为什么 VPN 无法加入没有服务器的 Wi-Fi 网络
隧道需要在目标网络内部有一个端点。Wi-Fi 信息、本地服务器或商业出口都无法创造网络从未提供的访问。
这个请求通常以同一种期望的变体出现：把客户端指向某个 Wi-Fi 网络，然后进入其中。隧道并不是这样工作的。隧道把客户端连接到某个已经在监听的东西上。如果目标网络里没有任何东西在监听远程访问，就没有另一端。
隧道是一种关系，不是一项设置
一侧监听，另一侧连接，双方就协议和凭据达成一致。监听的一侧必须位于你想进入的网络内部。这部分无法从客户端一侧凭空造出。地址正确、背后网络却错误的配置文件带来的是超时，而不是访问。
所以，对其中一些问题，诚实的答案是：那个网络并不存在远程访问。增加协议、端口或另一个客户端，并不会创造出所有者从未部署过的端点。
Wi-Fi 信息不是隧道的凭据
SSID、子网、网关和口令都是关于身处大楼之内的事实。它们没有一个能让你在互联网上别处的服务面前通过认证。校园和酒店网络发布这些信息是给楼内访客的，不是给互联网上的客户端。
把内部子网复制进 VPN 配置文件，会产生一次前往从你所在位置无法路由的地址的尝试。这次尝试在任何凭据被检查之前就失败了，所以改用户名或认证方式从来都无济于事。
如果组织运行远程访问服务，其文档会写明端点和方式。请专门询问这两项事实，否则帮助台会按它通常听到的问题来回答，也就是关于 Wi-Fi 的那个问题。
出口不选择你的源网络
有些服务器只回应地址落在某个范围内的客户端。这是一种源检查。商业出口在该范围之外，所以连接在任何应用数据交换之前就被拒绝。换一家提供商，算术不会改变，因为地址仍然不是服务器想要的那个。
只剩三个选项，而且只有三个。在允许的范围内找到端点，使用已经在那里的获批跳板主机，或者请所有者更改策略。其他一切，都是寄望于这项检查不被执行的各种变体。
本地隧道加密了错误的一段
绑定到回环接口的服务器保护同一台机器上两个进程之间的流量。在这条回环路径之外，数据包离开主机的方式与之前完全相同。你为网络想要的那层保护从未存在过，尽管处理开销是真实的。
那种安排有一个正当用途：在部署之前测试客户端、路由或配置。它不是隐私措施，也不是到达远程网络的方法，把两者混为一谈会造成大量被浪费的配置。
没有服务器时真正有效的是什么
当设备没有稳定的入站路径时，有用的模式是汇合点，而不是直接连接。外部托管的继电器、从设备到你控制的小型服务器的反向隧道，或者提供入站地址的服务商，都会在中间放上某种可达的东西。消费级 VPN 订阅并不是那种东西，因为它不会在你的网络内部放置任何端点。
ssh -N -R 2222:localhost:22 [email protected] ss -tlnp | grep 2222 nc -vz 198.51.100.7 2222
第一条命令打开从设备到继电器的反向隧道，第二条确认本地监听，第三条从外部测试路径。把文档中的地址换成你自己的继电器，并明确确认方向，因为出站连接常常能通过转换成功，而未受邀请的入站连接永远不会到达。
如果目标只是到达你控制的网络中已经存在的服务，就把客户端放在需要它的设备上。从笔记本电脑共享隧道是一个自带失败模式的路由与转换项目，而受管理的客户端通常会阻止它。