Għaliex il-portal captive jimblokka l-VPN tiegħek, u kif terġa' tidħol

F'netwerk miftuħ, il-punt ta' aċċess tiegħek mhuwiex sempliċement iċedi l-pakketti lill-internet. Punt ta' politika aktar 'il fuq jiċċekkja jekk l-apparat tiegħek huwiex diġà awtorizzat, u sakemm ikun, kważi kollox jinġarr. Il-klijent VPN tiegħek jaqra dak is-skiet bħala server mejjet. Rari jgħid dan: WireGuard jerġa' jipprova handshake fil-vojt, OpenVPN jirrapporta timeout tal-konnessjoni, u IKEv2 jiġi lura bħala żball 809 dwar server remot li ma jweġibx.

X'jikkontrolla l-portal fil-fatt

Portal captive huwa żewġ affarijiet imwaħħla flimkien: punt ta' deċiżjoni tal-politika u ridirettur. Meta l-apparat tiegħek jassoċja u jieħu l-kiri DHCP, in-netwerk ipoġġik fi stat qabel l-awtorizzazzjoni.

Dak l-istat huwa sett ta' regoli tal-firewall. Normalment jippermetti DNS u jippermetti HTTP jew HTTPS lejn lista qasira ta' hosts tal-portal, u jarmi kull ħaġa oħra. Il-lista permessa hija l-ġnien imdawwar bil-ħitan, u kważi qatt ma tinkludi punt tat-tmiem tal-VPN.

Ħadd minn dawn it-twarrijiet mhuwiex edukat. Il-pakketti diretti lejn server VPN jinġarru minflok jiġu rrifjutati, għalhekk il-klijent ma jirċevix ICMP unreachable u lanqas TCP reset, biss in-nuqqas ta' tweġiba. Skont il-fornitur, ir-ridirettur jista' jwieġeb għall-port 80 b'ridirezzjoni lejn il-paġna tad-dħul filwaqt li l-port 443 jinġarr jew jiġi interċettat. Ir-ridirezzjonijiet huma faċli biex tinnutahom għax iġorru tweġiba HTTP sempliċi; l-interċettazzjoni fuq 443 teħtieġ ċertifikat li l-browser tiegħek jirrifjuta li jafdah.

L-awtorizzazzjoni nnifisha normalment hija marbuta mal-indirizz MAC tal-apparat, xi drabi mal-IP mikrija, u tgħix f'tabella tas-sessjonijiet b'timer. Id-dħul joħloq entrata. Ir-regola tal-firewall li tħalli t-traffiku tiegħek jgħaddi teżisti biss sakemm teżisti dik l-entrata, u għalhekk il-problema kollha terġa' lura aktar tard mingħajr ma jinbidel xejn min-naħa tiegħek.

Għaliex il-handshake tal-VPN imut qabel ma jibda

Kull protokoll għandu t-trasport tiegħu, u l-firewall qabel l-awtorizzazzjoni jkisser kull wieħed b'mod differenti. IKEv2 fuq Windows u iOS jivvjaġġa fuq UDP 500 u UDP 4500; twarrija fuq dawk il-portijiet tidher bħala 809, jew bħala falliment ta' tip ta' riżoluzzjoni tal-ismijiet fuq klijenti li jirrappurtaw il-fażijiet separatament. OpenVPN fuq UDP 1194 jibqa' fl-istat ta' konnessjoni sakemm jiskadi ż-żmien tiegħu. OpenVPN fuq TCP 443 huwa l-każ interessanti, għax il-portal jista' jlesti l-handshake TCP u mbagħad iwieġeb bil-paġna tar-ridirezzjoni tiegħu, għalhekk tara żball TLS minflok timeout.

WireGuard juri l-mekkaniżmu bl-aktar mod ċar. Huwa UDP biss fid-disinn, mingħajr rikors TCP, għalhekk firewall li jarmi UDP mhux magħruf ineħħi t-trasport għal kollox. Il-klijent ikompli jibgħat bidu ta' handshake b'dewmien dejjem akbar u jirrapporta handshake li qatt ma jitlesta. Xejn f'dak il-messaġġ ma jsemmi Wi-Fi, u xejn fih ma jissuġġerixxi li għandek tiftaħ browser.

