തുറന്ന നെറ്റ്വർക്കിൽ നിങ്ങളുടെ ആക്സസ് പോയിന്റ് പാക്കറ്റുകളെ ഇന്റർനെറ്റിന് വെറുതെ കൈമാറുന്നില്ല. മുകളിലെ ഒരു നയ പോയിന്റ് നിങ്ങളുടെ ഉപകരണത്തിന് ഇപ്പോൾ അംഗീകാരം ലഭിച്ചിട്ടുണ്ടോ എന്ന് പരിശോധിക്കുന്നു, ലഭിക്കുന്നതുവരെ ഏതാണ്ടെല്ലാം വലിച്ചെറിയുന്നു. നിങ്ങളുടെ VPN ക്ലയന്റ് ആ നിശ്ശബ്ദതയെ മരിച്ച സെർവറായി വായിക്കുന്നു. അത് ഇത് അപൂർവമായി മാത്രം പറയുന്നു: WireGuard ശൂന്യതയിലേക്ക് ഹാൻഡ്ഷേക്ക് വീണ്ടും അയയ്ക്കുന്നു, OpenVPN കണക്ഷൻ സമയപരിധി കഴിഞ്ഞതായി റിപ്പോർട്ട് ചെയ്യുന്നു, IKEv2 പ്രതികരിക്കാത്ത വിദൂര സെർവറിനെക്കുറിച്ച് പിശക് 809 ആയി മടങ്ങുന്നു.

പോർട്ടൽ യഥാർത്ഥത്തിൽ എന്ത് നിയന്ത്രിക്കുന്നു

കാപ്റ്റീവ് പോർട്ടൽ ഒട്ടിച്ചേർത്ത രണ്ട് കാര്യങ്ങളാണ്: നയ തീരുമാന പോയിന്റും റീഡയറക്ടറും. നിങ്ങളുടെ ഉപകരണം ബന്ധിപ്പിച്ച് DHCP ലീസ് എടുക്കുമ്പോൾ, നെറ്റ്വർക്ക് നിങ്ങളെ അംഗീകാരത്തിന് മുമ്പുള്ള അവസ്ഥയിൽ ആക്കുന്നു.

ആ അവസ്ഥ ഒരു ഫയർവാൾ നിയമക്കൂട്ടമാണ്. സാധാരണയായി DNS അനുവദിക്കുകയും ചെറിയ പോർട്ടൽ ഹോസ്റ്റ് പട്ടികയിലേക്ക് HTTP അല്ലെങ്കിൽ HTTPS അനുവദിക്കുകയും ബാക്കിയെല്ലാം വലിച്ചെറിയുകയും ചെയ്യുന്നു. അനുവദിച്ച പട്ടിക മതിലുള്ള തോട്ടമാണ്, അതിൽ ഏതാണ്ടൊരിക്കലും VPN എൻഡ്പോയിന്റ് ഉണ്ടാകില്ല.

ഈ വലിച്ചെറിയലുകളിൽ ഒന്നും മര്യാദയുള്ളതല്ല. VPN സെർവറിലേക്ക് ലക്ഷ്യമിടുന്ന പാക്കറ്റുകൾ നിരസിക്കുന്നതിന് പകരം വലിച്ചെറിയുന്നു, അതിനാൽ ക്ലയന്റിന് ICMP unreachable-ഉം TCP reset-ഉം ലഭിക്കില്ല, മറുപടിയുടെ അഭാവം മാത്രം ലഭിക്കും. വിൽപ്പനക്കാരനെ ആശ്രയിച്ച്, റീഡയറക്ടർ പോർട്ട് 80-ന് സൈൻ ഇൻ പേജിലേക്കുള്ള റീഡയറക്ട് ഉപയോഗിച്ച് മറുപടി നൽകാം, അതേസമയം പോർട്ട് 443 വലിച്ചെറിയുകയോ തടഞ്ഞെടുക്കുകയോ ചെയ്യുന്നു. റീഡയറക്ടുകൾ ലളിതമായ HTTP മറുപടി കൊണ്ടുപോകുന്നതിനാൽ എളുപ്പം തിരിച്ചറിയാം; 443-ലെ തടഞ്ഞെടുക്കലിന് നിങ്ങളുടെ ബ്രൗസർ വിശ്വസിക്കാൻ വിസമ്മതിക്കുന്ന സർട്ടിഫിക്കറ്റ് വേണം.

