Mengapa profil OpenVPN berfungsi di rumah tetapi gagal di hotel

Wi-Fi pejabat dan bilik hotel boleh memberikan dua rangkaian yang sangat berbeza kepada komputer riba yang sama, dan profil di antaranya tidak tahu apa-apa tentangnya. Apa yang berfungsi di rumah mengandaikan pautan atas yang permisif, penyelesaian nama yang berfungsi dan subnet tempatan yang tidak berlanggar dengan apa-apa yang dibawa terowong. Setiap andaian ini boleh gagal secara berasingan.

Cara berguna untuk menyahpepijat ini ialah menganggap rangkaian sebagai empat fakta berasingan, kemudian mengujinya mengikut urutan. Meneka profil dahulu biasanya menghasilkan perubahan yang tidak membaiki apa-apa dan menyembunyikan bukti.

Empat fakta rangkaian berubah antara lokasi

Fakta pertama ialah sama ada rangkaian tempatan membenarkan anda keluar langsung. Portal tangkapan menerima peranti ke halaman log masuk dan menyekat segala-galanya sehingga halaman itu selesai, bermakna terowong tidak boleh bermula, seberapa betul pun profilnya.

Kedua ialah penyelesaian nama. Portal yang memintas DNS menjawab setiap pertanyaan dengan alamatnya sendiri, jadi nama hos VPN diselesaikan ke portal dan klien cuba membina terowong ke halaman web.

Ketiga ialah penapisan pengangkutan. Rangkaian yang hanya mahu membenarkan pelayaran meluluskan TCP 443 ke destinasi sewenang-wenangnya dan menggugurkan hampir segala-galanya, termasuk UDP.

Keempat ialah pengalamatan. Subnet tempatan mungkin bertindih dengan rangkaian di sebalik terowong, atau pautan atas mungkin tidak menyediakan sebarang laluan IPv4 yang boleh digunakan.

Penyelesaian nama dan portal tangkapan

Gantikan nama hos dalam profil dengan alamat berangka pelayan dan cuba lagi. Jika IP bersambung tetapi nama tidak, penyelesaian nama yang salah, dan profil itu sendiri baik.

Buka pelayar dan cuba halaman HTTP biasa sebelum menyentuh VPN. Ubah hala ke halaman log masuk bermakna portal masih belum selesai; selesaikannya, kemudian sambung semula. Banyak hotel juga menamatkan sesi selepas beberapa jam, yang kelihatan seperti pemutusan tengah hari dan bukan masalah log masuk.

Jika alamat berangka juga gagal, penyelesaian nama bukan penjelasannya, jadi beralih kepada pengangkutan. Simpan alamat yang anda uji, kerana ia memberitahu pemeriksaan seterusnya sama ada paket meninggalkan mesin langsung.

Penapisan pengangkutan: UDP dahulu, TCP 443 sebagai sandaran

Aliran OpenVPN melalui UDP 1194 tidak kelihatan seperti apa-apa yang dikenali oleh tembok api hotel, jadi ia digugurkan tanpa ralat. Klien mencuba semula sehingga tamat masanya, dan pengguna melihat sambungan yang tidak pernah terbentuk dan bukannya penolakan. Tembok api yang berkelakuan begitu jarang mencatat pengguguran di tempat yang boleh anda lihat. Ketiadaan penolakan itu sendiri adalah petunjuk.

TCP 443 ialah sandaran yang boleh dipercayai kerana rangkaian tidak dapat membezakannya daripada HTTPS biasa. Gunakan profil TCP pengendali apabila ada, kerana pelayan juga mesti mendengar pada pengangkutan dan port itu; menukar klien sahaja menghasilkan jenis kegagalan yang berbeza. Jika tiada profil TCP, tanya pengendali dan bukannya mereka satu dengan menyunting port. Pihak pelayan mesti bersetuju, dan ketidakpadanan kelihatan seperti masalah tembok api sekali lagi.

Jangkakan kos prestasi. TCP di dalam TCP memperkuat penghantaran semula pada pautan yang rugi, jadi terowong TCP yang berfungsi mungkin masih terasa perlahan pada rangkaian hotel yang sesak. Itu pertukaran untuk kebolehsampaian, bukan kecacatan yang perlu dikejar.

Pertembungan alamat dan pautan atas tanpa IPv4

Terowong boleh terbentuk dan masih tidak membawa apa-apa. Apabila LAN tempatan dan rangkaian jauh berkongsi awalan seperti 192.168.1.0/24, klien menganggap hos jauh bersambung terus dan menghantar paket ke pautan tempatan dan bukannya terowong. Gejalanya ialah sambungan berjaya dengan satu subnet yang tidak dapat dicapai, yang mudah disalahtafsir sebagai masalah laluan di pihak pelayan.

Pembetulan kekal ialah memindahkan LAN jauh ke julat peribadi yang luar biasa. Memilih julat yang tiada siapa gunakan di rumah, seperti 10.42.0.0/24, menghalang masalah untuk setiap lokasi masa depan dan bukan hanya satu. Pintasan tempatan ialah mengelakkan hotel, hotspot atau penghala itu, yang sama sekali bukan pembetulan.

Pautan atas mudah alih menambah dua variasi. NAT peringkat pembawa bermakna sambungan masuk tidak tiba, yang penting jika anda mengehos pelayan tetapi bukan untuk klien keluar. APN yang dikonfigurasikan sebagai IPv6 sahaja dengan terjemahan NAT64 boleh menggagalkan klien yang mendesak laluan IPv4 sebenar, dan ubat biasa ialah menukar protokol APN kepada IPv4 atau timbunan dwi.

Gejala selepas terowong naik

Terowong yang bersambung kemudian senyap biasanya masalah keepalive atau MTU, bukan port yang disekat. Sambungan yang terputus selepas bilangan minit tetap menunjukkan pemasa keepalive atau rundingan semula. Tetapkan klien untuk menyiasat rakan sebayanya dan memulakan semula apabila balasan berhenti, dan uji MTU terowong yang lebih kecil jika ping berjaya sementara pemindahan besar tersekat.

Sebelum meminta bantuan, tuliskan tiga perkara: alamat yang anda cuba dan sama ada ia menjawab, pengangkutan dan port yang anda gunakan, dan subnet tempatan rangkaian yang gagal. Bersama-sama semuanya memisahkan penyelesaian nama daripada penapisan pengangkutan dan daripada pertembungan alamat, dan itulah punca yang bertahan apabila berhadapan dengan bukti.