Hotelová Wi-Fi: VPN zlyhá skôr, než sa vôbec dostane na server

Klient VPN sa točí, potom oznámi, že sa nemôže dostať na server, a všetci usúdia, že hotel blokuje VPN. Zvyčajne sa nestalo nič také dramatické: sieť vás ešte nepustila von. Zachytávací portál podrží každé spojenie, kým sa neprihlásite, a tunel nemôže vzniknúť, kým jeho pakety zachytáva prihlasovacia stránka. Prejdite prihlásením, než obviníte tunel.

Mýtus: hotel blokuje VPN

Väčšina hotelových sietí tunely nijako zvlášť nefiltruje. Zachytávajú webovú prevádzku, kým sa hosť neautentifikuje, a môžu tiež obmedziť počet zariadení, ukončiť relácie alebo znížiť priepustnosť. Každé z toho vytvorí poruchu, ktorá zvnútra klienta VPN vyzerá ako blokovanie.

Tunel je tu zlá diagnostika, pretože je to jediná aplikácia, ktorá zaručene zlyhá, kým portál nie je autorizovaný. Bežný webový prístup je lepší ukazovateľ, pretože vám môže ukázať samotnú prihlasovaciu stránku.

Toto poradie je dôležité aj z iného dôvodu: klient s kill switchom alebo režimom vždy zapnuté odmietne portál načítať a používateľ usúdi, že je pokazená sieť, nie nastavenie. Obe skutočnosti platia súčasne a v hoteli možno zmeniť len jednu z nich. Vypnite ochranu vlastným ovládaním klienta, prihláste sa a hneď ju znova zapnite. Čokoľvek iné je obchádzka, ktorá skrýva skutočný sled krokov.

Najprv dokončite portál, potom otestujte bežné HTTPS

Opýtajte sa personálu na oficiálny názov siete a spôsob prihlásenia. Presvedčivý SSID nie je dokladom vlastníctva a druhá sieť s podobným názvom je na verejných miestach bežná pasca. Použite vlastnú prihlasovaciu výzvu operačného systému, kde ju ponúka, alebo dokumentovanú stránku hotela.

curl -sS -o /dev/null -w '%{http_code} %{redirect_url}\n' http://captive.apple.com/hotspot-detect.html
curl -sS -o /dev/null -w '%{http_code}\n' https://www.example.com/

Prvá požiadavka sa pýta známeho koncového bodu na detekciu portálu cez jednoduché HTTP; presmerovanie alebo nečakané telo znamená, že ste stále za portálom. Druhá testuje bežnú webovú stránku HTTPS. Ak prvá ukazuje zachytávanie a druhá zlyhá, prihlásenie nie je dokončené a VPN s tým nemá nič spoločné.

Na osobnom zariadení môže byť potrebné vypnúť kill switch alebo trvalé VPN podporovaným ovládaním klienta, aby sa portál mohol načítať. Počas toho okna zatvorte citlivé aplikácie a hneď potom ochranu znova zapnite. Na spravovanom zariadení použite postup schválený správcom, namiesto toho, aby ste sami odstraňovali politiku.

Nikdy neobchádzajte upozornenie na certifikát a neinštalujte neznámy certifikát ani pomocnú aplikáciu, aby ste sa dostali online. Ak portál žiada niečo nečakané, overte to s personálom, a so správcom, ak zariadenie patrí zamestnávateľovi.

Zachovajte pôvodný profil a jeho chybu

Keď bežný prístup funguje, pripojte pôvodný profil a zapíšte presnú chybu. Odmietnutie autentifikácie je problém účtu, časový limit pri vyjednávaní je problém cesty a tunel, ktorý sa nadviaže, ale nič neprenáša, je problém smerovania alebo politiky.

Tieto tri potrebujú rôzne ďalšie kroky a snímka obrazovky s chybou má väčšiu cenu než popis. Zapíšte aj čas, pretože limity hotelovej relácie môžu vypršať do hodiny a vytvoriť poruchu, ktorá vyzerá náhodne. Ak klient ponúka záznam, uchovajte časť okolo prvého zlyhania, nie celý súbor. Tento výňatok zvyčajne stačí tomu, kto profil vlastní, aby určil fázu.

Ak bežný prístup funguje a vyjednávanie stále vyprší, opýtajte sa hotela, či túto prevádzku podporuje, a porovnajte s dôveryhodným hotspotom pri nezmenenom zariadení a profile. Práca na hotspote zužuje pozornosť na hotelovú cestu bez toho, aby čokoľvek dokazovala o profile.

Používajte len alternatívy, ktoré dodá operátor

Zodpovedajúci profil TCP môže uspieť tam, kde ponúkaná cesta UDP nefunguje, ale len ak server na tomto prenose a porte skutočne počúva. Port TCP 443 sa automaticky nepovažuje za bežné HTTPS a nie je zárukou prechodu obmedzujúcou sieťou.

sudo openvpn --config /etc/openvpn/client/office-tcp.conf --verb 4

Spustenie dodaného profilu s vyššou podrobnosťou udrží prvú užitočnú chybu viditeľnou, namiesto toho, aby sa zliala do všeobecného dialógu zlyhania. Použite súbor, ktorý dal operátor, namiesto vlastných úprav portov či protokolov, pretože lokálna zmena nemôže na druhej strane vytvoriť zodpovedajúci poslucháč.

Ak sa tunel opakovane resetuje, poznamenajte, či sa portál vracia alebo či padá miestny signál, a postupujte podľa kontrol stability namiesto prepínania niekoľkých protokolov naraz. Potom otestujte aplikáciu, ktorú skutočne potrebujete, a obnovte bežné ovládanie súkromia. Spojenie, ktoré prenesie jednu stránku, ale inú nie, je otázka smerovania alebo politiky, nie portálu.

Nakoniec skontrolujte obnovu po uspaní notebooku. Autorizácia portálu môže vypršať nezávisle od tunela, takže zariadenie, ktoré sa automaticky pripojí, sa môže vrátiť do siete, ktorá ho už zabudlo. Znovu otvoriť stránku portálu je bežný krok, nie znak, že je VPN pokazené.