അംഗീകാരം തന്നെ സാധാരണയായി ഉപകരണത്തിന്റെ MAC വിലാസവുമായി ബന്ധിപ്പിച്ചിരിക്കുന്നു, ചിലപ്പോൾ ലീസ് എടുത്ത IP-യുമായി, അത് ടൈമർ ഉള്ള സെഷൻ പട്ടികയിൽ ജീവിക്കുന്നു. സൈൻ ഇൻ ചെയ്യൽ ഒരു എൻട്രി സൃഷ്ടിക്കുന്നു. നിങ്ങളുടെ ട്രാഫിക്ക് കടത്തിവിടുന്ന ഫയർവാൾ നിയമം ആ എൻട്രി ഉള്ളിടത്തോളം മാത്രം നിലനിൽക്കുന്നു, അതുകൊണ്ടാണ് നിങ്ങളുടെ ഭാഗത്ത് ഒന്നും മാറാതെ മുഴുവൻ പ്രശ്നവും പിന്നീട് മടങ്ങുന്നത്.

VPN ഹാൻഡ്ഷേക്ക് തുടങ്ങുന്നതിന് മുമ്പ് എന്തിന് മരിക്കുന്നു

ഓരോ പ്രോട്ടോക്കോളിനും സ്വന്തം ഗതാഗതമുണ്ട്, അംഗീകാരത്തിന് മുമ്പുള്ള ഫയർവാൾ ഓരോന്നിനെയും വ്യത്യസ്തമായി തകർക്കുന്നു. Windows-ലും iOS-ലും IKEv2 UDP 500-ലും UDP 4500-ലും സഞ്ചരിക്കുന്നു; ആ പോർട്ടുകളിലെ വലിച്ചെറിയൽ 809 ആയി, അല്ലെങ്കിൽ ഘട്ടങ്ങൾ വെവ്വേറെ റിപ്പോർട്ട് ചെയ്യുന്ന ക്ലയന്റുകളിൽ പേര് നിർണ്ണയ തരം പരാജയമായി പ്രത്യക്ഷപ്പെടുന്നു. UDP 1194-ലെ OpenVPN അതിന്റെ സമയപരിധി കഴിയുന്നതുവരെ കണക്ടിംഗ് അവസ്ഥയിൽ നിൽക്കുന്നു. TCP 443-ലെ OpenVPN രസകരമായ കേസാണ്, കാരണം പോർട്ടലിന് TCP ഹാൻഡ്ഷേക്ക് പൂർത്തിയാക്കി പിന്നീട് അതിന്റെ റീഡയറക്ട് പേജ് ഉപയോഗിച്ച് മറുപടി നൽകാം, അതിനാൽ സമയപരിധിക്ക് പകരം TLS പിശക് കാണുന്നു.

WireGuard ഈ സംവിധാനം ഏറ്റവും വ്യക്തമായി കാണിക്കുന്നു. രൂപകൽപ്പനയിൽ ഇത് UDP മാത്രമാണ്, TCP പകരമില്ല, അതിനാൽ അജ്ഞാത UDP വലിച്ചെറിയുന്ന ഫയർവാൾ ഗതാഗതം പൂർണ്ണമായി നീക്കം ചെയ്യുന്നു. ക്ലയന്റ് വർദ്ധിക്കുന്ന ഇടവേളയോടെ ഹാൻഡ്ഷേക്ക് തുടക്കങ്ങൾ അയയ്ക്കുന്നത് തുടരുന്നു, ഒരിക്കലും പൂർത്തിയാകാത്ത ഹാൻഡ്ഷേക്കിനെക്കുറിച്ച് റിപ്പോർട്ട് ചെയ്യുന്നു. ആ സന്ദേശത്തിൽ എവിടെയും Wi-Fi പരാമർശമില്ല, നിങ്ങൾ ബ്രൗസർ തുറക്കണമെന്ന് അതിൽ ഒന്നും സൂചിപ്പിക്കുന്നുമില്ല.

