставанне кліента, маршруту або канфігурацыі перад разгортваннем. Гэта не мера прыватнасці і не спосаб дабрацца да аддаленай сеткі, а блытаніна паміж імі вядзе да вялікай колькасці марна выдаткаванай канфігурацыі.

Што сапраўды працуе без сервера

Калі ў прылады няма стабільнага ўваходнага шляху, карысны шаблон — пункт сустрэчы, а не прамое злучэнне. Знешне размешчаны рэлей, зваротны тунэль ад прылады да невялікага сервера, які вы кантралюеце, або пастаўшчык, які прапануе ўваходную адрасацыю, ставяць нешта дасяжнае ў сярэдзіну. Падпіска на спажывецкі VPN — не гэта, бо яна не размяшчае канцавы пункт унутры вашай сеткі.

ssh -N -R 2222:localhost:22 [email protected]
ss -tlnp | grep 2222
nc -vz 198.51.100.7 2222

Першая каманда адкрывае зваротны тунэль ад прылады да рэлея, другая пацвярджае лакальны слухач, а трэцяя правярае шлях звонку. Замяніце адрас з дакументацыі на свой рэлей і яўна пацвердзіце кірунак, бо зыходныя злучэнні часта ўдаюцца праз трансляцыю, а непажаданыя ўваходныя ніколі не прыходзяць.

Калі мэта — проста дабрацца да сэрвісу, які ўжо існуе ў сетцы, якую вы кантралюеце, змяшчайце кліента на прыладу, якой ён патрэбны. Сумеснае выкарыстанне тунэля з ноўтбука — гэта праект маршрутызацыі і трансляцыі з уласнымі рэжымамі збою, і кіраваны кліент звычайна яго блакуе.