Неге тұтқын порталы VPN-іңізді бөгейді және қалай қайта кіруге болады

Ашық желіде қатынау нүктесі пакеттерді интернетке жай ғана бермейді. Жоғарыдағы саясат нүктесі құрылғыңыздың рұқсат алып-алмағанын тексереді, ал рұқсат болмайынша, барлығы дерлік тасталады. VPN клиентіңіз бұл тыныштықты өлі сервер ретінде оқиды. Ол мұны сирек айтады: WireGuard қол алысуды босқа қайталайды, OpenVPN байланыс уақытының біткенін хабарлайды, ал IKEv2 жауап бермейтін қашықтағы сервер туралы 809 қатесімен оралады.

Портал шын мәнінде нені басқарады

Тұтқын порталы — бір-біріне жапсырылған екі нәрсе: саясат шешімін қабылдау нүктесі және қайта бағыттаушы. Құрылғыңыз қосылып, DHCP жалдауын алғанда, желі сізді рұқсатқа дейінгі күйге қояды.

Бұл күй — брандмауэр ережелерінің жиынтығы. Ол әдетте DNS-ке рұқсат береді және портал хосттарының қысқа тізіміне HTTP немесе HTTPS-ке рұқсат береді, ал қалғанын тастайды. Рұқсат етілген тізім — қоршалған бақ, және ол VPN соңғы нүктесін ешқашан дерлік қамтымайды.

Бұл тастаулардың ешқайсысы әдепті емес. VPN серверіне бағытталған пакеттер қабылданбай, тасталады, сондықтан клиент не ICMP unreachable, не TCP reset алмайды, тек жауаптың болмауын алады. Өндірушіге байланысты қайта бағыттаушы 80 портына кіру бетіне қайта бағыттаумен жауап беруі мүмкін, ал 443 порты тасталады немесе ұстап алынады. Қайта бағыттауларды оңай байқауға болады, өйткені олар қарапайым HTTP жауабын тасымалдайды; 443-тегі ұстап алу браузеріңіз сенуге бас тартатын сертификатты қажет етеді.

Рұқсаттың өзі әдетте құрылғының MAC мекенжайына, кейде жалға алынған IP-ге байланысты болады және таймері бар сессиялар кестесінде өмір сүреді. Кіру жазба жасайды. Трафигіңізді өткізетін брандмауэр ережесі сол жазба бар кезде ғана болады, сондықтан сіздің жағыңызда ештеңе өзгермей-ақ бүкіл мәселе кейінірек қайта оралады.

VPN қол алысуы неге басталмай тұрып өледі

Әр протоколдың өз тасымалы бар, ал рұқсатқа дейінгі брандмауэр әрқайсысын басқаша бұзады. Windows пен iOS-тегі IKEv2 UDP 500 және UDP 4500 арқылы жүреді; осы порттарда тастау 809 ретінде немесе кезеңдерді бөлек хабарлайтын клиенттерде атауды шешу тәрізді сәтсіздік ретінде көрінеді. UDP 1194 арқылы OpenVPN уақыты бітпейінше қосылу күйінде қалады. TCP 443 арқылы OpenVPN — қызықты жағдай, өйткені портал TCP қол алысуын аяқтап, содан кейін өзінің қайта бағыттау бетімен жауап беруі мүмкін, сондықтан уақыттың бітуі орнына TLS қатесін көресіз.

WireGuard механизмді ең анық көрсетеді. Ол жоба бойынша тек UDP, TCP қосалқы нұсқасы жоқ, сондықтан белгісіз UDP-ні тастайтын брандмауэр тасымалды толығымен жояды. Клиент ұлғаятын кідіріспен қол алысу бастамаларын жіберуді жалғастырады және ешқашан аяқталмайтын қол алысу туралы хабарлайды. Бұл хабарламада Wi-Fi еш жерде аталмайды және онда браузер ашу керек екеніне ешнәрсе меңземайды.

Платформалар күйді VPN-нен бұрын байқауға тырысады. Windows кіру хабарламасын көрсету-көрсетпеуді шешу үшін белгілі URL алады, Android 204 No Content деп жауап беруі тиіс соңғы нүктені сұрайды, ал Apple құрылғылары кішкене тұтқын желісі терезесін ашады. Бұл тексерулер жұмыс істейді, өйткені портал күтілетін дене орнына қайта бағыттаумен жауап береді. Дәл осы мінез-құлық порталдың мүлдем сау көрінуінің, ал туннельдің өлі болуының себебін түсіндіреді: тексеру мен туннель әртүрлі ережелермен бағаланады.

Сессияның мерзімі біту шын мәнінде нені қалпына келтіреді

Орындар сессияларды VPN есептік жазбаңызға қатысы жоқ себептермен тоқтатады: әрекетсіздік уақыты, сессияның ең үлкен ұзақтығы, жаңа DHCP жалдауы немесе басқа қатынау нүктесіне қайта қосылу. Таймер іске қосылғанда, сессиялар кестесіндегі жазба жоғалады және рұқсатқа дейінгі ережелер жиынтығы тіркелу кезіндегідей дәл қалпына келеді.

Орнатылған туннель сау көріну үшін жеткілікті ұзақ өмір сүреді. Тірі ұстау хабарламалары шыға береді, ал клиент мұны байқай ма, ол жауапсыз трафикке қалай қарайтынына байланысты, сондықтан жол жоғалғаннан кейін де күй шамы біраз жасыл болып тұруы мүмкін. Содан кейін туннель құлайды және қайта қосылудың әрбір әрекеті сол бөгелген порттарда сәтсіз болады.

