Nega OpenVPN profili uyda ishlaydi, lekin mehmonxonada ishlamaydi

Ofis Wi-Fi va mehmonxona xonasi bir laptopga ikki butunlay boshqa tarmoq berishi mumkin, ular orasidagi profil esa bu haqda hech narsa bilmaydi. Uyda ishlaydigan narsa keng yo'l qo'yuvchi yuqori kanal, ishlaydigan nom yechimi va tunnel olib o'tadigan hech narsa bilan to'qnashmaydigan mahalliy quyi tarmoqni nazarda tutadi. Bu taxminlarning har biri alohida muvaffaqiyatsiz bo'lishi mumkin.

Buni tuzatishning foydali usuli tarmoqni to'rtta alohida fakt sifatida ko'rib, keyin ularni tartib bilan tekshirishdir. Avval profil haqida taxmin qilish odatda hech narsani to'g'rilamaydigan va dalillarni yashiradigan o'zgarish keltiradi.

To'rtta tarmoq fakti joylarga qarab o'zgaradi

Birinchi fakt mahalliy tarmoq sizni umuman tashqariga chiqaradimi yoki yo'qmi. Kirish portali qurilmani kirish sahifasiga kiritadi va o'sha sahifa tugaguncha qolgan hamma narsani to'sadi, ya'ni profil qanchalik to'g'ri bo'lsa ham tunnel boshlana olmaydi.

Ikkinchisi nom yechimi. DNSni ushlab oladigan portal har bir so'rovga o'z manzili bilan javob beradi, shuning uchun VPN xost nomi portalga yechiladi va mijoz veb-sahifaga tunnel qurishga harakat qiladi.

Uchinchisi transport filtrlash. Faqat ko'rishga ruxsat bermoqchi bo'lgan tarmoqlar TCP 443ni ixtiyoriy manzillarga o'tkazadi va UDP bilan birga deyarli hamma narsani tashlab yuboradi.

To'rtinchisi manzillash. Mahalliy quyi tarmoq tunnel ortidagi tarmoq bilan ustma-ust tushishi mumkin yoki yuqori kanal umuman foydali IPv4 yo'li bermasligi mumkin.

Nom yechimi va kirish portali

Profildagi xost nomini serverning raqamli manzili bilan almashtiring va yana urinib ko'ring. Agar IP ulanib, nom ulanmasa, ayb nom yechimida, profilning o'zi esa joyida.

VPNga tegishdan oldin brauzer ochib oddiy HTTP sahifasini ochishga harakat qiling. Kirish sahifasiga yo'naltirish portal hali kutilayotganini bildiradi; uni tugatib, keyin qayta ulanib ko'ring. Ko'p mehmonxonalar bir necha soatdan keyin sessiyani ham tugatadi, bu esa kirish muammosi emas, kunduzgi uzilishga o'xshaydi.

Agar raqamli manzil ham ishlamasa, nom yechimi izoh emas, shuning uchun transportga o'ting. Sinab ko'rgan manzilingizni saqlab qo'ying, chunki u keyingi tekshiruvga paketlar mashinadan chiqqanini aytadi.

Transport filtrlash: avval UDP, zaxira sifatida TCP 443

UDP 1194 ustidagi OpenVPN oqimi mehmonxona xavfsizlik devori taniydigan hech narsaga o'xshamaydi, shuning uchun xatosiz tashlanadi. Mijoz o'z vaqti tugaguncha qayta urinadi va foydalanuvchi rad etish o'rniga hech qachon o'rnatilmaydigan ulanishni ko'radi. Shunday yo'l tutadigan xavfsizlik devorlari tashlashni siz ko'radigan joyda kamdan-kam qayd etadi. Rad etishning yo'qligi o'zi ishora.

TCP 443 ishonchli zaxira, chunki tarmoq uni oddiy HTTPSdan ajrata olmaydi. Mavjud bo'lsa, operatorning TCP profilidan foydalaning, chunki server ham o'sha transportda va portda tinglashi kerak; faqat mijozni o'zgartirish boshqa turdagi nosozlik keltiradi. TCP profili bo'lmasa, portni tahrirlab yangisini o'ylab topish o'rniga operatordan so'rang. Server tomoni ham rozi bo'lishi kerak, nomuvofiqlik esa yana xavfsizlik devori muammosiga o'xshaydi.

Unumdorlik narxini kuting. TCP ichidagi TCP yo'qotishli kanalda qayta uzatishni kuchaytiradi, shuning uchun ishlaydigan TCP tunnel ham gavjum mehmonxona tarmog'ida sekin tuyulishi mumkin. Bu yetib borish uchun almashuv, ta'qib qilinadigan nuqson emas.

Manzil to'qnashuvlari va IPv4siz yuqori kanallar

Tunnel o'rnatilib, baribir hech narsa olib o'tmasligi mumkin. Mahalliy LAN va uzoq tarmoq 192.168.1.0/24 kabi prefiksni baham ko'rganda, mijoz uzoq xostni bevosita ulangan deb hisoblaydi va paketni tunnel o'rniga mahalliy bog'lanishga yuboradi. Alomat bitta yetib bo'lmaydigan quyi tarmoq bilan muvaffaqiyatli ulanish bo'lib, uni server tomonidagi marshrut muammosi deb noto'g'ri o'qish oson.

Doimiy yechim uzoq LANni noodatiy xususiy diapazonga ko'chirishdir. Uyda hech kim ishlatmaydigan diapazonni tanlash, masalan 10.42.0.0/24, muammoni bittasi uchun emas, barcha kelgusi joylar uchun oldini oladi. Mahalliy chora o'sha mehmonxona, hotspot yoki routerdan qochish, bu esa umuman yechim emas.

Mobil yuqori kanallar ikki xil variant qo'shadi. Operator darajasidagi NAT kiruvchi ulanishlar yetib kelmasligini bildiradi, bu server joylashtirsangiz muhim, lekin chiquvchi mijoz uchun emas. NAT64 tarjimasi bilan faqat IPv6 qilib sozlangan APN haqiqiy IPv4 yo'lni talab qiladigan mijozni ishdan chiqarishi mumkin, odatiy davo esa APN protokolini IPv4 yoki ikki qavatli stekka o'zgartirishdir.

Tunnel ko'tarilgandan keyingi alomatlar

Ulanib, keyin jim bo'lib qoladigan tunnel odatda keepalive yoki MTU muammosi, to'silgan port emas. Muayyan daqiqalardan keyin uziladigan ulanish keepalive yoki qayta muzokara taymeriga ishora qiladi. Javoblar to'xtaganda mijoz sherigini tekshirib qayta boshlashga sozlang va ping o'tib, katta uzatishlar to'xtab qolsa, kichikroq tunnel MTUsini sinab ko'ring.

Yordam so'rashdan oldin uchta narsani yozib qo'ying: sinagan manzilingiz va u javob berdimi, ishlatgan transportingiz va portingiz, va ishlamagan tarmoqning mahalliy quyi tarmog'i. Birgalikda ular nom yechimini transport filtrlashdan va manzil to'qnashuvidan ajratadi, dalillar bilan to'qnashganda esa shu sabablar omon qoladi.