Miks püünisportaal blokeerib teie VPN-i ja kuidas uuesti sisse logida

Avatud võrgus ei anna teie juurdepääsupunkt pakette lihtsalt internetti edasi. Ülesvoolu asuv poliitikapunkt kontrollib, kas teie seade on juba volitatud, ja kuni pole, visatakse peaaegu kõik ära. Teie VPN-klient loeb seda vaikust surnud serveriks. Harva ütleb ta seda: WireGuard kordab käepigistust tühjusesse, OpenVPN teatab ühenduse ajalõpust ja IKEv2 naaseb veaga 809 kaugserveri kohta, mis ei vasta.

Mida portaal tegelikult kontrollib

Püünisportaal on kaks kokku pandud asja: poliitika otsustuspunkt ja ümbersuunaja. Kui teie seade ühendub ja võtab DHCP-rendi, seab võrk teid volituseelsele olekule.

See olek on tulemüüri reeglite kogum. Tavaliselt lubab see DNS-i ja lubab HTTP või HTTPS-i lühikesele portaali hostide nimekirjale ning viskab kõik muu ära. Lubatud nimekiri on müüriga ümbritsetud aed ja see ei sisalda peaaegu kunagi VPN-i lõpp-punkti.

Ükski neist äraviskamistest ei ole viisakas. VPN-serverile suunatud paketid visatakse ära, mitte ei keelata, nii et klient ei saa ei ICMP unreachable ega TCP reset, vaid ainult vastuse puudumise. Sõltuvalt tootjast võib ümbersuunaja vastata pordile 80 ümbersuunamisega sisselogimislehele, samal ajal kui port 443 visatakse ära või püütakse kinni. Ümbersuunamisi on lihtne märgata, sest need kannavad tavalist HTTP-vastust; püüdmine pordil 443 nõuab sertifikaati, mida teie brauser keeldub usaldamast.

Volitus ise on tavaliselt seotud seadme MAC-aadressiga, mõnikord renditud IP-ga, ja see elab taimeriga sessioonitabelis. Sisselogimine loob kirje. Tulemüüri reegel, mis laseb teie liikluse läbi, eksisteerib ainult seni, kuni see kirje eksisteerib, ja seetõttu naaseb kogu probleem hiljem, ilma et teie poolel midagi muutuks.

Miks VPN-i käepigistus sureb enne algust

Igal protokollil on oma transport ja volituseelne tulemüür rikub igaüht erinevalt. IKEv2 Windowsis ja iOS-is sõidab UDP 500 ja UDP 4500 peal; äraviskamine nendel portidel ilmneb kui 809, või nime lahendamise tüüpi tõrkena klientidel, kes teatavad etappidest eraldi. OpenVPN üle UDP 1194 jääb ühendamise olekusse, kuni selle ajalõpp möödub. OpenVPN üle TCP 443 on huvitav juhtum, sest portaal võib TCP käepigistuse lõpetada ja seejärel vastata oma ümbersuunamislehega, nii et näete ajalõpu asemel TLS-viga.

WireGuard näitab mehhanismi kõige selgemalt. See on disaini järgi ainult UDP, ilma TCP varuvariandita, nii et tulemüür, mis viskab tundmatu UDP ära, eemaldab transporti täielikult. Klient jätkab käepigistuse algatuste saatmist kasvava pausiga ja teatab käepigistusest, mis ei lõpe kunagi. Miski selles sõnumis ei maini Wi-Fi-t ja miski selles ei vihja, et peaksite brauseri avama.

Platvormid püüavad olekut märgata enne teie VPN-i. Windows toob tuntud URL-i, et otsustada, kas näidata sisselogimisteavitust, Android küsib lõpp-punkti, mis peaks vastama 204 No Content, ja Apple'i seadmed avavad väikese püünisvõrgu akna. Need sondid töötavad, sest portaal vastab ümbersuunamisega oodatud sisu asemel. Sama käitumine selgitab, kuidas portaal võib paista täiesti terve, samal ajal kui teie tunnel on surnud: sondi ja tunnelit hinnatakse erinevate reeglite järgi.

Mida sessiooni lõppemine tegelikult lähtestab

Kohad lõpetavad sessioone põhjustel, mis ei ole teie VPN-kontoga seotud: jõudeoleku ajalõpp, maksimaalne sessiooni pikkus, uus DHCP-rendi või ümberühendamine teise juurdepääsupunktiga. Kui taimer käivitub, kaob sessioonitabeli kirje ja volituseelne reeglistik naaseb täpselt sellisena, nagu see sisseregistreerimisel oli.

Loodud tunnel jääb sageli piisavalt kauaks püsima, et paista terve. Hoiatused jätkavad väljaminekut ja see, kas klient seda märkab, sõltub sellest, kuidas ta vastuseta liiklust käsitleb, nii et olekurike võib jääda roheliseks mõneks ajaks pärast tee kadumist. Siis tunnel kukub ja iga taasühendamise katse ebaõnnestub samadel blokeeritud portidel.