Сол кезде клиент қатесі қай кезеңде тұрғаныңызды айтады, егер оны мұқият оқысаңыз:

Бір бөлшек адамдарды шатастырады: сессия MAC мекенжайына байланған болса, кіру бетін қайта жүктеу көмектеспеуі мүмкін. Қосылымды үзіп, қайта қосылу керек, сонда портал мерзімі біткен әрекеттің орнына жаңа рұқсат әрекетін көреді.

Алдымен кіріңіз, содан кейін туннельді көтеріңіз

Жұмыс істейтін рет: құрылғыға рұқсат беріңіз, жолды дәлелдеңіз, VPN-ді іске қосыңыз, туннельді дәлелдеңіз, содан кейін әдеттегі бөгеуіңізді қалпына келтіріңіз. Соңғы қадам маңызды, өйткені порталға жету үшін қажет уақытша күй — өшіру қосқышының алдын алу үшін бар күйдің дәл өзі.

Туннельден тыс бөгеу опциясы бар жұмыс үстелі клиентін портал беті жүктелуі үшін кідірту керек, ал сол туннельден тыс терезеде құпия қосымшаларды жабық ұстау керек; бұл жергілікті трафиктің қорғаныссыз шығатын жалғыз аралығы. Басқарылатын әрдайым қосулы құрылғы саясатты сіз алып тастаудың орнына иесі жариялаған рәсімді пайдалануы керек. Егер портал сертификат ескертуін көрсетсе, тоқтаңыз: оны қабылдау сессияңызды орынның ұстап алу проксиі арқылы өткізеді, ал ол прокси жібергеннің бәрін оқи алады. Android-та әрдайым қосулы VPN астындағы құлыптау туннель көтерілмей тұрып трафикті бөгейді, ал кейбір жинақтар портал ағынын шығара алмайды; сіздікі алмаса, құлыптауды өшірулі қалдырудың орнына орынның балама қатынауын немесе басқа құрылғыны пайдаланыңыз. Apple-дың сұраныс бойынша ережелерін тексеру сәтті болғанша туннельден бас тартатындай жазуға болады, бұл қонақүй желілерінде қалайтын мінез-құлық.

Қолыңызда бар құралдармен ретімен тексеріңіз. Туннельге дейін тексеруді тақырыпшалар мен дене екеуі де көрінетіндей орындап, VPN тасымалының қандай да бір жауап алатынын бақылаңыз:

curl -sS -D - http://captive.apple.com/hotspot-detect.html -o -
sudo tcpdump -ni any 'udp port 500 or udp port 4500 or udp port 1194'

Рұқсатқа дейін қарапайым портал екі жауаптың бірін береді: Location кіру бетіне сілтейтін 302 немесе портал беті болып табылатын HTML денесі бар 200. Қайсысын алғаныңызды жазып алыңыз. Қайта бағыттау кіруге дейін сәтсіздік емес; портал қайда бару керектігін айтып тұр. Портал сәттілікті хабарлағаннан кейін команданы қайталап, денесі сөзбе-сөз Success сөзі болып табылатын 200-ді күтіңіз. Дәл сол жол тексеруді мәнді етеді. Егер хост сіз кірмей тұрып қалыпты жауап берсе, бұл желіде ұстап алатын портал жоқ. Жазбада рұқсатқа дейінгі тастау — ештеңе қайтпайтын шығыс пакеттер, ал жұмыс істейтін жол сол ағынға шамамен бір секунд ішінде жауап көрсетеді. Қосылыңыз, содан кейін жазбаны қайталаңыз.

Портал «иә» дегеннен кейін де туннель сәтсіз болса

Кірудің сәттілігі рұқсат етілген тасымалмен бірдей емес. Көптеген орындар портал мен қарапайым шолуға рұқсат беріп, UDP-ні толық бөгейді, бұл WireGuard мен UDP OpenVPN-ді бұзып, TCP 443-ті жұмыс істеп тұрғызады. Егер TCP 443 өтіп, UDP өтпесе, бұл орынның саясаты, сіз қате конфигурациялаған клиент емес, сондықтан тасымалды ауыстырыңыз немесе шектеуді қабылдап, әрі қарай жүріңіз. Одан кейін де қайта қосылу сәтсіз болса, нақты қатені сақтаңыз; ол қай кезеңде тұрып қалғаныңызды атайды.

Басқа сәтсіздіктер құрылғыда тұрады. Ескі MAC-қа әлі байланған сессия, өз жалдауы бар екінші Wi-Fi адаптері немесе порталдың сертификат ерекшелігін кэштеген клиент — олардың әрқайсысы таза қайта рұқсаттан кейін де сәтсіз бола береді. Қосылымды үзіңіз, қайта рұқсат беріңіз және клиент параметрлеріне тиіспей тұрып бір рет байқап көріңіз. Егер бақылап отырған компоненттердің артындағы архитектураны қаласаңыз, RFC 8952 оқуға тұрарлық.

Егер порталдың өзі рұқсат беруден бас тартса, мәселе есептік жазбада немесе құрылғыны бөлуде, оны ешбір VPN параметрі түзетпейді. VPN-нің шығу елін өзгерту орынның жергілікті қатынау күйін қалпына келтірмейді; бұл кесте құрылғыңызға байланысты, таңдаған серверіңізге емес. Орын операторынан сұраңыз және оған уақыт беріңіз, өйткені ол сессиялар кестесіне қарайды.

Келесі сапарыңыздың алдында үш нәрсені жазып алыңыз: портал бетін нөлінші қадам ретінде, алып жүретін әрбір құрылғы үшін бөгеуді тоқтату қадамын және шынымен сынап көрген бір қосалқы тасымалды. Он минут бұрын жұмыс істеген туннель қайта тоқтаса, оны мерзімі біткен рұқсат деп қарап, VPN профиліне тиіспей тұрып порталды қайта тексеріңіз.