Wêrom't it finzenisportaal jo VPN blokket en hoe't jo wer ynloegje

Op in iepen netwurk jout jo tagongspunt pakketten net samar oan it ynternet. In beliedspunt hegerop kontrolearret oft jo apparaat al autorisearre is, en oant it dat is, wurdt hast alles fuortsmiten. Jo VPN-klant lêst dy stilte as in deade server. It seit dat selden: WireGuard werhellet in hânskodding yn 'e leechte, OpenVPN rapportearret in ferbiningstimeout, en IKEv2 komt werom as flater 809 oer in ôfstiene server dy't net reagearret.

Wat it portaal eins regelet

In finzenisportaal binne twa dingen oaninoar fêstmakke: in beliedsbeslissingspunt en in trochferwizer. As jo apparaat ferbynt en in DHCP-lease nimt, set it netwurk jo yn in steat foarôfgeand oan autorisaasje.

Dy steat is in set firewallregels. It tastiet meastentiids DNS en tastiet HTTP of HTTPS nei in koarte list portalhosts, en it smyt al it oare fuort. De tastiene list is de muorre-tún, en it befettet hast nea in VPN-einpunt.

Gjin fan dy fuortsmiterijen is beleefd. Pakketten rjochte op in VPN-server wurde fuortsmiten ynstee fan wegere, sadat de klant noch ICMP unreachable noch TCP reset krijt, allinnich it ûntbrekken fan in antwurd. Ofhinklik fan 'e leveransier kin de trochferwizer port 80 beantwurdzje mei in trochferwizing nei de oanmeldside, wylst port 443 fuortsmiten of ûnderskept wurdt. Trochferwizings binne maklik te sjen om't se in gewoan HTTP-antwurd drage; ûnderskepping op 443 freget in sertifikaat dêr't jo browser wegerje sil om te fertrouwen.

De autorisaasje sels is meastentiids bûn oan it MAC-adres fan it apparaat, soms oan 'e liende IP, en it libbet yn in sesjetabel mei in timer. Ynlogje makket in yngong. De firewallregel dy't jo ferkear trochlitte, bestiet allinnich salang't dy yngong bestiet, en dêrom komt it hiele probleem letter werom sûnder dat der oan jo kant wat feroaret.

Wêrom't de VPN-hânskodding stjert foardat er begjint

Elk protokol hat syn eigen ferfier, en de firewall foarôfgeand oan autorisaasje brekt elk oars. IKEv2 op Windows en iOS rydt op UDP 500 en UDP 4500; in fuortsmiterij op dy poarten ferskynt as 809, of as in flater fan it type namme-oplossing op klanten dy't fazen apart rapportearje. OpenVPN oer UDP 1194 bliuwt yn 'e ferbiningsteat oant syn timeout ferrint. OpenVPN oer TCP 443 is it nijsgjirrige gefal, om't it portaal de TCP-hânskodding foltôgje kin en dan mei syn trochferwizingsside antwurdzje, sadat jo in TLS-flater sjogge ynstee fan in timeout.

WireGuard lit it meganisme it dúdlikst sjen. It is fan ûntwerp allinnich UDP, sûnder TCP-fallback, sadat in firewall dy't ûnbekend UDP fuortsmyt it ferfier hielendal fuorthellet. De klant bliuwt hânskoddingsinisjativen stjoere mei groeiende weromlûking en rapportearret in hânskodding dy't nea foltôge wurdt. Neat yn dy melding neamt Wi-Fi, en neat deryn suggerearret dat jo in browser iepenje moatte.

Platfoarmen besykje de steat te fernimmen foardat jo VPN dat docht. Windows hellet in bekende URL om te besluten oft it syn ynlogmelding sjen lit, Android freget in einpunt oan dat 204 No Content beantwurdzje moatte soe, en Apple-apparaten iepenje in lyts finzenisnetwurkfinster. Dy probes wurkje om't it portaal antwurdet mei in trochferwizing ynstee fan it ferwachte lichem. Deselde gedrach ferklearret hoe't in portaal folslein sûn lykje kin wylst jo tunnel dea is: de probe en de tunnel wurde neffens ferskillende regels beoardiele.

Wat it ferrinnen fan in sesje eins weromset

Lokaasjes litte sesjes ferrinne om redenen sûnder ferbân mei jo VPN-akkount: in timeout fan ynaktiviteit, in maksimale sesjelte, in nije DHCP-lease of in werferbining oan in oar tagongspunt. As de timer ôfgiet, ferdwynt de yngong yn 'e sesjetabel en komt de regelset foarôfgeand oan autorisaasje krekt werom sa't er by it ynchecken wie.

In oanmakke tunnel oerlibbet faak lang genôch om sûn te lykjen. Keepalives geane troch, en oft de klant it fernimt hinget ôf fan hoe't er mei unbeantwurde ferkear omgiet, sadat it statusljocht noch in skoftsje grien bliuwe kin neidat it paad fuort is. Dan falt de tunnel en elk werferbiningsbesykjen mislearret op deselde blokkearre poarten.

