Cén fáth a gcuireann an tairseach ghabhála bac ar do VPN, agus conas logáil isteach arís

Ar líonra oscailte ní shíneann do phointe rochtana paicéid chuig an idirlíon go simplí. Seiceálann pointe beartais suas an tsreabhan an bhfuil údarú faighte ag do ghléas fós, agus go dtí go bhfaigheann, caitear beagnach gach rud amach. Léann do chliant VPN an ciúnas sin mar fhreastalaí marbh. Is annamh a deir sé é: athdhéanann WireGuard crannchur láimhe isteach sa fholús, tuairiscíonn OpenVPN am istigh naisc, agus tagann IKEv2 ar ais mar earráid 809 faoi fhreastalaí cianda nach bhfreagraíonn.

Cad a rialaíonn an tairseach i ndáiríre

Is dhá rud greamaithe le chéile í tairseach ghabhála: pointe cinnteoireachta beartais agus athsheoltóir. Nuair a nascann do ghléas agus a ghlacann sé léas DHCP, cuireann an líonra thú i riocht roimh údarú.

Is sraith rialacha balla dóiteáin an riocht sin. Go hiondúil ceadaíonn sé DNS agus ceadaíonn sé HTTP nó HTTPS chuig gearrliosta d'óstaigh na tairsí, agus caitheann sé gach aon rud eile amach. Is é an liosta ceadaithe an gairdín ballaí, agus is annamh a chuimsíonn sé críochphointe VPN.

Níl aon cheann de na caitheamh amach sin dea-bhéasach. Caitear paicéid atá dírithe ar fhreastalaí VPN amach seachas iad a dhiúltú, mar sin ní fhaigheann an cliant ICMP unreachable ná TCP reset, ach amháin easpa freagra. Ag brath ar an díoltóir, féadfaidh an t-athsheoltóir freagra a thabhairt ar phort 80 le hathsheoladh chuig an leathanach logála isteach agus port 443 á chaitheamh amach nó á idircheapadh. Is furasta athsheoltaí a aithint mar go n-iompraíonn siad freagra HTTP simplí; teastaíonn deimhniú ó idircheapadh ar 443 nach nglacfaidh do bhrabhsálaí le muinín ann.

Go hiondúil bíonn an t-údarú féin ceangailte le seoladh MAC an ghléis, uaireanta leis an IP ar léas, agus maireann sé i dtábla seisiún le hamadóir. Cruthaíonn logáil isteach iontráil. Ní bhíonn an riail balla dóiteáin a ligeann do thrácht tríd ann ach amháin fad a bhíonn an iontráil sin ann, agus sin an fáth a bhfilleann an fhadhb ar fad níos déanaí gan aon rud a athrú ar do thaobh.

Cén fáth a bhfaigheann crannchur láimhe an VPN bás sula dtosaíonn sé

Tá a iompar féin ag gach prótacal, agus briseann an balla dóiteáin roimh údarú gach ceann acu ar bhealach difriúil. Ritheann IKEv2 ar Windows agus iOS ar UDP 500 agus UDP 4500; tagann caitheamh amach ar na poirt sin chun solais mar 809, nó mar theip de chineál réitigh ainmneacha ar chliaint a thuairiscíonn céimeanna ar leithligh. Fanann OpenVPN thar UDP 1194 sa riocht naisc go dtí go dtéann a am istigh in éag. Is é OpenVPN thar TCP 443 an cás suimiúil, mar féadfaidh an tairseach crannchur láimhe TCP a chríochnú agus ansin freagra a thabhairt lena leathanach athsheolta, mar sin feiceann tú earráid TLS in ionad am istigh.

Taispeánann WireGuard an mheicníocht is soiléire. Níl ann ach UDP de réir dearadh, gan aon chúltaca TCP, mar sin baineann balla dóiteáin a chaitheann UDP anaithnid amach an t-iompar ar fad. Leanann an cliant ag seoladh tionscnaimh chrannchur láimhe le cúlú méadaitheach agus tuairiscíonn sé crannchur láimhe nach gcríochnaítear choíche. Ní luann aon rud sa teachtaireacht sin Wi-Fi, agus ní mholann aon rud inti gur cheart duit brabhsálaí a oscailt.

