VPN ferbynt thús, mar rekket yn time-out op hotel-Wi-Fi

De laptop ferbynt him mei it Wi-Fi fan thús, de klient ferbynt yn trije sekonden, en itselde profyl mislearret in oere letter yn it hotel. Der is yn 'e tuskentiid neat bywurke. Dit mei in klient foar jo trochrinne giet foaral oer witte hokker flater by hokker faze heart, want de nuttige ynformaasje sit yn 'e koade dy't de klient printsjet, net yn it feit dat it mislearre. Wurkje de fjouwer stappen hjirûnder op folchoarder ôf en jo witte oft in namme, in pakket, in poarte of in belied jo wegere hat.

Lês de flaterkoade as in faze, net as in feroardieling

De klient berikt trije aparte mylpealen foar't der in tunnel is. Hy lost de servernamme op, hy krijt in antwurd fan eat op it netwurk, en hy ûnderhannelet in feiligensassosjaasje. Elke mylpeal hat syn eigen mislearringsboadskip, en benammen Windows is romhertich mei ferskillende koades as jo ienris witte by hokker faze se hearre.

Twa fan dy koades betsjutte dat it netwurk ûnskuldich is. In 789 betsjut dat pakketten rieden en dat de beide einen it net iens wiene oer krypto, wat in konfiguraasjeprobleem is dat jo thús ferhelje kinne. In 868 betsjut dat gjin pakket ea fuort hoegde, dus it tunnelûntwerp is net fan belang oant de namme oplost is. It koade by de juste faze yndiele sparret mear tiid as hokker opname dan ek, want it fertelt jo hokker fan 'e trije folgjende stappen jo oerslaan kinne.

Wês passend foarsichtich as de klient gjin Windows is. Tredepartijklanten bringe it measte hjirfan werom ta "ferbining mislearre", en dêrom fertrouwe de twa folgjende stappen har hielendal net op it boadskip.

Kontrolearje de namme foar't jo de tunnel de skuld jouwe

Hotels en lofthavens ûnderskeppe DNS oan ien wei troch, en in resolver dy't antwurdet mei in portaaladres makket in flater dy't der krekt as in deade server útsjocht. Fergelykje wat de lokale resolver seit mei wat in iepenbier resolver seit:

Resolve-DnsName vpn.example.net -Type A
nslookup vpn.example.net 1.1.1.1
ipconfig /all | findstr /i "DNS Servers"

As de beide antwurden ferskille, wurde jo stjoerd en de rest fan 'e diagnoaze is wei oant dat oplost is. Benammen in portaaladres sil de TCP-ferbining graach oannimme en dan fêstrinne, en dêrom kin it der as in firewallblokkade útsjen as jo mei in browser testje.

Konfirmearje no dat it adres dat jo berikke wolle, itselde is dat brûkt wurdt. Guon klanten bewarje de eardere oplossing foar de hiele libbensdoer fan it profyl, dus in werferbining nei de DNS-feroaring giet noch hieltyd nei it âlde adres. Slút de klient hielendal foar't jo op 'e nij testje, ynstee fan yn itselde finster op ôfbrekke en ferbine te drukken.

Fyn út hokker bûtenste pakket ferdwynt

De tunnel hat in bûtenste stream dy't folslein ta it paad tusken jo en de server heart, en it is dy stream dy't tuskenlizzende kasten klassifisearje en weislepe. Fang dy op 'e klient, fergelykje dan in wurkjend netwurk mei it mislearjende. Op Windows is de ynboude opname genôch foar in earste eachopslach:

pktmon filter remove
pktmon filter add -p 500 -t UDP
pktmon start --capture --pkt-size 128
pktmon stop
pktmon etl2txt PktMon.etl

Wat jo sjen wolle, is oft jo pakketten oait fuortgeane, en oft der wat weromkomt. Pakketten fuort sûnder wat werom betsjut dat it paad of it fiere ein se weislepe; hielendal neat fuort betsjut dat de klient nea oant ferstjoeren kaam, wat werom wiist nei nammeoplossing of nei in lokaal firewallbelied.

Werhelje deselde test op in hotspot fan in telefoan. Dit is de iennichste meast ynformative fergeliking dy't jo hawwe, want it hellet elke kast yn it hotel fan it paad ôf wylst de laptop, de klient en de oanmeldgegevens itselde bliuwe. As de tunnel op 'e hotspot omheech komt, hâld dan op mei nei de server te sjen. As it dêr ek mislearret, hawwe jo in klant- of akkountprobleem dat it netwurk nea feroarsake.

Feroarje ien ferfier en test op 'e nij

As jo ienris witte dat de bûtenste stream weislepe wurdt, is de praktyske fraach hokker stream it netwurk wol tastean. De measte beheinde netwurken tastean útgeand TCP 443, want oars kinne se net funksjonearje, dus de listener dêrhinne ferpleatse is it gewoane antwurd. Op OpenVPN is dat in skeakel oan 'e klantkant oant de server feroare wurdt:

openvpn --config corp.ovpn --proto tcp-client --remote vpn.example.net 443 --verb 4

IPsec-klanten hawwe in lykweardige knop yn har eigen ynstellingspanelen, meastentiids beskreaun as IPsec oer TCP of NAT-trochgong. It feroarjen dêrfan is ek in diagnoaze: as de tunnel oer TCP omheech komt en oer UDP stjert, hawwe jo bewiisd dat it netwurk UDP filtert, en jo hawwe ek de ynstelling fûn dy't jo nedich hawwe elke kear as jo dat plak besykje.

Wjerstean de ferlieding om routerfunksjes by de earste poging út te skeakeljen. Stateful-ynspeksje of oerstreamingsbeskerming op in hotellnetwurk útskeakelje is dochs net foar jo beskikber, en op jo eigen apparatuer ruilet it in echte beskerming foar ien laptop. Notearje hokker ynstelling it resultaat feroare, set it dan werom en sykje in ferfier dat it netwurk al tastean.

Kontrolearje itselde profyl op it twadde netwurk

Foar't jo it ticket slute, bewize dat de feroaring it ferlitten fan it gebou oerlibbe hat. Ferbynje jo op 'e nij op it oarspronklike netwurk mei de oarspronklike ynstellingen, fang de earste tritich sekonden, en befêstigje dat de klient deselde tastân berikt as op 'e hotspot:

pktmon filter add -p 443 -t TCP
pktmon start --capture
Get-VpnConnection -Name "Corp" | Select-Object ConnectionStatus, TunnelType, ServerAddress

It ûnderskie dat it lêste kommando bleatleit is de muoite wurdich te hâlden: it profyl kin in ferbûne tunnel rapportearje wylst de routing deryn ferkeard is, en dat jout "de VPN is omheech mar neat wurket", wat in oar artikel is. As it tunneltype nei jo bewurking feroare is, is it profyl net dat jo teste hawwe.

Skriuw dan de befinning dêr't de folgjende persoan sjen sil. "It bedriuwsprofyl hat TCP 443 nedich op dit plak; UDP 500 wurdt troch it hotel filtere" is in sin dêr't in kollega op hannelje kin. "VPN is wif by hotels" is dat net, en it garandearret dat deselde oere nije moanne wer ferspile wurdt.