Яагаад олзлогдсон портал таны VPN-г хаадаг вэ, дахин хэрхэн нэвтрэх вэ

Нээлттэй сүлжээнд таны хандалтын цэг пакетуудыг интернетэд зүгээр л дамжуулдаггүй. Дээгүүр байх бодлогын цэг таны төхөөрөмж аль хэдийн зөвшөөрөгдсөн эсэхийг шалгадаг бөгөөд зөвшөөрөгдөх хүртэл бараг бүгдийг хаядаг. Таны VPN клиент тэр чимээгүй байдлыг үхсэн сервер гэж уншдаг. Тэр үүнийг ховор хэлдэг: WireGuard гар барилтыг хоосон руу давтаж, OpenVPN холболтын хугацаа дууссан гэж мэдээлж, IKEv2 хариу өгөхгүй байгаа алсын серверийн тухай 809 алдаатай буцаж ирдэг.

Портал үнэндээ юуг хянадаг вэ

Олзлогдсон портал бол хоорондоо наасан хоёр зүйл: бодлогын шийдвэр гаргах цэг ба дахин чиглүүлэгч. Таны төхөөрөмж холбогдож DHCP түрээс авбал сүлжээ таныг зөвшөөрлийн өмнөх төлөвт оруулна.

Тэр төлөв нь галт ханын дүрмийн багц юм. Энэ нь ихэвчлэн DNS-д зөвшөөрөл өгч, порталын хостуудын богино жагсаалт руу HTTP эсвэл HTTPS-д зөвшөөрөл өгч, бусад бүхнийг хаядаг. Зөвшөөрөгдсөн жагсаалт нь ханаар хүрээлэгдсэн цэцэрлэг бөгөөд энэ нь VPN-ийн төгсгөлийн цэгийг бараг хэзээ ч агуулдаггүй.

Эдгээр хаялтын аль нь ч эелдэг биш. VPN сервер рүү чиглэсэн пакетуудыг татгалзахын оронд хаядаг тул клиент ICMP unreachable ч, TCP reset ч авдаггүй, зөвхөн хариу байхгүй байгааг авдаг. Үйлдвэрлэгчээс хамаарч дахин чиглүүлэгч 80 порт руу нэвтрэх хуудас руу чиглүүлэх замаар хариулж болох бөгөөд 443 порт хаягдах эсвэл баригдана. Дахин чиглүүлэлтүүдийг энгийн HTTP хариу зөөдөг тул амархан анзаарч болно; 443 дээрх барилт нь таны хөтөч итгэхээс татгалзах гэрчилгээ шаарддаг.

Зөвшөөрөл нь өөрөө ихэвчлэн төхөөрөмжийн MAC хаягтай холбогддог, заримдаа түрээсэлсэн IP-тэй, мөн таймертай сессийн хүснэгтэд амьдардаг. Нэвтрэх нь бичлэг үүсгэдэг. Таны урсгалыг нэвтрүүлдэг галт ханын дүрэм тэр бичлэг байгаа цагт л байдаг тул таны талд юу ч өөрчлөгдөхгүй байхад бүх асуудал дараа нь буцаж ирдэг.

VPN-ийн гар барилт яагаад эхлэхээс өмнө үхдэг вэ

Протокол бүр өөрийн дамжуулалттай бөгөөд зөвшөөрлийн өмнөх галт хана тус бүрийг өөр өөрөөр эвддэг. Windows болон iOS дээрх IKEv2 нь UDP 500 болон UDP 4500 дээгүүр явдаг; эдгээр порт дээрх хаялт нь 809 хэлбэрээр, эсвэл үе шатуудыг тусад нь мэдээлдэг клиентүүдэд нэр шийдвэрлэх маягийн алдаа хэлбэрээр илэрдэг. UDP 1194 дээгүүр OpenVPN хугацаа нь дуустал холбогдох төлөвт үлддэг. TCP 443 дээгүүр OpenVPN бол сонирхолтой тохиолдол, учир нь портал TCP гар барилтыг дуусгаад дараа нь өөрийн дахин чиглүүлэх хуудсаар хариулж болох тул хугацаа дуусахын оронд TLS алдаа харна.

WireGuard механизмыг хамгийн тодорхой харуулдаг. Энэ нь зохион бүтээлээр зөвхөн UDP, TCP нөөцгүй тул үл мэдэгдэх UDP-г хаядаг галт хана дамжуулалтыг бүрэн арилгадаг. Клиент өсөн нэмэгдэж буй завсарлагатайгаар гар барилтын эхлэлүүдийг үргэлжлүүлэн илгээж, хэзээ ч дуусахгүй гар барилтын тухай мэдээлдэг. Тэр зурваст Wi-Fi хаана ч дурдагдаагүй бөгөөд хөтөч нээх хэрэгтэй гэж юу ч заагаагүй.