Il-pjattaformi jippruvaw jinnotaw l-istat qabel il-VPN tiegħek. Windows iġib URL magħruf biex jiddeċiedi jekk jurix in-notifika tad-dħul tiegħu, Android jitlob punt tat-tmiem li suppost iwieġeb 204 No Content, u apparati Apple jiftħu tieqa żgħira tan-netwerk captive. Dawk il-provi jaħdmu għax il-portal iwieġeb b'ridirezzjoni minflok il-korp mistenni. L-istess imġieba tispjega kif portal jista' jidher perfettament f'saħħtu filwaqt li t-tunnel tiegħek mejjet: il-prova u t-tunnel jiġu ġġudikati b'regoli differenti.

X'jirrisettja tassew skadenza tas-sessjoni

Il-postijiet jiskadaw is-sessjonijiet għal raġunijiet mhux marbuta mal-kont VPN tiegħek: timeout ta' inattività, tul massimu tas-sessjoni, kiri DHCP ġdid, jew assoċjazzjoni mill-ġdid ma' punt ta' aċċess differenti. Meta tinqala' t-timer, l-entrata tat-tabella tas-sessjonijiet tisparixxi u s-sett ta' regoli qabel l-awtorizzazzjoni jerġa' lura eżatt kif kien fiċ-check-in.

Tunnel stabbilit spiss jibqa' ħaj biżżejjed biex jidher f'saħħtu. Il-messaġġi ta' żamma tal-ħajja jkomplu joħorġu, u jekk il-klijent jinnotahx jiddependi minn kif jittratta traffiku bla tweġiba, għalhekk id-dawl tal-istat jista' jibqa' aħdar għal xi żmien wara li t-triq tkun marret. Imbagħad it-tunnel jaqa' u kull tentattiv ta' qbil mill-ġdid ifalli fuq dawk il-portijiet imblukkati stess.

F'dak il-punt l-iżball tal-klijent jgħidlek f'liema stadju int, jekk taqrah b'attenzjoni:

Dettall wieħed iqarraq lin-nies: meta s-sessjoni tkun marbuta ma' indirizz MAC, it-tagħbija mill-ġdid tal-paġna tad-dħul tista' ma tgħinx. Trid tneħħi l-assoċjazzjoni u tingħaqad mill-ġdid biex il-portal jara tentattiv ta' awtorizzazzjoni ġdid minflok wieħed skadut.

Idħol l-ewwel, imbagħad erfa' t-tunnel

L-ordni li taħdem hija: awtorizza l-apparat, ipprova t-triq, ibda l-VPN, ipprova t-tunnel, imbagħad erġa' stabbilixxi l-imblukkar tas-soltu tiegħek. Dak l-aħħar pass huwa importanti għax l-istat temporanju li għandek bżonn biex tasal għall-portal huwa eżatt l-istat li swiċċ tal-qtil jeżisti biex jimpedih.

Klijent tad-desktop b'opzjoni li jimblokka barra t-tunnel irid jiġi ppawżat biex il-paġna tal-portal tgħabbi, u għandek iżżomm l-apps sensittivi magħluqa matul dik it-tieqa barra t-tunnel; huwa l-uniku intervall meta traffiku lokali joħroġ bla protezzjoni. Apparat ġestit li dejjem mixgħul għandu juża l-proċedura li ppubblika sidu minflok ma tneħħi int il-politika. Jekk il-portal juri twissija ta' ċertifikat, waqfa: li taċċettaha tgħaddi s-sessjoni tiegħek mill-proxy tal-interċettazzjoni tal-post, u dak il-proxy jista' jaqra kull ma tibgħat. Fuq Android, il-lockdown taħt VPN dejjem attiv jimblokka traffiku qabel ma jogħla t-tunnel, u xi builds ma jistgħux jeżentaw il-fluss tal-portal; jekk tiegħek ma jistax, uża l-aċċess alternattiv tal-post jew apparat ieħor minflok ma tħalli l-lockdown mitfi. Ir-regoli on-demand ta' Apple jistgħu jinkitbu biex jirrifjutaw it-tunnel sakemm prova tirnexxi, u dik hija l-imġieba li trid f'netwerks tal-lukandi.

