VPN lokað á neti þar sem aðeins vefur virkar? Farðu í gegnum lögin

Net á háskólasvæði eða hóteli þar sem vafrinn virkar og hver göng deyja er ekki eitt vandamál heldur fjögur hvert ofan á annað. Slóðin leyfir kannski aðeins TCP 443, krefst auðkennds milliliðar, skoðar handabandið eða einfaldlega bannar fjartengingu með stefnu. Með því að vinna þau í röð kemst þú hjá því að kaupa nýjan biðlara til að laga netreglu. Leiðbeiningin hér að neðan tekur um tíu mínútur og endar á skriflegu svari um hvaða lag synjaði þér.

Sannaðu hvaða lag synjar tengingunni

Byrjaðu ekki á VPN-biðlaranum. Byrjaðu á venjulegri HTTPS beiðni til sama hýsis og lestu tímafasana, því fasinn sem bregst segir þér hvaða tæki ber ábyrgð:

curl -sS -o /dev/null -w 'connect=%{time_connect} tls=%{time_appconnect} code=%{http_code}\n' \
  --max-time 8 https://vpn.example.net/

Ekkert svar og enginn connect tími þýðir að TCP kláraðist aldrei, svo eldveggur, milliliðakrafa eða rangur áfangastaður er í gangi. connect tími án tls tíma þýðir að eitthvað í miðjunni tók við tengingunni og stöðvaði svo handabandið, og þannig lítur skoðandi milliliður út frá biðlarahlið.

Skoðaðu nú skírteinið sem þú færð í raun. Þetta er fljótlegasta leiðin til að komast að því hvort þú talar við þjóninn eða við millikassa sem endurskrifaði lotuna:

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief </dev/null

Lestu línu útgefandans. Þitt eigið CA þýðir að þú náðir þjónustunni; fyrirtækis- eða tækjaútgefandi þýðir að sía endaði tenginguna og ákveður hvað gerist næst. Skráðu báðar útkomur með tímaástimpli, því sama prófun klukkustund seinna á gestanetinu getur gefið aðra svörun.

Biðlari sem þekkir millilið breytir fyrstu pakkanum, ekki stefnunni

Ef netið krefst CONNECT gegnum auðkenndan millilið verður að segja VPN-biðlaranum það, annars reynir hann að opna sökkul á netfang sem hann getur ekki beint. Prófaðu milliliðinn aðskilið frá biðlaranum, svo bilunin hafi eina skýringu:

https_proxy=http://proxy.example.edu:3128 curl -v -o /dev/null https://vpn.example.net/
sudo openvpn --config /etc/openvpn/corp.conf --proto tcp-client \
  --remote vpn.example.net 443 --verb 4

Fyrsta skipunin sannar að milliliðurinn beri áfangastaðinn. Önnur biður biðlarann að nota TCP á 443, eina flutninginn sem flestar aðeins-vef slóðir senda yfirhöfuð áfram. Ef fyrsta skipunin tekst og önnur bregst enn, er milliliðurinn ekki hindrunin.

Sumir biðlarar lesa millilið stýrikerfisins í stað yfirskriftar, og sumir lesa hvorugt. Athugaðu eigin skjöl forritsins áður en þú gerir ráð fyrir að kerfisstilling eigi við. Biðlari sem leysir endapunktinn með leysi sem milliliðurinn þjónar ekki mun einnig bregðast hér, og þess vegna getur DNS-breyting litið út eins og lagfæring þegar hún er aðeins krókaleið.

Fylgstu líka með stýrimynstrinu. Síað net getur svarað uppgötvunarhýsisnafni seljanda með einhverju sínu eigin, sem breytir því hvaða milliliðasnið biðlarinn velur. Byggðu ekki ferli í kringum þá sérvisku. Hún er mismunandi eftir stöðum, breytist án tilkynningar og er ekki eitthvað sem þú getur stutt fyrir aðra.