പ്ലാറ്റ്ഫോമുകൾ നിങ്ങളുടെ VPN-ന് മുമ്പ് അവസ്ഥ ശ്രദ്ധിക്കാൻ ശ്രമിക്കുന്നു. Windows സൈൻ ഇൻ അറിയിപ്പ് കാണിക്കണോ എന്ന് തീരുമാനിക്കാൻ അറിയപ്പെടുന്ന URL എടുക്കുന്നു, Android 204 No Content എന്ന് മറുപടി നൽകേണ്ട എൻഡ്പോയിന്റ് ആവശ്യപ്പെടുന്നു, Apple ഉപകരണങ്ങൾ ചെറിയ കാപ്റ്റീവ് നെറ്റ്വർക്ക് വിൻഡോ തുറക്കുന്നു. ആ പരിശോധനകൾ പ്രവർത്തിക്കുന്നത് പോർട്ടൽ പ്രതീക്ഷിച്ച ബോഡിക്ക് പകരം റീഡയറക്ട് ഉപയോഗിച്ച് മറുപടി നൽകുന്നതിനാലാണ്. അതേ സ്വഭാവം തന്നെ പോർട്ടൽ പൂർണ്ണമായി ആരോഗ്യകരമായി കാണപ്പെടുമ്പോൾ നിങ്ങളുടെ ടണൽ മരിച്ചിരിക്കുന്നതിനെ വിശദീകരിക്കുന്നു: പരിശോധനയും ടണലും വ്യത്യസ്ത നിയമങ്ങളാൽ വിലയിരുത്തപ്പെടുന്നു.

സെഷൻ കാലഹരണം യഥാർത്ഥത്തിൽ എന്ത് പുനഃസജ്ജമാക്കുന്നു

സ്ഥലങ്ങൾ നിങ്ങളുടെ VPN അക്കൗണ്ടുമായി ബന്ധമില്ലാത്ത കാരണങ്ങളാൽ സെഷനുകൾ അവസാനിപ്പിക്കുന്നു: നിഷ്ക്രിയതാ സമയപരിധി, പരമാവധി സെഷൻ ദൈർഘ്യം, പുതിയ DHCP ലീസ്, അല്ലെങ്കിൽ മറ്റൊരു ആക്സസ് പോയിന്റിലേക്ക് വീണ്ടും ചേരൽ. ടൈമർ പ്രവർത്തിക്കുമ്പോൾ സെഷൻ പട്ടികയിലെ എൻട്രി അപ്രത്യക്ഷമാകുന്നു, അംഗീകാരത്തിന് മുമ്പുള്ള നിയമക്കൂട്ടം ചെക്ക് ഇൻ സമയത്തുണ്ടായിരുന്നതുപോലെ തന്നെ മടങ്ങുന്നു.

സ്ഥാപിതമായ ടണൽ ആരോഗ്യകരമായി കാണപ്പെടാൻ മതിയായ സമയം അതിജീവിക്കുന്നു. കീപ്പ്അലൈവ് സന്ദേശങ്ങൾ പുറത്തേക്ക് പോകുന്നത് തുടരുന്നു, ക്ലയന്റ് അത് ശ്രദ്ധിക്കുന്നുണ്ടോ എന്നത് മറുപടിയില്ലാത്ത ട്രാഫിക്കിനെ അത് എങ്ങനെ കൈകാര്യം ചെയ്യുന്നു എന്നതിനെ ആശ്രയിച്ചിരിക്കുന്നു, അതിനാൽ പാത അപ്രത്യക്ഷമായതിന് ശേഷവും സ്റ്റാറ്റസ് ലൈറ്റ് കുറച്ചുനേരം പച്ചയായി നിൽക്കാം. പിന്നീട് ടണൽ വീഴുന്നു, വീണ്ടും ബന്ധിപ്പിക്കാനുള്ള ഓരോ ശ്രമവും അതേ തടഞ്ഞ പോർട്ടുകളിൽ പരാജയപ്പെടുന്നു.

