Af hverju föngunargáttin lokar VPN-inu þínu og hvernig þú skráir þig inn aftur

Á opnu neti afhendir aðgangspunkturinn þinn ekki bara pökkum til internetsins. Stefnumótapunktur ofar í keðjunni athugar hvort tækið þitt hafi þegar verið heimilað, og þangað til er næstum öllu hent. VPN-viðskiptavinurinn þinn les þá þögn sem dauðan netþjón. Hann segir það sjaldan: WireGuard endurtekur handaband út í tómið, OpenVPN tilkynnir tímatakmörk tengingar og IKEv2 kemur til baka sem villa 809 um fjarlægan netþjón sem svarar ekki.

Hvað gáttin stjórnar í raun

Föngunargátt er tvennt sem er neglt saman: stefnuákvörðunarpunktur og endurbeiningarþjónn. Þegar tækið þitt tengist og tekur DHCP-leigu setur netið þig í ástand fyrir heimild.

Það ástand er reglusett eldveggjar. Það leyfir venjulega DNS og leyfir HTTP eða HTTPS á stuttan lista gáttarhýsla, og því hendir öllu öðru. Leyfði listinn er múraður garðurinn, og hann inniheldur næstum aldrei VPN-endapunkt.

Ekkert þessara henda er kurteist. Pökkum sem beint er að VPN-netþjóni er hent í stað þess að þeim sé hafnað, svo viðskiptavinurinn fær hvorki ICMP unreachable né TCP reset, aðeins fjarveru svars. Eftir framleiðanda getur endurbeiningarþjónninn svarað porti 80 með endurbeiningu á innskráningarsíðuna á meðan porti 443 er hent eða það handtekið. Auðvelt er að sjá endurbeiningar því þær bera venjulegt HTTP-svar; handtaka á 443 krefst skírteinis sem vafrinn þinn neitar að treysta.

Heimildin sjálf er venjulega bundin við MAC-tölu tækisins, stundum við leigða IP-tölu, og hún lifir í lotutöflu með tímatakka. Innskráning býr til færslu. Eldveggjarreglan sem hleypir umferðinni þinni í gegn er aðeins til á meðan sú færsla er til, og þess vegna kemur allt vandamálið aftur síðar án þess að nokkuð breytist hjá þér.

Af hverju VPN-handabandið deyr áður en það byrjar

Hvert samskiptareglur hefur sína eigin flutning og eldveggurinn fyrir heimild brýtur hverja þeirra á annan hátt. IKEv2 á Windows og iOS fer á UDP 500 og UDP 4500; höfnun á þeim portum birtist sem 809, eða sem bilun í stíl nafnaleysingar hjá viðskiptavinum sem tilkynna þrepin sér. OpenVPN yfir UDP 1194 er í tengistöðu þar til tímatakmörk þess renna út. OpenVPN yfir TCP 443 er áhugaverða tilfellið, því gáttin getur klárað TCP-handabandið og svo svarað með endurbeiningarsíðu sinni, svo þú sérð TLS-villu í stað tímatakmarka.

WireGuard sýnir aðferðina skýrast. Það er aðeins UDP að hönnun, án TCP-varaleiðar, svo eldveggur sem hendir óþekktu UDP fjarlægir flutninginn algjörlega. Viðskiptavinurinn heldur áfram að senda handabandsupphaf með vaxandi bið og tilkynnir handaband sem klárast aldrei. Ekkert í þeim skilaboðum nefnir Wi-Fi og ekkert í þeim bendir á að þú ættir að opna vafra.

Kerfin reyna að taka eftir ástandinu áður en VPN-ið þitt gerir það. Windows sækir þekkt URL til að ákveða hvort sýna eigi innskráningartilkynningu, Android biður um endapunkt sem ætti að svara 204 No Content og Apple-tæki opna lítinn föngunarnetglugga. Þessar prófanir virka því gáttin svarar með endurbeiningu í stað vænts meginmáls. Sama hegðun útskýrir hvernig gátt getur virst fullkomlega heilbrigð á meðan göngin þín eru dauð: prófunin og göngin eru metin eftir mismunandi reglum.

Hvað útrunnið lota endurstillir í raun

Staðir láta lotur renna út af ástæðum sem tengjast ekki VPN-reikningnum þínum: tímatakmörk aðgerðarleysis, hámarkslotulengd, ný DHCP-leiga eða endurtenging við annan aðgangspunkt. Þegar tímatakkinn slær út hverfur færslan í lotutöflunni og reglusettið fyrir heimild kemur aftur nákvæmlega eins og það var við innritun.

Uppsett göng lifa oft nógu lengi til að virka heilbrigð. Lífsmerkjaskilaboð halda áfram að fara út og hvort viðskiptavinurinn tekur eftir því fer eftir því hvernig hann meðhöndlar umferð án svars, svo stöðuljósið getur verið grænt um stund eftir að leiðin hverfur. Svo dettur tunnið og hver endurtenging mistekst á sömu lokuðu portunum.

Á þeim punkti segir villan í viðskiptavininum þér á hvaða þrepi þú ert, ef þú lest hana vandlega:

Einn smáatriði blekkir fólk: þegar lotan er bundin við MAC-tölu getur endurhleðsla innskráningarsíðunnar ekki hjálpað. Þú verður að sleppa tengingunni og tengjast aftur svo gáttin sjái nýja heimildartilraun í stað útrunninnar.

