VPN ühendub kodus, kuid hotelli Wi-Fi-s tekib aegumine

Sülearvuti liitub kodu Wi-Fi-ga, klient ühendub kolme sekundiga ja sama profiil ebaõnnestub hotellis tund hiljem. Vahepeal ei uuendatud midagi. Selle kliendiga sinu ees läbivaatamine on peamiselt teadmine, milline viga kuulub millisesse etappi, sest kasulik teave on koodis, mille klient välja trükib, mitte selles, et see ebaõnnestus. Käige allolevad neli sammu järjekorras läbi ja te teate, kas teid keeldus nimi, pakett, port või poliitika.

Lugege veakoodi etapina, mitte otsusena

Klient jõuab kolme eraldi verstapostini enne, kui tunnel olemas on. See lahendab serveri nime, saab vastuse millegilt võrgus ja peab läbirääkimisi turvaassotsiatsiooni üle. Igal verstapostil on oma ebaõnnestumisteade ja eriti Windows on helde erinevate koodidega, kui tead, millisesse etappi need kuuluvad.

Kaks neist koodidest tähendavad, et võrk on süütu. 789 tähendab, et paketid liikusid ja kaks otsa ei jõudnud krüpto osas kokkuleppele, mis on konfiguratsiooniprobleem, mille saate kodus parandada. 868 tähendab, et ükski pakett ei pidanud kunagi väljuma, seega on tunneli disain ebaoluline, kuni nimi lahendatakse. Koodi õigesse etappi sorteerimine säästab rohkem aega kui ükski püüdmine, sest see ütleb, millise järgmisest kolmest sammust vahele jätta.

Olge asjakohaselt ettevaatlik, kui klient pole Windows. Kolmandate osapoolte kliendid suruvad enamiku sellest kokku "ühendus ebaõnnestus", mistõttu kaks järgmist sammu ei toetu sõnumile üldse.

Kontrollige nime enne, kui süüdistate tunnelit

Hotelli- ja lennujaamavõrgud püüavad DNS-i pidevalt kinni ning resoluuter, mis vastab portaalii aadressiga, tekitab tõrke, mis näeb täpselt välja nagu surnud server. Võrrelge, mida ütleb kohalik resoluuter, sellega, mida ütleb avalik:

Resolve-DnsName vpn.example.net -Type A
nslookup vpn.example.net 1.1.1.1
ipconfig /all | findstr /i "DNS Servers"

Kui kaks vastust erinevad, suunatakse teid ja ülejäänud diagnostika on raisatud, kuni see on lahendatud. Eriti portaalii aadress võtab TCP-ühenduse hea meelega vastu ja jääb siis seisma, mistõttu võib see brauseriga testides tunduda tulemüüri blokeeringuna.

Nüüd kinnitage, et aadress, kuhu kavatsete jõuda, on see, mida kasutatakse. Mõned kliendid vahemälu varasema lahenduse profiili elueaks, nii et DNS-i muutmise järel läheb uuesti ühendamine ikka vanale aadressile. Sulgege klient täielikult enne uuesti testimist, selle asemel et samas aknas vajutada katkesta ja ühenda.

Tehke kindlaks, milline välimine pakett kaob

Tunnelil on välimine voog, mis kuulub täielikult sinu ja serveri vahelisele teele, ja just seda voogu vaheseinad klassifitseerivad ja pillavad. Püüdke see kliendis kinni ja võrrelge seejärel töötavat võrku ebaõnnestuvaga. Windowsis piisab esimeseks pilguks sisseehitatud püüdmisest:

pktmon filter remove
pktmon filter add -p 500 -t UDP
pktmon start --capture --pkt-size 128
pktmon stop
pktmon etl2txt PktMon.etl

Te tahate näha, kas teie paketid üldse väljuvad ja kas midagi tagasi tuleb. Paketid välja ilma vastuseta tähendavad, et tee või kaugem ots pillab need; kui välja ei lähe midagi, ei jõudnud klient kunagi saatmiseni, mis osutab tagasi nimelahendusele või kohalikule tulemüüri poliitikale.

Korrake sama testi telefonihotspotiga. See on ainus kõige informatiivsem võrdlus, mis teil saadaval on, sest see eemaldab teelt iga hotellis oleva karbi, jättes sülearvuti, kliendi ja volitused samaks. Kui tunnel tõuseb hotspotil, lõpetage serveri vaatamine. Kui see sealgi ebaõnnestub, on teil kliendi- või tilihäiriö, mida võrk kunagi ei põhjustanud.

Muutke üht transpordi ja testige uuesti

Kui teate, et välimine voog pillatakse, on praktiline küsimus, millist voogu võrk siiski lubab. Enamik piiratud võrke lubab väljuvat TCP 443, sest nad ei saaks muidu toimida, nii et kuulaja sinna viimine on tavaline vastus. OpenVPN puhul on see kliendipoolne lüliti, kuni serverit muudetakse:

openvpn --config corp.ovpn --proto tcp-client --remote vpn.example.net 443 --verb 4

IPsec-kliendid on samaväärne lüliti oma seadete paneelides, mida tavaliselt kirjeldatakse kui IPsec üle TCP või NAT-i läbimine. Selle muutmine on samuti diagnostika: kui tunnel tõuseb üle TCP ja sureb üle UDP, olete tõestanud, et võrk filtreerib UDP-d, ja leidsite ka seade, mida vajate igal külastusel sellesse kohta.

Vastupanu kiusatusele esimesel katsel ruuteri funktsioone välja lülitada. Olekuinspektsiooni või üleujutuskaitse väljalülitamine hotellivõrgus ei ole teile niikuinii kättesaadav ja oma riistvaral vahetab see tõelise kaitse ühe sülearvuti vastu. Märkige üles, milline seade tulemust muutis, seejärel pange see tagasi ja otsige transporti, mida võrk juba lubab.

Kontrollige sama profiili teises võrgus

Enne pileti sulgemist tõestage, et muudatus jäi püsima ka pärast hoonest lahkumist. Ühenduge uuesti algses võrgus algsete seadetega, püüdke esimesed kolmkümmend sekundit ja kinnitage, et klient jõuab samasse olekusse nagu hotspotil:

pktmon filter add -p 443 -t TCP
pktmon start --capture
Get-VpnConnection -Name "Corp" | Select-Object ConnectionStatus, TunnelType, ServerAddress

Viimase käsu paljastatud erinevust tasub hoida: profiil võib teatada ühendatud tunnelist, samal ajal kui selle sisemine marsruutimine on vale, ja see tekitab "VPN on püsti, aga miski ei tööta", mis on teine artikkel. Kui tunnelitüüp muutus pärast teie redigeerimist, ei ole profiil see, mida te testisite.

Seejärel kirjutage leid sinna, kuhu järgmine inimene vaatab. "Ettevõtte profiil vajab selles kohas TCP 443; UDP 500 filtreerib hotell" on lause, mille põhjal kolleeg saab tegutseda. "VPN on hotellides ebakindel" ei ole, ja see tagab, et sama tund kulutatakse järgmisel kuul uuesti.