Nega captive portal VPN'ingizni bloklaydi va qanday qayta kirish mumkin

Ochiq tarmoqda kirish nuqtangiz paketlarni shunchaki internetga topshirmaydi. Yuqoridagi siyosat nuqtasi qurilmangiz ruxsat etilgan yoki etilmaganini tekshiradi va ruxsat etilmaguncha deyarli hammasi tashlanadi. VPN mijozingiz bu sukunatni o'lik server deb o'qiydi. U buni kamdan-kam aytadi: WireGuard qo'l siqishni bo'shliqqa takrorlaydi, OpenVPN ulanish vaqti tugaganini xabar qiladi va IKEv2 javob bermayotgan uzoq server haqida 809 xatosi bilan qaytadi.

Portal aslida nimani boshqaradi

Captive portal — bir-biriga yopishtirilgan ikki narsa: siyosat qaror nuqtasi va qayta yo'naltiruvchi. Qurilmangiz ulanib DHCP ijarasini olganda, tarmoq sizni ruxsatdan oldingi holatga qo'yadi.

Bu holat — xavfsizlik devori qoidalari to'plami. Odatda DNS ga ruxsat beradi va portallar ro'yxatidagi qisqa ro'yxatga HTTP yoki HTTPS ga ruxsat beradi, qolganini tashlaydi. Ruxsat etilgan ro'yxat — devor bilan o'ralgan bog', va unda deyarli hech qachon VPN oxirgi nuqtasi bo'lmaydi.

Bu tashlashlarning hech biri odobli emas. VPN serveriga yo'naltirilgan paketlar rad etilmay tashlanadi, shuning uchun mijoz na ICMP unreachable, na TCP reset oladi, faqat javob yo'qligini oladi. Ishlab chiqaruvchiga qarab, qayta yo'naltiruvchi 80 portga kirish sahifasiga yo'naltirish bilan javob berishi mumkin, 443 port esa tashlanadi yoki ushlanadi. Yo'naltirishlarni aniqlash oson, chunki ular oddiy HTTP javobini olib yuradi; 443 dagi ushlash uchun brauzeringiz ishonishdan bosh tortadigan sertifikat kerak.

Ruxsatning o'zi odatda qurilmaning MAC manziliga, ba'zan ijaraga olingan IP ga bog'langan va taymerli sessiyalar jadvalida yashaydi. Kirish yozuv yaratadi. Trafigingizni o'tkazadigan xavfsizlik devori qoidasi faqat shu yozuv mavjud bo'lganda mavjud, shuning uchun sizning tomonda hech narsa o'zgarmasa ham butun muammo keyinroq qaytadi.

VPN qo'l siqishi nima uchun boshlanishidan oldin o'ladi

Har bir protokolning o'z transporti bor va ruxsatdan oldingi xavfsizlik devori har birini boshqacha buzadi. Windows va iOS da IKEv2 UDP 500 va UDP 4500 orqali yuradi; bu portlardagi tashlash 809 ko'rinishida yoki bosqichlarni alohida xabar qiladigan mijozlarda nom hal qilishga o'xshash nosozlik sifatida namoyon bo'ladi. UDP 1194 dagi OpenVPN vaqti tugaguncha ulanish holatida qoladi. TCP 443 dagi OpenVPN qiziq holat, chunki portal TCP qo'l siqishini tugatib, keyin o'z yo'naltirish sahifasi bilan javob berishi mumkin, shuning uchun vaqt tugashi o'rniga TLS xatosini ko'rasiz.

WireGuard mexanizmni eng aniq ko'rsatadi. U dizayni bo'yicha faqat UDP, TCP zaxirasiz, shuning uchun noma'lum UDP ni tashlaydigan xavfsizlik devori transportni butunlay olib tashlaydi. Mijoz ortib boruvchi tanaffus bilan qo'l siqish boshlanishlarini yuborishda davom etadi va hech qachon tugamaydigan qo'l siqish haqida xabar beradi. Bu xabarda hech qayerda Wi-Fi tilga olinmaydi va brauzer ochish kerakligi haqida hech narsa ishora qilmaydi.

