ホテルのキャプティブポータルの内側で旅行用ルーターを設定する方法

旅行用ルーターの管理画面を開くと、すぐにVPNを起動したくなりますが、ホテルのネットワークには別の計画があります。ルーターは会場のWi-Fiのクライアントであり、その上流の接続が認可されるまで、どのトンネルもどこにも届きません。二つの段階を順番に進めれば、ルーターは壊れているようには見えなくなります。

まず、ルーターが両方の仕事をこなせるか確認します

必要なのは上流のクライアントモード（通常はリピーター、クライアント、WISPと呼ばれます）と、外向きのVPNクライアントです。これらはVPNサーバーとは別の機能で、安価なルーターの多くは後者は備えていても前者は備えていません。

管理画面でWANまたはインターネットのセクションを見つけ、ワイヤレスクライアントモードに切り替えます。会場のSSIDをスキャンして参加し、他の何かを設定する前にルーターにアドレスを取得させます。

そこにいる間にファームウェアのバージョンを確認します。メニュー名はリリースごとに変わり、機能が存在していても古いガイドの経路はもう存在しないことがあります。モデルとバージョンを旅行道具と一緒に控えておきます。文書化された手順が目の前の画面と合わないとき、その理由はほとんどいつもバージョンの違いです。

次に、上流の接続を認可します

ノートPCをルーターにつなぎ、任意のHTTPページを開きます。ポータルがリダイレクトするはずで、そこからは会場独自の手順に従います。ポータルによっては画面のないルーターよりスマートフォンのほうがうまく動くため、接続済みの端末から行うほうがたいてい速く済みます。

厳格なVPNブロックはこの初期設定を難しくすることがあります。会場が認可の前にトンネルの通信を捨てる場合、ポータルが保留の間はルーターのVPNクライアントが失敗しますが、その失敗は想定内であり、設定ミスではありません。

それを乗り越えるには対応している方法を使います。複数の制御を一度に外したり、ポータルのページが修復として提示する証明書をインストールしたりすると、一時的な不便を恒久的な問題と引き換えにすることになります。

第三に、対応しているプロファイルでVPNを起動します

通常のアクセスが機能したら、ルーターが実際に対応しているプロファイルでVPNクライアントを起動します。WireGuardの設定とOpenVPNのプロファイルは互換ではなく、どちらもネイティブのIPsecフィールドに読み込むことはできません。

信頼する前に三点を確認します。エンドポイントに到達できるか、リゾルバーが期待どおりの値を返すか、出口アドレスが想定どおりかであり、出口の確認だけが、トンネルが設定されただけでなく通信を運んでいることを証明します。

curl -sS https://ifconfig.me
cat /etc/resolv.conf

ルーターが接続済みと報告しても出口アドレスが会場のままなら、トンネルは思っている通信を運んでいません。下流の端末を加える前にそれを直します。

第四に、下流の端末から試します

ルーターのステータス画面はルーター自身の接続を説明しています。覆われるべきノートPCから新しくリクエストを送り、端末は一方のファミリーだけ覆われて他方は覆われないことがあるため、IPv4、IPv6、リゾルバーを別々に確認します。

ルーターが成功しているのにノートPCが失敗するなら、問題は下流の経路、つまりNAT、DHCP、あるいはルーター自身の通信だけを覆うトンネルポリシーにあります。ノートPCがルーターのプールからアドレスを持っているか、次に既定ゲートウェイがルーターかを確認します。会場のDHCPサーバーからリースをまだ保持している端末は、まったく別のネットワークにいます。

第五に、フォールバックを決めてログインを残します

ポータルの有効期限が切れたとき、またはトンネルが落ちたときに何が起きるかを試します。選んだポリシーは転送される通信も覆う必要があり、ルーター自身が行うリクエストだけでは足りず、そうでなければ下流の端末は静かに会場の接続へ戻ります。

確認済みの上流ログイン手順はルーターと一緒に、紙かローカルのメモに保管します。次のホテルでの再起動は、また即席の設定をするのではなく二分の作業になります。端末だけに保存したメモはまさに端末が壊れたときに使えないので、ルーターの外にもコピーを置きます。この点では今でも紙が有利です。

そして、機能させた四つの値、つまり上流モード、ポータルの手順、VPNプロファイルの種類、出口の確認を書き留めます。この四つが次回必要になるものであり、記憶から再現するのが最も難しい四つでもあります。