ホテルのWi-Fi：VPNはサーバーに届く前に失敗する

VPNクライアントが回り続けたあと、サーバーに到達できないと報告し、誰もがホテルがVPNを遮断していると結論づけます。たいていはそんな劇的なことは起きておらず、ネットワークがまだあなたを外に出していないだけです。キャプティブポータルはサインインするまであらゆる接続を保留し、ログインページがパケットを横取りしている間はトンネルを完成できません。トンネルを責める前にサインインを済ませてください。

神話：ホテルはVPNを遮断する

ほとんどのホテルのネットワークはトンネルを特別にフィルタリングしていません。宿泊客が認証するまでウェブトラフィックを横取りし、端末数の制限、セッションの失効、帯域の絞り込みも行います。どれもVPNクライアントの内側からは遮断のように見える障害を生みます。

ポータルが未認証の間は必ず失敗する唯一のアプリケーションなので、ここでトンネルは診断には不向きです。通常のウェブアクセスはより良い指標で、ログインページそのものを表示できます。

キルスイッチや常時接続モードのクライアントはポータルの読み込みを拒否し、利用者は設定ではなくネットワークが壊れたと判断するため、この順序が重要なのは別の理由もあります。両方とも同時に正しく、ホテルで変えられるのは片方だけです。クライアント自身の操作で保護を切り、サインインし、すぐに戻してください。それ以外は本当の順序を隠す回避策です。

まずポータルを済ませ、それから通常のHTTPSを試す

スタッフに正式なネットワーク名とサインイン方法を確認してください。説得力のあるSSIDは所有の証明ではなく、似た名前の二つ目のネットワークは公共の場所でよくある手口です。オペレーティングシステム自身のサインイン表示があればそれを使い、なければホテルの案内ページを使ってください。

curl -sS -o /dev/null -w '%{http_code} %{redirect_url}\n' http://captive.apple.com/hotspot-detect.html
curl -sS -o /dev/null -w '%{http_code}\n' https://www.example.com/

最初の要求は、よく知られたキャプティブポータル検出のエンドポイントを平文HTTPで問い合わせ、リダイレクトや予期しない本文が返ればまだポータルの内側です。二つ目は通常のHTTPSサイトを試します。一つ目が横取りを示し二つ目が失敗するなら、サインインが未完了でVPNは関係ありません。

個人端末では、ポータルを読み込めるようクライアントの対応する操作でキルスイッチや常時接続VPNを切る必要があるかもしれません。その間は機密アプリを閉じ、直後に保護を戻してください。管理端末では、自分でポリシーを外さず管理者が承認した手順に従ってください。

オンラインになるために証明書の警告を決して無視せず、不明な証明書や補助アプリをインストールしないでください。ポータルが予期しないものを求めたら、スタッフに、端末が勤務先のものなら管理者に確認してください。

元のプロファイルとそのエラーを残す

通常のアクセスが通ったら元のプロファイルに接続し、正確なエラーを記録します。認証拒否はアカウントの問題、ネゴシエーション中のタイムアウトは経路の問題、確立しても何も運ばないトンネルはルーティングかポリシーの問題です。

この三つは次の手順が異なり、エラーのスクリーンショットは説明より価値があります。ホテルのセッション制限は一時間で切れ、偶然に見える障害を生むことがあるため、時刻も記録してください。クライアントがログを出すなら、ファイル全体ではなく最初の障害の周辺だけを残してください。その抜粋は通常、プロファイルの所有者が段階を特定するのに十分です。

通常のアクセスが通り、ネゴシエーションがまだタイムアウトするなら、ホテルにその通信の対応を尋ね、端末とプロファイルを固定したまま信頼できるホットスポットと比較してください。ホットスポットで動かせば、プロファイルについて何も証明せずに注目をホテルの経路へ絞れます。

事業者が提供する代替だけを使う

対応するTCPプロファイルは、提示されたUDP経路が通らない場所で成功することがありますが、サーバーがそのトランスポートとポートで実際に待ち受けている場合に限ります。TCPポート443は自動的に通常のHTTPSとして扱われず、制限の厳しいネットワークを通過する保証でもありません。

sudo openvpn --config /etc/openvpn/client/office-tcp.conf --verb 4

提供されたプロファイルをより詳細なログ出力で実行すると、最初の有用なエラーが一般的な障害ダイアログに潰されずに見えます。自分でポートやプロトコルを変えても相手側に対応する待ち受けは作れないため、事業者が渡したファイルを使ってください。

トンネルが繰り返しリセットされるなら、ポータルが再び現れるのか、ローカル信号が落ちるのかを記録し、複数のプロトコルを一度に切り替えず安定性の確認に従ってください。そのうえで本当に必要なアプリを試し、通常のプライバシー制御に戻します。あるサイトは通るのに別のサイトが通らない接続は、ポータルではなくルーティングかポリシーの問題です。

最後に、ノートパソコンがスリープした後の復帰を確認してください。ポータルの認可はトンネルとは独立に失効することがあるため、自動で再接続する端末は、すでに忘れているネットワークに戻ることがあります。ポータルのページを開き直すのは通常の手順で、VPNの故障の印ではありません。