Ivverifika fl-ordni bl-għodod li diġà għandek. Qabel it-tunnel, ħaddem il-prova bl-headers u l-korp it-tnejn viżibbli, u osserva jekk it-trasport VPN tiegħek jirċevix xi tweġiba:

curl -sS -D - http://captive.apple.com/hotspot-detect.html -o -
sudo tcpdump -ni any 'udp port 500 or udp port 4500 or udp port 1194'

Qabel l-awtorizzazzjoni, portal normali jagħti waħda minn żewġ tweġibiet: 302 li l-Location tiegħu jindika l-paġna tad-dħul, jew 200 b'korp HTML li huwa l-paġna tal-portal. Innota liema rċevejt. Ridirezzjoni mhix falliment qabel id-dħul; il-portal qed jgħidlek fejn għandek tmur. Wara li l-portal jirrapporta suċċess, erġa' agħmel il-kmand u stenna 200 li l-korp tiegħu huwa l-kelma litterali Success. Dik is-sekwenza hija li tagħmel il-prova sinifikanti. Jekk il-host iwieġeb normalment qabel ma qatt daħalt, f'dan in-netwerk m'hemmx portal tal-interċettazzjoni. Fil-qbid, twarrija qabel l-awtorizzazzjoni hija pakketti ħerġin li minnhom ma jerġa' lura xejn, filwaqt li triq li taħdem turi tweġiba għall-istess fluss fi żmien madwar sekonda. Qabbad, imbagħad erġa' agħmel il-qbid.

Jekk it-tunnel xorta jfalli wara li l-portal jgħid iva

Is-suċċess tad-dħul mhuwiex l-istess bħal trasport permess. Ħafna postijiet jippermettu l-portal u l-browsing normali filwaqt li jimblukkaw UDP għal kollox, li jħalli WireGuard u OpenVPN fuq UDP imkissrin u TCP 443 jaħdem. Jekk TCP 443 jgħaddi u UDP le, dik hija l-politika tal-post u mhux klijent li kkonfigurajt ħażin, għalhekk ibdel it-trasport jew aċċetta l-limitu u kompli. Jekk qbil mill-ġdid xorta jfalli wara dan, żomm l-iżball eżatt; huwa jsemmi l-istadju li fih int imwaħħal.

Fallimenti oħra jgħixu fl-apparat. Sessjoni għadha marbuta ma' MAC antik, tieni adapter Wi-Fi bil-kirja tiegħu stess, jew klijent li ħa l-eżenzjoni taċ-ċertifikat tal-portal fil-cache jistgħu kull wieħed ikompli jfalli wara awtorizzazzjoni mill-ġdid nadifa. Neħħi l-assoċjazzjoni, awtorizza mill-ġdid, u erġa' pprova darba qabel ma tmiss is-settings tal-klijent. RFC 8952 jistħoqqlu l-qari jekk trid l-arkitettura wara l-komponenti li qed tosserva.

Jekk il-portal innifsu jirrifjuta li jawtorizza, il-problema hija fil-kont jew fl-allokazzjoni tal-apparat u l-ebda setting tal-VPN ma se jsewwiha. Il-bdil tal-pajjiż tal-ħruġ tal-VPN ma jirrisettjax l-istat tal-aċċess lokali tal-post; dik it-tabella hija marbuta mal-apparat tiegħek, mhux mas-server li tagħżel. Staqsi lill-operatur tal-post u agħtih il-ħin, għax it-tabella tas-sessjonijiet hija dak li se jħares lejh.

Qabel il-vjaġġ li jmiss tiegħek, innota tliet affarijiet: il-paġna tal-portal bħala pass żero, il-pass tal-ippawżar tal-imblukkar għal kull apparat li ġġorr, u trasport ta' rikors wieħed li tassew ippruvajt. Meta tunnel li kien jaħdem għaxar minuti ilu jerġa' jieqaf, ittrattah bħala awtorizzazzjoni skaduta u erġa' iċċekkja l-portal qabel ma tmiss il-profil tal-VPN.