Wi-Fi в отеле: VPN срывается ещё до того, как достигнет сервера

Клиент VPN крутится, затем сообщает, что не может достучаться до сервера, и все заключают, что отель блокирует VPN. Обычно ничего настолько драматичного не случилось: сеть ещё не выпустила вас наружу. Портал авторизации удерживает каждое соединение, пока вы не войдёте, а туннель не может установиться, пока страница входа перехватывает его пакеты. Пройдите вход, прежде чем винить туннель.

Миф: отель блокирует VPN

Большинство гостиничных сетей не фильтруют туннели специально. Они перехватывают веб-трафик, пока гость не аутентифицируется, а также могут ограничивать число устройств, завершать сеансы или снижать скорость. Каждое из этого даёт сбой, который изнутри клиента VPN выглядит как блокировка.

Туннель здесь плохой диагностический инструмент, потому что это единственное приложение, которое гарантированно падает, пока портал не авторизован. Обычный веб-доступ — лучший индикатор, поскольку он может показать саму страницу входа.

Этот порядок важен и по другой причине: клиент с аварийным переключателем или режимом постоянного включения откажется загружать портал, и пользователь решит, что сломалась сеть, а не настройка. Оба факта верны одновременно, и в отеле можно изменить только один. Отключите защиту через собственное управление клиента, войдите и включите её снова. Всё остальное — обход, скрывающий настоящую последовательность.

Сначала завершите портал, затем проверьте обычный HTTPS

Спросите у персонала официальное имя сети и способ входа. Убедительный SSID не является доказательством принадлежности, а вторая сеть с похожим именем — обычная уловка в публичных местах. Используйте собственное приглашение входа операционной системы, где оно есть, или документированную страницу отеля.

curl -sS -o /dev/null -w '%{http_code} %{redirect_url}\n' http://captive.apple.com/hotspot-detect.html
curl -sS -o /dev/null -w '%{http_code}\n' https://www.example.com/

Первый запрос опрашивает известную точку обнаружения портала по обычному HTTP; перенаправление или неожиданное тело означает, что вы всё ещё за порталом. Второй проверяет обычный сайт HTTPS. Если первый показывает перехват, а второй не работает, вход не завершён, и VPN тут ни при чём.

На личном устройстве, возможно, придётся отключить аварийный переключатель или постоянный VPN через поддерживаемое управление клиента, чтобы портал смог загрузиться. Закройте чувствительные приложения на это время и сразу после включите защиту обратно. На управляемом устройстве следуйте процедуре, одобренной администратором, а не удаляйте политику самостоятельно.

Никогда не обходите предупреждение о сертификате и не устанавливайте незнакомый сертификат или вспомогательное приложение ради доступа в интернет. Если портал требует чего-то неожиданного, подтвердите это у персонала, а у администратора, если устройство принадлежит работодателю.

Сохраните исходный профиль и его ошибку

Когда обычный доступ заработает, подключите исходный профиль и запишите точную ошибку. Отказ аутентификации — проблема учётной записи, тайм-аут при согласовании — проблема пути, а туннель, который устанавливается, но ничего не передаёт, — проблема маршрутизации или политики.

Эти три требуют разных следующих шагов, и снимок экрана с ошибкой ценнее описания. Запишите и время, потому что лимиты гостиничного сеанса могут истечь в течение часа и дать сбой, который кажется случайным. Если клиент предлагает журнал, сохраните фрагмент вокруг первого сбоя, а не весь файл. Этого отрывка обычно достаточно владельцу профиля, чтобы определить этап.

Если обычный доступ работает, а согласование всё ещё истекает, спросите у отеля, поддерживает ли он такой трафик, и сравните с доверенной точкой доступа, оставив устройство и профиль неизменными. Работа на точке доступа сужает внимание до пути отеля, ничего не доказывая о профиле.

Используйте только те альтернативы, которые предоставляет оператор

Подходящий профиль TCP может сработать там, где предложенный путь UDP не работает, но только если сервер действительно слушает на этом транспорте и порту. Порт TCP 443 не считается автоматически обычным HTTPS и не гарантирует проход через ограничительную сеть.

sudo openvpn --config /etc/openvpn/client/office-tcp.conf --verb 4

Запуск предоставленного профиля с большей подробностью оставляет первую полезную ошибку видимой вместо того, чтобы сжать её в общий диалог сбоя. Используйте файл, который дал оператор, а не правьте порты или протоколы сами, потому что локальное изменение не может создать подходящий слушатель на другой стороне.

Если туннель сбрасывается многократно, отметьте, возвращается ли портал или падает локальный сигнал, и следуйте проверкам устойчивости вместо переключения нескольких протоколов сразу. Затем проверьте приложение, которое вам действительно нужно, и восстановите обычные средства защиты приватности. Соединение, которое пропускает один сайт, но не другой, — вопрос маршрутизации или политики, а не портала.

Наконец, проверьте восстановление после сна ноутбука. Авторизация портала может истечь независимо от туннеля, поэтому устройство, которое переподключается автоматически, может вернуться в сеть, которая его уже забыла. Повторное открытие страницы портала — обычный шаг, а не признак того, что VPN сломан.