Платформууд таны VPN-ээс өмнө төлөвийг анзаарахыг хичээдэг. Windows нэвтрэх мэдэгдэл харуулах эсэхийг шийдэхийн тулд мэдэгдэх URL татдаг, Android 204 No Content гэж хариулах ёстой төгсгөлийн цэгийг хүсдэг, Apple төхөөрөмжүүд жижиг олзлогдсон сүлжээний цонх нээдэг. Эдгээр шалгалтууд ажилладаг, учир нь портал хүлээгдэж буй биеийн оронд дахин чиглүүлэлтээр хариулдаг. Ижил зан төлөв нь портал бүрэн эрүүл харагдаж байхад таны туннель үхсэн байх шалтгааныг тайлбарладаг: шалгалт ба туннелийг өөр дүрмээр үнэлдэг.

Сессийн хугацаа дуусах нь үнэндээ юуг дахин тохируулдаг вэ

Газрууд сессийг таны VPN бүртгэлтэй холбоогүй шалтгаанаар дуусгадаг: идэвхгүй байдлын хугацаа, сессийн дээд урт, шинэ DHCP түрээс эсвэл өөр хандалтын цэг рүү дахин нэгдэх. Таймер ажиллахад сессийн хүснэгтийн бичлэг алга болж, зөвшөөрлийн өмнөх дүрмийн багц бүртгүүлэх үеийнхтэй яг ижил байдлаар буцаж ирдэг.

Тогтоосон туннель эрүүл харагдахын тулд хангалттай удаан амьдардаг. Амьд байлгах зурвасууд үргэлжлүүлэн гардаг бөгөөд клиент үүнийг анзаарах эсэх нь хариугүй урсгалтай хэрхэн харьцахаас хамаардаг тул зам алга болсны дараа ч төлөвийн гэрэл хэсэг хугацаанд ногоон хэвээр байж болно. Дараа нь туннель унаж, дахин холбогдох оролдлого бүр ижил хаагдсан портуудад бүтэлгүйтдэг.

Тэр мөчид клиентийн алдаа таныг ямар үе шатанд байгааг хэлдэг, хэрэв анхааралтай уншвал:

Нэг нарийн ширийн зүйл хүмүүсийг төөрөгдүүлдэг: сессийг MAC хаягтай холбосон үед нэвтрэх хуудсыг дахин ачаалах нь тус болохгүй байж болно. Та холболтыг тасалж дахин нэгдэх ёстой, ингэснээр портал хугацаа дууссан оролдлогын оронд шинэ зөвшөөрлийн оролдлогыг харна.

Эхлээд нэвтэрч, дараа нь туннелийг өргө

Ажилладаг дараалал: төхөөрөмжид зөвшөөрөл өг, замыг нотол, VPN-г эхлүүл, туннелийг нотол, дараа нь өөрийн ердийн хаалтыг сэргээ. Сүүлийн алхам чухал, учир нь порталд хүрэхэд шаардлагатай түр зуурын төлөв нь яаралтай унтраалга байхгүй байхын тулд байдаг төлөв юм.

Туннелиас гадна хаах сонголттой ширээний клиентийг порталын хуудас ачаалагдахын тулд түр зогсоох хэрэгтэй бөгөөд тэр туннелиас гадуурх цонхны үеэр мэдрэмтгий аппуудыг хаалттай байлгах хэрэгтэй; орон нутгийн урсгал хамгаалалтгүй гардаг цорын ганц интервал энэ юм. Удирддаг, үргэлж асаалттай төхөөрөмж нь таны бодлогыг авахын оронд эзэмшигчийн нийтэлсэн журмыг ашиглах ёстой. Хэрэв портал гэрчилгээний анхааруулга харуулбал зогсоорой: үүнийг хүлээн авах нь таны сессийг газрын барилтын проксигоор дамжуулдаг бөгөөд тэр прокси таны илгээсэн бүхнийг уншиж чадна. Android дээр үргэлж асаалттай VPN-ийн доорх түгжээ нь туннель өргөгдөхөөс өмнө урсгалыг хаадаг бөгөөд зарим бүтэц порталын урсгалыг чөлөөлж чаддаггүй; таных чадахгүй бол түгжээг унтраалттай үлдээхийн оронд газрын өөр хандалт эсвэл өөр төхөөрөмж ашиглаарай. Apple-ийн шаардлагын дагуу дүрмүүдийг шалгалт амжилттай болтол туннелиас татгалзахаар бичиж болох бөгөөд зочид буудлын сүлжээнд таны хүсдэг зан төлөв энэ юм.

