Wi-Fi โรงแรม: VPN ล้มเหลวก่อนจะไปถึงเซิร์ฟเวอร์

ไคลเอนต์ VPN หมุนค้าง จากนั้นรายงานว่าเชื่อมต่อเซิร์ฟเวอร์ไม่ได้ และทุกคนสรุปว่าโรงแรมบล็อก VPN ปกติแล้วไม่มีอะไรน่าตื่นเต้นขนาดนั้นเกิดขึ้น เครือข่ายยังไม่ได้ปล่อยคุณออกไป พอร์ทัลแบบกักไว้จะหน่วงทุกการเชื่อมต่อไว้จนกว่าคุณจะลงชื่อเข้าใช้ และทันเนลจะเสร็จสมบูรณ์ไม่ได้ในขณะที่หน้าเข้าสู่ระบบดักจับแพ็กเก็ตของมัน จัดการเข้าสู่ระบบให้เรียบร้อยก่อนจะโทษทันเนล

ตำนาน: โรงแรมบล็อก VPN

เครือข่ายโรงแรมส่วนใหญ่ไม่ได้กรองทันเนลโดยเฉพาะ พวกมันดักจับทราฟฟิกเว็บจนกว่าแขกจะยืนยันตัวตน และอาจจำกัดจำนวนอุปกรณ์ ทำให้เซสชันหมดอายุ หรือลดความเร็ว แต่ละอย่างล้วนสร้างความล้มเหลวที่มองจากภายในไคลเอนต์ VPN แล้วดูเหมือนการบล็อก

ทันเนลเป็นเครื่องมือวินิจฉัยที่แย่ในที่นี้ เพราะมันเป็นแอปเดียวที่ล้มเหลวแน่นอนตราบใดที่พอร์ทัลยังไม่ได้รับอนุญาต การเข้าถึงเว็บปกติเป็นตัวบ่งชี้ที่ดีกว่า เพราะมันสามารถแสดงหน้าเข้าสู่ระบบให้คุณเห็นได้เอง

ลำดับนั้นสำคัญด้วยเหตุผลอีกอย่าง ไคลเอนต์ที่มีสวิตช์ตัดการเชื่อมต่อหรือโหมดเปิดตลอดเวลาจะปฏิเสธที่จะโหลดพอร์ทัล และผู้ใช้จะสรุปว่าเครือข่ายเสียไม่ใช่การตั้งค่า ข้อเท็จจริงทั้งสองเป็นจริงพร้อมกัน และมีเพียงอย่างเดียวที่เปลี่ยนได้ที่โรงแรม ปิดการป้องกันผ่านการควบคุมของไคลเอนต์เอง ลงชื่อเข้าใช้ แล้วเปิดกลับอีกครั้ง สิ่งอื่นใดคือทางอ้อมที่ซ่อนลำดับจริง

ทำให้พอร์ทัลเสร็จก่อน แล้วจึงทดสอบ HTTPS ปกติ

ถามพนักงานถึงชื่อเครือข่ายอย่างเป็นทางการและวิธีลงชื่อเข้าใช้ SSID ที่น่าเชื่อถือไม่ใช่หลักฐานความเป็นเจ้าของ และเครือข่ายที่สองที่มีชื่อคล้ายกันเป็นกลอุบายทั่วไปในที่สาธารณะ ใช้ข้อความเชิญลงชื่อเข้าใช้ของระบบปฏิบัติการเองเมื่อมีให้ หรือหน้าเว็บที่โรงแรมระบุไว้

curl -sS -o /dev/null -w '%{http_code} %{redirect_url}\n' http://captive.apple.com/hotspot-detect.html
curl -sS -o /dev/null -w '%{http_code}\n' https://www.example.com/

คำขอแรกถามหาจุดตรวจจับพอร์ทัลแบบกักไว้ที่รู้จักผ่าน HTTP ธรรมดา การเปลี่ยนเส้นทางหรือเนื้อหาที่ไม่คาดคิดหมายความว่าคุณยังอยู่หลังพอร์ทัล คำขอที่สองทดสอบเว็บไซต์ HTTPS ปกติ หากตัวแรกแสดงการดักจับและตัวที่สองล้มเหลว การลงชื่อเข้าใช้ยังไม่สมบูรณ์และ VPN ไม่เกี่ยวข้องเลย

บนอุปกรณ์ส่วนตัวอาจต้องปิดสวิตช์ตัดการเชื่อมต่อหรือ VPN แบบเปิดตลอดผ่านการควบคุมที่รองรับของไคลเอนต์เพื่อให้พอร์ทัลโหลดได้ ปิดแอปที่ละเอียดอ่อนในช่วงนั้นแล้วเปิดการป้องกันกลับทันทีหลังจากนั้น บนอุปกรณ์ที่ถูกจัดการ ให้ทำตามขั้นตอนที่ผู้ดูแลระบบอนุมัติแทนการลบนโยบายด้วยตัวเอง

