Pam mae'r porth caeth yn rhwystro eich VPN, a sut i fewngofnodi eto

Ar rwydwaith agored, nid yw eich pwynt mynediad yn syml yn trosglwyddo pecynnau i'r rhyngrwyd. Mae pwynt polisi i fyny'r afon yn gwirio a yw eich dyfais wedi'i hawdurdodi eto, ac hyd nes y bydd, mae bron popeth yn cael ei ollwng. Mae eich cleient VPN yn darllen y distawrwydd hwnnw fel gweinydd marw. Anaml y mae'n dweud hynny: mae WireGuard yn ailgynnig ysgydwad llaw i'r gwagle, mae OpenVPN yn adrodd am derfyn amser cysylltiad, ac mae IKEv2 yn dychwelyd fel gwall 809 am weinydd pell nad yw'n ymateb.

Beth mae'r porth yn ei reoli mewn gwirionedd

Mae porth caeth yn ddau beth wedi'u hoelio wrth ei gilydd: pwynt penderfynu polisi ac ailgyfeirydd. Pan fydd eich dyfais yn cysylltu ac yn cymryd les DHCP, mae'r rhwydwaith yn eich rhoi mewn cyflwr cyn awdurdodi.

Mae'r cyflwr hwnnw'n set o reolau wal dân. Fel arfer mae'n caniatáu DNS ac yn caniatáu HTTP neu HTTPS i restr fer o westeiwyr y porth, ac mae'n taflu popeth arall. Y rhestr a ganiateir yw'r ardd â muriau, ac mae bron byth yn cynnwys pen draw VPN.

Nid oes unrhyw un o'r gollyngiadau hyn yn gwrtais. Mae pecynnau sy'n anelu at weinydd VPN yn cael eu taflu yn hytrach na'u gwrthod, felly nid yw'r cleient yn cael unrhyw ICMP unreachable nac unrhyw ailosod TCP, dim ond absenoldeb ateb. Yn dibynnu ar y gwerthwr, gall yr ailgyfeirydd ateb porth 80 ag ailgyfeiriad i'r dudalen fewngofnodi tra bod porth 443 yn cael ei daflu neu ei ryng-gipio. Mae ailgyfeiriadau'n hawdd eu gweld oherwydd eu bod yn cario ymateb HTTP plaen; mae angen tystysgrif ar ryng-gipio ar 443 y bydd eich porwr yn gwrthod ymddiried ynddi.

Mae'r awdurdodiad ei hun fel arfer yn gysylltiedig â chyfeiriad MAC y ddyfais, weithiau â'r IP a lesiwyd, ac mae'n byw mewn tabl sesiwn gyda therfyn amser. Mae mewngofnodi yn creu cofnod. Dim ond tra bod y cofnod hwnnw'n bodoli y mae'r rheol wal dân sy'n gadael eich traffig drwodd yn bodoli, a dyna pam mae'r broblem gyfan yn dychwelyd yn ddiweddarach heb i unrhyw beth newid ar eich ochr chi.

Pam mae ysgydwad llaw VPN yn marw cyn iddo ddechrau

Mae gan bob protocol ei gludydd ei hun, ac mae'r wal dân cyn awdurdodi yn torri pob un yn wahanol. Mae IKEv2 ar Windows ac iOS yn teithio ar UDP 500 a UDP 4500; mae gollwng ar y pyrth hynny'n ymddangos fel 809, neu fel methiant ar ffurf datrys enwau ar gleientiaid sy'n adrodd camau ar wahân. Mae OpenVPN dros UDP 1194 yn aros yn y cyflwr cysylltu nes bod ei derfyn amser yn dod i ben. OpenVPN dros TCP 443 yw'r achos diddorol, oherwydd gall y porth gwblhau ysgydwad llaw TCP ac yna ateb â'i dudalen ailgyfeirio, felly rydych chi'n gweld gwall TLS yn lle terfyn amser.

Mae WireGuard yn dangos y mecanwaith yn gliriaf. UDP yn unig yw hi o ran dyluniad, heb unrhyw TCP wrth gefn, felly mae wal dân sy'n taflu UDP anhysbys yn tynnu'r cludydd yn gyfan gwbl. Mae'r cleient yn parhau i anfon dechrau ysgydwad llaw gydag ôl-ddodiad cynyddol ac yn adrodd am ysgydwad llaw nad yw byth yn cwblhau. Nid oes dim yn y neges honno yn sôn am Wi-Fi, ac nid oes dim ynddi yn awgrymu y dylech agor porwr.

