Firwat en OpenVPN-Profil doheem funktionéiert, awer am Hotel feelt

Büro-Wi-Fi an eng Hotelzëmmer kënnen deem selwechte Laptop zwee ganz verschidde Netzwierker ginn, an de Profil dertëschent weess näischt dovun. Wat doheem funktionéiert, setzt en duuseggen Uplink, funktionéierend Numm-Opléisung an e lokalen Subnetz viraus, deen net mat eppes kollidéiert, wat den Tunnel transportéiert. All dës Annahmen kann eenzel feelen.

Den nëtzlechen Wee fir dëst ze debuggen ass, d'Netz als véier getrennt Fakten ze behandelen an se dann der Rei no ze testen. Fir d'éischt um Profil ze roden ergëtt meeschtens eng Ännerung, déi näischt reparéiert an d'Beweiser verdeckt.

Véier Netzwierkfakten änneren sech tëschent Plazen

Den éischte Fakt ass, ob d'Lokalnetz dech iwwerhaapt erausléisst. E Captive Portal léisst en Apparat op eng Login-Säit an blockéiert alles anescht, bis déi Säit fäerdeg ass, wat bedeit, datt den Tunnel net ka starten, esou richteg den Profil och ass.

Den zweeten ass d'Numm-Opléisung. E Portal, deen DNS offänkt, äntwert op all Ufro mat senger eegener Adress, sou datt den VPN-Hostnumm op de Portal opgeléist gëtt an de Client versicht, en Tunnel zu enger Websäit ze bauen.

Den drëtten ass d'Transportfilterung. Netzwierker, déi nëmme Browsen erlaben, loossen TCP 443 zu arbiträrren Destinatiounen duerch a verwerfen bal alles anescht, och UDP.

De véierten ass d'Adresséierung. Den lokalen Subnetz kann sech mat engem Netz hannert dem Tunnel iwwerlappen, oder den Uplink bitt iwwerhaapt keen notzbare IPv4-Wee.

Numm-Opléisung an de Captive Portal

Ersetzt den Hostnumm am Profil duerch d'numeresch Adress vum Server a probéiert nach eng Kéier. Wann d'IP verbënnt an den Numm net, ass d'Numm-Opléisung schold, an de Profil selwer ass a Ordnung.

Maacht e Browser op a probéiert eng gewéinlech HTTP-Säit, ier Dir de VPN beréiert. Eng Ëmleitung op eng Login-Säit bedeit, datt de Portal nach aussteet; fäerdeg se of, a verbënnt Iech dann erëm. Vill Hotelen loossen d'Sessioun och no e puer Stonnen oflafen, wat wéi eng Ënnerbriechung mëttes aussäit an net wéi e Login-Problem.

Wann déi numeresch Adress och feelt, ass d'Numm-Opléisung net d'Erklärung, also gitt op den Transport. Hält d'Adress, déi Dir getest hutt, well se der nächster Kontroll seet, ob d'Pakete d'Maschinn iwwerhaapt verlooss hunn.

Transportfilterung: als éischt UDP, TCP 443 als Réckzuch

En OpenVPN-Floss iwwer UDP 1194 gesäit net wéi eppes aus, wat eng Hotelfirewall erkennt, also gëtt en ouni Feeler verworf. De Client probéiert nach eng Kéier, bis säin Timeout ofleeft, an de Benotzer gesäit eng Verbindung, déi ni zustane kënnt, amplaz enger Oflehnung. Firewalls, déi sech esou behuelen, loggen d'Verwerfe selten op enger Plaz, déi Dir gesitt. D'Fehlen vun enger Oflehnung ass selwer de Hiweis.

TCP 443 ass dee verléissleche Réckzuch, well d'Netz en net vun engem gewéinlechen HTTPS ënnerscheede kann. Benotzt de TCP-Profil vum Bedreiwer, wann et een gëtt, well och de Server op deem Transport an deem Port lauschtere muss; just de Client z'änneren ergëtt eng aner Aart vu Feeler. Wann et kee TCP-Profil gëtt, freet de Bedreiwer, amplaz een duerch d'Port z'änneren ze erfinden. D'Serversäit muss averstane sinn, an eng Disharmonie gesäit erëm wéi e Firewallproblem aus.

Erwaart e Präis an der Leeschtung. TCP bannent TCP verstäerkt Neisendungen op enger Verbindung mat Verloscht, also kann en TCP-Tunnel, dee funktionéiert, op engem iwwerlaaschten Hotelnetz nach ëmmer lues fillen. Dat ass en Tausch fir Erreechbarkeet, keen Defekt, deem een nogeet.

Adresskolisiounen a Upstreams ouni IPv4

En Tunnel kann zustane kommen an nach ëmmer näischt droen. Wa sech de lokale LAN an en entfernt Netz e Prefix wéi 192.168.1.0/24 deelen, hält de Client den entfernten Host fir direkt verbonnen a schéckt d'Paket op de lokale Link amplaz an den Tunnel. D'Symptom ass eng erfollegräich Verbindung mat engem eenzegen onereechbaren Subnetz, wat een einfach als Routenproblem op der Serversäit falsch liest.

Déi dauerhaft Léisung ass, den entfernten LAN an en ongewéinleche private Beräich ze réckelen. En Beräich ze wielen, deen doheem keen benotzt, wéi 10.42.0.0/24, verhënnert de Problem fir all zukünfteg Plaz amplaz just eng. D'lokal Ëmwee ass, deen Hotel, Hotspot oder Router ze meiden, wat iwwerhaapt keng Léisung ass.

Mobil Upstreams bäi zwou Variante bäi. Carrier-Grade-NAT bedeit, datt erakommend Verbindungen net ukomme, wat zielt, wann Dir e Server hostet, awer net fir en erausgehenden Client. En APN, deen nëmme mat IPv6 an NAT64-Iwwersetzung konfiguréiert ass, kann e Client feelen loossen, dee op engem richtege IPv4-Wee behaart, an de gewéinleche Mëttel ass, den APN-Protokoll op IPv4 oder Duebelstack z'änneren.

Symptomer nodeems den Tunnel steet

En Tunnel, deen sech verbënnt an dann stëll gëtt, ass meeschtens e Keepalive- oder MTU-Problem, net e blockéierte Port. Eng Verbindung, déi no enger fester Zuel vu Minute fält, weist op en Keepalive- oder Renegotiation-Timer. Stellt de Client an, säi Peer ze sondéieren an nei ze starten, wann Äntwerten ophalen, a testt eng méi kleng Tunnel-MTU, wann Pings duerchgoen, awer grouss Iwwerweisungen stocken.

Ier Dir Hëllef frot, schreift dräi Saachen op: d'Adress, déi Dir probéiert hutt an ob se geäntwert huet, den Transport an de Port, déi Dir benotzt hutt, an de lokalen Subnetz vum Netz, dat feelt. Zesummen trennen se d'Numm-Opléisung vun der Transportfilterung an vun enger Adresskolisioun, an dat si d'Ursaachen, déi de Kontakt mat Beweiser iwwerliewe.