ആ നിമിഷത്തിൽ ക്ലയന്റ് പിശക്, സൂക്ഷ്മമായി വായിച്ചാൽ, നിങ്ങൾ ഏത് ഘട്ടത്തിലാണെന്ന് പറയുന്നു:

SymptomWhat it meansNext check
Handshake times out with no replyPre-authorization drop on UDPLoad any HTTP page and see whether the portal appears
Immediate TLS error on 443The portal answered your TCP connectionAuthorize, then retry the same profile
Authentication rejectedYour credentials reached the serverThe network is fine, so treat this as an account problem
Connects, then drops repeatedlySession or lease churnWatch the portal timer and the lease time

ഒരു വിശദാംശം ആളുകളെ കബളിപ്പിക്കുന്നു: സെഷൻ MAC വിലാസവുമായി ബന്ധിപ്പിച്ചിരിക്കുമ്പോൾ, സൈൻ ഇൻ പേജ് വീണ്ടും ലോഡ് ചെയ്യുന്നത് സഹായിച്ചെന്ന് വരില്ല. നിങ്ങൾ ബന്ധം വിട്ട് വീണ്ടും ചേരണം, അപ്പോൾ പോർട്ടൽ കാലഹരണപ്പെട്ട ശ്രമത്തിന് പകരം പുതിയ അംഗീകാര ശ്രമം കാണും.

ആദ്യം സൈൻ ഇൻ ചെയ്യുക, പിന്നീട് ടണൽ ഉയർത്തുക

പ്രവർത്തിക്കുന്ന ക്രമം: ഉപകരണത്തിന് അംഗീകാരം നൽകുക, പാത തെളിയിക്കുക, VPN ആരംഭിക്കുക, ടണൽ തെളിയിക്കുക, പിന്നീട് നിങ്ങളുടെ സാധാരണ തടയൽ പുനഃസ്ഥാപിക്കുക. ആ അവസാന ഘട്ടം പ്രധാനമാണ്, കാരണം പോർട്ടലിൽ എത്താൻ ആവശ്യമായ താൽക്കാലിക അവസ്ഥ തന്നെയാണ് കിൽ സ്വിച്ച് തടയാൻ നിലനിൽക്കുന്ന അവസ്ഥ.

ടണലിന് പുറത്ത് തടയാനുള്ള ഓപ്ഷനുള്ള ഡെസ്ക്ടോപ്പ് ക്ലയന്റ് പോർട്ടൽ പേജ് ലോഡ് ആകാൻ താൽക്കാലികമായി നിർത്തണം, ആ ടണലിന് പുറത്തുള്ള ഇടവേളയിൽ സങ്കീർണ്ണമായ ആപ്പുകൾ അടച്ചിടണം; പ്രാദേശിക ട്രാഫിക് സംരക്ഷണമില്ലാതെ പുറത്തുപോകുന്ന ഏക ഇടവേളയാണത്. മാനേജ് ചെയ്യുന്ന എപ്പോഴും ഓണുള്ള ഉപകരണം നിങ്ങൾ നയം നീക്കം ചെയ്യുന്നതിന് പകരം അതിന്റെ ഉടമ പ്രസിദ്ധീകരിച്ച നടപടിക്രമം ഉപയോഗിക്കണം. പോർട്ടൽ സർട്ടിഫിക്കറ്റ് മുന്നറിയിപ്പ് കാണിച്ചാൽ നിർത്തുക: അത് സ്വീകരിക്കുന്നത് നിങ്ങളുടെ സെഷൻ സ്ഥലത്തിന്റെ തടഞ്ഞെടുക്കൽ പ്രോക്സിയിലൂടെ കടത്തുന്നു, ആ പ്രോക്സിക്ക് നിങ്ങൾ അയയ്ക്കുന്നതെല്ലാം വായിക്കാം. Android-ൽ എപ്പോഴും ഓണുള്ള VPN-ന് കീഴിലുള്ള ലോക്ക്ഡൗൺ ടണൽ ഉയരുന്നതിന് മുമ്പ് ട്രാഫിക് തടയുന്നു, ചില ബിൽഡുകൾക്ക് പോർട്ടൽ പ്രവാഹം ഒഴിവാക്കാൻ കഴിയില്ല; നിങ്ങളുടേതിന് കഴിയില്ലെങ്കിൽ ലോക്ക്ഡൗൺ ഓഫ് ആക്കി വയ്ക്കുന്നതിന് പകരം സ്ഥലത്തിന്റെ ബദൽ ആക്സസോ മറ്റൊരു ഉപകരണമോ ഉപയോഗിക്കുക. Apple-ന്റെ ഓൺ-ഡിമാൻഡ് നിയമങ്ങൾ പരിശോധന വിജയിക്കുന്നതുവരെ ടണൽ നിരസിക്കാൻ എഴുതാം, ഹോട്ടൽ നെറ്റ്വർക്കുകളിൽ നിങ്ങൾ ആഗ്രഹിക്കുന്ന സ്വഭാവം അതാണ്.

