VPN тек веб желісінде бұғатталды ма? Қабаттарды ретімен қараңыз

Браузер жұмыс істейтін, ал әрбір туннель өлетін кампус немесе қонақ үй желісі бір мәселе емес, төрт қабат. Жол тек TCP 443-ке рұқсат беруі мүмкін, аутентификацияланған проксиді талап етуі мүмкін, қол алысуды тексере алады немесе саясатпен қашықтан қатынауды жай ғана тыйым салады. Оларды ретімен өңдеу желі ережесін түзету үшін жаңа клиент сатып алудан сақтайды. Төмендегі нұсқаулық шамамен он минут алады және қай қабат сізден бас тартқаны туралы жазбаша жауаппен аяқталады.

Қай қабат байланыстан бас тартатынын дәлелдеңіз

VPN клиентінен бастамаңыз. Сол хостқа қарапайым HTTPS сұрауынан бастап, уақыт фазаларын оқыңыз, өйткені сәтсіз фаза қай құрылғының жауапты екенін айтады:

curl -sS -o /dev/null -w 'connect=%{time_connect} tls=%{time_appconnect} code=%{http_code}\n' \
  --max-time 8 https://vpn.example.net/

Жауап жоқ және connect уақыты жоқ болса, TCP ешқашан аяқталмаған, сондықтан өрт қабырғасы, прокси талабы немесе қате межелі орын ойында. connect уақыты бар, бірақ tls уақыты жоқ болса, ортадағы бірдеңе байланысты қабылдап, қол алысуды тоқтатқан, тексеруші прокси клиент жағынан дәл осылай көрінеді.

Енді шын мәнінде алатын сертификатты қараңыз. Бұл сервермен сөйлесіп жатқаныңызды немесе сессияға қайта қол қойған аралық жәшікпен сөйлесіп жатқаныңызды білудің ең жылдам жолы:

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief </dev/null

Шығарушы жолын оқыңыз. Өз CA-ыңыз қызметке жеткеніңізді білдіреді; корпоративтік немесе құрылғы шығарушысы сүзгі байланысты тоқтатып, әрі қарай не болатынын шешіп жатқанын білдіреді. Екі шығысты да уақыт белгісімен жазып алыңыз, өйткені бір сағаттан кейін қонақ желісіндегі сол тест басқа жауап беруі мүмкін.

Проксиді білетін клиент бірінші пакетті өзгертеді, саясатты емес

Егер желі аутентификацияланған прокси арқылы CONNECT талап етсе, VPN клиентіне айту керек, әйтпесе ол маршруттай алмайтын мекенжайға сокет ашуға тырысады. Проксиді клиенттен бөлек тексеріңіз, сәтсіздіктің бір түсіндірмесі болуы үшін:

https_proxy=http://proxy.example.edu:3128 curl -v -o /dev/null https://vpn.example.net/
sudo openvpn --config /etc/openvpn/corp.conf --proto tcp-client \
  --remote vpn.example.net 443 --verb 4

Бірінші команда проксидің межелі орынды таситынын дәлелдейді. Екіншісі клиентке 443-те TCP пайдалануды тапсырады, бұл тек веб жолдардың көбісі жалпы өткізетін жалғыз көлік. Біріншісі сәтті болып, екіншісі әлі сәтсіз болса, прокси кедергі емес.

Кейбір клиенттер қайта анықтаудың орнына операциялық жүйенің проксиін оқиды, кейбіреулері екеуін де оқымайды. Жүйелік параметр қолданылады деп есептемес бұрын қолданбаның өз құжаттамасын тексеріңіз. Прокси қызмет көрсетпейтін шешуші арқылы соңғы нүктені шешетін клиент те осында сәтсіз болады, сондықтан DNS өзгерісі түзету сияқты көрінуі мүмкін, ал шын мәнінде ол тек айналма жол.

Сонымен қатар бағыттау үлгісіне назар аударыңыз. Сүзілген желі жеткізушінің анықтау хост атына өзінің бірдеңесімен жауап беруі мүмкін, бұл клиент қай прокси профилін таңдайтынын өзгертеді. Процесті сол оғаштыққа құрмаңыз. Ол сайтқа қарай өзгереді, ескертусіз өзгереді және оны басқа біреу үшін қолдау мүмкін емес.

