Firwat de Wi-Fi-Portal Ären VPN blockéiert an wéi Dir Iech erëm aloggt

An engem oppene Netz iwwergëtt Ären Access Point d'Paken net einfach un den Internet. E Politikpunkt weider uewen iwwerpréift, ob Ären Apparat schonn autoriséiert ass, an bis et esou wäit ass, gëtt bal alles verworf. Äre VPN-Client liest déi Stëllt als doudege Server. Et seet et seelen: WireGuard widderhëlt en Handshake an d'Leer, OpenVPN mëttelt eng VerbindungszäitIwwerschreidung, an IKEv2 kënnt als Feeler 809 iwwer en entfernte Server zréck, deen net äntwert.

Wat de Portal tatsächlech kontrolléiert

E Captive Portal sinn zwou Saachen, déi uneneen geheft sinn: e Politikentscheedungspunkt an en Ëmleeder. Wann Ären Apparat sech associéiert an en DHCP-Lease hëlt, setzt d'Netz Iech an en Zoustand virun der Autorisatioun.

Dee Zoustand ass eng Rei Firewall-Regelen. Et erlaabt normalerweis DNS an erlaabt HTTP oder HTTPS un eng kuerz Lëscht vu Portal-Hosten, an et verwërft alles anescht. Déi erlaabt Lëscht ass deen agezunnen Gaart, an et enthält bal ni en VPN-Endpunkt.

Keen vun dëse Verwërf ass héiflech. Paken, déi op e VPN-Server geriicht sinn, ginn verworf amplaz ofgelehnt, sou datt de Client weder ICMP unreachable nach TCP reset kritt, just d'Absenz vun enger Äntwert. Je no Hiersteller kann den Ëmleeder op Port 80 mat enger Ëmleedung op d'Aloggen-Säit äntwerten, wärend Port 443 verworft oder ofgefaangen gëtt. Ëmleedungen erkennt een einfach, well se eng einfach HTTP-Äntwert droen; d'Ofaange op 443 brauch en Zertifikat, deem Äre Browser net wäert vertrauen.

D'Autorisatioun selwer ass meeschtens un d'MAC-Adress vum Apparat gebonnen, heiansdo un d'geléint IP, an et lieft an enger Sessiounstabell mat engem Timer. D'Aloggen mécht en Aschreiwung. D'Firewall-Regel, déi Ären Trafic duerchléisst, existéiert just esou laang wéi dës Aschreiwung existéiert, an dofir kënnt de ganze Problem méi spéit zréck, ouni datt op Ärer Säit eppes ännert.

Firwat den VPN-Handshake stierft, ier en ufänkt

All Protokoll huet säin eegenen Transport, an d'Firewall virun der Autorisatioun brécht jiddwereen anescht. IKEv2 op Windows an iOS fiert iwwer UDP 500 an UDP 4500; e Verwërf op dëse Porten erschéngt als 809, oder als en Numm-Opléisungs-Feeler bei Clienten, déi d'Phasen getrennt mëttelen. OpenVPN iwwer UDP 1194 bleift am Verbannungszoustand, bis seng ZäitIwwerschreidung ofleeft. OpenVPN iwwer TCP 443 ass dee interessante Fall, well de Portal den TCP-Handshake ka fäerdeg maachen an duerno mat senger Ëmleedungssäit äntwerten, sou datt Dir en TLS-Feeler amplaz enger ZäitIwwerschreidung gesitt.

WireGuard weist de Mechanismus am kloresten. Et ass vum Design just UDP, ouni TCP-Réckfall, sou datt eng Firewall, déi onbekannt UDP verwërft, den Transport komplett ewechhëlt. De Client schéckt weider Handshake-Initiativen mat wuessender Paus a mëttelt en Handshake, deen ni fäerdeg gëtt. Näischt an dëser Noriicht ernimmt Wi-Fi, an näischt dran suggeréiert, datt Dir e Browser opmaache sollt.