Mae platfformau'n ceisio sylwi ar y cyflwr cyn i'ch VPN wneud. Mae Windows yn nôl URL hysbys i benderfynu a ddylid dangos ei hysbysiad mewngofnodi, mae Android yn gofyn am ben draw y dylai ateb 204 No Content, ac mae dyfeisiau Apple yn agor ffenestr fach rhwydwaith caeth. Mae'r profion hynny'n gweithio oherwydd bod y porth yn ateb ag ailgyfeiriad yn lle'r corff a ddisgwylir. Mae'r un ymddygiad yn esbonio sut y gall porth edrych yn berffaith iach tra bod eich twnnel yn farw: mae'r prawf a'r twnnel yn cael eu barnu gan reolau gwahanol.

Beth mae terfyn sesiwn yn ei ailosod mewn gwirionedd

Mae lleoliadau'n terfynu sesiynau am resymau nad oes a wnelont â'ch cyfrif VPN: terfyn amser segur, hyd sesiwn mwyaf, les DHCP newydd, neu ailgysylltu â phwynt mynediad gwahanol. Pan fydd y terfyn amser yn tanio, mae'r cofnod yn y tabl sesiwn yn diflannu ac mae'r set reolau cyn awdurdodi yn dychwelyd yn union fel yr oedd wrth gyrraedd.

Mae twnnel sefydledig yn aml yn goroesi'n ddigon hir i edrych yn iach. Mae negeseuon cadw'n fyw yn parhau i fynd allan, ac mae p'un a yw'r cleient yn sylwi yn dibynnu ar sut y mae'n trin traffig heb ateb, felly gall y golau statws aros yn wyrdd am gyfnod ar ôl i'r llwybr fynd. Yna mae'r twnnel yn disgyn ac mae pob ymgais ailgysylltu yn methu ar yr un pyrth sydd wedi'u blocio.

Ar y pwynt hwnnw mae gwall y cleient yn dweud wrthych ym mha gam yr ydych, os byddwch yn ei ddarllen yn ofalus:

Mae un manylyn yn twyllo pobl: pan fydd y sesiwn wedi'i chlymu wrth gyfeiriad MAC, efallai na fydd ail-lwytho'r dudalen fewngofnodi yn helpu. Rhaid i chi ollwng y cysylltiad ac ymuno eto fel bod y porth yn gweld ymgais awdurdodi newydd yn lle un wedi dod i ben.

Mewngofnodwch yn gyntaf, yna codwch y twnnel

Y drefn sy'n gweithio yw: awdurdodwch y ddyfais, profwch y llwybr, dechreuwch y VPN, profwch y twnnel, yna adferwch eich blocio arferol. Mae'r cam olaf yn bwysig oherwydd y cyflwr dros dro sydd ei angen arnoch i gyrraedd y porth yw'r union gyflwr y mae switsh lladd yn bodoli i'w atal.

Mae'n rhaid oedi cleient bwrdd gwaith sydd â'r opsiwn blocio y tu allan i'r twnnel er mwyn i dudalen y porth lwytho, a dylech gadw apiau sensitif ar gau yn ystod y ffenestr honno y tu allan i'r twnnel; dyna'r unig gyfnod pan fydd traffig lleol yn gadael heb amddiffyniad. Dylai dyfais reoledig sydd bob amser ymlaen ddefnyddio'r weithdrefn a gyhoeddwyd gan ei pherchennog yn hytrach na'ch bod chi'n tynnu polisi. Os bydd y porth yn dangos rhybudd tystysgrif, stopiwch: mae ei derbyn yn llwybro eich sesiwn trwy ddirprwy ryng-gipio'r lleoliad, ac mae'r dirprwy hwnnw'n gallu darllen popeth a anfonwch. Ar Android mae'r clo o dan VPN sydd bob amser ymlaen yn blocio traffig cyn i'r twnnel godi, ac ni all rhai adeilediadau ryddhau llif y porth; os na all eich un chi, defnyddiwch fynediad amgen y lleoliad neu ddyfais arall yn lle gadael y clo i ffwrdd. Gellir ysgrifennu rheolau Apple ar gais i wrthod y twnnel nes i brawf lwyddo, a dyna'r ymddygiad rydych chi ei eisiau ar rwydweithiau gwesty.