Gátt 443 er aðgengileg, ekki leyfð

Að vefja göngum í TLS á 443 leysir aðgengi og ekkert annað. Sía sem athugar gáttina hleypir því í gegn; sía sem tekur fingrafar handabandsins gerir það ekki, og dulkóðuð biðlarakveðja felur aðeins nafn þjónsins þegar báðir endar styðja hana. Keyrðu prófið og komstu að því hvers konar sía er fyrir framan þig í stað þess að vona.

Það er líka afkastakostnaður sem fólk uppgötvar seinna. Áreiðanlegur flutningur inni í áreiðanlegum flutningi eykur tap, því innri staflinn endursendir hluta sem ytri staflinn hefur þegar endursent. Á hreinum hlekk tekur enginn eftir því. Á yfirfullu þráðlausu háskólaneti verða göngin ónothæf einmitt þegar þú þarft þau, og grafið lítur út eins og pakkatap þótt engu sé kastað viljandi.

UDP er venjulega fyrsta fórnarlambið, og það er þess virði að staðfesta frekar en að álykta. Ef WireGuard eða sjálfgefið OpenVPN klárar aldrei handaband meðan TCP 443 virkar er netið að sleppa UDP, og engin endurnýjun lykla mun breyta því:

sudo wg show
dig +short vpn.example.net
dig +short vpn.example.net @1.1.1.1

Tómt handabandstímaástimpill við hlið jafningja sem virkaði í gær er svarið um UDP. Fyrirspurnirnar tvær í DNS svara annarri spurningu: ef staðbundinn leysir og opinber leysir eru ósammála um netfang endapunktsins ertu stýrður og flutningsrökfræðin er röng.

Staðfestu hvað fór í raun frá vélinni

Biðlaraskrár lýsa því sem biðlarinn telur. Upptaka lýsir því sem netið sá, og munurinn á þessu tvennu er þar sem flest þessara mála leysast:

sudo tcpdump -ni any -c 20 'tcp port 443 and host 203.0.113.10'
sudo ss -tunp | grep -E ':(443|1194|51820)\b'

Ef þú sérð SYN-pakka og engan SYN-ACK er lokunin ofar og biðlarinn saklaus. Ef þú sérð fullklárað handaband á netfang sem er ekki þjónsins ertu að tala við millilið eða hlera. Ef þú sérð ekkert skaltu athuga að þú hafir tekið upp á rétta tengi áður en þú ályktar eitthvað.

Sökkulalistinn grípur fíngerðara tilvik: önnur göng sem halda þegar sjálfgefnu leiðinni. Tveir biðlarar sem berjast um beiningartöfluna framleiða slitróttar bilanir sem líta nákvæmlega út eins og lokað net, og upptakan mun sýna umferð fara út um tengi sem þú bjóst ekki við.

Afturköllun, og athugasemdin sem er þess virði að geyma

Afturkallaðu breytingarnar í öfugri röð við þá röð sem þú gerðir þær. Fjarlægðu milliliðabreyturnar, stöðvaðu biðlarann sem þú ræstir handvirkt og fjarlægðu hvers kona leiðar- eða leysisyfirskrift sem þú bættir við:

unset https_proxy http_proxy
sudo systemctl stop openvpn-client@corp
sudo ip route show default

Að láta handræstan biðlara vera í gangi er hvernig fartölva endar með bilað net í næstu skrifstofuheimsókn. Milliliðabreytur sem skildar eru eftir í skeljarprófíli brjóta ótengd verkfæri vikum seinna, og sá sem kembir þær mun ekki tengja atburðina tvo.

Skrifaðu síðan fjórar línur: netið, tímaástimpilinn, fasann sem brást og útgefandann sem þú sást. Slóð sem virkar á einu svæði og bregst á því næsta er eðlileg, og næsti aðili þarf að vita hvort munurinn var milliliðurinn, leysirinn eða sían. Ef svarið er að netið banni fjartengingu, staldraðu þar við og biddu stjórnandann um studdu leiðina í stað þess að bera krókaleið inn í stefnu sem þú hefur ekki lesið.