Com configurar un encaminador de viatge darrere del portal captiu d'un hotel
Autoritzeu primer l'establiment i després inicieu el túnel. Comproveu el mode client, el DNS i què rep un dispositiu posterior, en lloc de confiar en el llum d'estat de l'encaminador.
Obriu la pàgina d'administració de l'encaminador de viatge i la temptació és iniciar la VPN de seguida. La xarxa de l'hotel té altres plans: el vostre encaminador és un client del Wi-Fi de l'establiment, i fins que aquesta connexió ascendent no estigui autoritzada, cap túnel no pot arribar enlloc. Feu les dues etapes en ordre i l'encaminador deixarà de semblar espatllat.
Primer, comproveu que l'encaminador pot fer les dues feines
Necessiteu un mode client ascendent, normalment anomenat repetidor, client o WISP, i un client VPN de sortida. Són funcions diferents de les d'un servidor VPN, i molts encaminadors barats inclouen la segona i no la primera.
A la pàgina d'administració, trobeu la secció WAN o internet i canvieu-la al mode client sense fil. Escanegeu l'SSID de l'establiment, uniu-vos-hi i deixeu que l'encaminador prengui una adreça abans de configurar res més.
Confirmeu la versió del firmware mentre hi sou. Els noms dels menús canvien entre versions, i el camí d'una guia antiga pot ja no existir encara que la funció existeixi. Anoteu el model i la versió amb el vostre equip de viatge. Quan un pas documentat no coincideix amb la pantalla que teniu davant, la diferència de versió és gairebé sempre la raó.
Segon, autoritzeu la connexió ascendent
Connecteu un portàtil a l'encaminador i obriu qualsevol pàgina HTTP. El portal hauria de redirigir, i a partir d'aquí s'aplica el procediment propi de l'establiment. Alguns portals funcionen millor des d'un telèfon que des d'un encaminador sense pantalla, i per això fer-ho des d'un dispositiu connectat sol ser més ràpid.
Un bloqueig estricte de la VPN pot complicar aquesta arrencada. Si l'establiment descarta el trànsit del túnel abans de l'autorització, el client VPN de l'encaminador fallarà mentre el portal estigui pendent, i aquesta fallada és esperada i no una configuració incorrecta.
Feu servir un mètode compatible per superar-ho. Eliminar diversos controls alhora, o instal·lar un certificat que una pàgina del portal ofereix com a reparació, canvia una molèstia temporal per un problema permanent.
Tercer, inicieu la VPN amb un perfil que admeti
Quan l'accés ordinari funcioni, inicieu el client VPN de l'encaminador amb el perfil que realment admet. Una configuració de WireGuard i un perfil d'OpenVPN no són intercanviables, i cap dels dos es pot importar en un camp IPsec natiu.
Comproveu tres coses abans de confiar-hi: el punt final és abastable, el resolutor respon amb el valor esperat i l'adreça de sortida és la que espereu. La comprovació de sortida és l'única que demostra que el túnel transporta trànsit i no que només està configurat.
curl -sS https://ifconfig.me
cat /etc/resolv.confSi l'encaminador informa que està connectat i l'adreça de sortida continua sent la de l'establiment, el túnel no transporta el trànsit que penseu. Arregleu-ho abans d'afegir dispositius posteriors a la imatge.
Quart, proveu des d'un dispositiu posterior
La pàgina d'estat de l'encaminador descriu la connexió pròpia de l'encaminador. Feu una petició nova des del portàtil que hauria d'estar cobert i comproveu IPv4, IPv6 i el resolutor per separat, perquè un dispositiu pot estar cobert per a una família i no per a l'altra.
| Stage | What to verify | Where |
|---|---|---|
| Upstream join | Router has an address from the venue | Router WAN status |
| Portal authorization | A fresh request loads a public page | Connected laptop |
| Tunnel | Egress address changed | Router or laptop |
| Downstream coverage | Laptop resolves and reaches the private resource | Laptop |
Si el portàtil falla mentre l'encaminador té èxit, el problema és al camí posterior: NAT, DHCP o una política de túnel que només cobreix el trànsit propi de l'encaminador. Comproveu que el portàtil tingui una adreça de la reserva de l'encaminador, i després que la seva passarel·la predeterminada sigui l'encaminador. Un dispositiu que encara té una concessió del servidor DHCP de l'establiment és en una xarxa completament equivocada.
Cinquè, decidiu el pla alternatiu i conserveu l'inici de sessió
Proveu què passa quan el portal caduca o el túnel cau. La política que heu triat ha de cobrir el trànsit reenviat, no només les peticions que fa l'encaminador mateix, o un dispositiu posterior tornarà silenciosament a la connexió de l'establiment.
Conserveu el procés d'inici de sessió ascendent verificat amb l'encaminador, en paper o en una nota local. Reiniciar al següent hotel es converteix en una tasca de dos minuts en lloc d'una altra configuració improvisada. Conserveu també una còpia fora de l'encaminador, perquè una nota desada només al dispositiu no està disponible just quan el dispositiu és el que ha fallat. El paper encara guanya en aquest cas.
Després anoteu els quatre valors que ho van fer funcionar: mode ascendent, procediment del portal, tipus de perfil VPN i comprovació de sortida. Aquests quatre són el que necessitareu la propera vegada, i són els quatre més difícils de reconstruir de memòria.