Platformalar holatni VPN ingizdan oldin payqashga urinadi. Windows kirish bildirishnomasini ko'rsatish-ko'rsatmaslikni hal qilish uchun ma'lum URL ni oladi, Android 204 No Content deb javob berishi kerak bo'lgan oxirgi nuqtani so'raydi, Apple qurilmalari esa kichik captive tarmoq oynasini ochadi. Bu tekshiruvlar ishlaydi, chunki portal kutilgan tanasi o'rniga yo'naltirish bilan javob beradi. Xuddi shu xatti-harakat portal butunlay sog'lom ko'rinib, tunnel o'lik bo'lishini tushuntiradi: tekshiruv va tunnel turli qoidalar bilan baholanadi.

Sessiya muddati tugashi aslida nimani tiklaydi

Joylar sessiyalarni VPN hisobingizga aloqasi bo'lmagan sabablarga ko'ra tugatadi: harakatsizlik vaqti, sessiyaning eng katta uzunligi, yangi DHCP ijara yoki boshqa kirish nuqtasiga qayta ulanish. Taymer ishlaganda sessiyalar jadvalidagi yozuv yo'qoladi va ruxsatdan oldingi qoidalar to'plami ro'yxatdan o'tish paytidagidek qaytadi.

O'rnatilgan tunnel sog'lom ko'rinish uchun yetarlicha uzoq yashaydi. Jonli ushlab turish xabarlari chiqishda davom etadi va mijoz buni payqaydimi, javobsiz trafikka qanday munosabatda bo'lishiga bog'liq, shuning uchun yo'l yo'qolgandan keyin ham holat chirog'i bir muddat yashil bo'lib turishi mumkin. Keyin tunnel yiqiladi va qayta ulanishning har bir urinishi o'sha bloklangan portlarda muvaffaqiyatsiz bo'ladi.

O'sha paytda mijoz xatosi qaysi bosqichda ekaningizni aytadi, agar diqqat bilan o'qisangiz:

Bir tafsilot odamlarni chalg'itadi: sessiya MAC manziliga bog'langan bo'lsa, kirish sahifasini qayta yuklash yordam bermasligi mumkin. Siz ulanishni uzib qayta ulanishingiz kerak, shunda portal muddati o'tgan urinish o'rniga yangi ruxsat urinishini ko'radi.

Avval kiring, keyin tunnelni ko'taring

Ishlaydigan tartib: qurilmaga ruxsat bering, yo'lni isbotlang, VPN ni ishga tushiring, tunnelni isbotlang va keyin odatdagi bloklashingizni tiklang. Oxirgi qadam muhim, chunki portalga yetish uchun kerak bo'lgan vaqtinchalik holat — favqulodda kalit aynan shu holatni oldini olish uchun mavjud.

Tunnel tashqarisida bloklash varianti bo'lgan ish stoli mijozi portal sahifasi yuklanishi uchun to'xtatilishi kerak va o'sha tunnel tashqarisidagi oynada nozik ilovalarni yopiq saqlash kerak; mahalliy trafik himoyasiz chiqadigan yagona oraliq shu. Boshqariladigan doim yoniq qurilma siz siyosatni olib tashlash o'rniga egasi e'lon qilgan tartibni ishlatishi kerak. Agar portal sertifikat ogohlantirishini ko'rsatsa, to'xtang: uni qabul qilish sessiyangizni joyning ushlash proksisidan o'tkazadi va o'sha proksi yuborgan hamma narsangizni o'qiy oladi. Android da doim yoniq VPN ostidagi qulf tunnel ko'tarilishidan oldin trafikni bloklaydi va ba'zi buildlar portal oqimini istisno qila olmaydi; sizniki qila olmasa, qulfni o'chirilgan qoldirish o'rniga joyning muqobil kirishidan yoki boshqa qurilmadan foydalaning. Apple ning talab bo'yicha qoidalari tekshiruv muvaffaqiyatli bo'lguncha tunnelni rad etadigan qilib yozilishi mumkin va mehmonxona tarmoqlarida siz xohlagan xatti-harakat shu.

