VPN se doma poveže, v hotelskem Wi-Fi pa poteče čas

Prenosnik se pridruži domačemu Wi-Fi, odjemalec se poveže v treh sekundah, isti profil pa uro pozneje v hotelu spodleti. Vmes ni bilo nič posodobljeno. Pregled tega s stranko pred seboj je predvsem vedeti, katera napaka pripada kateri fazi, ker je koristna informacija v kodi, ki jo odjemalec izpiše, ne v dejstvu, da je spodletelo. Izvedite štiri spodnje korake po vrsti in vedeli boste, ali vas je zavrnilo ime, paket, vrata ali pravilo.

Berite kodo napake kot fazo, ne kot obsodbo

Odjemalec doseže tri ločene mejnike, preden tunel obstaja. Razreši ime strežnika, dobi odgovor od nečesa v omrežju in se pogaja o varnostni povezavi. Vsak mejnik ima svoje sporočilo o napaki, in prav Windows je radodaren z različnimi kodami, ko veste, kateri fazi pripadajo.

Dve od teh kod pomenita, da je omrežje nedolžno. 789 pomeni, da so paketi tekli in se oba konca nista strinjala glede kriptografije, kar je konfiguracijska težava, ki jo lahko odpravite doma. 868 pomeni, da nobenemu paketu ni bilo treba oditi, zato je zasnova tunela nepomembna, dokler ime ni razrešeno. Razvrščanje kode v pravo fazo prihrani več časa kot vsak zajem, ker vam pove, kateri od naslednjih treh korakov izpustiti.

Bodite ustrezno previdni, če odjemalec ni Windows. Odjemalci tretjih ponudnikov večino tega stisnejo v "povezava ni uspela", zato se naslednja dva koraka sploh ne zanašata na sporočilo.

Preverite ime, preden okrivite tunel

Hotelska in letališka omrežja nenehno prestrezajo DNS, razreševalnik, ki odgovarja z naslovom portala, pa ustvari napako, ki je videti natanko kot mrtev strežnik. Primerjajte, kaj pravi lokalni razreševalnik, s tem, kar pravi javni:

Resolve-DnsName vpn.example.net -Type A
nslookup vpn.example.net 1.1.1.1
ipconfig /all | findstr /i "DNS Servers"

Če se odgovora razlikujeta, vas preusmerjajo in preostala diagnostika je zaman, dokler se to ne razreši. Predvsem naslov portala bo z veseljem sprejel povezavo TCP in se nato ustavil, zato je pri preizkusu z brskalnikom lahko videti kot blokada požarnega zidu.

Zdaj potrdite, da je naslov, ki ga želite doseči, tisti, ki se uporablja. Nekateri odjemalci predpomnijo prejšnjo razrešitev za celotno življenjsko dobo profila, zato ponovna povezava po spremembi DNS še vedno gre na stari naslov. Pred ponovnim preizkusom odjemalec popolnoma zaprite, namesto da bi v istem oknu pritisnili prekini in poveži.

Ugotovite, kateri zunanji paket izgine

Tunel ima zunanji tok, ki v celoti pripada poti med vami in strežnikom, in prav ta tok vmesne naprave razvrščajo in spuščajo. Zajemite ga na odjemalcu in nato primerjajte delujoče omrežje s spodletelim. V Windowsu za prvi pogled zadošča vgrajeno zajemanje:

pktmon filter remove
pktmon filter add -p 500 -t UDP
pktmon start --capture --pkt-size 128
pktmon stop
pktmon etl2txt PktMon.etl

Videti želite, ali vaši paketi sploh odidejo in ali se kaj vrne. Paketi ven brez česar koli nazaj pomenijo, da jih pot ali oddaljeni konec spušča; če ne odide nič, odjemalec sploh ni prišel do pošiljanja, kar kaže nazaj na razreševanje imen ali na lokalno pravilo požarnega zidu.

Ponovite isto preizkušnjo na telefonovi dostopni točki. To je edina najbolj informativna primerjava, ki jo imate, ker odstrani s poti vsako škatlo v hotelu, prenosnik, odjemalec in poverilnice pa ostanejo enaki. Če se tunel na dostopni točki dvigne, nehajte gledati v strežnik. Če tudi tam spodleti, imate težavo z odjemalcem ali računom, ki je omrežje ni nikoli povzročilo.

Spremenite en transport in znova preizkusite

Ko veste, da se zunanji tok spušča, je praktično vprašanje, kateri tok omrežje vendarle dovoli. Večina omejenih omrežij dovoli odhodni TCP 443, ker sicer ne more delovati, zato je premik poslušalca tja običajen odgovor. Na OpenVPN je to stikalo na strani odjemalca, dokler se strežnik ne spremeni:

openvpn --config corp.ovpn --proto tcp-client --remote vpn.example.net 443 --verb 4

Odjemalci IPsec imajo enakovredno stikalo v svojih ploščah z nastavitvami, običajno opisano kot IPsec prek TCP ali prehod NAT. Tudi njegova sprememba je diagnostika: če se tunel dvigne prek TCP in umre prek UDP, ste dokazali, da omrežje filtrira UDP, in našli ste tudi nastavitev, ki jo boste potrebovali ob vsakem obisku tega mesta.

Uprite se skušnjavi, da bi funkcije usmerjevalnika izklopili že ob prvem poskusu. Izklop stanjske inšpekcije ali zaščite pred poplavo v hotelskem omrežju vam tako ali tako ni na voljo, na lastni opremi pa zamenja resnično zaščito za en prenosnik. Zapišite, katera nastavitev je spremenila izid, jo nato vrnite in poiščite transport, ki ga omrežje že dovoli.

Preverite isti profil v drugem omrežju

Preden zaprete zahtevek, dokažite, da je sprememba preživela izhod iz stavbe. Znova se povežite v izvirnem omrežju z izvirnimi nastavitvami, zajemite prvih trideset sekund in potrdite, da odjemalec doseže isto stanje kot na dostopni točki:

pktmon filter add -p 443 -t TCP
pktmon start --capture
Get-VpnConnection -Name "Corp" | Select-Object ConnectionStatus, TunnelType, ServerAddress

Razliko, ki jo razkrije zadnji ukaz, je vredno ohraniti: profil lahko poroča o povezanem tunelu, medtem ko je usmerjanje v njem napačno, in to ustvari "VPN je vklopljen, a nič ne deluje", kar je drug članek. Če se je tip tunela po vašem urejanju spremenil, profil ni tisti, ki ste ga preizkusili.

Nato zapišite ugotovitev tja, kamor bo pogledala naslednja oseba. "Korporativni profil na tem mestu potrebuje TCP 443; UDP 500 filtrira hotel" je stavek, na podlagi katerega lahko sodelavec ukrepa. "VPN je v hotelih nestabilen" ni, in zagotavlja, da bo ista ura prihodnji mesec znova porabljena.