Hotelová Wi-Fi: VPN selže dřív, než se vůbec dostane na server

Klient VPN se točí, pak oznámí, že nemůže dosáhnout serveru, a všichni usoudí, že hotel blokuje VPN. Obvykle se nestalo nic tak dramatického: síť vás ještě nepustila ven. Zachytávací portál podrží každé spojení, dokud se nepřihlásíte, a tunel nemůže vzniknout, dokud jeho pakety zachytává přihlašovací stránka. Projděte přihlášením, než obviníte tunel.

Mýtus: hotel blokuje VPN

Většina hotelových sítí tunely nijak zvlášť nefiltruje. Zachytávají webový provoz, dokud se host neautentizuje, a mohou také omezit počet zařízení, ukončit relace nebo snížit propustnost. Každé z toho vytvoří poruchu, která zevnitř klienta VPN vypadá jako blokování.

Tunel je tu špatná diagnostika, protože je to jediná aplikace, která zaručeně selže, dokud portál není autorizovaný. Běžný webový přístup je lepší ukazatel, protože vám může ukázat samotnou přihlašovací stránku.

Toto pořadí je důležité i z jiného důvodu: klient s kill switchem nebo režimem stálého připojení odmítne portál načíst a uživatel usoudí, že je rozbitá síť, nikoli nastavení. Obě skutečnosti platí současně a v hotelu lze změnit jen jednu z nich. Vypněte ochranu vlastním ovládáním klienta, přihlaste se a hned ji znovu zapněte. Cokoli jiného je obchvat, který skrývá skutečný sled kroků.

Nejprve dokončete portál, potom otestujte běžné HTTPS

Zeptejte se personálu na oficiální název sítě a způsob přihlášení. Přesvědčivý SSID není dokladem vlastnictví a druhá síť s podobným názvem je na veřejných místech běžná lest. Použijte vlastní přihlašovací výzvu operačního systému, kde ji nabízí, nebo dokumentovanou stránku hotelu.

curl -sS -o /dev/null -w '%{http_code} %{redirect_url}\n' http://captive.apple.com/hotspot-detect.html
curl -sS -o /dev/null -w '%{http_code}\n' https://www.example.com/

První požadavek se ptá známého koncového bodu pro detekci portálu přes prosté HTTP; přesměrování nebo nečekané tělo znamená, že jste stále za portálem. Druhý testuje běžný web HTTPS. Pokud první ukazuje zachytávání a druhý selže, přihlášení není dokončené a VPN s tím nemá nic společného.

Na osobním zařízení může být nutné vypnout kill switch nebo trvalou VPN podporovaným ovládáním klienta, aby se portál mohl načíst. Během toho okna zavřete citlivé aplikace a hned poté ochranu znovu zapněte. Na spravovaném zařízení použijte postup schválený správcem, místo abyste sami odstraňovali zásadu.

Nikdy neobcházejte varování o certifikátu a neinstalujte neznámý certifikát ani pomocnou aplikaci, abyste se dostali online. Pokud portál požaduje něco nečekaného, ověřte to s personálem, a se správcem, pokud zařízení patří zaměstnavateli.

Zachovejte původní profil a jeho chybu

Když běžný přístup funguje, připojte původní profil a zapište přesnou chybu. Odmítnutí autentizace je problém účtu, časový limit při vyjednávání je problém cesty a tunel, který se naváže, ale nic nepřenáší, je problém směrování nebo zásad.

Ty tři potřebují různé další kroky a snímek obrazovky s chybou má větší cenu než popis. Zapište i čas, protože limity hotelové relace mohou vypršet během hodiny a vytvořit poruchu, která vypadá náhodně. Pokud klient nabízí záznam, uchovejte část kolem prvního selhání, nikoli celý soubor. Tento výňatek obvykle stačí tomu, kdo profil vlastní, aby určil fázi.

Pokud běžný přístup funguje a vyjednávání stále vyprší, zeptejte se hotelu, zda tento provoz podporuje, a porovnejte s důvěryhodným hotspotem při nezměněném zařízení a profilu. Práce na hotspotu zužuje pozornost na hotelovou cestu, aniž by cokoli dokazovala o profilu.

Používejte jen alternativy, které dodá operátor

Odpovídající profil TCP může uspět tam, kde nabízená cesta UDP nefunguje, ale jen pokud server na tomto přenosu a portu skutečně naslouchá. Port TCP 443 se automaticky nepovažuje za běžné HTTPS a není zárukou průchodu omezující sítí.

sudo openvpn --config /etc/openvpn/client/office-tcp.conf --verb 4

Spuštění dodaného profilu s vyšší podrobností udrží první užitečnou chybu viditelnou, místo aby se slila do obecného dialogu selhání. Použijte soubor, který dal operátor, místo vlastních úprav portů či protokolů, protože místní změna nemůže na druhé straně vytvořit odpovídající posluchač.

Pokud se tunel opakovaně resetuje, poznamenejte, zda se portál vrací nebo zda padá místní signál, a postupujte podle kontrol stability, místo abyste přepínali několik protokolů najednou. Potom otestujte aplikaci, kterou skutečně potřebujete, a obnovte běžné ovládání soukromí. Spojení, které přenese jeden web, ale jiný ne, je otázka směrování nebo zásad, ne portálu.

Nakonec zkontrolujte obnovu po uspání notebooku. Autorizace portálu může vypršet nezávisle na tunelu, takže zařízení, které se automaticky připojí, se může vrátit do sítě, která už ho zapomněla. Znovu otevřít stránku portálu je běžný krok, ne známka, že je VPN rozbitá.