OpenVPN verbënnt sech net am Hotel-Wi-Fi? Probéiert TCP 443

Maacht de Client op, dréckt op Verbannen a liest d'Statuslinn amplaz vum Dialog deen duerno kënnt. E Profil, deen no engem Hotel-, Campus- oder Mobilnetz op Verbannen oder Op Server waarde stoppt, huet meeschtens säin Transport iergendwou ënnerwee verluer, net seng Umeldungsdaten. Den nächsten nëtzlechen Schrëtt ass erauszefannen, wat dëst Netz transportéiert, ier Dir de Server beréiert. Ännert näischt, bis deeselwechte Profil soss eng Kéier funktionéiert huet.

Test fir d'éischt vun engem Handy-Hotspot aus. Wann den Tunnel do opkënnt, sinn de Server, d'Zertifikat an de Kont all an der Rei, an déi eenzeg Variabel déi bleift ass d'Netz virun Iech.

Fänkt um Client un: liest d'Statuslinn

D'Statuslinn seet Iech, wéi eng Etapp versot huet. E Client deen op Verbannen hänkt, léist nach den Host op oder mécht de baussenzege Socket op; een deen Op Server waarde erreecht, huet en Trëpp mam awer keng Äntwert; een deen sech authentifizéiert an duerno fält, huet eng ganz aner Problematik. De Client-Log an d'remote- an proto-Felder vum Profil selwer weisen, wat de Client probéiert ze maachen, an --verb 4 op engem Kommandozeil-Client dréckt déi selwecht Detailer. D'Vergläiche vun deem mat der Netzwierk virun Iech ass wat aus 'de VPN ass blockéiert' eng konkreet Behauptung mécht.

Da sondeiert d'Netz mat den Instrumenter déi Dir schonn hutt. nc -vzu 203.0.113.10 1194 schéckt en UDP-Datagramm, curl -v telnet://203.0.113.10:443 meldet ob en TCP-Handshake ofgeschloss gëtt, an e Browser deen eng HTTPS-Säit lued beweist just datt den Ausgang 443 deen een Host erreecht. Kleng Sondéierungen äntweren dat wat de VPN-Client net kann: wéi ee Port a wéi eng Protokoll dëst Netz iwwerhaapt verloossen.

Dräi Netzwierkverhalen gläichen sech aus dem Client an erfuerderen ënnerschiddlech Äntwerten. Den Ausgang 443 kann op sinn, et kann just e Proxy erlaabt sinn, oder 443 gëtt transparent un eng Inspektiounsbox weidergeleet, déi net liese kann wat se transportéiert. Dat éischt gëtt duerch d'Profilännnerung hei drënner behuewen, dat zweet duerch Proxy-Astellungen, an dat drëtt kann en Handshake ofschléissen an duerno stoppen, wann den Inspekter entscheet datt him den Stroum net gefält. Ze wëssen wéien vun den dräi Dir vis-à-vis steet ass den Ënnerscheed tëscht enger Ännerung vun zéng Minutten an engem Nomëtteg Client nei installéieren.

Réchkelt de Listener an de Profil zesummen

Op der Serversäit setzt de Listener op dat wat d'Netz erlaabt: port 443 an proto tcp an der Serverkonfiguratioun, da start de Service nei a bestätegt de Socket mat ss -lntp. Op der Clientsäit muss de Profil averstane sinn, well Transport a Port baussen dem Tunnel leien: proto tcp an port 443 an der .ovpn, oder déi passend Felder am Astellungsbildschierm vum App. E Profil deen nach op UDP 1194 ausgeriicht ass versot genee wéi virdrun, an d'Versuchung ass, eng Firewall ze beschëllegen déi schonn reparéiert ass. Wann deeselwechte Host och HTTPS op 443 äntwert, kënnen déi zwee Listeneren déi Adress a Protokoll net deelen; gitt dem VPN eng zweet Adress oder setzt en Demultiplexer virdrun.

Verfollegt déi éischt Verbindung mat tcpdump -ni any port 443 op béide Säiten. Pakete déi de Client verloossen an ni ukommen heeschen datt d'Netz awer filtert, oder datt d'Adress am Profil net déi ass déi Dir unhëlt. Pakete déi ouni Äntwert ukommen schécken Iech zréck an de Server-Log, wou eng Protokoll-Onstëmmegkeet direkt als verworfene Paket erschéngt.

Wann just e Proxy d'Netz verléisst

Verschidde Gaaschtenetzwierker erlaaben näischt ausser engem HTTP-Proxy, wat eng aner Aschränkung ass wéi en zouene Port a méi ausschléisst wéi OpenVPN. Cliente déi nëmmen PPTP, L2TP/IPsec oder pure IPsec schwätzen hunn do keen Duerchgang, well déi Konzepter erwaarden datt hiren baussenzege Protokoll de Server direkt erreecht. OpenVPN kann et, mat http-proxy proxy.example.net 8080 am Clientprofil, soulaang de Proxy d'CONNECT-Method op Äre Port erlaabt. En SOCKS-Proxy ass nach méi einfach, well en de Stroum weiderleete kann ouni sech dorëm ze këmmeren wat dran ass.

Wou de Client keng Proxy-Ënnerstëtzung huet, bleift meeschtens en SSH-Tunnel iwwer 443. En addéiert eng zweet Schicht, an den Operateur vum Netz kéint eng Meenung dozou hunn, also behandelt en als Bréck fir eng eenzeg Rees amplaz als Architektur.

Berechent de Präis vum Ersatz, ier Dir en hält

TCP an TCP huet e bekannte Präis. Wann d'baussenzeg Verbindung TCP ass an d'Payload och TCP, da léist e verluerene Segment Widderhuelung op béide Schichten aus, an déi bannenzeg Verbindung zitt sech virun engem Verloscht zréck deen se net gesäi kann. Browsen iwwerlieft dat; interaktiv Sessiounen an Uruffer spieren et. Hält de TCP 443 Listener als Ersatz fir Netzwierker déi e verlaangen, a loosst UDP als Standard fir alles wat en nach duerchléisst.

Hält d'Wiel am Profilnumm an an den Ënnerstëtzungsnotizen fest: wéi ee Port, wéi eng Protokoll a wéi ee Netz et verursaacht huet. Da frot den Administrateur vum Netz ob dee Port no der nächster Equipementserneierung nach op bleift, well en Ersatz deen ouni Geräisch verschwënnt ass méi schlëmm wéi guer keen Ersatz.