Skráðu þig fyrst inn, lyftu svo göngunum

Röðin sem virkar er: heimilaðu tækið, sannaðu leiðina, ræstu VPN-ið, sannaðu göngin og endurheimtu svo venjulega lokun þína. Það síðasta skiptir máli því tímabundna ástandið sem þú þarft til að ná í gáttina er einmitt ástandið sem neyðarrofinn er til að koma í veg fyrir.

Skjáborðsviðskiptavinur með valkost til að loka fyrir utan göngin verður að vera í biðstöðu svo gáttarsíðan hlaðist, og þú ættir að hafa viðkvæm forrit lokuð á meðan á þeim glugga utan ganganna stendur; það er eina tímabilið sem staðbundin umferð fer út óvarin. Stýrt tæki sem er alltaf í gangi ætti að nota þá aðferð sem eigandi þess birti frekar en að þú fjarlægir stefnu. Ef gáttin sýnir skírteinisviðvörun skaltu stöðva: að samþykkja hana beinir lotunni þinni í gegnum handtökuumboð staðarins og það umboð getur lesið allt sem þú sendir. Á Android lokar læsingin undir alltaf virku VPN fyrir umferð áður en göngin eru komin upp, og sumar byggingar geta ekki undanskilið gáttarflæðið; ef þín getur það ekki skaltu nota aðra leið staðarins eða annað tæki í stað þess að láta læsinguna vera slökta. Reglur Apple eftir beiðni má skrifa svo að þær hafni göngunum þar til prófun heppnast, og það er hegðunin sem þú vilt á hótelnetum.

Staðfestu í röð með þeim verkfærum sem þú hefur þegar. Fyrir göngin skaltu keyra prófunina með bæði hausum og meginmáli sýnilegum og fylgjast með hvort VPN-flutningurinn þinn fái nokkurt svar yfirleitt:

curl -sS -D - http://captive.apple.com/hotspot-detect.html -o -
sudo tcpdump -ni any 'udp port 500 or udp port 4500 or udp port 1194'

Fyrir heimild gefur venjuleg gátt eitt af tveimur svörum: 302 þar sem Location bendir á innskráningarsíðuna, eða 200 með HTML-meginmáli sem er gáttarsíðan. Skráðu hvort þú fékkst. Endurbeining er ekki bilun fyrir innskráningu; gáttin er að segja þér hvert þú átt að fara. Eftir að gáttin tilkynnir árangur skaltu endurtaka skipunina og búast við 200 þar sem meginmálið er orðið Success bókstaflega. Það strengur er það sem gerir prófunina merkingarbæra. Ef hýsillinn svarar venjulega áður en þú skráðir þig nokkurn tíma inn er engin handtökugátt á þessu neti. Í upptökunni er höfnun fyrir heimild útfarandi pakkar sem ekkert kemur til baka frá, á meðan leið sem virkar sýnir svar við sama flæði innan um sekúndu. Tengstu og endurtaktu svo upptökuna.

Ef göngin mistekst enn eftir að gáttin segir já

Árangur innskráningar er ekki það sama og leyfður flutningur. Margir staðir leyfa gáttina og venjulega vafrun á meðan þeir loka algjörlega á UDP, sem skilur WireGuard og UDP-OpenVPN eftir brotin og TCP 443 virkt. Ef TCP 443 fer í gegn og UDP ekki er það stefna staðarins en ekki viðskiptavinur sem þú stilltir rangt, svo skiptu um flutning eða samþykktu takmörkin og haltu áfram. Ef endurtenging mistekst enn eftir það skaltu geyma nákvæmu villuna; hún nefnir þrepið sem þú ert fastur á.

Aðrar bilanir búa í tækinu. Lota sem er enn bundin gömlu MAC, annar Wi-Fi- adapter með eigin leigu, eða viðskiptavinur sem hefur skyndiminnið skírteinisundantekningu gáttarinnar geta hvert um sig haldið áfram að mistakast eftir hreina endurheimild. Slepptu tengingunni, heimilaðu aftur og prófaðu einu sinni áður en þú snertir stillingar viðskiptavinarins. RFC 8952 er þess virði að lesa ef þú vilt arkitektúrinn á bak við hlutina sem þú fylgist með.

Ef gáttin sjálf neitar að heimila er vandamálið í reikningnum eða úthlutun tækisins og engin VPN-stilling mun laga það. Að skipta um útgangsland VPN-sins endurstillir ekki staðbundið aðgangsástand staðarins; sú tafla er bundin við tækið þitt, ekki netþjóninn sem þú velur. Spurðu rekstraraðila staðarins og gefðu honum tíma, því lotutaflan er það sem hann mun skoða.

Fyrir næstu ferð skaltu skrifa niður þrennt: gáttarsíðuna sem núllþrep, þrepið til að stöðva lokunina fyrir hvert tæki sem þú berð, og eina varaleið í flutningi sem þú hefur raunverulega prófað. Þegar göng sem virkuðu fyrir tíu mínútum stöðvast aftur skaltu líta á það sem útrunna heimild og athuga gáttina aftur áður en þú snertir VPN-sniðið.