Porque uma VPN não consegue entrar numa rede Wi-Fi sem servidor

O pedido costuma chegar como uma versão da mesma esperança: apontar o cliente para uma rede Wi-Fi e acabar dentro dela. Não é isso que um túnel faz. Um túnel liga um cliente a algo que já está à escuta. Se a rede de destino não tiver nada à escuta para acesso remoto, não há outro extremo.

Um túnel é uma relação, não uma definição

Um lado escuta, o outro liga-se, e ambos acordam um protocolo e credenciais. O lado que escuta tem de estar dentro da rede que queres alcançar. Essa parte não pode ser inventada a partir do cliente. Um perfil com o endereço correto e a rede errada por trás produz um tempo de espera esgotado, não acesso.

Por isso a resposta honesta a algumas destas perguntas é que o acesso remoto não existe para essa rede. Acrescentar um protocolo, uma porta ou um cliente diferente não cria um ponto final que o proprietário nunca implementou.

Os dados do Wi-Fi não são credenciais do túnel

Um SSID, uma sub-rede, um gateway e uma frase-passe são factos sobre estar dentro do edifício. Nenhum deles te autentica perante um serviço noutro lugar da internet. As redes de campus e hotéis publicam essa informação para hóspedes no edifício, não para clientes na internet.

Copiar uma sub-rede interna para um perfil VPN produz uma tentativa de alcançar um endereço que não é encaminhável a partir de onde estás. A tentativa falha antes de qualquer credencial ser verificada, por isso mudar o nome de utilizador ou o método de autenticação nunca ajuda.

Se a organização mantém um serviço de acesso remoto, a sua documentação indica o ponto final e o método. Pede esses dois factos em concreto, porque o serviço de apoio, caso contrário, responderá à pergunta que costuma ouvir, que é a do Wi-Fi.

Uma saída não escolhe a tua rede de origem

Alguns servidores respondem apenas a clientes cujo endereço cai dentro de um intervalo. Isso é uma verificação de origem. Uma saída comercial fica fora desse intervalo, por isso a ligação é recusada antes de qualquer dado de aplicação ser trocado. A aritmética não muda quando escolhes outro fornecedor, porque o endereço continua a não ser o que o servidor quer.

Restam três opções, e apenas três. Encontra um ponto final dentro do intervalo permitido, usa um anfitrião de salto aprovado que já lá esteja, ou pede ao proprietário que mude a política. Qualquer outra coisa é uma variante de esperar que a verificação não seja aplicada.

Um túnel local cifra o segmento errado

Um servidor ligado à interface de loopback protege o tráfego entre dois processos na mesma máquina. Fora desse caminho de loopback, os pacotes saem do anfitrião exatamente como antes. A proteção que querias para a rede nunca existiu, embora o custo de processamento seja real.

Essa disposição tem um uso legítimo: testar um cliente, uma rota ou uma configuração antes de a implementar. Não é uma medida de privacidade nem uma forma de alcançar uma rede remota, e confundir as duas coisas leva a uma grande quantidade de configuração desperdiçada.

O que funciona realmente sem servidor

Quando um dispositivo não tem um caminho de entrada estável, o padrão útil é um ponto de encontro em vez de uma ligação direta. Um relé alojado externamente, um túnel inverso do dispositivo para um pequeno servidor que controlas, ou um fornecedor que oferece endereçamento de entrada colocam todos algo alcançável no meio. Uma subscrição de VPN de consumo não é essa coisa, porque não coloca qualquer ponto final dentro da tua rede.

ssh -N -R 2222:localhost:22 [email protected]
ss -tlnp | grep 2222
nc -vz 198.51.100.7 2222

O primeiro comando abre um túnel inverso do dispositivo para um relé, o segundo confirma o ouvinte local e o terceiro testa o caminho a partir de fora. Substitui o endereço da documentação pelo teu próprio relé e confirma a direção explicitamente, porque as ligações de saída muitas vezes têm sucesso através da tradução, enquanto as de entrada não solicitadas nunca chegam.

Se o objetivo é simplesmente alcançar um serviço que já existe numa rede que controlas, coloca o cliente no dispositivo que precisa dele. Partilhar um túnel a partir de um portátil é um projeto de encaminhamento e tradução com os seus próprios modos de falha, e um cliente gerido normalmente bloqueá-lo-á.