VPN läuft im WLAN, aber nicht über Mobilfunk: warum

Beginnen Sie mit einem Vergleich, nicht mit einem Fazit: dasselbe Telefon, dasselbe Profil, zwei Netze. Scheitert der Tunnel im einen und funktioniert im anderen, liegt der Unterschied irgendwo auf dem Pfad und nicht in den Zugangsdaten. Notieren Sie, welche Art von Fehler Sie bekommen, denn eine Ablehnung vor der Anmeldung und eine Verbindung, die nichts überträgt, sind verschiedene Probleme. Alles Folgende setzt diesen Test voraus, ausgeführt mit nur geändertem Netz.

Ein VPN braucht die darunterliegende Verbindung; es ersetzt sie nicht und kann einen Betreiber nicht dazu bringen, zu übertragen, was der Betreiber ablehnt.

Halten Sie das Telefon fest und ändern Sie nur das Netz

Netz und Server gleichzeitig zu ändern lässt zwei mögliche Ursachen übrig und keinen Weg, sie zu trennen. Vergleichen Sie denselben Endpunkt zuerst im WLAN, dann über Mobilfunk, und halten Sie jedes Mal das genaue Symptom fest. Ein Fehler vor der Authentifizierung deutet auf Erreichbarkeit, eine abgelehnte Anmeldung auf das Konto, und ein verbundener Tunnel, der nichts überträgt, auf Routing oder DNS. Nur der erste Fall hat wirklich mit dem Netz zu tun.

Eine ausdrückliche Ablehnung bei der Anmeldung gehört ebenfalls zu den Authentifizierungsprüfungen, auch wenn sie nur in einem Netz auftritt. Manche Betreiber und Gastnetze fangen Datenverkehr so ab, dass irreführende Fehler entstehen.

Was das Zugangsnetz sieht und wofür es berechnet

Der Betreiber, der den Tunnel trägt, beobachtet die Verbindung selbst: Zeitverlauf, Volumen und die Adresse des VPN-Endpunkts. Die Nutzlast zu verschlüsseln verbirgt diese Eigenschaften nicht, und das gilt im Heim-WLAN ebenso wie im Mobilfunk. Was ein VPN ändert, ist, wer was sehen kann, und die Antwort unterscheidet sich auf jedem Hop. Halten Sie das pro Hop fest, statt die Verbindung pauschal als privat zu beschreiben.

Die Abrechnung ist der andere praktische Unterschied. Kapselung, Keepalives und Wiederholungen verbrauchen Bytes, und Anwendungen können eine Übertragung nach einem Übergang fortsetzen. Auch gedrosseltes Heim-WLAN gibt es, prüfen Sie also die Zähler des Geräts und den Tarif, statt anzunehmen, eines der Netze sei unbegrenzt.

Portal-Anmeldungen und Betreiberbeschränkungen

Ein Captive Portal muss erfüllt sein, bevor der Tunnel irgendetwas erreichen kann. Ein erneutes Verbinden des VPN lässt kein Gerät zu, das das Netz nicht autorisiert hat, und eine Always-on-Richtlinie kann das Portal unerreichbar machen. Schließen Sie zuerst die Anmeldung über den normalen Browserablauf ab, dann bauen Sie den Tunnel auf. Verhindert eine verwaltete Richtlinie diese Reihenfolge, folgen Sie dem dokumentierten Verfahren des Betreibers oder Administrators.

Betreiberbeschränkungen sind die andere Variable: manche Pfade tragen nur bestimmte Protokolle, manche übersetzen Adressen aggressiv, und manche behandeln eine Adressfamilie anders als die andere. Der Vergleich grenzt den Fehler auf den Pfad ein, ohne zu benennen, welcher Mechanismus verantwortlich ist.

Übergang ist nicht dasselbe wie Neuverbindung

Sobald jedes Netz für sich funktioniert, beobachten Sie einen echten Übergang. Der Client kann die Änderung erkennen und sich neu verbinden, oder er behält eine Sitzung, die inzwischen tot ist. Bereits genutzte Anwendungen erholen sich anders als solche, die nach dem Wechsel geöffnet werden, also ein dauerhaftes Tunnel-Symbol wenig beweist. Testen Sie die Anwendung, die Ihnen wirklich wichtig ist, über den Wechsel hinweg und notieren Sie, ob sie sich ohne manuellen Eingriff erholt.

Scheitert der Tunnel erst nach Leerlauf, kann ein Keepalive einen Fall von NAT-Zustand abfangen. Es repariert kein schwaches Signal und behebt nicht jeden Übergang. Unterscheiden Sie Leerlauf von Bewegung, bevor Sie Einstellungen ändern.

Halten Sie Netz, Fehlerstufe und Verhalten während eines Übergangs fest. Diese drei trennen ein Pfadproblem von einem Clientproblem.