VPN nie działa przez modem LTE

VPN niedziałający przez modem LTE może wskazywać na CGNAT (Carrier-Grade NAT) stosowany przez operatorów mobilnych, który blokuje niektóre protokoły tunelowania wymagające bezpośredniego adresu publicznego.

VPN nie działa przez modem LTE — co to oznacza

Problem z uruchomieniem VPN przez modem LTE oznacza, że połączenie z usługą tunelującą nie zostaje poprawnie zestawione albo zostaje przerwane po kilku sekundach. Sam dostęp do internetu może w tym czasie działać prawidłowo: strony otwierają się, poczta odbiera wiadomości, a aplikacje korzystające ze zwykłego połączenia sieciowego odpowiadają bez widocznych zakłóceń. VPN wykorzystuje jednak dodatkowe mechanizmy uwierzytelniania, szyfrowania i przekazywania pakietów, dlatego wymaga warunków, których typowe przeglądanie stron nie zawsze potrzebuje.

Jedną z częstych przyczyn jest CGNAT, czyli współdzielenie publicznego adresu IP przez wielu abonentów operatora komórkowego. Modem otrzymuje wówczas adres z sieci wewnętrznej operatora, a ruch wychodzący jest tłumaczony na adres publiczny dopiero w jego infrastrukturze. Taki układ może utrudniać zestawienie tunelu, zwłaszcza gdy używany protokół wymaga określonego rodzaju translacji adresów, przyjmowania odpowiedzi na specjalnych portach albo bezpośredniej osiągalności urządzenia z internetu.

Nie oznacza to automatycznie, że modem LTE jest uszkodzony. Przyczyną może być sposób działania sieci komórkowej, profil usługi transmisji danych, konfiguracja routera, ustawienia zapory, niezgodność protokołu VPN albo ograniczenia po stronie serwera, z którym ma zostać nawiązane połączenie. Właściwa ocena wymaga rozdzielenia problemu z samym dostępem do internetu od problemu z negocjacją tunelu.

Uwarunkowania techniczne połączeń VPN w sieci LTE

W sieciach mobilnych pakiety przechodzą przez kilka warstw infrastruktury. Urządzenie łączy się z modemem lub routerem, następnie z siecią operatora, a dopiero później z internetem. Na którymś z tych etapów może występować translacja adresów, filtrowanie ruchu albo zmiana parametrów połączenia. Jeżeli VPN korzysta z protokołu, który reaguje na taką translację mniej tolerancyjnie, tunel może nie powstać mimo poprawnego zasięgu i wysokiej prędkości transmisji.

Znaczenie ma również rodzaj używanego VPN. Rozwiązania oparte na różnych protokołach mogą korzystać z odmiennych portów i sposobów wymiany danych. Jeden wariant może działać przez daną sieć LTE bez zmian, podczas gdy inny będzie odrzucany, zawieszał się na etapie logowania albo tracił połączenie po zmianie adresu. Sam komunikat „brak połączenia z serwerem” nie wskazuje jeszcze, czy problem dotyczy DNS, uwierzytelnienia, routingu, certyfikatu, zapory czy ograniczenia operatora.

Warto odróżnić modem pracujący jako urządzenie dostępowe od routera LTE, który dodatkowo wykonuje własny NAT i filtruje ruch. Podwójna translacja adresów może utrudniać działanie niektórych konfiguracji VPN. Znaczenie mają też tryby pracy takie jak router, bridge lub tethering, a także ustawienia automatycznego wyboru sieci, APN, przekazywania pakietów i zapory. Zmiana tych parametrów bez sprawdzenia dokumentacji może pogorszyć sytuację, dlatego każdą modyfikację powinno się wykonywać etapami i zapisywać poprzednią konfigurację.

Pomocne jest porównanie kilku scenariuszy: połączenia przez modem LTE, domową sieć przewodową, inną sieć komórkową oraz hotspot z telefonu. Jeżeli VPN działa w innej sieci, bardziej prawdopodobne stają się ograniczenia operatora LTE, sposób translacji adresów lub profil transmisji. Jeśli nie działa nigdzie, należy sprawdzić klienta VPN, konto, certyfikaty, adres serwera, datę i czas urządzenia oraz stan samej usługi.

