Эмне үчүн туткун порталы VPN'иңизди тосот жана кантип кайра кирүү керек

Ачык тармакта кирүү чекитиңиз пакеттерди интернетке жөн эле өткөрүп бербейт. Жогору жактагы саясат чекити түзмөгүңүзгө уруксат берилген-берилбегенин текшерет, ал эми уруксат берилмейинче дээрлик баары ташталат. VPN кардарыңыз бул тынчтыкты өлгөн сервер катары окуйт. Ал муну сейрек айтат: WireGuard кол алышууну боштукка кайталайт, OpenVPN байланыш убактысынын бүткөнүн билдирет, ал эми IKEv2 жооп бербеген алыскы сервер жөнүндө 809 катасы менен кайтат.

Портал чындыгында эмнени башкарат

Туткун порталы — бири-бирине жабыштырылган эки нерсе: саясат чечимин кабыл алуу чекити жана кайра багыттоочу. Түзмөгүңүз туташып, DHCP ижарасын алганда, тармак сизди уруксатка чейинки абалга коёт.

Бул абал — брандмауэр эрежелеринин жыйындысы. Ал адатта DNS'ке уруксат берет жана портал хостторунун кыска тизмесине HTTP же HTTPS'ке уруксат берет, ал эми калганын таштайт. Уруксат берилген тизме — дубал менен курчалган бак, жана ал VPN'дин акыркы чекитин дээрлик эч качан камтыбайт.

Бул таштоолордун эч бири сылык эмес. VPN серверине багытталган пакеттер четке кагылбай, ташталат, ошондуктан кардар ICMP unreachable да, TCP reset да албайт, жооптун жоктугун гана алат. Өндүрүүчүгө жараша кайра багыттоочу 80 портуна кирүү барагына кайра багыттоо менен жооп бериши мүмкүн, ал эми 443 порту ташталат же кармалат. Кайра багыттоолорду байкоо оңой, анткени алар жөнөкөй HTTP жообун алып жүрөт; 443'төгү кармоо үчүн браузериңиз ишенүүдөн баш тарта турган сертификат керек.

Уруксаттын өзү адатта түзмөктүн MAC дарегине, кээде ижарага алынган IP'ге байланыштуу болот жана таймери бар сессиялар таблицасында жашайт. Кирүү жазуу жаратат. Трафигиңизди өткөргөн брандмауэр эрежеси ошол жазуу бар кезде гана болот, ошондуктан сиздин тарапта эч нерсе өзгөрбөсө да бүт көйгөй кийин кайтып келет.

VPN кол алышуусу эмне үчүн башталганга чейин өлөт

Ар бир протоколдун өз транспорту бар, ал эми уруксатка чейинки брандмауэр ар бирин башкача бузат. Windows жана iOS'төгү IKEv2 UDP 500 жана UDP 4500 аркылуу жүрөт; бул порттордо таштоо 809 катары же этаптарды өзүнчө билдирген кардарларда ат ажыратуу сыяктуу ийгиликсиздик катары көрүнөт. UDP 1194 аркылуу OpenVPN убактысы бүткөнгө чейин туташуу абалында калат. TCP 443 аркылуу OpenVPN кызыктуу учур, анткени портал TCP кол алышуусун бүтүрүп, анан өзүнүн кайра багыттоо барагы менен жооп бериши мүмкүн, ошондуктан убакыттын бүтүшүнүн ордуна TLS катасын көрөсүз.

WireGuard механизмди эң ачык көрсөтөт. Ал долбоор боюнча UDP гана, TCP камдык варианты жок, ошондуктан белгисиз UDP'ни таштаган брандмауэр транспортту толугу менен алып салат. Кардар өсүп жаткан тыныгуу менен кол алышуу башталыштарын жиберүүнү улантат жана эч качан бүтпөгөн кол алышуу тууралуу билдирет. Бул билдирүүдө Wi-Fi эч жерде аталбайт жана анда браузер ачуу керектигине эч нерсе кыйытпайт.