Déanann ardáin iarracht an riocht a thabhairt faoi deara sula ndéanann do VPN é. Aisghabhann Windows URL aitheanta chun cinneadh a dhéanamh an dtaispeánfaidh sé a fhógra logála isteach, iarrann Android críochphointe ar cheart 204 No Content a fhreagairt, agus osclaíonn gléasanna Apple fuinneog bheag líonra gabhála. Oibríonn na próbaí sin mar go bhfreagraíonn an tairseach le hathsheoladh in ionad an chomhlachta a bhfuiltear ag súil leis. Míníonn an t-iompar céanna conas is féidir le tairseach breathnú go hiomlán sláintiúil agus do thollán marbh: déantar an próbh agus an tollán a mheas de réir rialacha difriúla.

Cad a athshocraíonn éag na seisiúin i ndáiríre

Cuireann ionaid seisiúin in éag ar chúiseanna nach mbaineann le do chuntas VPN: am istigh díomhaoinis, uasfhad seisiúin, léas DHCP nua, nó athnascadh ar phointe rochtana eile. Nuair a scaoiltear an t-amadóir, imíonn iontráil thábla na seisiún agus filleann an tsraith rialacha roimh údarú go díreach mar a bhí sí ag an tseiceáil isteach.

Is minic a mhaireann tollán bunaithe fada go leor le breathnú sláintiúil. Leanann teachtaireachtaí coimeádta beatha ag dul amach, agus braitheann sé ar conas a láimhseálann an cliant trácht gan freagra an dtugann sé faoi deara é, mar sin féadfaidh an solas stádais fanacht glas ar feadh tamaill tar éis don chonair imeacht. Ansin titeann an tollán agus teipeann ar gach iarracht athnaisc ar na poirt bhacáilte chéanna.

Ag an bpointe sin insíonn earráid an chliaint duit cén chéim ina bhfuil tú, má léann tú go cúramach í:

Cuireann mionsonra amháin daoine amú: nuair a bhíonn an seisiún ceangailte le seoladh MAC, b'fhéidir nach gcabhróidh athlódáil an leathanaigh logála isteach. Caithfidh tú an nascadh a ligean agus teacht isteach arís ionas go bhfeicfidh an tairseach iarracht údaraithe nua in ionad ceann atá imithe in éag.

Logáil isteach ar dtús, ansin tóg an tollán

Is é an t-ord a oibríonn: údaraigh an gléas, cruthaigh an chonair, tosaigh an VPN, cruthaigh an tollán, agus ansin cuir do ghnáth-bhac ar ais. Tá tábhacht leis an gcéim dheireanach sin mar is é an riocht sealadach a theastaíonn uait chun an tairseach a bhaint amach go díreach an riocht a bhfuil lasc mharbh ann chun é a chosc.

Caithfear cliant deisce a bhfuil an rogha aige bac a chur lasmuigh den tollán a chur ar sos chun leathanach na tairsí a lódáil, agus ba chóir duit feidhmchláir íogaire a choinneáil dúnta le linn na fuinneoige sin lasmuigh den tollán; is é an t-aon eatramh é ina n-imíonn trácht áitiúil gan chosaint. Ba chóir do ghléas bainistithe atá ar siúl i gcónaí an nós imeachta a d'fhoilsigh a úinéir a úsáid seachas tú féin a bheith ag baint beartais. Má thaispeánann an tairseach rabhadh deimhnithe, stop: stiúrann glacadh leis do sheisiún trí sheachfhreastalaí idircheaptha an ionaid, agus féadann an seachfhreastalaí sin gach rud a sheolann tú a léamh. Ar Android blocálann an glas faoi VPN atá ar siúl i gcónaí trácht sula n-ardaítear an tollán, agus ní féidir le roinnt buildí sreabhadh na tairsí a eisiamh; mura féidir le do cheannsa, úsáid rochtain mhalartach an ionaid nó gléas eile in ionad an glas a fhágáil múchta. Is féidir rialacha Apple ar éileamh a scríobh chun an tollán a dhiúltú go n-éireoidh le próbh, agus sin an t-iompar atá uait ar líonraí óstáin.

