Viešbučio Wi-Fi: VPN nepavyksta dar nepasiekus serverio

VPN klientas sukasi, tada praneša, kad negali pasiekti serverio, ir visi daro išvadą, kad viešbutis blokuoja VPN. Paprastai nieko taip dramatiško neįvyko: tinklas jūsų dar neišleido. Fiksavimo portalas sulaiko kiekvieną ryšį, kol prisijungsite, o tunelis negali susidaryti, kol prisijungimo puslapis perima jo paketus. Atlikite prisijungimą prieš kaltindami tunelį.

Mitas: viešbutis blokuoja VPN

Dauguma viešbučių tinklų specialiai nefiltruoja tunelių. Jie perima žiniatinklio srautą, kol svečias autentifikuojasi, taip pat gali riboti įrenginius, nutraukti sesijas ar mažinti pralaidumą. Kiekvienas iš jų sukuria gedimą, kuris iš VPN kliento vidaus atrodo kaip blokavimas.

Tunelis čia yra prasta diagnostikos priemonė, nes tai vienintelė programa, kuri tikrai nepavyksta, kol portalas neautorizuotas. Įprasta žiniatinklio prieiga yra geresnis rodiklis, nes ji gali parodyti patį prisijungimo puslapį.

Ši tvarka svarbi ir dėl kitos priežasties: klientas su išjungimo jungikliu ar visada įjungtu režimu atsisakys įkelti portalą, o naudotojas nuspręs, kad sugedo tinklas, o ne nustatymas. Abu faktai teisingi vienu metu, ir viešbutyje galima pakeisti tik vieną. Išjunkite apsaugą per paties kliento valdymą, prisijunkite ir vėl įjunkite. Visa kita yra apėjimas, slepiantis tikrąją seką.

Pirmiausia užbaikite portalą, tada išbandykite įprastą HTTPS

Paklauskite personalo oficialaus tinklo pavadinimo ir prisijungimo būdo. Įtikinamas SSID nėra nuosavybės įrodymas, o antras panašaus pavadinimo tinklas yra įprastas triukas viešose vietose. Naudokite operacinės sistemos prisijungimo raginimą, kur jis siūlomas, arba viešbučio dokumentuotą puslapį.

curl -sS -o /dev/null -w '%{http_code} %{redirect_url}\n' http://captive.apple.com/hotspot-detect.html
curl -sS -o /dev/null -w '%{http_code}\n' https://www.example.com/

Pirmoji užklausa klausia žinomo fiksavimo portalo aptikimo taško paprastu HTTP; peradresavimas ar netikėtas turinys reiškia, kad vis dar esate už portalo. Antroji tikrina įprastą HTTPS svetainę. Jei pirmoji rodo perėmimą, o antroji nepavyksta, prisijungimas nebaigtas ir VPN tam neturi jokios įtakos.

Asmeniniame įrenginyje gali reikėti išjungti išjungimo jungiklį ar nuolatinį VPN per palaikomą kliento valdymą, kad portalas galėtų įsikelti. Uždarykite jautrias programas tam laikui ir iškart po to vėl įjunkite apsaugą. Valdomame įrenginyje laikykitės administratoriaus patvirtintos procedūros, o ne patys šalinkite politiką.

Niekada neapėkite sertifikato įspėjimo ir neįdiekite nežinomo sertifikato ar pagalbinės programos, kad prisijungtumėte. Jei portalas reikalauja ko nors netikėto, patvirtinkite tai su personalu, o su administratoriumi, jei įrenginys priklauso darbdaviui.

Išsaugokite pradinį profilį ir jo klaidą

Kai įprasta prieiga veikia, prijunkite pradinį profilį ir užrašykite tikslią klaidą. Autentifikavimo atmetimas yra paskyros problema, skirtasis laikas derybų metu yra kelio problema, o tunelis, kuris susidaro, bet nieko neperduoda, yra maršrutizavimo ar politikos problema.

Šie trys reikalauja skirtingų tolesnių žingsnių, o klaidos ekrano kopija verta daugiau nei aprašymas. Užrašykite ir laiką, nes viešbučio sesijos limitai gali baigtis per valandą ir sukelti gedimą, kuris atrodo atsitiktinis. Jei klientas siūlo žurnalą, išsaugokite dalį apie pirmąjį gedimą, o ne visą failą. Šios ištraukos paprastai pakanka profilio savininkui atpažinti etapą.

Jei įprasta prieiga veikia, o derybos vis dar baigiasi skirtuoju laiku, paklauskite viešbučio, ar jis palaiko šį srautą, ir palyginkite su patikimu prieigos tašku, laikydami įrenginį ir profilį nepakeistus. Darbas prieigos taške susiaurina dėmesį į viešbučio kelią, nieko neįrodydamas apie profilį.

Naudokite tik operatoriaus pateiktas alternatyvas

Atitinkantis TCP profilis gali pavykti ten, kur pasiūlytas UDP kelias neveikia, bet tik jei serveris tikrai klausosi tuo transportu ir tuo portu. TCP 443 prievadas nėra automatiškai laikomas įprastu HTTPS ir negarantuoja praėjimo per ribojantį tinklą.

sudo openvpn --config /etc/openvpn/client/office-tcp.conf --verb 4

Pateikto profilio paleidimas su didesniu detalumu palieka pirmąją naudingą klaidą matomą, o ne suspaudžia ją į bendrą gedimo dialogą. Naudokite operatoriaus duotą failą, o ne patys keiskite prievadus ar protokolus, nes vietinis pakeitimas negali sukurti atitinkančio klausytojo kitoje pusėje.

Jei tunelis kartojasi iš naujo, atkreipkite dėmesį, ar portalas vėl pasirodo, ar krinta vietinis signalas, ir laikykitės stabilumo patikrų, o ne keiskite kelis protokolus vienu metu. Tada išbandykite programą, kurios tikrai reikia, ir atkurkite įprastas privatumo kontrolės priemones. Ryšys, kuris perduoda vieną svetainę, bet ne kitą, yra maršrutizavimo ar politikos klausimas, o ne portalo.

Galiausiai patikrinkite atkūrimą po to, kai nešiojamasis kompiuteris užmiega. Portalo autorizacija gali baigtis nepriklausomai nuo tunelio, todėl įrenginys, kuris automatiškai prisijungia iš naujo, gali grįžti į tinklą, kuris jį jau pamiršo. Portalo puslapio atidarymas iš naujo yra įprastas žingsnis, o ne ženklas, kad VPN sugedo.