อย่าข้ามคำเตือนเกี่ยวกับใบรับรองและอย่าติดตั้งใบรับรองที่ไม่รู้จักหรือแอปช่วยเหลือเพื่อออนไลน์ หากพอร์ทัลเรียกร้องสิ่งที่คาดไม่ถึง ให้ยืนยันกับพนักงาน และกับผู้ดูแลระบบหากอุปกรณ์เป็นของนายจ้าง

เก็บโปรไฟล์ต้นฉบับและข้อผิดพลาดของมันไว้

เมื่อการเข้าถึงปกติใช้งานได้ ให้เชื่อมต่อโปรไฟล์ต้นฉบับและบันทึกข้อผิดพลาดที่แน่นอน การปฏิเสธการยืนยันตัวตนเป็นปัญหาเรื่องบัญชี การหมดเวลาในระหว่างการเจรจาเป็นปัญหาเรื่องเส้นทาง และทันเนลที่สร้างขึ้นแต่ไม่ส่งอะไรเลยเป็นปัญหาเรื่องเส้นทางหรือนโยบาย

ทั้งสามต้องมีขั้นตอนถัดไปต่างกัน และภาพหน้าจอของข้อผิดพลาดมีค่ามากกว่าคำอธิบาย บันทึกเวลาด้วย เพราะขีดจำกัดเซสชันของโรงแรมอาจหมดอายุภายในหนึ่งชั่วโมงและสร้างความล้มเหลวที่ดูเหมือนสุ่ม หากไคลเอนต์มีบันทึก ให้เก็บส่วนรอบความล้มเหลวแรกไม่ใช่ไฟล์ทั้งหมด ส่วนนั้นมักเพียงพอให้เจ้าของโปรไฟล์ระบุขั้นตอนได้

หากการเข้าถึงปกติใช้งานได้แต่การเจรจาก็ยังหมดเวลา ถามโรงแรมว่ารองรับทราฟฟิกนั้นหรือไม่ และเปรียบเทียบกับฮอตสปอตที่เชื่อถือได้โดยรักษาอุปกรณ์และโปรไฟล์ให้คงที่ การทำงานบนฮอตสปอตทำให้ความสนใจแคบลงไปที่เส้นทางของโรงแรมโดยไม่พิสูจน์สิ่งใดเกี่ยวกับโปรไฟล์

ใช้เฉพาะทางเลือกที่ผู้ให้บริการจัดหาให้

โปรไฟล์ TCP ที่ตรงกันอาจสำเร็จในจุดที่เส้นทาง UDP ที่เสนอให้ใช้ไม่ได้ แต่เฉพาะเมื่อเซิร์ฟเวอร์รับฟังบนการรับส่งและพอร์ตนั้นจริง ๆ พอร์ต TCP 443 ไม่ถูกถือเป็น HTTPS ปกติโดยอัตโนมัติ และไม่ใช่การรับประกันว่าจะผ่านเครือข่ายที่จำกัดได้

sudo openvpn --config /etc/openvpn/client/office-tcp.conf --verb 4

การรันโปรไฟล์ที่ให้มาด้วยระดับรายละเอียดที่สูงขึ้นช่วยให้ข้อผิดพลาดที่มีประโยชน์ตัวแรกมองเห็นได้แทนที่จะถูกบีบลงในกล่องโต้ตอบความล้มเหลวทั่วไป ใช้ไฟล์ที่ผู้ให้บริการให้มาแทนการแก้ไขพอร์ตหรือโปรโตคอลด้วยตัวเอง เพราะการเปลี่ยนแปลงในเครื่องไม่สามารถสร้างตัวรับฟังที่ตรงกันที่อีกฝั่งได้

หากทันเนลรีเซ็ตซ้ำ ๆ ให้บันทึกว่าพอร์ทัลกลับมาหรือสัญญาณในเครื่องลดลง และทำตามการตรวจสอบเสถียรภาพแทนการสลับหลายโปรโตคอลพร้อมกัน จากนั้นทดสอบแอปที่คุณต้องการจริงและคืนค่าการควบคุมความเป็นส่วนตัวตามปกติ การเชื่อมต่อที่พาไปยังไซต์หนึ่งแต่ไม่พาไปยังอีกไซต์เป็นคำถามเรื่องเส้นทางหรือนโยบาย ไม่ใช่พอร์ทัล

สุดท้าย ตรวจสอบการกลับมาทำงานหลังแล็ปท็อปหลับ การอนุญาตของพอร์ทัลอาจหมดอายุแยกจากทันเนล อุปกรณ์ที่เชื่อมต่อกลับอัตโนมัติจึงอาจกลับไปยังเครือข่ายที่ลืมมันไปแล้ว การเปิดหน้าพอร์ทัลอีกครั้งเป็นขั้นตอนปกติ ไม่ใช่สัญญาณว่า VPN เสีย