Hotel Wi-Fi: a VPN már azelőtt meghiúsul, hogy elérné a kiszolgálót

A VPN-kliens pörög, majd jelzi, hogy nem éri el a kiszolgálót, és mindenki arra jut, hogy a hotel blokkolja a VPN-t. Általában semmi ilyen drámai nem történt: a hálózat még nem engedte ki. A captive portal minden kapcsolatot feltart, amíg be nem jelentkezik, és az alagút nem tud létrejönni, amíg a bejelentkező oldal elfogja a csomagjait. Végezze el a bejelentkezést, mielőtt az alagutat hibáztatná.

A mítosz: a hotel blokkolja a VPN-t

A legtöbb hotelszobahálózat nem szűri célzottan az alagutakat. Elfogják a webes forgalmat, amíg a vendég hitelesíti magát, és korlátozhatják az eszközöket, lejárathatják a munkameneteket vagy lassíthatják az átvitelt. Ezek mindegyike olyan hibát okoz, amely a VPN-kliensen belülről blokkolásnak látszik.

Az alagút itt rossz diagnosztikai eszköz, mert ez az egyetlen alkalmazás, amely biztosan meghiúsul, amíg a portál nincs engedélyezve. A szokásos webes hozzáférés jobb mutató, mert meg tudja mutatni magát a bejelentkező oldalt.

Ez a sorrend más miatt is számít: a tiltókapcsolóval vagy mindig bekapcsolt móddal működő kliens megtagadja a portál betöltését, és a felhasználó arra jut, hogy a hálózat romlott el, nem a beállítás. Mindkét tény egyszerre igaz, és a hotelben csak az egyik változtatható meg. Kapcsolja ki a védelmet a kliens saját vezérlésével, jelentkezzen be, majd kapcsolja vissza. Bármi más olyan kerülőút, amely elrejti a valódi sorrendet.

Először fejezze be a portált, aztán tesztelje a szokásos HTTPS-t

Kérdezze meg a személyzetet a hivatalos hálózatnévről és a bejelentkezés módjáról. A meggyőző SSID nem tulajdonjogi bizonyíték, és a hasonló nevű második hálózat gyakori trükk nyilvános helyeken. Használja az operációs rendszer saját bejelentkezési felszólítását, ahol kínál ilyet, vagy a hotel dokumentált oldalát.

curl -sS -o /dev/null -w '%{http_code} %{redirect_url}\n' http://captive.apple.com/hotspot-detect.html
curl -sS -o /dev/null -w '%{http_code}\n' https://www.example.com/

Az első kérés egy ismert captive-portal észlelési végpontot kérdez le egyszerű HTTP-n; az átirányítás vagy váratlan törzs azt jelenti, hogy még a portál mögött van. A második egy normál HTTPS-oldalt tesztel. Ha az első elfogást mutat, a második pedig meghiúsul, a bejelentkezés hiányos, és a VPN-nek semmi köze hozzá.

Személyes eszközön előfordulhat, hogy a tiltókapcsolót vagy az állandó VPN-t a kliens támogatott vezérlésével ki kell kapcsolni, hogy a portál betölthető legyen. Zárja be az érzékeny alkalmazásokat ebben az időszakban, és közvetlenül utána kapcsolja vissza a védelmet. Kezelt eszközön a rendszergazda által jóváhagyott eljárást kövesse, ne saját maga távolítson el házirendet.

Soha ne kerülje meg a tanúsítványfigyelmeztetést, és ne telepítsen ismeretlen tanúsítványt vagy segédprogramot az online jutáshoz. Ha a portál valami váratlant kér, erősítse meg a személyzettel, és a rendszergazdával, ha az eszköz munkáltatóé.

Tartsa meg az eredeti profilt és annak hibáját

Amint a szokásos hozzáférés működik, csatlakoztassa az eredeti profilt, és jegyezze fel a pontos hibát. A hitelesítés elutasítása fiókprobléma, a tárgyalás közbeni időtúllépés útvonalprobléma, a létrejövő, de semmit nem szállító alagút pedig útvonalválasztási vagy házirendprobléma.

Ez a három különböző következő lépést igényel, és a hiba képernyőképe többet ér egy leírásnál. Jegyezze fel az időt is, mert a hotel munkamenet-korlátai egy órán belül lejárhatnak, és véletlennek tűnő hibát okozhatnak. Ha a kliens naplót kínál, az első hiba körüli részt tartsa meg, ne az egész fájlt. Ez a kivonat általában elég a profil tulajdonosának a szakasz azonosításához.

Ha a szokásos hozzáférés működik, és a tárgyalás továbbra is lejár, kérdezze meg a hotelt, támogatja-e ezt a forgalmat, és hasonlítsa össze egy megbízható hotspot-tal, az eszközt és a profilt változatlanul hagyva. A hotspot-on végzett munka a hotel útvonalára szűkíti a figyelmet anélkül, hogy bármit bizonyítana a profilról.

Csak az üzemeltető által adott alternatívákat használja

Egy illeszkedő TCP-profil sikerrel járhat ott, ahol a felkínált UDP-útvonal nem működik, de csak ha a kiszolgáló valóban figyel azon a szállításon és porton. A TCP 443-as port nem számít automatikusan szokásos HTTPS-nek, és nem garancia a korlátozó hálózaton való átjutásra.

sudo openvpn --config /etc/openvpn/client/office-tcp.conf --verb 4

A megadott profil nagyobb részletességgel való futtatása láthatóvá tartja az első hasznos hibát, ahelyett hogy általános hibaablakba sűrítené. Az üzemeltető által adott fájlt használja, ne saját maga szerkessze a portokat vagy protokollokat, mert a helyi változtatás nem hozhat létre illeszkedő figyelőt a túloldalon.

Ha az alagút ismételten visszaáll, jegyezze fel, hogy megjelenik-e újra a portál, vagy leesik-e a helyi jel, és kövesse a stabilitási ellenőrzéseket, ne váltson egyszerre több protokollt. Aztán tesztelje a ténylegesen szükséges alkalmazást, és állítsa vissza a szokásos adatvédelmi vezérlőket. Az egyik oldalt szállító, de a másikat nem szállító kapcsolat útvonalválasztási vagy házirendkérdés, nem portálkérdés.

Végül ellenőrizze a helyreállást, miután a laptop elaludt. A portál engedélyezése az alagúttól függetlenül lejárhat, így az automatikusan újracsatlakozó eszköz olyan hálózatra térhet vissza, amely már elfelejtette. A portáloldal újranyitása normál lépés, nem annak jele, hogy a VPN elromlott.