Wi-Fi ξενοδοχείου: το VPN αποτυγχάνει πριν φτάσει στον διακομιστή

Ο πελάτης VPN περιστρέφεται, έπειτα αναφέρει ότι δεν μπορεί να φτάσει στον διακομιστή, και όλοι συμπεραίνουν ότι το ξενοδοχείο μπλοκάρει τα VPN. Συνήθως δεν συνέβη τίποτα τόσο δραματικό: το δίκτυο δεν σας έχει αφήσει ακόμη να βγείτε. Μια πύλη σύνδεσης κρατά κάθε σύνδεση μέχρι να συνδεθείτε, και μια σήραγγα δεν μπορεί να ολοκληρωθεί όσο μια σελίδα εισόδου υποκλέπτει τα πακέτα της. Περάστε τη σύνδεση πριν κατηγορήσετε τη σήραγγα.

Ο μύθος: το ξενοδοχείο μπλοκάρει τα VPN

Τα περισσότερα δίκτυα ξενοδοχείων δεν φιλτράρουν ειδικά τις σήραγγες. Υποκλέπτουν την κίνηση ιστού μέχρι ο επισκέπτης να ταυτοποιηθεί, και μπορεί επίσης να περιορίσουν συσκευές, να λήξουν συνεδρίες ή να μειώσουν τη διεκπεραιωτική ικανότητα. Κάθε ένα από αυτά παράγει μια αποτυχία που από μέσα σε έναν πελάτη VPN μοιάζει με μπλοκάρισμα.

Η σήραγγα είναι εδώ κακό διαγνωστικό εργαλείο, γιατί είναι η μόνη εφαρμογή που αποτυγχάνει εγγυημένα όσο η πύλη δεν έχει εξουσιοδοτηθεί. Η συνηθισμένη πρόσβαση στον ιστό είναι ο καλύτερος δείκτης, γιατί μπορεί να σας δείξει την ίδια τη σελίδα εισόδου.

Αυτή η σειρά έχει σημασία και για άλλο λόγο: ένας πελάτης με διακόπτη ασφαλείας ή λειτουργία μόνιμης σύνδεσης θα αρνηθεί να φορτώσει την πύλη, και ο χρήστης θα συμπεράνει ότι χάλασε το δίκτυο και όχι η ρύθμιση. Και τα δύο γεγονότα ισχύουν ταυτόχρονα, και μόνο ένα από αυτά μπορεί να αλλάξει στο ξενοδοχείο. Απενεργοποιήστε την προστασία από τον ίδιο τον έλεγχο του πελάτη, συνδεθείτε και ενεργοποιήστε την ξανά. Οτιδήποτε άλλο είναι παράκαμψη που κρύβει την πραγματική αλληλουχία.

Ολοκληρώστε πρώτα την πύλη και μετά δοκιμάστε το συνηθισμένο HTTPS

Ρωτήστε το προσωπικό για το επίσημο όνομα του δικτύου και τον τρόπο σύνδεσης. Ένα πειστικό SSID δεν αποδεικνύει ιδιοκτησία, και ένα δεύτερο δίκτυο με παρόμοιο όνομα είναι συνηθισμένο τέχνασμα σε δημόσιους χώρους. Χρησιμοποιήστε το δικό του μήνυμα σύνδεσης του λειτουργικού συστήματος όπου προσφέρεται, ή την τεκμηριωμένη σελίδα του ξενοδοχείου.

curl -sS -o /dev/null -w '%{http_code} %{redirect_url}\n' http://captive.apple.com/hotspot-detect.html
curl -sS -o /dev/null -w '%{http_code}\n' https://www.example.com/

Το πρώτο αίτημα ρωτά ένα γνωστό σημείο ανίχνευσης πύλης σύνδεσης μέσω απλού HTTP· μια ανακατεύθυνση ή μη αναμενόμενο σώμα σημαίνει ότι είστε ακόμη πίσω από την πύλη. Το δεύτερο δοκιμάζει έναν κανονικό ιστότοπο HTTPS. Αν το πρώτο δείχνει υποκλοπή και το δεύτερο αποτυγχάνει, η σύνδεση είναι ελλιπής και το VPN δεν έχει καμία σχέση.

Σε προσωπική συσκευή μπορεί να χρειαστεί να απενεργοποιήσετε τον διακόπτη ασφαλείας ή το μόνιμο VPN από τον υποστηριζόμενο έλεγχο του πελάτη ώστε να φορτώσει η πύλη. Κλείστε ευαίσθητες εφαρμογές σε εκείνο το διάστημα και ενεργοποιήστε ξανά την προστασία αμέσως μετά. Σε διαχειριζόμενη συσκευή, ακολουθήστε τη διαδικασία που ενέκρινε ο διαχειριστής αντί να αφαιρέσετε μόνοι σας μια πολιτική.

