Zašto OpenVPN profil radi kod kuće, a ne radi u hotelu

Uredski Wi-Fi i hotelska soba mogu istom prijenosniku dati dvije posve različite mreže, a profil između njih o tome ne zna ništa. Ono što radi kod kuće pretpostavlja propusnu uzlaznu vezu, ispravno razrješavanje imena i lokalnu podmrežu koja se ne preklapa s ničim što tunel nosi. Svaka od tih pretpostavki može zase otkazati.

Koristan način za otklanjanje greške jest tretirati mrežu kao četiri odvojene činjenice, pa ih ispitati po redu. Nagađanje o profilu na početku obično daje promjenu koja ništa ne popravlja i zamagljuje dokaze.

Četiri mrežne činjenice mijenjaju se između lokacija

Prva činjenica je pušta li vas lokalna mreža uopće van. Portal za prijavu pušta uređaj na stranicu za prijavu i blokira sve ostalo dok se ta stranica ne dovrši, što znači da tunel ne može početi bez obzira na to koliko je profil ispravan.

Druga je razrješavanje imena. Portal koji presreće DNS odgovara na svaki upit svojom adresom, pa se ime hosta VPN razrješava na portal i klijent pokušava izgraditi tunel prema web stranici.

Treća je filtriranje prometa. Mreže koje žele dopustiti samo pregledavanje propuštaju TCP 443 prema proizvoljnim odredištima i odbacuju gotovo sve ostalo, uključujući UDP.

Četvrta je adresiranje. Lokalna podmreža može se preklapati s mrežom iza tunela ili uzlazna veza uopće ne pruža upotrebljiv put IPv4.

Razrješavanje imena i portal za prijavu

Zamijenite ime hosta u profilu numeričkom adresom poslužitelja i pokušajte ponovno. Ako se IP povezuje, a ime ne, krivo je razrješavanje imena, a sam profil je ispravan.

Otvorite preglednik i pokušajte običnu HTTP stranicu prije nego što dirnete VPN. Preusmjeravanje na stranicu za prijavu znači da portal još čeka; dovršite ga, pa se ponovno povežite. Mnogi hoteli također prekidaju sesiju nakon nekoliko sati, što izgleda kao prekid usred dana, a ne kao problem s prijavom.

Ako i numerička adresa ne uspije, razrješavanje imena nije objašnjenje, pa prijeđite na promet. Zadržite adresu koju ste testirali jer ona sljedećoj provjeri govori jesu li paketi uopće napustili računalo.

Filtriranje prometa: prvo UDP, TCP 443 kao rezerva

Tok OpenVPN preko UDP 1194 ne izgleda kao ništa što hotelski vatrozid prepoznaje, pa se odbacuje bez greške. Klijent ponavlja pokušaje dok ne istekne njegov rok, a korisnik vidi vezu koja se nikad ne uspostavi, a ne odbijanje. Vatrozidi koji se tako ponašaju rijetko bilježe odbacivanje bilo gdje gdje to možete vidjeti. Odsutnost odbijanja sama je trag.

TCP 443 je pouzdana rezerva jer ga mreža ne može razlikovati od običnog HTTPS-a. Koristite operaterov TCP profil kad postoji, jer i poslužitelj mora slušati na tom prometu i portu; mijenjanje samo klijenta daje drugačiju vrstu kvara. Ako TCP profil ne postoji, pitajte operatera umjesto da ga izmišljate uređivanjem porta. Strana poslužitelja mora se složiti, a nesklad opet izgleda kao problem vatrozida.

Očekujte cijenu u performansama. TCP unutar TCP-a pojačava ponovna slanja na vezi s gubicima, pa se ispravan TCP tunel na zagušenoj hotelskoj mreži ipak može osjećati sporo. To je trgovina za dostupnost, a ne kvar koji treba loviti.

Sukobi adresa i uzlazne veze bez IPv4

Tunel se može uspostaviti i ipak ništa ne prenositi. Kad lokalni LAN i udaljena mreža dijele prefiks poput 192.168.1.0/24, klijent udaljeni host smatra izravno povezanim i paket šalje na lokalnu vezu umjesto u tunel. Simptom je uspješna veza s jednom nedostupnom podmrežom, što se lako pogrešno pročita kao problem rute na strani poslužitelja.

Trajno rješenje je premjestiti udaljeni LAN u neuobičajen privatni raspon. Odabir raspona koji nitko ne koristi kod kuće, poput 10.42.0.0/24, sprječava problem za svaku buduću lokaciju umjesto za jednu. Lokalna zaobilaznica je izbjegavati taj hotel, hotspot ili usmjerivač, što uopće nije rješenje.

Mobilne uzlazne veze dodaju dvije varijante. NAT na razini operatera znači da dolazne veze ne stižu, što je važno ako hostate poslužitelj, ali ne za odlaznog klijenta. APN konfiguriran samo s IPv6 i NAT64 prijevodom može srušiti klijenta koji inzistira na pravom putu IPv4, a uobičajeni lijek je promijeniti protokol APN-a na IPv4 ili dvostruki stog.

Simptomi nakon uspostave tunela

Tunel koji se poveže pa utihne obično je problem keepalive ili MTU, a ne blokiran port. Veza koja padne nakon fiksnog broja minuta upućuje na keepalive ili timer ponovnog pregovaranja. Postavite klijent da ispituje svog partnera i ponovno se pokrene kad odgovori prestanu, i isprobajte manji MTU tunela ako pingovi prolaze, a veliki prijenosi zastaju.

Prije nego što zatražite pomoć, zapišite tri stvari: adresu koju ste pokušali i je li odgovorila, promet i port koje ste koristili te lokalnu podmrežu mreže koja nije radila. Zajedno razdvajaju razrješavanje imena od filtriranja prometa i od sukoba adresa, a to su uzroci koji prežive susret s dokazima.