Sel hetkel ütleb kliendi viga teile, millises etapis te olete, kui te seda hoolikalt loete:

Üks detail petab inimesi: kui sessioon on seotud MAC-aadressiga, ei pruugi sisselogimislehe uuesti laadimine aidata. Peate ühenduse katkestama ja uuesti liituma, et portaal näeks uut volitamiskatset aegunud katse asemel.

Esmalt logige sisse, seejärel tõstke tunnel

Järjekord, mis töötab, on: volitage seade, tõestage tee, käivitage VPN, tõestage tunnel ja seejärel taastage oma tavaline blokeerimine. Viimane samm on oluline, sest ajutine olek, mida vajate portaali jõudmiseks, on täpselt see olek, mille vältimiseks hädaseiskamisklõps olemas on.

Töölauaklient, millel on väljaspool tunnelit blokeerimise valik, tuleb portaali lehe laadimiseks pausile panna, ja tundlikud rakendused tuleks hoida selle väljaspool tunnelit akna ajal suletuna; see on ainus intervall, mil kohalik liiklus väljub kaitseta. Hallatav alati sisselülitatud seade peaks kasutama selle omaniku avaldatud protseduuri, mitte teie poolt poliitika eemaldamist. Kui portaal näitab sertifikaadi hoiatust, peatuge: selle vastuvõtmine suunab teie sessiooni koha püüdmisproksi kaudu ja see proksi saab lugeda kõike, mida saadate. Androidis blokeerib alati sisse lülitatud VPN-i all olev lukustus liikluse enne, kui tunnel üles tõuseb, ja mõned buildid ei suuda portaali voogu erandiks teha; kui teie oma ei suuda, kasutage koha alternatiivset juurdepääsu või teist seadet, selle asemel et lukustus välja lülitada jätta. Apple'i nõudmisel reeglid saab kirjutada nii, et need keelduvad tunnelist, kuni sond õnnestub, ja see on käitumine, mida soovite hotellivõrkudes.

Kontrollige järjekorras tööriistadega, mis teil juba on. Enne tunnelit käivitage sond nii päised kui ka keha nähtavana, ja jälgige, kas teie VPN-i transport saab üldse mingi vastuse:

curl -sS -D - http://captive.apple.com/hotspot-detect.html -o -
sudo tcpdump -ni any 'udp port 500 or udp port 4500 or udp port 1194'

Enne volitust annab tavaline portaal ühe kahest vastusest: 302, mille Location osutab sisselogimislehele, või 200 HTML-kehaga, mis on portaali leht. Pange kirja, kumma saite. Ümbersuunamine ei ole enne sisselogimist tõrge; see on portaal, mis ütleb teile, kuhu minna. Pärast seda, kui portaal teatab edust, korrake käsku ja oodake 200, mille keha on sõna-sõnalt Success. Just see string teeb sondi mõttekaks. Kui host vastab tavaliselt enne, kui te kunagi sisse logisite, siis selles võrgus püüdevat portaali ei ole. Salvestuses on volituseelne äraviskamine väljaminevad paketid, millest miski ei tule tagasi, samas kui töötav tee näitab vastust samale voolule umbes sekundi jooksul. Ühenduge ja seejärel korrake salvestust.

Kui tunnel ei õnnestu pärast seda, kui portaal ütleb jah

Sisselogimise edu ei ole sama mis lubatud transport. Paljud kohad lubavad portaali ja tavalist sirvimist, blokeerides UDP täielikult, mis jätab WireGuardi ja UDP-OpenVPN-i katki ning TCP 443 töötama. Kui TCP 443 läbib ja UDP mitte, on see koha poliitika, mitte klient, mille te valesti seadistasite, seega vahetage transporti või aktsepteerige piirang ja minge edasi. Kui taasühendamine pärast seda ikka ebaõnnestub, hoidke täpne viga alles; see nimetab etapi, kuhu olete kinni jäänud.

Muud tõrked elavad seadmes. Sessioon, mis on ikka veel seotud vana MAC-iga, teine Wi-Fi adapter oma rendiga, või klient, mis on portaali sertifikaadi erandi vahemällu salvestanud, võivad igaüks jätkata ebaõnnestumist pärast puhast uut volitust. Katkestage ühendus, volitage uuesti ja proovige üks kord enne, kui puudutate kliendi seadeid. RFC 8952 tasub lugeda, kui soovite arhitektuuri jälgitavate komponentide taga.

Kui portaal ise keeldub volitamast, on probleem kontos või seadme jaotuses ja ükski VPN-i seade ei paranda seda. VPN-i väljumisriigi muutmine ei lähtesta koha kohalikku juurdepääsuolekut; see tabel on seotud teie seadmega, mitte valitud serveriga. Küsige koha operaatorilt ja andke talle aega, sest sessioonitabel on see, mida ta vaatab.

Enne järgmist reisi kirjutage üles kolm asja: portaali leht nullsammuna, blokeerimise peatamise samm iga seadme jaoks, mida kaasas kannate, ja üks varutransport, mida olete tõesti katsetanud. Kui tunnel, mis töötas kümme minutit tagasi, jälle seiskub, käsitlege seda aegunud volitusena ja kontrollige portaal uuesti enne, kui puudutate VPN-profiili.