Qo'lingizdagi vositalar bilan tartib bo'yicha tekshiring. Tunneldan oldin tekshiruvni sarlavhalar va tana ikkisi ham ko'rinadigan qilib ishga tushiring va VPN transportingiz biron javob oladimi, kuzating:

curl -sS -D - http://captive.apple.com/hotspot-detect.html -o -
sudo tcpdump -ni any 'udp port 500 or udp port 4500 or udp port 1194'

Ruxsatdan oldin oddiy portal ikkidan bir javob beradi: Location kirish sahifasiga ishora qiladigan 302 yoki portal sahifasi bo'lgan HTML tanali 200. Qaysi birini olganingizni yozib qo'ying. Kirishdan oldin yo'naltirish nosozlik emas; portal qayerga borishni aytmoqda. Portal muvaffaqiyat haqida xabar bergandan keyin buyruqni takrorlang va tanasi so'zma-so'z Success so'zi bo'lgan 200 ni kuting. Aynan shu satr tekshiruvni mazmunli qiladi. Agar xost siz hech qachon kirmasdan oldin odatdagidek javob bersa, bu tarmoqda ushlovchi portal yo'q. Yozib olishda ruxsatdan oldingi tashlash — hech narsa qaytmaydigan chiquvchi paketlar, ishlaydigan yo'l esa o'sha oqimga taxminan bir soniya ichida javob ko'rsatadi. Ulaning, keyin yozib olishni takrorlang.

Portal ha dedi, lekin tunnel hali ishlamasa

Kirish muvaffaqiyati ruxsat etilgan transport bilan bir xil emas. Ko'p joylar portalga va oddiy ko'rishga ruxsat beradi, lekin UDP ni butunlay bloklaydi, bu WireGuard va UDP OpenVPN ni buzilgan holda qoldiradi, TCP 443 esa ishlaydi. Agar TCP 443 o'tsa, UDP o'tmasa, bu siz noto'g'ri sozlagan mijoz emas, joyning siyosati, shuning uchun transportni almashtiring yoki cheklovni qabul qilib davom eting. Shundan keyin ham qayta ulanish muvaffaqiyatsiz bo'lsa, aniq xatoni saqlang; u qayerda tiqilib qolganingizni aytadi.

Boshqa nosozliklar qurilmada yashaydi. Eski MAC ga hali bog'langan sessiya, o'z ijarasiga ega ikkinchi Wi-Fi adapteri yoki portal sertifikat istisnosini keshlagan mijoz — bularning har biri toza qayta ruxsatdan keyin ham muvaffaqiyatsiz bo'lib turishi mumkin. Ulanishni uzing, qayta ruxsat bering va mijoz sozlamalariga tegishdan oldin bir marta urinib ko'ring. Agar kuzatayotgan komponentlar ortidagi arxitekturani xohlasangiz, RFC 8952 o'qishga arziydi.

Agar portalning o'zi ruxsat berishdan bosh tortsa, muammo hisobda yoki qurilma taqsimotida va hech qanday VPN sozlamasi buni tuzatmaydi. VPN chiqish mamlakatini o'zgartirish joyning mahalliy kirish holatini tiklamaydi; bu jadval sizning qurilmangizga bog'langan, tanlagan serveringizga emas. Joy operatoridan so'rang va vaqt bering, chunki u sessiyalar jadvalini ko'radi.

Keyingi safardan oldin uch narsani yozib qo'ying: nolinchi qadam sifatida portal sahifasi, olib boradigan har bir qurilma uchun bloklashni to'xtatish qadami va siz chindan sinab ko'rgan bitta zaxira transport. O'n daqiqa oldin ishlagan tunnel yana to'xtasa, uni muddati o'tgan ruxsat deb qabul qiling va VPN profiliga tegishdan oldin portalni qayta tekshiring.