Plattformen probéieren den Zoustand ze bemierken, ier Ären VPN et mécht. Windows rifft eng bekannt URL of, fir ze entscheeden, ob et seng Aloggen-Noriicht weist, Android freet en Endpunkt un, deen 204 No Content äntwerten sollte, an Apple-Apparater maachen e klengt Captive-Netz-Fënster op. Dës Sonden funktionéieren, well de Portal mat enger Ëmleedung amplaz vum erwaarten Inhalt äntwert. Datselwecht Verhalen erkläert, wéi e Portal komplett gesond ka schéngen, wärend Ären Tunnel dout ass: d'Sond an den Tunnel ginn no verschiddene Regele beuerteelt.

Wat en Ofleef vun der Sessioun wierklech zrécksetzt

Plaze loossen Sessiounen ofleefen aus Grënn, déi näischt mat Ärem VPN-Kont ze dinn hunn: eng Idle-ZäitIwwerschreidung, eng maximal Sessiounslängt, en neien DHCP-Lease oder eng nei Associatioun un en aneren Access Point. Wann den Timer schléit, verschwënnt d'Aschreiwung an der Sessiounstabell an d'Reegelset virun der Autorisatioun kënnt genee esou zréck, wéi et beim Check-in war.

En etabléierten Tunnel iwwerlieft dacks laang genuch, fir gesond auszegesinn. Keepalives ginn weider eraus, an ob de Client et bemierkt, hänkt dovun of, wéi en onbeäntwert Trafic behandelt, sou datt d'Statusluucht nach eng Zäit gréng ka bleiwen, nodeems de Wee fort ass. Duerno fällt den Tunnel an all Erëmverbindung feelt op deene selwechte gespaarte Porten.

Zu deem Zäitpunkt seet de Client-Feeler Iech, a wéi enger Phas Dir sidd, wann Dir en opmierksam liest:

En Detail täuscht d'Leit: wann d'Sessioun un eng MAC-Adress gebonnen ass, hëlleft en Nei-Lueden vun der Aloggessäit vläicht net. Dir musst d'Associatioun ophiewen an erëm bäitrieden, sou datt de Portal en neien Autorisatiounsversuch gesäit amplaz en ofgelafenen.

Loggt Iech fir d'éischt an, hieft dann den Tunnel

D'Rei, déi funktionéiert, ass: autoriséiert den Apparat, bewisen de Wee, start de VPN, bewisen den Tunnel, an da setzt Är normal Spär zréck. Dee leschte Schrëtt ass wichteg, well den temporären Zoustand, deen Dir braucht fir de Portal z'erreechen, genee deen Zoustand ass, deen e Kill Switch existéiert fir ze verhënneren.

En Desktop-Client mat der Optioun, baussent dem Tunnel ze spären, muss pauséiert ginn, fir datt d'Portalsäit lued, an Dir sollt sensibel Appen zou halen während dësem Fënster baussent dem Tunnel; et ass dat eenzegt Intervall, an deem lokalen Trafic ouni Schutz erausgeet. En verwalteten Apparat, deen ëmmer un ass, sollt de Prozedur benotzen, deen säin Eegentümer publizéiert huet, amplaz datt Dir d'Politik ewechhëlt. Wann de Portal eng Zertifikatwarnung weist, stoppt: se ze akzeptéieren leet Är Sessioun duerch den Ofaang-Proxy vun der Plaz, an dee Proxy ka liesen, wat Dir schéckt. Op Android blockéiert d'Spär ënner ëmmer-aktiven VPN den Trafic, ier den Tunnel steet, an e puer Builds kënnen de Portal-Floss net ausnamen; wann Ären et net kann, benotzt den alternativen Zougang vun der Plaz oder en aneren Apparat, amplaz d'Spär auszeschalten. D'On-Demand-Regelen vun Apple kënnen esou geschriwwe ginn, datt se den Tunnel refuséieren, bis eng Sond geléngt, an dat ass d'Verhalen, dat Dir an Hotellnetzer wëllt.

