Hotellin Wi-Fi: VPN epäonnistuu ennen kuin se saavuttaa palvelimen

VPN-asiakasohjelma pyörii, ilmoittaa sitten ettei tavoita palvelinta, ja kaikki päättelevät, että hotelli estää VPN:t. Yleensä mitään niin dramaattista ei ole tapahtunut: verkko ei ole vielä päästänyt sinua ulos. Vangitsemisportaali pitää jokaista yhteyttä, kunnes kirjaudut, eikä tunneli voi valmistua, kun kirjautumissivu sieppaa sen paketit. Käy kirjautuminen läpi ennen kuin syytät tunnelia.

Myytti: hotelli estää VPN:t

Useimmat hotelliverkot eivät suodata tunneleita erityisesti. Ne sieppaavat verkkoliikennettä, kunnes vieras todennetaan, ja ne voivat myös rajoittaa laitteita, päättää istuntoja tai hidastaa läpimenoa. Jokainen näistä tuottaa vian, joka VPN-asiakasohjelman sisältä näyttää estolta.

Tunneli on tässä huono diagnostiikkaväline, koska se on ainoa sovellus, joka varmasti epäonnistuu, kun portaalille ei ole valtuutusta. Tavallinen verkkoyhteys on parempi indikaattori, koska se voi näyttää sinulle itse kirjautumissivun.

Tällä järjestyksellä on merkitystä toisestakin syystä: asiakasohjelma, jossa on tappokytkin tai aina päällä -tila, kieltäytyy lataamasta portaalia, ja käyttäjä päättelee, että verkko on rikki eikä asetus. Molemmat tosiasiat pitävät yhtä aikaa, ja hotellissa voi muuttaa vain toista. Kytke suojaus pois asiakasohjelman omalla hallinnalla, kirjaudu sisään ja kytke se takaisin. Kaikki muu on kiertotie, joka peittää todellisen järjestyksen.

Viimeistele portaali ensin ja testaa sitten tavallinen HTTPS

Kysy henkilökunnalta virallinen verkon nimi ja kirjautumistapa. Vakuuttava SSID ei ole omistuksen todiste, ja samanniminen toinen verkko on yleinen temppu julkisilla paikoilla. Käytä käyttöjärjestelmän omaa kirjautumiskehotetta, jos sellainen tarjotaan, tai hotellin dokumentoitua sivua.

curl -sS -o /dev/null -w '%{http_code} %{redirect_url}\n' http://captive.apple.com/hotspot-detect.html
curl -sS -o /dev/null -w '%{http_code}\n' https://www.example.com/

Ensimmäinen pyyntö kysyy tunnettua vangitsemisportaalin tunnistuspistettä tavallisella HTTP:llä; uudelleenohjaus tai odottamaton runko tarkoittaa, että olet yhä portaalin takana. Toinen testaa tavallista HTTPS-sivustoa. Jos ensimmäinen näyttää sieppauksen ja toinen epäonnistuu, kirjautuminen on kesken eikä VPN liity asiaan.

Henkilökohtaisella laitteella tappokytkin tai aina päällä oleva VPN on ehkä kytkettävä pois asiakasohjelman tuetulla hallinnalla, jotta portaali voi latautua. Sulje arkaluontoiset sovellukset sinä aikana ja kytke suojaus takaisin heti sen jälkeen. Hallitulla laitteella käytä järjestelmänvalvojan hyväksymää menettelyä sen sijaan että poistaisit käytännön itse.

Älä koskaan ohita varmennevaroitusta äläkä asenna tuntematonta varmennetta tai apuohjelmaa päästäksesi verkkoon. Jos portaali vaatii jotain odottamatonta, varmista se henkilökunnalta ja järjestelmänvalvojalta, jos laite kuuluu työnantajalle.

Säilytä alkuperäinen profiili ja sen virhe

Kun tavallinen yhteys toimii, yhdistä alkuperäinen profiili ja kirjaa tarkka virhe. Todennuksen hylkäys on tiliasia, neuvottelun aikana tapahtuva aikakatkaisu on reittiongelma ja tunneli, joka muodostuu mutta ei kuljeta mitään, on reititys- tai käytäntöongelma.

Nämä kolme tarvitsevat eri seuraavat askeleet, ja kuvakaappaus virheestä on arvokkaampi kuin kuvaus. Merkitse myös kellonaika, sillä hotellin istuntorajat voivat umpeutua tunnin sisällä ja tuottaa vian, joka näyttää satunnaiselta. Jos asiakasohjelma tarjoaa lokin, säilytä ensimmäisen vian ympäristö eikä koko tiedostoa. Tämä ote riittää yleensä profiilin omistajalle vaiheen tunnistamiseen.

Jos tavallinen yhteys toimii ja neuvottelu yhä aikakatkeaa, kysy hotellilta tukeeko se tätä liikennettä ja vertaa luotettuun tukiasemaan pitäen laite ja profiili muuttumattomina. Tukiasemalla työskentely rajaa huomion hotellin reittiin todistamatta mitään profiilista.

Käytä vain vaihtoehtoja, jotka operaattori toimittaa

Sopiva TCP-profiili voi onnistua siellä, missä tarjottu UDP-reitti ei toimi, mutta vain jos palvelin todella kuuntelee kyseistä siirtotietä ja porttia. TCP-porttia 443 ei käsitellä automaattisesti tavallisena HTTPS:nä, eikä se takaa pääsyä rajoittavan verkon läpi.

sudo openvpn --config /etc/openvpn/client/office-tcp.conf --verb 4

Toimitetun profiilin ajaminen suuremmalla yksityiskohtaisuudella pitää ensimmäisen hyödyllisen virheen näkyvissä sen sijaan että se puristuisi yleiseen virhedialogiin. Käytä operaattorin antamaa tiedostoa sen sijaan että muokkaisit portteja tai protokollia itse, sillä paikallinen muutos ei voi luoda vastaavaa kuuntelijaa toiselle puolelle.

Jos tunneli nollautuu toistuvasti, merkitse ilmestyykö portaali uudelleen vai laskeeko paikallinen signaali, ja seuraa vakaussyitä sen sijaan että vaihtaisit useita protokollia kerralla. Testaa sitten sovellus, jota todella tarvitset, ja palauta tavalliset yksityisyyden hallinnat. Yhteys, joka kuljettaa yhden sivuston mutta ei toista, on reititys- tai käytäntökysymys, ei portaalikysymys.

Tarkista lopuksi palautuminen kannettavan nukuttua. Portaalin valtuutus voi umpeutua tunnelista riippumatta, joten automaattisesti uudelleen yhdistyvä laite voi palata verkkoon, joka on jo unohtanut sen. Portaalisivun avaaminen uudelleen on tavallinen askel, ei merkki siitä, että VPN on rikki.