Платформалар абалды VPN'ден мурун байкоого аракет кылат. Windows кирүү эскертүүсүн көрсөтүү-көрсөтпөөнү чечүү үчүн белгилүү URL'ди алат, Android 204 No Content деп жооп бериши керек болгон акыркы чекитти сурайт, ал эми Apple түзмөктөрү кичине туткун тармагынын терезесин ачат. Бул текшерүүлөр иштейт, анткени портал күтүлгөн дене ордуна кайра багыттоо менен жооп берет. Ушул эле жүрүм-турум порталдын толугу менен соо көрүнүшүн, ал эми туннелиңиздин өлүп калышын түшүндүрөт: текшерүү жана туннель ар башка эрежелер менен бааланат.

Сессиянын мөөнөтү бүтүү чындыгында эмнени кайтаратат

Жайлар сессияларды VPN эсебиңизге тиешеси жок себептер менен бүтүрөт: аракетсиздик убактысы, сессиянын эң узун узундугу, жаңы DHCP ижарасы же башка кирүү чекитине кайра туташуу. Таймер иштегенде сессиялар таблицасындагы жазуу жоголот жана уруксатка чейинки эрежелер жыйындысы каттоо учурундагыдай так кайтат.

Орнотулган туннель соо көрүнүү үчүн жетиштүү узак жашайт. Тирүү кармоо билдирүүлөрү чыга берет, ал эми кардар муну байкайбы же жокпу, анын жоопсуз трафикке кандай мамиле кылаанына байланыштуу, ошондуктан жол жоголгондон кийин да статус жарыгы бир аз убакыт жашыл болушу мүмкүн. Анан туннель кулайт жана кайра туташуунун ар бир аракети ошол эле тосулган порттордо ийгиликсиз болот.

Ошол учурда кардардын катасы сиз кайсы этапта экениңизди айтат, эгер аны кылдат окусаңыз:

Бир деталь адамдарды адаштырат: сессия MAC дарегине байланган болсо, кирүү барагын кайра жүктөө жардам бербеши мүмкүн. Сиз туташууну үзүп, кайра кошулушуңуз керек, ошондо портал бүткөн аракеттин ордуна жаңы уруксат аракетин көрөт.

Алгач кириңиз, анан туннелди көтөрүңүз

Иштеген тартип: түзмөккө уруксат бериңиз, жолду далилдеңиз, VPN'ди иштетиңиз, туннелди далилдеңиз, анан адаттагы тосууңузду калыбына келтириңиз. Акыркы кадам маанилүү, анткени порталга жетүү үчүн керек болгон убактылуу абал — өчүргүч ошону болтурбоо үчүн бар абал.

Туннелден тышкары тосуу опциясы бар десктоп кардары портал барагы жүктөлүшү үчүн токтотулушу керек, ал эми ошол туннелден тышкаркы терезеде купуя колдонмолорду жабык кармоо керек; бул жергиликтүү трафиктин коргоосуз чыккан жалгыз аралыгы. Башкарылуучу дайыма күйүк түзмөк саясатты сиз алып салгандын ордуна ээси жарыялаган жол-жобону колдонушу керек. Эгер портал сертификат эскертүүсүн көрсөтсө, токтогула: аны кабыл алуу сессияңызды жайдын кармоо проксиси аркылуу өткөрөт, ал эми ошол прокси жибергениңиздин баарын окуй алат. Android'де дайыма күйүк VPN астындагы кулпу туннель көтөрүлө электе трафикти тосот, ал эми айрым курулуштар портал агымын бошото албайт; сиздики албаса, кулпуну өчүк калтыруунун ордуна жайдын альтернативалуу кирүүсүн же башка түзмөктү колдонуңуз. Apple'дын суроо боюнча эрежелерин текшерүү ийгиликтүү болмогуча туннелден баш тарта тургандай жазууга болот, бул мейманкана тармактарында каалаган жүрүм-турум.

