Zergatik OpenVPN profil bat etxean funtzionatzen du baina hotel batean huts egiten du

Bulegoko Wi-Fi-ak eta hotel-gela batek ordenagailu berari oso sare desberdinak eman diezazkiokete, eta tartean dagoen profilek ez daki ezer horretaz. Etxean funtzionatzen duenak uplink permisibo bat, izen-ebazpen eraginkorra eta tunelak daraman ezerrekin talka egiten ez duen tokiko azpisare bat suposatzen ditu. Suposizio horietako bakoitzak modu independentean huts egin dezake.

Hau arazgabetzeko modu erabilgarria sarea lau gertaera bereizi gisa hartzea da, eta gero ordenan probatzea. Profilari buruz lehenengo asmatzeak normalean ezer konpontzen ez duen eta frogak lausotzen dituen aldaketa bat sortzen du.

Lau sare-gertaera aldatzen dira kokapenaren arabera

Lehen gertaera tokiko sareak zutaz irteten uzten dizun ala ez da. Atari harrapatzaile batek gailu bat saio-hasierako orri batera uzten du eta beste guztia blokeatzen du orri hori osatu arte, hau da, tunela ezin da hasi profila zein zuzena den ere.

Bigarrena izen-ebazpena da. DNS harrapatzen duen atari batek kontsulta bakoitzari bere helbide propioz erantzuten dio, beraz VPN ostalari-izena atarira ebazten da eta bezeroa web-orri batera tunel bat eraikitzen saiatzen da.

Hirugarrena garraio-iragazketa da. Soilik nabigatzea baimendu nahi duten sareek TCP 443 edozein helmugatara pasatzen dute eta beste ia dena botatzen dute, UDP barne.

Laugarrena helbideratzea da. Tokiko azpisareak tunelaren atzean dagoen sare batekin gainjar daiteke, edo uplink-ak ez du batere IPv4 bide erabilgarririk eskaintzen.

Izen-ebazpena eta atari harrapatzailea

Ordeztu profileko ostalari-izena zerbitzariaren helbide numerikoarekin eta saiatu berriro. IPak konektatzen badu eta izenak ez, izen-ebazpena da errua, eta profila bera ondo dago.

Ireki nabigatzaile bat eta saiatu HTTP orri arrunt bat VPNari ukitu aurretik. Saio-hasierako orri batera birbideratzeak ataria oraindik zain dagoela esan nahi du; osatu eta gero berriro konektatu. Hotel askok saioa ordu batzuen buruan iraungitzen dute ere, eta hori egunerdiko deskonexio baten itxura du, ez saio-hasierako arazoarena.

Helbide numerikoak ere huts egiten badu, izen-ebazpena ez da azalpena, beraz pasa garraiora. Gorde probatu duzun helbidea, hurrengo egiaztapenari esaten baitio paketeek makina utzi zuten ala ez.

Garraio-iragazketa: lehenik UDP, TCP 443 erreserba gisa

OpenVPN fluxu batek UDP 1194 bidez ez du hotel-suhormin batek ezagutzen duen ezeren itxurarik, beraz akatsik gabe botatzen da. Bezeroak berriro saiatzen da bere denbora-muga amaitu arte, eta erabiltzaileak inoiz ezartzen ez den konexio bat ikusten du, ukazio baten ordez. Horrela jokatzen duten suhorminek gutxitan erregistratzen dute isurtzea ikus dezakezun tokian. Ukazioaren ez-egotea bera da arrastoa.

TCP 443 erreserba fidagarria da, sareak ezin baitu HTTPS arruntetik bereizi. Erabili operadorearen TCP profila dagoenean, zerbitzariak ere garraio eta ataka horretan entzun behar baitu; bezeroa soilik aldatzeak beste mota bateko hutsegitea sortzen du. TCP profilik ez badago, galdetu operadoreari ataka editatuz bat asmatu beharrean. Zerbitzariaren aldeak ados egon behar du, eta desdoitzeak suhormin arazoaren itxura hartzen du berriro.

Espero errendimendu-kostu bat. TCP TCP barruan berriz bidalketak areagotzen ditu galerak dituen estekan, beraz funtzionatzen duen TCP tunel batek geldo senti daiteke hotel-sare saturatu batean. Irisgarritasunaren trukea da, ez atzetik ibiltzeko akatsa.

Helbide-talkak eta IPv4 gabeko uplink-ak

Tunel bat ezarri eta hala ere ezer ez eraman dezake. Tokiko LANak eta urruneko sare batek 192.168.1.0/24 bezalako prefijo bat partekatzen dutenean, bezeroak urruneko ostalaria zuzenean konektatutzat hartzen du eta paketea tokiko estekara bidaltzen du tunelera beharrean. Sintoma azpisare batera iristeko modurik gabe konexio arrakastatsua da, eta erraz irakurtzen da zerbitzari aldeko bide-arazo gisa.

Konponbide iraunkorra urruneko LANa barne-emailtza arraro batera mugitzea da. Inork etxean erabiltzen ez duen tarte bat aukeratzeak, adibidez 10.42.0.0/24, etorkizuneko kokapen bakoitzerako saihesten du arazoa, bat bakarrerako beharrean. Tokiko irtenbidea hotel, hotspot edo router hori saihestea da, eta hori ez da batere konponbidea.

Mugikorreko uplink-ek bi aldaera gehitzen dituzte. Operadore mailako NATak sarrerako konexioak iristen ez direla esan nahi du, eta hori garrantzitsua da zerbitzari bat ostatatzen baduzu, baina ez irteerako bezero batentzat. IPv6 soilik eta NAT64 itzulpenarekin konfiguratutako APN batek IPv4 bide erreala eskatzen duen bezero bat hutsarazi dezake, eta ohiko erremedioa APN protokoloa IPv4 edo pila bikoitzera aldatzea da.

Tunela altxatu ondorengo sintomak

Konektatu eta gero isiltzen den tunela keepalive edo MTU arazoa izan ohi da, ez ataka blokeatu bat. Minutu kopuru finko baten ondoren erortzen den konexioak keepalive edo berriz negoziatzeko tenporizadore bat adierazten du. Ezarri bezeroa bere kidea zundatzeko eta erantzunak gelditzean berrabiarazteko, eta probatu tunelaren MTU txikiagoa ping-ek funtzionatzen badute baina transferentzia handiak trabatzen badira.

Laguntza eskatu aurretik, idatzi hiru gauza: probatu duzun helbidea eta erantzun duen ala ez, erabili duzun garraioa eta ataka, eta huts egin duen sarearen tokiko azpisarea. Elkarrekin izen-ebazpena garraio-iragazketatik eta helbide-talkatik bereizten dituzte, eta horiek dira frogak harremanetan jartzean irauten duten arrazoiak.