Хотелски Wi-Fi: VPN откажува пред воопшто да стигне до серверот

VPN клиентот се врти, потоа известува дека не може да го достигне серверот, и сите заклучуваат дека хотелот блокира VPN. Обично не се случило ништо толку драматично: мрежата сѐ уште не ве пуштила надвор. Порталот за најава ја задржува секоја врска додека не се најавите, а тунелот не може да се заврши додека страницата за најава ги пресретнува неговите пакети. Поминете низ најавата пред да го обвините тунелот.

Мит: хотелот блокира VPN

Повеќето хотелски мрежи не филтрираат тунели посебно. Тие го пресретнуваат веб-сообраќајот додека гостинот не се автентицира, а можат и да го ограничат бројот на уреди, да ги завршат сесиите или да ја намалат пропусноста. Секое од тие произведува дефект што од внатрешноста на VPN клиент изгледа како блок.

Тунелот овде е лош дијагностички алат, бидејќи е единствената апликација што сигурно откажува додека порталот не е овластен. Обичниот веб-пристап е подобар показател, зашто може да ви ја покаже самата страница за најава.

Тој редослед е важен и од друга причина: клиент со прекинувач или режим секогаш вклучено ќе одбие да го вчита порталот, а корисникот ќе заклучи дека мрежата е расипана, а не поставката. Двата факти се точни истовремено, и само еден од нив може да се смени во хотелот. Исклучете ја заштитата преку сопствената контрола на клиентот, најавете се и повторно вклучете ја. Сѐ друго е заобиколување што ја крие вистинската низа.

Прво завршете го порталот, потоа тестирајте обичен HTTPS

Прашајте го персоналот за официјалното име на мрежата и начинот на најава. Убедлив SSID не е доказ за сопственост, а втора мрежа со слично име е чест трик на јавни места. Користете го сопствениот потсетник за најава на оперативниот систем каде што е понуден, или документираната страница на хотелот.

curl -sS -o /dev/null -w '%{http_code} %{redirect_url}\n' http://captive.apple.com/hotspot-detect.html
curl -sS -o /dev/null -w '%{http_code}\n' https://www.example.com/

Првото барање прашува позната крајна точка за откривање на портал за најава преку обичен HTTP; пренасочување или неочекувано тело значи дека сѐ уште сте зад порталот. Второто тестира обична HTTPS страница. Ако првото покажува пресретнување, а второто откажува, најавата е нецелосна и VPN нема ништо со тоа.

На личен уред можеби ќе треба да го исклучите прекинувачот или постојаниот VPN преку поддржаната контрола на клиентот за да може порталот да се вчита. Затворете ги чувствителните апликации во тој период и веднаш потоа вратете ја заштитата. На управуван уред следете ја постапката што ја одобрил администраторот, наместо сами да отстранувате политика.

Никогаш не заобиколувајте предупредување за сертификат и не инсталирајте непознат сертификат или помошна апликација за да излезете на интернет. Ако порталот бара нешто неочекувано, потврдете го со персоналот, а со администраторот ако уредот е на работодавач.

Зачувајте го оригиналниот профил и неговата грешка

Откако обичниот пристап ќе проработи, поврзете го оригиналниот профил и запишете ја точната грешка. Одбивањето автентикација е проблем со сметката, истекот за време на преговорите е проблем со патеката, а тунелот што се воспоставува, но не пренесува ништо, е проблем со рутирање или политика.

Тие три бараат различни следни чекори, а сликата од грешката вреди повеќе од опис. Запишете го и времето, бидејќи ограничувањата на хотелската сесија можат да истечат во рок од еден час и да предизвикаат дефект што изгледа случаен. Ако клиентот нуди дневник, зачувајте го делот околу првиот дефект, а не целата датотека. Тој извадок обично е доволен за сопственикот на профилот да ја препознае фазата.

Ако обичниот пристап работи, а преговорите сѐ уште истекуваат, прашајте го хотелот дали го поддржува тој сообраќај и споредете со доверлива пристапна точка, држејќи го уредот и профилот непроменети. Работата на пристапната точка го стеснува вниманието кон хотелската патека без да докажува нешто за профилот.

Користете само алтернативи што ги дава операторот

Соодветен TCP профил може да успее таму каде понудената UDP патека не работи, но само ако серверот навистина слуша на тој пренос и порта. TCP портата 443 не се третира автоматски како обичен HTTPS и не е гаранција за премин низ ограничувачка мрежа.

sudo openvpn --config /etc/openvpn/client/office-tcp.conf --verb 4

Извршувањето на дадениот профил со поголема деталност ја задржува првата корисна грешка видлива, наместо да ја сплеска во општ дијалог за дефект. Користете ја датотеката што ја дал операторот, наместо сами да менувате порти или протоколи, бидејќи локалната промена не може да создаде соодветен слушател на другата страна.

Ако тунелот постојано се ресетира, забележете дали порталот се појавува повторно или локалниот сигнал паѓа, и следете ги проверките за стабилност наместо да менувате неколку протоколи одеднаш. Потоа тестирајте ја апликацијата што навистина ви треба и вратете ги обичните контроли за приватност. Врска што пренесува еден сајт, но не друг, е прашање на рутирање или политика, не на портал.

На крајот проверете го закрепнувањето откако лаптопот ќе заспие. Овластувањето од порталот може да истече независно од тунелот, па уред што автоматски се поврзува повторно може да се врати на мрежа што веќе го заборавила. Повторното отворање на страницата на порталот е нормален чекор, не знак дека VPN е расипан.