Колуңуздагы куралдар менен кезеги менен текшериңиз. Туннелге чейин текшерүүнү аталыштар жана дене экөө тең көрүнөрүндөй иштетип, VPN транспортуңуз кандайдыр бир жооп алабы же жокпу байкаңыз:

curl -sS -D - http://captive.apple.com/hotspot-detect.html -o -
sudo tcpdump -ni any 'udp port 500 or udp port 4500 or udp port 1194'

Уруксатка чейин кадимки портал эки жооптун бирин берет: Location кирүү барагына шилтеме кылган 302 же портал барагы болгон HTML денеси бар 200. Кайсынысын алганыңызды жазып алыңыз. Кирүүгө чейин кайра багыттоо ийгиликсиздик эмес; портал кайда баруу керектигин айтып жатат. Портал ийгилик жөнүндө билдиргенден кийин буйрукту кайталап, денеси сөзмө-сөз Success сөзү болгон 200'дү күтүңүз. Ушул сап текшерүүнү маанилүү кылат. Эгер хост сиз эч качан кирбей туруп кадимкидей жооп берсе, бул тармакта кармоочу портал жок. Жазууда уруксатка чейинки таштоо — эч нерсе кайтпаган чыгуучу пакеттер, ал эми иштеген жол ошол эле агымга болжол менен бир секунд ичинде жооп көрсөтөт. Туташыңыз, анан жазууну кайталаңыз.

Портал «ооба» дегенден кийин да туннель ийгиликсиз болсо

Кирүүнүн ийгилиги уруксат берилген транспорт менен бирдей эмес. Көп жайлар порталга жана кадимки серептөөгө уруксат берип, UDP'ни толугу менен тосот, бул WireGuard жана UDP OpenVPN'ди бузуп, TCP 443'тү иштеп турат. Эгер TCP 443 өтүп, UDP өтпөсө, бул сиз туура эмес конфигурациялаган кардар эмес, жайдын саясаты, ошондуктан транспортту алмаштырыңыз же чектөөнү кабыл алып, улантыңыз. Андан кийин да кайра туташуу ийгиликсиз болсо, так катаны сактаңыз; ал кайсы этапта тыгылып калганыңызды атайт.

Башка ийгиликсиздиктер түзмөктө жашайт. Эски MAC'ке али байланган сессия, өз ижарасы бар экинчи Wi-Fi адаптери же порталдын сертификат өзгөчөлүгүн кэштеген кардар — алардын ар бири таза кайра уруксаттан кийин да ийгиликсиз боло берет. Туташууну үзүңүз, кайра уруксат бериңиз жана кардардын жөндөөлөрүнө тийүүдөн мурун бир жолу аракет кылыңыз. Эгер байкап жаткан компоненттердин артындагы архитектураны кааласаңыз, RFC 8952 окууга татыктуу.

Эгер портал өзү уруксат берүүдөн баш тартса, көйгөй эсепте же түзмөктү бөлүштүрүүдө, аны эч бир VPN жөндөөсү оңдобойт. VPN'дин чыгуу өлкөсүн өзгөртүү жайдын жергиликтүү кирүү абалын кайтарбайт; ал таблица сиздин түзмөгүңүзгө байланыштуу, тандаган сервериңизге эмес. Жайдын операторунан сураңыз жана ага убакыт бериңиз, анткени ал сессиялар таблицасын карайт.

Кийинки сапарыңыздын алдында үч нерсени жазып алыңыз: портал барагын нөлүнчү кадам катары, алып жүргөн ар бир түзмөк үчүн тосууну токтотуу кадамын жана чындап сынап көргөн бир камдык транспортту. Он мүнөт мурун иштеген туннель кайра токтосо, аны мөөнөтү бүткөн уруксат деп эсептеп, VPN профилине тийүүдөн мурун порталды кайра текшериңиз.