VPN pieslēdzas mājās, bet viesnīcas Wi-Fi tīklā iestājas taimauts

Portatīvais pieslēdzas mājas Wi-Fi, klients pieslēdzas trīs sekundēs, un tas pats profils pēc stundas viesnīcā neizdodas. Pa vidu nekas nav atjaunināts. Šī jautājuma izskatīšana ar klientu priekšā galvenokārt nozīmē zināt, kura kļūda pieder kuram posmam, jo noderīgā informācija ir kodā, ko klients izdrukā, nevis tajā, ka tas neizdevās. Izpildiet četrus tālāk minētos soļus secībā, un jūs zināsiet, vai jūs noraidīja nosaukums, pakete, ports vai politika.

Lasiet kļūdas kodu kā posmu, nevis kā spriedumu

Klients sasniedz trīs atsevišķus posmus, pirms tuneļa vēl nav. Tas atrisina servera nosaukumu, saņem atbildi no kaut kā tīklā un pārrunā drošības asociāciju. Katram posmam ir savs neizdošanās ziņojums, un jo īpaši Windows ir dāsns ar atšķirīgiem kodiem, kad zināt, kuram posmam tie pieder.

Divi no šiem kodiem nozīmē, ka tīkls ir nevainīgs. 789 nozīmē, ka paketes plūda un abi gali nebija vienisprātis par šifrēšanu, un tā ir konfigurācijas problēma, ko varat novērst mājās. 868 nozīmē, ka nevienai paketei nevajadzēja iziet, tāpēc tuneļa dizains nav svarīgs, kamēr nosaukums nav atrisināts. Koda iekļaušana pareizajā posmā ietaupa vairāk laika nekā jebkura uztveršana, jo tā pasaka, kuru no trim nākamajiem soļiem izlaist.

Esiet atbilstoši piesardzīgi, ja klients nav Windows. Trešo pušu klienti lielāko daļu no tā saspiež "savienojums neizdevās", tāpēc nākamie divi soļi vispār nepaļaujas uz ziņojumu.

Pārbaudiet nosaukumu, pirms vainojat tuneli

Viesnīcu un lidostu tīkli pastāvīgi pārtver DNS, un risinātājs, kas atbild ar portāla adresi, rada neizdošanos, kas izskatās tieši kā miris serveris. Salīdziniet, ko saka vietējais risinātājs, ar to, ko saka publiskais:

Resolve-DnsName vpn.example.net -Type A
nslookup vpn.example.net 1.1.1.1
ipconfig /all | findstr /i "DNS Servers"

Ja abas atbildes atšķiras, jūs virza, un pārējā diagnostika ir velti, līdz tas nav atrisināts. Jo īpaši portāla adrese labprāt pieņems TCP savienojumu un pēc tam iesprūdīs, tāpēc, pārbaudot ar pārlūku, tas var izskatīties kā ugunsmūra bloķēšana.

Tagad apstipriniet, ka adrese, uz kuru vēlaties nokļūt, ir tā, kas tiek izmantota. Daži klienti kešo iepriekšējo risinājumu visā profila darbības laikā, tāpēc atkārtots savienojums pēc DNS maiņas joprojām iet uz veco adresi. Pirms atkārtotas pārbaudes pilnībā aizveriet klientu, nevis spiediet atvienot un savienot tajā pašā logā.

Noskaidrojiet, kurš ārējais pakets pazūd

Tunelim ir ārēja plūsma, kas pilnībā pieder ceļam starp jums un serveri, un tieši šo plūsmu starpniekierīces klasificē un nomet. Noķeriet to klientā, pēc tam salīdziniet strādājošu tīklu ar neizdošanos. Windows ir pietiekami iebūvētā uztveršana pirmajam skatienam:

pktmon filter remove
pktmon filter add -p 500 -t UDP
pktmon start --capture --pkt-size 128
pktmon stop
pktmon etl2txt PktMon.etl

Jūs gribat redzēt, vai jūsu paketes vispār iziet un vai kaut kas atgriežas. Paketes ārā bez nekā atpakaļ nozīmē, ka ceļš vai tālais gals tās nomet; ja ārā neiet nekas, klients nekad nav nonācis līdz sūtīšanai, kas norāda uz nosaukumu atrisināšanu vai vietējo ugunsmūra politiku.