Өөрийн аль хэдийн байгаа хэрэгслээр дарааллаар шалгаарай. Туннелийн өмнө толгой болон бие хоёулаа харагдахаар шалгалтыг ажиллуулж, таны VPN дамжуулалт ямар нэг хариу авч байгаа эсэхийг ажиглаарай:

curl -sS -D - http://captive.apple.com/hotspot-detect.html -o -
sudo tcpdump -ni any 'udp port 500 or udp port 4500 or udp port 1194'

Зөвшөөрлийн өмнө энгийн портал хоёр хариуны нэгийг өгдөг: Location нь нэвтрэх хуудас руу заасан 302, эсвэл порталын хуудас болох HTML биетэй 200. Аль нэгийг авснаа бичээрэй. Нэвтрэхээс өмнөх дахин чиглүүлэлт нь бүтэлгүйтэл биш; портал хаашаа явахыг танд хэлж байна. Портал амжилтыг мэдээлсний дараа командыг давтаж, бие нь шууд утгаараа Success гэдэг үг болох 200-г хүлээгээрэй. Тэр мөр нь шалгалтыг утга учиртай болгодог. Хэрэв хост таныг хэзээ ч нэвтрэхээс өмнө хэвийн хариулдаг бол энэ сүлжээнд барилтын портал байхгүй. Бичлэгт зөвшөөрлийн өмнөх хаялт нь юу ч буцаж ирэхгүй гарч буй пакетууд бөгөөд ажилладаг зам нь ижил урсгалд ойролцоогоор нэг секундын дотор хариу харуулдаг. Холбогдоод дараа нь бичлэгийг давтаарай.

Портал тийм гэсний дараа ч туннель бүтэлгүйтвэл

Нэвтрэлтийн амжилт нь зөвшөөрөгдсөн дамжуулалттай ижил биш. Олон газар портал болон энгийн хөтлөлтийг зөвшөөрдөг ч UDP-г бүрэн хаадаг, энэ нь WireGuard болон UDP OpenVPN-г эвдэж, TCP 443-ыг ажиллуулж үлдээдэг. Хэрэв TCP 443 нэвтэрч, UDP нэвтрэхгүй бол энэ нь таны буруу тохируулсан клиент биш, газрын бодлого тул дамжуулалтыг соль эсвэл хязгаарыг хүлээн зөвшөөрч цааш яв. Үүний дараа ч дахин холболт бүтэлгүйтвэл яг алдааг хадгалаарай; та хаана гацсаныг энэ нь хэлнэ.

Бусад бүтэлгүйтэл төхөөрөмж дээр амьдардаг. Хуучин MAC-тай холбоотой хэвээр байгаа сессия, өөрийн түрээстэй хоёр дахь Wi-Fi адаптер, эсвэл порталын гэрчилгээний үл хамаарах зүйлийг кэшлэсэн клиент — эдгээр нь цэвэр дахин зөвшөөрлийн дараа ч бүтэлгүйтсээр байж болно. Холболтыг тасал, дахин зөвшөөрөл өг, клиентийн тохиргоог хүрэхээс өмнө нэг удаа оролдоорой. Хэрэв таны ажиглаж буй бүрэлдэхүүн хэсгүүдийн ард байгаа архитектурыг хүсвэл RFC 8952 унших нь зүйтэй.

Хэрэв портал өөрөө зөвшөөрөл өгөхөөс татгалзвал асуудал бүртгэл эсвэл төхөөрөмжийн хуваарилалтад байгаа бөгөөд ямар ч VPN тохиргоо үүнийг засахгүй. VPN-ийн гарах улсыг солих нь газрын орон нутгийн хандалтын төлөвийг дахин тохируулдаггүй; тэр хүснэгт таны төхөөрөмжтэй холбоотой, таны сонгосон сервертэй биш. Газрын оператороос асууж, түүнд цаг өгөөрэй, учир нь тэр сессийн хүснэгтийг харна.

Дараагийн аялалаас өмнө гурван зүйлийг бичээрэй: порталын хуудсыг тэг алхам болгон, авч явах төхөөрөмж бүрийн хаалтыг зогсоох алхамыг, мөн та үнэхээр туршиж үзсэн нэг нөөц дамжуулалтыг. Арван минутын өмнө ажиллаж байсан туннель дахин зогсвол түүнийг хугацаа дууссан зөвшөөрөл гэж үзэж, VPN профайлд хүрэхээс өмнө порталыг дахин шалгаарай.