Miksi OpenVPN-profiili toimii kotona mutta epäonnistuu hotellissa

Toimiston Wi-Fi ja hotellihuone voivat antaa samalle kannettavalle kahdet hyvin erilaiset verkot, eikä niiden välissä oleva profiili tiedä siitä mitään. Kotona toimiva olettaa sallivan ylävirran, toimivan nimien ratkaisun ja paikallisen aliverkon, joka ei törmää mihinkään tunnelin kuljettamaan. Jokainen näistä oletuksista voi pettää erikseen.

Hyödyllinen tapa vianetsintään on käsitellä verkkoa neljänä erillisenä tosiasiana ja testata ne sitten järjestyksessä. Profiilin arvaaminen ensin tuottaa yleensä muutoksen, joka ei korjaa mitään ja peittää todisteet.

Neljä verkon tosiasiaa muuttuu sijaintien välillä

Ensimmäinen tosiasia on, päästääkö paikallinen verkko sinut ylipäätään ulos. Kirjautumisportaali päästää laitteen kirjautumissivulle ja estää kaiken muun, kunnes sivu on suoritettu, mikä tarkoittaa, ettei tunneli voi käynnistyä, oli profiili miten oikea tahansa.

Toinen on nimien ratkaisu. Portaali, joka kaappaa DNS:n, vastaa jokaiseen kyselyyn omalla osoitteellaan, joten VPN-isäntänimi ratkeaa portaaliksi ja asiakas yrittää rakentaa tunnelia verkkosivulle.

Kolmas on liikenteen suodatus. Verkot, jotka haluavat sallia vain selailun, päästävät TCP 443:n läpi mielivaltaisiin kohteisiin ja pudottavat lähes kaiken muun, mukaan lukien UDP:n.

Neljäs on osoitteistus. Paikallinen aliverkko voi mennä päällekkäin tunnelin takaisen verkon kanssa, tai ylävirta ei tarjoa lainkaan käyttökelpoista IPv4-reittiä.

Nimien ratkaisu ja kirjautumisportaali

Korvaa profiilin isäntänimi palvelimen numeerisella osoitteella ja yritä uudelleen. Jos IP yhdistyy mutta nimi ei, vika on nimien ratkaisussa ja profiili itsessään on kunnossa.

Avaa selain ja yritä tavallista HTTP-sivua ennen kuin kosket VPN:ään. Uudelleenohjaus kirjautumissivulle tarkoittaa, että portaali on vielä kesken; suorita se ja yhdistä sitten uudelleen. Monet hotellit myös lopettavat istunnon muutaman tunnin kuluttua, mikä näyttää keskipäivän katkeamiselta eikä kirjautumisongelmalta.

Jos myös numeerinen osoite epäonnistuu, nimien ratkaisu ei ole selitys, joten siirry liikenteeseen. Säilytä testaamasi osoite, koska se kertoo seuraavalle tarkistukselle, lähtivätkö paketit koneesta lainkaan.

Liikenteen suodatus: ensin UDP, TCP 443 varavaihtona

OpenVPN-virta UDP 1194:n yli ei näytä miltään, mitä hotellin palomuuri tunnistaa, joten se pudotetaan ilman virhettä. Asiakas yrittää uudelleen, kunnes sen aikakatkaisu päättyy, ja käyttäjä näkee yhteyden, joka ei koskaan muodostu, hylkäyksen sijaan. Näin käyttäytyvät palomuurit kirjaavat pudotuksen harvoin mihinkään näkyvään. Hylkäyksen puuttuminen on itsessään johtolanka.

TCP 443 on luotettava varavaihtoehto, koska verkko ei voi erottaa sitä tavallisesta HTTPS:stä. Käytä operaattorin TCP-profiilia, kun sellainen on, sillä myös palvelimen on kuunneltava tuolla liikenteellä ja portilla; vain asiakkaan muuttaminen tuottaa erilaisen vian. Jos TCP-profiilia ei ole, kysy operaattorilta sen sijaan, että keksit sellaisen porttia muokkaamalla. Palvelinpuolen on suostuttava, ja yhteensopimattomuus näyttää taas palomuuriongelmalta.

Odota suorituskykykustannus. TCP TCP:n sisällä voimistaa uudelleenlähetyksiä häviöllisellä yhteydellä, joten toimiva TCP-tunneli voi tuntua hitaalta ruuhkaisessa hotelliverkossa. Se on vaihtokauppa tavoitettavuudesta, ei vika jota jahdata.

Osoitteiden törmäykset ja ylävirrat ilman IPv4:ää

Tunneli voi muodostua ja silti kuljettaa ei mitään. Kun paikallinen LAN ja etäverkko jakavat etuliitteen kuten 192.168.1.0/24, asiakas pitää etäisäntää suoraan kytkettynä ja lähettää paketin paikalliselle linkille tunnelin sijaan. Oire on onnistunut yhteys, jossa yksi aliverkko on tavoittamaton, mikä luetaan helposti palvelinpuolen reittiongelmaksi.

Pysyvä korjaus on siirtää etä-LAN harvinaiseen yksityiseen alueeseen. Alueen valinta, jota kukaan ei käytä kotona, kuten 10.42.0.0/24, estää ongelman jokaisessa tulevassa sijainnissa yhden sijaan. Paikallinen kiertotie on välttää sitä hotellia, hotspotia tai reititintä, mikä ei ole korjaus lainkaan.

Mobiiliylävirrat lisäävät kaksi muunnelmaa. Operaattoritason NAT tarkoittaa, etteivät saapuvat yhteydet saavu, millä on merkitystä jos isännöit palvelinta mutta ei lähtevälle asiakkaalle. Vain IPv6:ksi NAT64-käännöksellä määritetty APN voi kaataa asiakkaan, joka vaatii todellista IPv4-reittiä, ja tavallinen lääke on vaihtaa APN:n protokolla IPv4:ään tai kaksoispinoon.

Oireet tunnelin noustua

Tunneli, joka yhdistyy ja sitten vaikenee, on yleensä keepalive- tai MTU-ongelma, ei estetty portti. Yhteys, joka katkeaa tietyn minuuttimäärän jälkeen, viittaa keepalive- tai uudelleenneuvotteluajastimeen. Aseta asiakas tutkimaan vastapuoltaan ja käynnistymään uudelleen, kun vastaukset loppuvat, ja testaa pienempää tunnelin MTU:ta, jos pingit onnistuvat mutta suuret siirrot jumiutuvat.

Ennen kuin pyydät apua, kirjoita kolme asiaa: osoite, jota yritit, ja vastasiko se, liikenne ja portti, joita käytit, sekä epäonnistuneen verkon paikallinen aliverkko. Yhdessä ne erottavat nimien ratkaisun liikenteen suodatuksesta ja osoitteiden törmäyksestä, ja ne ovat syyt, jotka kestävät kohtaamisen todisteiden kanssa.