Gwirwch yn y drefn gyda'r offer sydd gennych yn barod. Cyn y twnnel, rhedwch y prawf gyda'r pennawdau a'r corff ill dau yn weladwy, a gwyliwch a yw eich cludydd VPN yn cael unrhyw ateb o gwbl:

curl -sS -D - http://captive.apple.com/hotspot-detect.html -o -
sudo tcpdump -ni any 'udp port 500 or udp port 4500 or udp port 1194'

Cyn awdurdodi, mae porth arferol yn rhoi un o ddau ateb: 302 y mae ei Location yn pwyntio at y dudalen fewngofnodi, neu 200 â chorff HTML sef tudalen y porth. Cofnodwch pa un a gawsoch. Nid yw ailgyfeiriad yn fethiant cyn mewngofnodi; mae'r porth yn dweud wrthych ble i fynd. Ar ôl i'r porth adrodd llwyddiant, ailadroddwch y gorchymyn a disgwyliwch 200 y mae ei gorff yn y gair llythrennol Success. Y llinyn hwnnw sy'n gwneud y prawf yn ystyrlon. Os yw'r gwesteiwr yn ateb yn arferol cyn i chi erioed fewngofnodi, nid oes porth ryng-gipio ar y rhwydwaith hwn. Yn y cofnod, gollwng cyn awdurdodi yw pecynnau allan heb ddim yn dod yn ôl, tra bod llwybr sy'n gweithio yn dangos ateb i'r un llif o fewn tua eiliad. Cysylltwch, yna ailadroddwch y cofnod.

Os yw'r twnnel yn dal i fethu ar ôl i'r porth ddweud ie

Nid yw llwyddiant mewngofnodi yr un peth â chludydd a ganiateir. Mae llawer o leoliadau'n caniatáu'r porth a phori cyffredin tra'n blocio UDP yn llwyr, sy'n gadael WireGuard ac OpenVPN dros UDP yn doredig a TCP 443 yn gweithio. Os yw TCP 443 yn mynd trwodd ac UDP ddim, polisi'r lleoliad yw hynny yn hytrach na chleient y gwnaethoch ei gamffurfweddu, felly newidiwch gludydd neu dderbyniwch y terfyn a symud ymlaen. Os yw ailgysylltiad yn dal i fethu ar ôl hynny, cadwch y gwall union; mae'n enwi'r cam rydych chi wedi glynu wrtho.

Mae methiannau eraill yn byw ar y ddyfais. Gall sesiwn sydd o hyd ynghlwm wrth hen MAC, ail addasydd Wi-Fi â'i les ei hun, neu gleient sydd wedi cadw eithriad tystysgrif y porth barhau i fethu ar ôl ailddarparu awdurdodiad glân. Gollyngwch y cysylltiad, ailawdurdodwch, a cheisiwch unwaith cyn i chi gyffwrdd â gosodiadau'r cleient. Mae RFC 8952 yn werth ei darllen os ydych chi eisiau'r bensaernïaeth y tu ôl i'r cydrannau rydych chi'n eu gwylio.

Os yw'r porth ei hun yn gwrthod awdurdodi, mae'r broblem yn y cyfrif neu yng nghyfraniad y ddyfais ac ni fydd unrhyw osodiad VPN yn ei thrwsio. Nid yw newid gwlad allanfa'r VPN yn ailosod cyflwr mynediad lleol y lleoliad; mae'r tabl hwnnw wedi'i glymu wrth eich dyfais, nid wrth y gweinydd a ddewiswch. Gofynnwch i weithredwr y lleoliad a rhowch amser iddo, oherwydd y tabl sesiwn yw'r peth y bydd yn edrych arno.

Cyn eich taith nesaf, nodwch dri pheth: tudalen y porth fel cam sero, y cam oedi'r blocio ar gyfer pob dyfais a gariwch, ac un cludydd wrth gefn yr ydych wedi'i brofi mewn gwirionedd. Pan fydd twnnel a oedd yn gweithio ddeng munud yn ôl yn stopio eto, triniwch ef fel awdurdodiad wedi dod i ben ac ailwirio'r porth cyn i chi gyffwrdd â phroffil y VPN.