Fíoraigh in ord leis na huirlisí atá agat cheana. Roimh an tollán, rith an próbh agus na ceanntáisc agus an comhlacht araon le feiceáil, agus féach an bhfaigheann d'iompar VPN aon fhreagra ar chor ar bith:

curl -sS -D - http://captive.apple.com/hotspot-detect.html -o -
sudo tcpdump -ni any 'udp port 500 or udp port 4500 or udp port 1194'

Roimh údarú, tugann gnáth-thairseach ceann de dhá fhreagra: 302 a bhfuil a Location dírithe ar an leathanach logála isteach, nó 200 le comhlacht HTML arb é leathanach na tairsí é. Nótaigh cé acu a fuair tú. Ní teip é athsheoladh roimh logáil isteach; tá an tairseach ag insint duit cá bhfuil tú le dul. Tar éis don tairseach rath a thuairisciú, déan an t-ordú a athrá agus bí ag súil le 200 a bhfuil a chomhlacht ar an bhfocal litriúil Success. Is é an tsreang sin a dhéanann an próbh bríoch. Má fhreagraíonn an t-óstach go normálta sula ndearna tú logáil isteach riamh, níl aon tairseach idircheaptha ar an líonra seo. Sa ghabháil, is paicéid amach gan aon rud ag teacht ar ais é caitheamh amach roimh údarú, agus taispeánann conair a oibríonn freagra ar an sreabhadh céanna laistigh de thart ar shoicind. Nasc, agus ansin déan an ghabháil a athrá.

Má theipeann ar an tollán fós tar éis don tairseach sea a rá

Ní hionann rath logála isteach agus iompar ceadaithe. Ceadaíonn a lán ionad an tairseach agus gnáthbhrabhsáil agus iad ag cur bac iomlán ar UDP, rud a fhágann WireGuard agus OpenVPN thar UDP briste agus TCP 443 ag obair. Má théann TCP 443 tríd agus UDP gan dul, is beartas an ionaid é sin seachas cliant a chumraigh tú go mícheart, mar sin athraigh iompar nó glac leis an teorainn agus lean ort. Má theipeann ar athnascadh fós ina dhiaidh sin, coinnigh an earráid bheacht; ainmníonn sí an chéim a bhfuil tú sáinnithe inti.

Maíonn teipeanna eile ar an ngléas. Seisiún atá fós ceangailte le sean-MAC, dara hoiriúnóir Wi-Fi lena léas féin, nó cliant a chuir eisceacht deimhnithe na tairsí i dtaisce: is féidir le gach ceann acu leanúint ag teip tar éis athúdaraithe ghlain. Lig don nascadh, athúdaraigh, agus bain triail as uair amháin sula mbaineann tú le socruithe an chliaint. Is fiú RFC 8952 a léamh má theastaíonn an ailtireacht taobh thiar de na comhpháirteanna atá á bhfaire agat.

Má dhiúltaíonn an tairseach féin údarú a thabhairt, tá an fhadhb sa chuntas nó i leithdháileadh gléasanna agus ní réiteoidh aon socrú VPN í. Ní athshocraíonn athrú tír scoir an VPN riocht rochtana áitiúil an ionaid; tá an tábla sin ceangailte le do ghléas, ní leis an bhfreastalaí a roghnaíonn tú. Fiafraigh d'oibreoir an ionaid agus tabhair am dó, mar is é tábla na seisiún a fhéachfaidh sé air.

Roimh do chéad thuras eile, scríobh síos trí rud: leathanach na tairsí mar chéim nialas, an chéim chun an bac a chur ar sos do gach gléas a iompraíonn tú, agus aon chúltaca iompair amháin a thástáil tú i ndáiríre. Nuair a stopann tollán a d'oibrigh deich nóiméad ó shin arís, caith leis mar údarú atá imithe in éag agus seiceáil an tairseach arís sula mbaineann tú le próifíl an VPN.