Μην παρακάμπτετε ποτέ μια προειδοποίηση πιστοποιητικού και μην εγκαθιστάτε άγνωστο πιστοποιητικό ή βοηθητική εφαρμογή για να βγείτε στο διαδίκτυο. Αν η πύλη απαιτεί κάτι απροσδόκητο, επιβεβαιώστε το με το προσωπικό, και με τον διαχειριστή αν η συσκευή ανήκει σε εργοδότη.

Κρατήστε το αρχικό προφίλ και το σφάλμα του

Μόλις λειτουργήσει η συνηθισμένη πρόσβαση, συνδέστε το αρχικό προφίλ και καταγράψτε το ακριβές σφάλμα. Μια απόρριψη ταυτοποίησης είναι πρόβλημα λογαριασμού, ένα όριο χρόνου κατά τη διαπραγμάτευση είναι πρόβλημα διαδρομής, και μια σήραγγα που στήνεται αλλά δεν μεταφέρει τίποτα είναι πρόβλημα δρομολόγησης ή πολιτικής.

Τα τρία χρειάζονται διαφορετικά επόμενα βήματα, και ένα στιγμιότυπο του σφάλματος αξίζει περισσότερο από μια περιγραφή. Σημειώστε και την ώρα, γιατί τα όρια συνεδρίας του ξενοδοχείου μπορεί να λήξουν μέσα σε μια ώρα και να δώσουν αποτυχία που φαίνεται τυχαία. Αν ο πελάτης προσφέρει αρχείο καταγραφής, κρατήστε το τμήμα γύρω από την πρώτη αποτυχία και όχι ολόκληρο το αρχείο. Αυτό το απόσπασμα αρκεί συνήθως σε όποιον κατέχει το προφίλ για να εντοπίσει το στάδιο.

Αν η συνηθισμένη πρόσβαση λειτουργεί και η διαπραγμάτευση λήγει ακόμη, ρωτήστε το ξενοδοχείο αν υποστηρίζει αυτή την κίνηση, και συγκρίνετε με ένα αξιόπιστο σημείο πρόσβασης κρατώντας τη συσκευή και το προφίλ σταθερά. Η εργασία στο σημείο πρόσβασης περιορίζει την προσοχή στη διαδρομή του ξενοδοχείου χωρίς να αποδεικνύει τίποτα για το προφίλ.

Χρησιμοποιήστε μόνο τις εναλλακτικές που παρέχει ο φορέας

Ένα αντίστοιχο προφίλ TCP μπορεί να πετύχει εκεί όπου η προσφερόμενη διαδρομή UDP δεν λειτουργεί, αλλά μόνο αν ο διακομιστής ακούει πραγματικά σε αυτή τη μεταφορά και θύρα. Η θύρα TCP 443 δεν αντιμετωπίζεται αυτόματα ως συνηθισμένο HTTPS, και δεν είναι εγγύηση διόδου μέσα από περιοριστικό δίκτυο.

sudo openvpn --config /etc/openvpn/client/office-tcp.conf --verb 4

Η εκτέλεση του παρεχόμενου προφίλ με μεγαλύτερη λεπτομέρεια κρατά το πρώτο χρήσιμο σφάλμα ορατό αντί να το συνθλίψει σε ένα γενικό παράθυρο αποτυχίας. Χρησιμοποιήστε το αρχείο που έδωσε ο φορέας αντί να αλλάξετε μόνοι σας θύρες ή πρωτόκολλα, γιατί μια τοπική αλλαγή δεν μπορεί να δημιουργήσει αντίστοιχο ακροατή στην άλλη πλευρά.

Αν η σήραγγα επαναφέρεται επανειλημμένα, σημειώστε αν εμφανίζεται ξανά η πύλη ή αν πέφτει το τοπικό σήμα, και ακολουθήστε τους ελέγχους σταθερότητας αντί να αλλάζετε πολλά πρωτόκολλα ταυτόχρονα. Έπειτα δοκιμάστε την εφαρμογή που πραγματικά χρειάζεστε και επαναφέρετε τους κανονικούς ελέγχους ιδιωτικότητας. Μια σύνδεση που μεταφέρει τον έναν ιστότοπο αλλά όχι τον άλλο είναι ζήτημα δρομολόγησης ή πολιτικής, όχι πύλης.

Τέλος, ελέγξτε την ανάκτηση μετά την αναστολή του φορητού. Η εξουσιοδότηση της πύλης μπορεί να λήξει ανεξάρτητα από τη σήραγγα, οπότε μια συσκευή που επανασυνδέεται αυτόματα μπορεί να επιστρέψει σε δίκτυο που την έχει ήδη ξεχάσει. Το άνοιγμα ξανά της σελίδας της πύλης είναι κανονικό βήμα, όχι ένδειξη ότι το VPN χάλασε.