Atkārtojiet to pašu pārbaudi tālruņa hotspotā. Šis ir vienīgais informatīvākais salīdzinājums, kas jums pieejams, jo tas noņem no ceļa katru viesnīcas ierīci, saglabājot portatīvo, klientu un akreditācijas datus nemainīgus. Ja tunelis hotspotā paceļas, pārtrauciet skatīties uz serveri. Ja tas neizdodas arī tur, jums ir klienta vai konta problēma, ko tīkls nekad nav izraisījis.

Nomainiet vienu transportu un pārbaudiet vēlreiz

Kad zināt, ka ārējā plūsma tiek nomesta, praktiskais jautājums ir, kuru plūsmu tīkls tomēr atļauj. Lielākā daļa ierobežoto tīklu atļauj izejošo TCP 443, jo citādi tie nevarētu darboties, tāpēc klausītāja pārvietošana uz turieni ir ierastā atbilde. Ar OpenVPN tas ir klienta puses slēdzis, līdz serveris tiek mainīts:

openvpn --config corp.ovpn --proto tcp-client --remote vpn.example.net 443 --verb 4

IPsec klientiem ir līdzvērtīgs slēdzis viņu pašu iestatījumu paneļos, ko parasti apraksta kā IPsec pār TCP vai NAT caureju. To mainīt arī ir diagnostika: ja tunelis paceļas pār TCP un mirst pār UDP, jūs esat pierādījis, ka tīkls filtrē UDP, un esat arī atradis iestatījumu, kas būs vajadzīgs katrā šīs vietas apmeklējumā.

Pretojieties kārdinājumam pirmajā mēģinājumā izslēgt maršrutētāja funkcijas. Stāvokļa pārbaudes vai plūdu aizsardzības izslēgšana viesnīcas tīklā jums tāpat nav pieejama, un savā aparatūrā tas apmaina reālu aizsardzību pret vienu portatīvo. Pierakstiet, kurš iestatījums mainīja rezultātu, pēc tam atgrieziet to un meklējiet transportu, ko tīkls jau atļauj.

Pārbaudiet to pašu profilu otrajā tīklā

Pirms aizverat biļeti, pierādiet, ka izmaiņa pārdzīvoja ēkas atstāšanu. Atkārtoti pieslēdzieties sākotnējā tīklā ar sākotnējiem iestatījumiem, nofiksējiet pirmās trīsdesmit sekundes un apstipriniet, ka klients sasniedz to pašu stāvokli kā hotspotā:

pktmon filter add -p 443 -t TCP
pktmon start --capture
Get-VpnConnection -Name "Corp" | Select-Object ConnectionStatus, TunnelType, ServerAddress

Atšķirību, ko atklāj pēdējā komanda, ir vērts saglabāt: profils var ziņot par pievienotu tuneli, kamēr maršrutēšana tā iekšienē ir nepareiza, un tas rada "VPN ir ieslēgts, bet nekas nedarbojas", kas ir cits raksts. Ja pēc jūsu labojuma tuneļa tips ir mainījies, profils nav tas, ko jūs pārbaudījāt.

Pēc tam pierakstiet atradni tur, kur skatīsies nākamais cilvēks. "Uzņēmuma profilam šajā vietā vajag TCP 443; UDP 500 filtrē viesnīca" ir teikums, pēc kura kolēģis var rīkoties. "VPN ir nestabils viesnīcās" nav, un tas garantē, ka tā pati stunda nākamajā mēnesī tiks iztērēta vēlreiz.