നിങ്ങളുടെ പക്കലുള്ള ഉപകരണങ്ങൾ ഉപയോഗിച്ച് ക്രമത്തിൽ പരിശോധിക്കുക. ടണലിന് മുമ്പ് ഹെഡറുകളും ബോഡിയും രണ്ടും കാണത്തക്കവിധം പരിശോധന പ്രവർത്തിപ്പിക്കുക, നിങ്ങളുടെ VPN ഗതാഗതത്തിന് എന്തെങ്കിലും മറുപടി ലഭിക്കുന്നുണ്ടോ എന്ന് നോക്കുക:

curl -sS -D - http://captive.apple.com/hotspot-detect.html -o -
sudo tcpdump -ni any 'udp port 500 or udp port 4500 or udp port 1194'

അംഗീകാരത്തിന് മുമ്പ് സാധാരണ പോർട്ടൽ രണ്ടിൽ ഒരു മറുപടി നൽകുന്നു: Location സൈൻ ഇൻ പേജിലേക്ക് ചൂണ്ടുന്ന 302, അല്ലെങ്കിൽ പോർട്ടൽ പേജായ HTML ബോഡിയുള്ള 200. ഏതാണ് ലഭിച്ചതെന്ന് എഴുതിവയ്ക്കുക. സൈൻ ഇന്നിന് മുമ്പുള്ള റീഡയറക്ട് പരാജയമല്ല; എവിടെ പോകണമെന്ന് പോർട്ടൽ നിങ്ങളോട് പറയുന്നു. പോർട്ടൽ വിജയം റിപ്പോർട്ട് ചെയ്തതിന് ശേഷം കമാൻഡ് ആവർത്തിക്കുക, ബോഡി അക്ഷരാർത്ഥത്തിൽ Success എന്ന വാക്കായ 200 പ്രതീക്ഷിക്കുക. ആ സ്ട്രിംഗാണ് പരിശോധനയെ അർത്ഥവത്താക്കുന്നത്. നിങ്ങൾ ഒരിക്കലും സൈൻ ഇൻ ചെയ്യുന്നതിന് മുമ്പ് ഹോസ്റ്റ് സാധാരണയായി മറുപടി നൽകുന്നുവെങ്കിൽ, ഈ നെറ്റ്വർക്കിൽ തടഞ്ഞെടുക്കുന്ന പോർട്ടൽ ഇല്ല. ക്യാപ്ചറിൽ അംഗീകാരത്തിന് മുമ്പുള്ള വലിച്ചെറിയൽ ഒന്നും തിരികെ വരാത്ത പുറത്തേക്കുള്ള പാക്കറ്റുകളാണ്, പ്രവർത്തിക്കുന്ന പാത അതേ പ്രവാഹത്തിന് ഒരു സെക്കൻഡിനുള്ളിൽ മറുപടി കാണിക്കുന്നു. ബന്ധിപ്പിക്കുക, പിന്നീട് ക്യാപ്ചർ ആവർത്തിക്കുക.

പോർട്ടൽ അതെ എന്ന് പറഞ്ഞതിന് ശേഷവും ടണൽ പരാജയപ്പെട്ടാൽ

സൈൻ ഇൻ വിജയം അനുവദിച്ച ഗതാഗതത്തിന് തുല്യമല്ല. പല സ്ഥലങ്ങളും പോർട്ടലും സാധാരണ ബ്രൗസിംഗും അനുവദിക്കുമ്പോൾ UDP പൂർണ്ണമായി തടയുന്നു, അത് WireGuard-ഉം UDP OpenVPN-ഉം തകർന്ന് TCP 443 പ്രവർത്തിക്കുന്നതായി വിടുന്നു. TCP 443 കടന്നുപോകുകയും UDP കടക്കാതിരിക്കുകയും ചെയ്താൽ, അത് നിങ്ങൾ തെറ്റായി കോൺഫിഗർ ചെയ്ത ക്ലയന്റല്ല, സ്ഥലത്തിന്റെ നയമാണ്, അതിനാൽ ഗതാഗതം മാറ്റുക അല്ലെങ്കിൽ പരിധി അംഗീകരിച്ച് മുന്നോട്ട് പോകുക. അതിന് ശേഷവും വീണ്ടും ബന്ധിപ്പിക്കൽ പരാജയപ്പെട്ടാൽ കൃത്യമായ പിശക് സൂക്ഷിക്കുക; നിങ്ങൾ എവിടെ കുടുങ്ങിയെന്ന് അത് പറയുന്നു.

