Wi-Fi у хотелу: VPN пада пре него што уопште стигне до сервера

VPN клијент се врти, затим извештава да не може да достигне сервер, и сви закључују да хотел блокира VPN. Обично се није догодило ништа тако драматично: мрежа вас још није пустила напоље. Портал за пријаву задржава сваку везу док се не пријавите, а тунел не може да се успостави док страница за пријаву пресреће његове пакете. Прођите кроз пријаву пре него што оптужите тунел.

Мит: хотел блокира VPN

Већина хотелских мрежа не филтрира тунеле посебно. Оне пресрећу веб саобраћај док се гост не аутентификује, а могу и да ограниче број уређаја, заврше сесије или смање проток. Свако од тога производи квар који изнутра VPN клијента изгледа као блок.

Тунел је овде лош дијагностички алат, јер је то једина апликација која сигурно пада док портал није овлашћен. Обичан веб приступ је бољи показатељ, јер може да вам покаже саму страницу за пријаву.

Тај редослед је важан и из другог разлога: клијент са прекидачем или режимом увек укључено одбиће да учита портал, а корисник ће закључити да је мрежа покварена, а не подешавање. Обе чињенице су тачне истовремено, и само једна од њих може да се промени у хотелу. Искључите заштиту преко сопствене контроле клијента, пријавите се и поново је укључите. Све остало је заобилажење које скрива правилан след.

Прво завршите портал, затим тестирајте обичан HTTPS

Питајте особље за званично име мреже и начин пријаве. Убедљив SSID није доказ власништва, а друга мрежа са сличним именом је чест трик на јавним местима. Користите сопствени позив за пријаву оперативног система где постоји, или документовану страницу хотела.

curl -sS -o /dev/null -w '%{http_code} %{redirect_url}\n' http://captive.apple.com/hotspot-detect.html
curl -sS -o /dev/null -w '%{http_code}\n' https://www.example.com/

Први захтев пита познату крајњу тачку за откривање портала преко обичног HTTP; преусмеравање или неочекивано тело значи да сте још иза портала. Други тестира обичан HTTPS сајт. Ако први показује пресретање, а други не успева, пријава је непотпуна и VPN нема ништа с тим.

На личном уређају можда треба искључити прекидач или стални VPN преко подржане контроле клијента да би портал могао да се учита. Затворите осетљиве апликације у том периоду и одмах затим вратите заштиту. На управљаном уређају следите поступак који је одобрио администратор, уместо да сами уклоните политику.

Никада не заобилазите упозорење о сертификату и не инсталирајте непознати сертификат или помоћну апликацију да бисте изашли на интернет. Ако портал тражи нешто неочекивано, потврдите то са особљем, а са администратором ако уређај припада послодавцу.

Сачувајте оригинални профил и његову грешку

Када обичан приступ проради, повежите оригинални профил и запишите тачну грешку. Одбијање аутентификације је проблем налога, истек током преговора је проблем путање, а тунел који се успостави али ништа не преноси је проблем рутирања или политике.

Та три захтевају различите следеће кораке, а снимак екрана грешке вреди више од описа. Запишите и време, јер ограничења хотелске сесије могу да истекну у року од сат времена и произведу квар који изгледа случајан. Ако клијент нуди дневник, сачувајте део око првог квара, а не целу датотеку. Тај извод је обично довољан власнику профила да препозна фазу.

Ако обичан приступ ради, а преговори још истичу, питајте хотел да ли подржава тај саобраћај и упоредите са поузданом приступном тачком, држећи уређај и профил непромењенима. Рад на приступној тачки сужава пажњу на хотелску путању без доказивања било чега о профилу.

Користите само алтернативе које даје оператер

Одговарајући TCP профил може успети тамо где понуђена UDP путања не ради, али само ако сервер заиста слуша на том преносу и порту. TCP порт 443 се не третира аутоматски као обичан HTTPS и није гаранција пролаза кроз ограничавајућу мрежу.

sudo openvpn --config /etc/openvpn/client/office-tcp.conf --verb 4

Покретање достављеног профила са већим нивоом детаља задржава прву корисну грешку видљивом уместо да је спљошти у општи дијалог квара. Користите датотеку коју је дао оператер, уместо да сами мењате портове или протоколе, јер локална промена не може да створи одговарајућег слушаоца на другој страни.

Ако се тунел више пута ресетује, забележите да ли се портал враћа или локални сигнал пада, и следите провере стабилности уместо да мењате неколико протокола одједном. Затим тестирајте апликацију која вам је заиста потребна и вратите уобичајене контроле приватности. Веза која преноси један сајт али не други је питање рутирања или политике, не портала.

На крају проверите опоравак након што лаптоп заспи. Овлашћење портала може да истекне независно од тунела, па уређај који се аутоматски поново повезује може да се врати на мрежу која га је већ заборавила. Поновно отварање странице портала је нормалан корак, не знак да је VPN покварен.