VPN se povezuje kod kuće, ali u hotelskom Wi-Fi-ju istječe vrijeme

Laptop se pridružuje kućnom Wi-Fi-ju, klijent se povezuje u tri sekunde, a isti profil podbacuje u hotelu sat kasnije. Između toga ništa nije ažurirano. Prolazak kroz ovo s klijentom pred sobom uglavnom se svodi na to da znate koja pogreška pripada kojoj fazi, jer je korisna informacija u kodu koji klijent ispiše, a ne u činjenici da je podbacio. Prođite kroz četiri koraka ispod po redu i znat ćete je li vas odbilo ime, paket, port ili pravilo.

Čitajte kod pogreške kao fazu, ne kao presudu

Klijent dolazi do tri odvojene prekretnice prije nego tunel postoji. Razrješava ime poslužitelja, dobiva odgovor od nečega na mreži i pregovara sigurnosnu asocijaciju. Svaka prekretnica ima svoju poruku o neuspjehu, a Windows je posebno darežljiv s različitim kodovima kada znate kojoj fazi pripadaju.

Dva od tih kodova znače da je mreža nevina. 789 znači da su paketi tekli i da se dvije strane nisu složile oko kriptografije, što je konfiguracijski problem koji možete popraviti kod kuće. 868 znači da nijedan paket nije morao izaći, pa je dizajn tunela nebitan dok se ime ne razriješi. Razvrstavanje koda u pravu fazu štedi više vremena od bilo kojeg snimanja, jer vam kaže koji od sljedeća tri koraka preskočiti.

Budite prikladno oprezni ako klijent nije Windows. Klijenti trećih strana većinu ovoga svode na "veza nije uspostavljena", zato se sljedeća dva koraka uopće ne oslanjaju na poruku.

Provjerite ime prije nego okrivite tunel

Hotelske i zračne mreže stalno presreću DNS, a resolver koji odgovara adresom portala proizvodi neuspjeh koji izgleda točno kao mrtav poslužitelj. Usporedite što kaže lokalni resolver s onim što kaže javni:

Resolve-DnsName vpn.example.net -Type A
nslookup vpn.example.net 1.1.1.1
ipconfig /all | findstr /i "DNS Servers"

Ako se dva odgovora razlikuju, vas preusmjeravaju i ostatak dijagnostike je uzaludan dok se to ne riješi. Posebno će adresa portala rado prihvatiti TCP vezu i zatim se zaglaviti, zato to može izgledati kao blokada vatrozida kada testirate preglednikom.

Sada potvrdite da je adresa koju namjeravate dosegnuti ona koja se koristi. Neki klijenti keširaju prethodno razrješenje za cijeli životni vijek profila, pa ponovno povezivanje nakon promjene DNS-a i dalje ide na staru adresu. Potpuno zatvorite klijent prije ponovnog testiranja, umjesto da pritisnete isključi i poveži u istom prozoru.

Otkrijte koji vanjski paket nestaje

Tunel ima vanjski tok koji u cijelosti pripada putu između vas i poslužitelja, i upravo taj tok posredni uređaji klasificiraju i odbacuju. Snimite ga na klijentu, zatim usporedite mrežu koja radi s onom koja podbacuje. Na Windowsu je ugrađeno snimanje dovoljno za prvi pogled:

pktmon filter remove
pktmon filter add -p 500 -t UDP
pktmon start --capture --pkt-size 128
pktmon stop
pktmon etl2txt PktMon.etl

Želite vidjeti izlaze li vaši paketi uopće i vraća li se išta. Paketi van bez ičega zauzvrat znače da ih put ili udaljeni kraj odbacuje; ništa van uopće znači da klijent nikad nije stigao do slanja, što upućuje natrag na razrješavanje imena ili na lokalno pravilo vatrozida.

Ponovite isti test na hotspotu telefona. To je jedina najinformativnija usporedba koja vam je dostupna, jer uklanja s puta svaku kutiju u hotelu dok laptop, klijent i vjerodajnice ostaju isti. Ako se tunel podigne na hotspotu, prestanite gledati poslužitelj. Ako i tamo podbaci, imate problem s klijentom ili računom koji mreža nikada nije prouzročila.

Promijenite jedan prijevoz i ponovno testirajte

Kada znate da se vanjski tok odbacuje, praktično pitanje je koji tok mreža ipak dopušta. Većina ograničenih mreža dopušta odlazni TCP 443 jer inače ne mogu funkcionirati, pa je premještanje slušatelja tamo uobičajen odgovor. Na OpenVPN to je prekidač na strani klijenta dok se poslužitelj ne promijeni:

openvpn --config corp.ovpn --proto tcp-client --remote vpn.example.net 443 --verb 4

IPsec klijenti imaju ekvivalentan prekidač u vlastitim pločama postavki, obično opisan kao IPsec preko TCP-a ili NAT traversal. Promjena je i dijagnostika: ako se tunel podigne preko TCP-a i umre preko UDP-a, dokazali ste da mreža filtrira UDP, a pronašli ste i postavku koja će vam trebati pri svakom posjetu tom lokalitetu.

Oduprite se iskušenju da isključite funkcije usmjerivača na prvi pokušaj. Isključivanje nadzora stanja ili zaštite od poplave na hotelskoj mreži vam ionako nije dostupno, a na vlastitoj opremi trampi stvarnu zaštitu za jedan laptop. Zabilježite koja je postavka promijenila ishod, zatim je vratite i tražite prijevoz koji mreža već dopušta.

Provjerite isti profil na drugoj mreži

Prije nego zatvorite tiket, dokažite da je promjena preživjela izlazak iz zgrade. Ponovo se povežite na izvornoj mreži s izvornim postavkama, snimite prvih trideset sekundi i potvrdite da klijent doseže isto stanje koje je dosegao na hotspotu:

pktmon filter add -p 443 -t TCP
pktmon start --capture
Get-VpnConnection -Name "Corp" | Select-Object ConnectionStatus, TunnelType, ServerAddress

Razliku koju zadnja naredba otkriva vrijedi zadržati: profil može prijaviti povezan tunel dok je usmjeravanje unutar njega pogrešno, a to daje "VPN radi, ali ništa ne radi", što je drugi članak. Ako se tip tunela promijenio nakon vaše izmjene, profil nije onaj koji ste testirali.

Zatim zapišite nalaz tamo gdje će sljedeća osoba gledati. "Korporativni profil treba TCP 443 na ovom lokalitetu; UDP 500 filtrira hotel" je rečenica na koju kolega može reagirati. "VPN je nestabilan u hotelima" nije, i jamči da će se isti sat potrošiti ponovo sljedećeg mjeseca.