Verifizéiert an der Rei mat de Wierkzeugen, déi Dir schonn hutt. Virun dem Tunnel fuert d'Sond aus, mat de Headeren an dem Body allebéid sichtbar, a kuckt, ob Ären VPN-Transport iwwerhaapt eng Äntwert kritt:

curl -sS -D - http://captive.apple.com/hotspot-detect.html -o -
sudo tcpdump -ni any 'udp port 500 or udp port 4500 or udp port 1194'

Virun der Autorisatioun gëtt en normale Portal eng vun zwou Äntwerten: en 302, deem säi Location op d'Aloggessäit weist, oder en 200 mat engem HTML-Body, deen d'Portalsäit ass. Notéiert, wéi eng Dir kritt hutt. Eng Ëmleedung ass virum Aloggen keen Echec; et ass de Portal, deen Iech seet, wou Dir sollt higoen. Nodeems de Portal Succès mëttelt, widderhëlt de Kommando a waart op en 200, deem säi Body dat wuertwiertlecht Wuert Success ass. Dee String mécht d'Sond sënnvoll. Wann den Host normal äntwert, ier Dir Iech iergendwann ageloggt hutt, gët et keen Ofaang-Portal an dësem Netz. An der Opnam ass e Verwërf virun der Autorisatioun ausgänglech Paken, vun deenen näischt zréckkënnt, wärend en Wee, deen funktionéiert, eng Äntwert op deeselwechte Floss bannent ongeféier enger Sekonn weist. Verbënnt Iech, an widderhëlt dann d'Opnam.

Wann den Tunnel weider feelt, nodeems de Portal jo gesot huet

Aloggen-Succès ass net datselwecht wéi erlaabten Transport. Vill Plaze erlaben de Portal an normalt Surfen, blockéieren awer UDP komplett, wat WireGuard an UDP-OpenVPN futti léisst an TCP 443 funktionéiert. Wann TCP 443 duerchkënnt an UDP net, ass dat d'Politik vun der Plaz an net e Client, deen Dir falsch konfiguréiert hutt, also wiesselt den Transport oder akzeptéiert d'Limitt a gitt weider. Wann eng Erëmverbindung duerno ëmmer nach feelt, behält de geneeë Feeler; en nennt d'Phas, an där Dir feststitt.

Aner Feeler liewen um Apparat. Eng Sessioun, déi nach un eng al MAC gebonnen ass, en zweeten Wi-Fi-Adapter mat sengem eegene Lease, oder e Client, deen d'Zertifikatsausnam vum Portal gecacht huet, kënnen all weider feelen no enger propperer Erëmautorisatioun. Hieft d'Associatioun op, autoriséiert erëm, a probéiert eng Kéier, ier Dir d'Client-Astellungen ufässt. RFC 8952 ass d'Liesen wäert, wann Dir d'Architektur hannert de Komponenten wëllt, déi Dir observéiert.

Wann de Portal selwer refuséiert z'autoriséieren, ass de Problem am Kont oder an der Apparat-Zoudeelung an eng VPN-Astellung wäert et net fixéieren. D'Land vum VPN-Ausgang ze wiesselen setzt de lokalen Zougangszoustand vun der Plaz net zréck; déi Tabell ass un Ären Apparat gebonnen, net un de Server, deen Dir wielt. Froen den Operateur vun der Plaz a gitt him Zäit, well d'Sessiounstabell ass dat, wat hien ugekuckt.

Virun Ärer nächster Rees schreift dräi Saachen op: d'Portalsäit als Schrëtt null, de Schrëtt fir d'Spär ze pauséieren fir all Apparat, deen Dir mat hëlt, an een Transports-Réckfall, deen Dir wierklech getest hutt. Wann en Tunnel, deen nach virun zéng Minutten funktionéiert huet, erëm stoppt, behandelt en als ofgelafen Autorisatioun a kontrolléiert de Portal nach eng Kéier, ier Dir de VPN-Profil ufässt.