Op dat stuit fertelt de klantflater jo yn hokker faze jo binne, as jo it soarchfâldich lêze:

Ien detail ferrifelt minsken: as de sesje oan in MAC-adres bûn is, helpt it werladen fan 'e oanmeldside miskien net. Jo moatte de ferbining loslitte en wer bykomme, sadat it portaal in nij autorisaasjebesyk sjocht ynstee fan in ferrûn.

Loegje earst yn, helje dan de tunnel op

De folchoarder dy't wurket is: autorisearje it apparaat, bewize it paad, start de VPN, bewize de tunnel, en set dan jo normale blokkearring werom. Dy lêste stap is wichtich om't de tydlike steat dy't jo nedich hawwe om it portaal te berikken krekt de steat is dy't in kill switch bestiet om te foarkommen.

In desktopklant mei de opsje om bûten de tunnel te blokkearjen moat pauzeare wurde om 'e portaalside lade te litten, en jo moatte gefoelige apps sletten hâlde yn dat finster bûten de tunnel; it is it iennige interval wêryn't lokaal ferkear sûnder beskerming fuortgiet. In beheard apparaat dat altyd oan stiet moat de proseduere fan syn eigner brûke ynstee fan dat jo belied fuorthelje. As it portaal in sertifikaatswarskôging toant, stopje: it akseptearjen stjoert jo sesje troch de ûnderskepingsproxy fan it lokaasje, en dy proxy kin alles lêze wat jo stjoere. Op Android blokkearret de lockout ûnder altyd-oan VPN ferkear foardat de tunnel omheech is, en guon builds kinne de portaalstream net útsûnderje; as dy fan jo it net kin, brûk dan de alternative tagong fan it lokaasje of in oar apparaat ynstee fan de lockout út te litten. De on-demand-regels fan Apple kinne skreaun wurde om de tunnel te wegerjen oant in probe slagget, en dat is it gedrach dat jo op hotelnetwurken wolle.

Ferifiearje yn folchoarder mei de ark dy't jo al hawwe. Foar de tunnel, rin de probe mei sawol de headers as it lichem sichtber, en sjoch oft jo VPN-ferfier hielendal in antwurd krijt:

curl -sS -D - http://captive.apple.com/hotspot-detect.html -o -
sudo tcpdump -ni any 'udp port 500 or udp port 4500 or udp port 1194'

Foar autorisaasje jout in normaal portaal ien fan twa antwurden: in 302 wêrfan't de Location nei de oanmeldside wiist, of in 200 mei in HTML-lichem dat de portaalside is. Notearje hokker jo krigen hawwe. In trochferwizing is foar it ynlogjen gjin mislearring; it is it portaal dat jo fertelt wêr't jo hinne moatte. Neidat it portaal sukses rapportearret, werhelje it kommando en ferwachtsje in 200 wêrfan't it lichem it letterlike wurd Success is. Krekt dy tekenrige makket de probe betsjuttingsfol. As de host normaal antwurdet foardat jo ea ynloegen, is der gjin ûnderskepingsportaal op dit netwurk. Yn 'e opname is in fuortsmiterij foar autorisaasje útgeande pakketten wêrfan't neat weromkomt, wylst in paad dat wurket in antwurd op deselde stream binnen sawat in sekonde toant. Ferbynje, en werhelje dan de opname.

As de tunnel noch mislearret neidat it portaal ja seit

Sukses by it ynlogjen is net itselde as tastien ferfier. In protte lokaasjes tastean it portaal en gewoan browsen wylst se UDP folslein blokkearje, wat WireGuard en UDP-OpenVPN brutsen lit en TCP 443 wurkje lit. As TCP 443 trochgiet en UDP net, is dat belied fan it lokaasje en net in klant dy't jo ferkeard konfigurearre hawwe, dus wikselje fan ferfier of akseptearje de limyt en gean troch. As in werferbining dêrnei noch mislearret, bewarje de krekte flater; hy neamt de faze dêr't jo yn fêst sitte.

Oare flaters libje op it apparaat. In sesje dy't noch oan in âld MAC bûn is, in twadde Wi-Fi-adapter mei syn eigen lease, of in klant dy't de sertifikaatútsûndering fan it portaal yn 'e cache hat, kinne elk nei in skjinne werautorisasje noch mislearje. Lit de ferbining los, autorisearje opnij, en probearje ien kear foardat jo klantynstellingen oanreitsje. RFC 8952 is it lêzen wurdich as jo de arsjitektuer efter de komponinten wolle dy't jo besjogge.

As it portaal sels wegeret te autorisearjen, sit it probleem yn it akkount of yn 'e apparaatferdieling en gjin inkelde VPN-ynstelling sil it oplosse. It feroarjen fan it útgeanslân fan 'e VPN set de lokale tagongsteat fan it lokaasje net werom; dy tabel is bûn oan jo apparaat, net oan de server dy't jo kieze. Freegje de operator fan it lokaasje en jou him tiid, want de sesjetabel is wat er besjen sil.

Foar jo folgjende reis, skriuw trije dingen op: de portaalside as stap nul, de stap om de blokkearring te pauzearjen foar elk apparaat dat jo meinimme, en ien ferfiersfallback dy't jo echt test hawwe. As in tunnel dy't tsien minuten lyn wurke wer stopt, behannelje it as ferrûne autorisaasje en kontrolearje it portaal opnij foardat jo it VPN-profil oanreitsje.