443 порты қолжетімді, рұқсат етілген емес

Туннельді 443-те TLS-ке орау қолжетімділікті шешеді, басқа ештеңе шешпейді. Портты тексеретін сүзгі өткізеді; қол алысудың ізтаңбасын алатын сүзгі өткізбейді, ал шифрланған клиент сәлемі сервер атын екі жақ та қолдағанда ғана жасырады. Тесті іске қосып, үміттенудің орнына қандай сүзгінің артында екеніңізді біліңіз.

Адамдар кейін ашатын өнімділік құны да бар. Сенімді көлік ішіндегі сенімді көлік шығынды күшейтеді, өйткені ішкі стек сыртқы стек қайта жіберген сегменттерді қайта жібереді. Таза желіде ешкім байқамайды. Кептелген кампус сымсыз желісінде туннель дәл керек кезде жарамсыз болады, ал график әдейі ештеңе тасталмаса да пакет жоғалтуына ұқсайды.

UDP әдетте бірінші құрбан, оны болжаудың орнына растаған жөн. Егер WireGuard немесе әдепкі OpenVPN қол алысуды ешқашан аяқтамаса, ал TCP 443 жұмыс істесе, желі UDP-ні тастап жатыр, және кілттерді қайта жасау оны өзгертпейді:

sudo wg show
dig +short vpn.example.net
dig +short vpn.example.net @1.1.1.1

Кеше жұмыс істеген серіктестің қасындағы бос қол алысу уақыт белгісі — UDP жауабы. Екі DNS сұранысы басқа сұраққа жауап береді: жергілікті шешуші мен ашық шешуші соңғы нүкте мекенжайы туралы келіспесе, сізді бағыттап жатыр және көлік дәлелі қате.

Машинадан шын мәнінде не шыққанын тексеріңіз

Клиент журналдары клиент нені сенетінін сипаттайды. Түсірілім желі нені көргенін сипаттайды, және осы екеуінің айырмашылығы осы жағдайлардың көбі шешілетін жер:

sudo tcpdump -ni any -c 20 'tcp port 443 and host 203.0.113.10'
sudo ss -tunp | grep -E ':(443|1194|51820)\b'

SYN пакеттер көріп, SYN-ACK жоқ болса, бұғаттау жоғарырақ, клиент кінәсіз. Сервердікі емес мекенжайға аяқталған қол алысуды көрсеңіз, проксимен немесе ұстаушымен сөйлесіп жатырсыз. Ештеңе көрмесеңіз, қорытынды жасамас бұрын дұрыс интерфейсте түсіргеніңізді тексеріңіз.

Сокет тізімі нәзік жағдайды ұстайды: әдепкі маршрутты ұстап тұрған екінші туннель. Маршруттау кестесі үшін таласатын екі клиент бұғатталған желіге дәл ұқсайтын үзілісті ақаулар тудырады, ал түсірілім күтпеген интерфейстен шығып жатқан трафикті көрсетеді.

Қайтару және сақтауға тұрарлық жазба

Өзгерістерді жасаған кері ретімен қайтарыңыз. Прокси айнымалыларын алып тастаңыз, қолмен іске қосқан клиентті тоқтатыңыз және қосқан кез келген маршрут немесе шешуші қайта анықтауын жойыңыз:

unset https_proxy http_proxy
sudo systemctl stop openvpn-client@corp
sudo ip route show default

Қолмен іске қосылған клиентті жұмыс істеп тұрған күйде қалдыру — ноутбуктің келесі кеңсе сапарында бүлінген желімен қалу жолы. Қабық профилінде қалдырылған прокси айнымалылары апталардан кейін байланыссыз құралдарды бұзады, оларды жөндейтін адам екі оқиғаны байланыстырмайды.

Содан кейін төрт жол жазыңыз: желі, уақыт белгісі, сәтсіз фаза және көрген шығарушы. Бір кампуста жұмыс істеп, келесісінде сәтсіз болатын жол қалыпты, және келесі адам айырмашылық прокси, шешуші немесе сүзгі болғанын білуі керек. Егер жауап желі қашықтан қатынауды тыйым салады деген болса, сол жерде тоқтап, әкімшіден қолдау көрсетілетін жолды сұраңыз, оқымаған саясатқа айналма жолды апармаңыз.