Kwa nini wasifu wa OpenVPN hufanya kazi nyumbani lakini hushindwa hotelini

Wi-Fi ya ofisi na chumba cha hoteli zinaweza kuipa kompyuta hiyo hiyo mitandao miwili tofauti kabisa, na wasifu ulio katikati haujui lolote kuhusu hilo. Kinachofanya kazi nyumbani huchukulia muunganisho wa juu unaoruhusu, utatuzi wa majina unaofanya kazi na subnet ya ndani isiyogongana na chochote kinachobebwa na handaki. Kila moja ya dhana hizi inaweza kushindwa kivyake.

Njia muhimu ya kuondoa hitilafu hii ni kuichukulia mtandao kama ukweli manne tofauti, kisha kuyajaribu kwa mpangilio. Kukisia wasifu kwanza kwa kawaida hutoa badiliko lisilorekebisha chochote na linaficha ushahidi.

Ukweli manne wa mtandao hubadilika kati ya maeneo

Ukweli wa kwanza ni kama mtandao wa ndani unakuachia utoke kabisa. Lango la kuingia huingiza kifaa kwenye ukurasa wa kuingia na huzuia kila kitu kingine hadi ukurasa huo ukamilike, kumaanisha handaki haliwezi kuanza, wasifu uwe sahihi kiasi gani.

Wa pili ni utatuzi wa majina. Lango linalonasa DNS hujibu kila swali kwa anwani yake mwenyewe, hivyo jina la mwenyeji wa VPN hutatuliwa kwenye lango na mteja hujaribu kujenga handaki kuelekea ukurasa wa wavuti.

Wa tatu ni uchujaji wa usafirishaji. Mitandao inayotaka kuruhusu kuvinjari pekee hupitisha TCP 443 kuelekea maeneo holela na hutupa karibu kila kitu kingine, ikiwemo UDP.

Wa nne ni uanwani. Subnet ya ndani inaweza kupishana na mtandao ulio nyuma ya handaki, au muunganisho wa juu hauna njia yoyote ya IPv4 inayoweza kutumika.

Utatuzi wa majina na lango la kuingia

Badilisha jina la mwenyeji kwenye wasifu kwa anwani ya namba ya seva na ujaribu tena. Ikiwa IP inaunganisha na jina halijaunganisha, kosa ni la utatuzi wa majina, na wasifu wenyewe uko sawa.

Fungua kivinjari na ujaribu ukurasa wa kawaida wa HTTP kabla ya kugusa VPN. Kuelekezwa kwenye ukurasa wa kuingia kunamaanisha lango bado linasubiri; likamilishe, kisha unganisha tena. Hoteli nyingi pia huisha kipindi baada ya saa chache, jambo ambalo huonekana kama kukatika katikati ya siku badala ya tatizo la kuingia.

Ikiwa anwani ya namba pia inashindwa, utatuzi wa majina siyo maelezo, kwa hiyo nenda kwenye usafirishaji. Hifadhi anwani uliyojaribu, kwa sababu inaiambia ukaguzi unaofuata kama pakiti zilitoka kwenye mashine.

Uchujaji wa usafirishaji: kwanza UDP, TCP 443 kama chelezo

Mtiririko wa OpenVPN juu ya UDP 1194 hauonekani kama kitu chochote kinachotambulika na ngome ya moto ya hoteli, kwa hiyo hutupwa bila hitilafu. Mteja hujaribu tena hadi muda wake uishe, na mtumiaji huona muunganisho ambao haujawahi kusimama badala ya kukataliwa. Ngome za moto zinazofanya hivyo hazirekodi mara nyingi utupaji mahali unapoweza kuona. Kutokuwepo kwa kukataliwa yenyewe ni kidokezo.

TCP 443 ni chelezo la kuaminika kwa sababu mtandao hauwezi kulitofautisha na HTTPS ya kawaida. Tumia wasifu wa TCP wa mwendeshaji ikiwa upo, kwa kuwa seva pia lazima isikilize kwenye usafirishaji huo na mlango huo; kubadilisha mteja pekee huzalisha aina nyingine ya kushindwa. Ikiwa hakuna wasifu wa TCP, muulize mwendeshaji badala ya kubuni mmoja kwa kuhariri mlango. Upande wa seva lazima ukubali, na kutokubaliana huonekana tena kama tatizo la ngome ya moto.

Tegemea gharama ya utendaji. TCP ndani ya TCP huongeza utumaji upya kwenye kiungo chenye upotevu, kwa hiyo handaki la TCP linalofanya kazi linaweza bado kuonekana polepole kwenye mtandao wa hoteli wenye msongamano. Hii ni kubadilishana kwa ufikiaji, si kasoro ya kufuatilia.

Migongano ya anwani na miunganisho ya juu isiyo na IPv4

Handaki linaweza kusimama na bado lisibebe chochote. Wakati LAN ya ndani na mtandao wa mbali zinashiriki kiambishi kama 192.168.1.0/24, mteja huchukulia mwenyeji wa mbali kama ameunganishwa moja kwa moja na hutuma pakiti kwenye kiungo cha ndani badala ya handaki. Dalili ni muunganisho wenye mafanikio na subnet moja isiyoweza kufikiwa, ambayo ni rahisi kusoma vibaya kama tatizo la njia upande wa seva.

Suluhisho la kudumu ni kuhamisha LAN ya mbali kwenye wigo wa kibinafsi usio wa kawaida. Kuchagua wigo ambao hakuna mtu anautumia nyumbani, kama 10.42.0.0/24, huzuia tatizo kwa kila eneo la baadaye badala ya moja. Suluhisho la ndani ni kuepuka hoteli hiyo, hotspot au router, jambo ambalo si suluhisho hata kidogo.

Miunganisho ya juu ya simu huongeza aina mbili. NAT ya kiwango cha mtoa huduma inamaanisha muunganisho unaoingia haufiki, jambo ambalo ni muhimu ikiwa unahudumia seva lakini si kwa mteja anayetoka. APN iliyowekwa kama IPv6 pekee na tafsiri ya NAT64 inaweza kushindwa mteja anayesisitiza njia halisi ya IPv4, na dawa ya kawaida ni kubadilisha itifaki ya APN kuwa IPv4 au stack mbili.

Dalili baada ya handaki kupanda

Handaki linalounganisha kisha linyamazike kwa kawaida ni tatizo la keepalive au MTU, si mlango uliozuiwa. Muunganisho unaoanguka baada ya idadi maalum ya dakika unaonyesha kipima muda cha keepalive au mazungumzo upya. Weka mteja achunguze mwenzake na aanze upya majibu yanapokoma, na ujaribu MTU ndogo ya handaki ikiwa ping zinapita wakati uhamishaji mkubwa unakwama.

Kabla ya kuomba msaada, andika mambo matatu: anwani uliyojaribu na kama ilijibu, usafirishaji na mlango uliotumia, na subnet ya ndani ya mtandao ulioshindwa. Kwa pamoja yanagawanya utatuzi wa majina kutoka kwa uchujaji wa usafirishaji na kutoka kwa mgongano wa anwani, na hiyo ni sababu zinazostahimili kukutana na ushahidi.