മറ്റ് പരാജയങ്ങൾ ഉപകരണത്തിൽ തന്നെയാണ്. പഴയ MAC-മായി ഇപ്പോഴും ബന്ധിപ്പിച്ചിരിക്കുന്ന സെഷൻ, സ്വന്തം ലീസുള്ള രണ്ടാമത്തെ Wi-Fi അഡാപ്റ്റർ, അല്ലെങ്കിൽ പോർട്ടലിന്റെ സർട്ടിഫിക്കറ്റ് ഒഴിവാക്കൽ കാഷ് ചെയ്ത ക്ലയന്റ് — ഇവയിൽ ഓരോന്നും വ്യക്തമായ പുനരംഗീകാരത്തിന് ശേഷവും പരാജയപ്പെട്ടേക്കാം. ബന്ധം വിടുക, വീണ്ടും അംഗീകാരം നൽകുക, ക്ലയന്റ് ക്രമീകരണങ്ങൾ തൊടുന്നതിന് മുമ്പ് ഒരിക്കൽ ശ്രമിക്കുക. നിങ്ങൾ നിരീക്ഷിക്കുന്ന ഘടകങ്ങൾക്ക് പിന്നിലെ വാസ്തുവിദ്യ അറിയണമെങ്കിൽ RFC 8952 വായിക്കാൻ യോഗ്യമാണ്.

പോർട്ടൽ തന്നെ അംഗീകാരം നൽകാൻ വിസമ്മതിച്ചാൽ, പ്രശ്നം അക്കൗണ്ടിലോ ഉപകരണ വിഭജനത്തിലോ ആണ്, ഏതൊരു VPN ക്രമീകരണവും അത് ശരിയാക്കില്ല. VPN-ന്റെ എക്സിറ്റ് രാജ്യം മാറ്റുന്നത് സ്ഥലത്തിന്റെ പ്രാദേശിക ആക്സസ് അവസ്ഥ പുനഃസജ്ജമാക്കുന്നില്ല; ആ പട്ടിക നിങ്ങളുടെ ഉപകരണവുമായി ബന്ധിപ്പിച്ചതാണ്, നിങ്ങൾ തിരഞ്ഞെടുക്കുന്ന സെർവറുമായല്ല. സ്ഥലത്തിന്റെ ഓപ്പറേറ്ററോട് ചോദിക്കുക, സമയം നൽകുക, കാരണം അദ്ദേഹം നോക്കുന്നത് സെഷൻ പട്ടികയാണ്.

അടുത്ത യാത്രയ്ക്ക് മുമ്പ് മൂന്ന് കാര്യങ്ങൾ എഴുതിവയ്ക്കുക: പൂജ്യം ഘട്ടമായി പോർട്ടൽ പേജ്, നിങ്ങൾ കൊണ്ടുപോകുന്ന ഓരോ ഉപകരണത്തിനും തടയൽ നിർത്തുന്ന ഘട്ടം, നിങ്ങൾ യഥാർത്ഥത്തിൽ പരിശോധിച്ച ഒരു ബദൽ ഗതാഗതം. പത്ത് മിനിറ്റ് മുമ്പ് പ്രവർത്തിച്ച ടണൽ വീണ്ടും നിന്നാൽ, അതിനെ കാലഹരണപ്പെട്ട അംഗീകാരമായി കണക്കാക്കി, VPN പ്രൊഫൈൽ തൊടുന്നതിന് മുമ്പ് പോർട്ടൽ വീണ്ടും പരിശോധിക്കുക.

അനുബന്ധ ലേഖനങ്ങൾ