Typowe objawy i błędy związane z VPN przez LTE

Awaria może mieć różny przebieg. Czasami klient VPN nie przechodzi poza etap „łączenie”, innym razem pojawia się komunikat o przekroczeniu czasu oczekiwania, odrzuceniu poświadczeń albo braku odpowiedzi serwera. Zdarza się również, że tunel zostaje zestawiony, lecz nie działa dostęp do zasobów firmowych, zdalnego pulpitu, systemu plików lub wewnętrznych aplikacji. W takim przypadku nie zawsze winny jest sam proces logowania — problem może dotyczyć tras kierujących ruch do odpowiedniej podsieci.

Do częstych błędów diagnostycznych należy uznanie, że skoro internet przez LTE działa, to VPN powinien działać w identyczny sposób. Zwykłe połączenia internetowe są zazwyczaj inicjowane od urządzenia użytkownika i odpowiadają na standardowych zasadach. Tunel VPN może natomiast wymagać obsługi określonego ruchu kontrolnego, zachowania sesji podczas zmiany parametrów sieci albo prawidłowego przechodzenia pakietów przez kilka urządzeń NAT.

Przyczyną bywa także nieaktualny klient VPN, błędny profil połączenia, wygasły certyfikat, niezgodny typ uwierzytelniania lub konflikt z lokalną zaporą. Należy sprawdzić, czy data i godzina są ustawione poprawnie, ponieważ znaczne rozbieżności mogą powodować odrzucanie certyfikatów i zabezpieczonych sesji. Warto również zweryfikować, czy problem występuje tylko na jednym urządzeniu, czy na wszystkich urządzeniach korzystających z tego samego modemu.

Jeżeli tunel działa, ale nie można otworzyć zasobów wewnętrznych, trzeba skontrolować routing, serwery DNS używane po zestawieniu VPN oraz ewentualne nakładanie się adresacji lokalnej z adresacją zdalnej sieci. Przykładowo, identyczne zakresy adresów po obu stronach mogą sprawić, że komputer będzie kierował pakiety do lokalnego routera zamiast przez tunel. Przydatne są dzienniki klienta VPN, informacje o przydzielonym adresie, wynik rozpoznawania nazwy serwera oraz porównanie trasy pakietów przed i po połączeniu. Takie dane pozwalają ustalić, czy błąd pojawia się przed uwierzytelnieniem, podczas tworzenia szyfrowanego kanału, czy dopiero przy dostępie do konkretnego zasobu.

Kiedy zgłosić problem do serwisu - VPN nie działa przez modem LTE

Do serwisu warto zgłosić się wtedy, gdy podstawowe testy nie wskazują jednoznacznej przyczyny, VPN przestał działać po zmianie modemu lub operatora, albo połączenie jest niestabilne i zrywa się podczas pracy. Szczególnej uwagi wymaga sytuacja, w której przez LTE nie działa tylko jeden określony profil VPN, natomiast pozostałe połączenia funkcjonują poprawnie. Potrzebna może być wtedy analiza logów, ustawień sieciowych, profilu modemu, zapory oraz sposobu routowania pakietów.

W Warszawskim Pogotowiu Komputerowym 24/7 można przekazać do sprawdzenia komputer, modem LTE albo router używany do zestawiania tunelu, wraz z opisem komunikatu i informacją, czy VPN działa w innej sieci. Takie porównanie ułatwia odróżnienie problemu sprzętowego od ograniczenia po stronie operatora lub konfiguracji serwera. W przypadku laptopa dostępna jest darmowa diagnoza LAPTOPA, dzięki której można rozpocząć od ustalenia, czy źródło usterki znajduje się w urządzeniu, oprogramowaniu klienckim czy w połączeniu LTE.

Przed przekazaniem sprzętu dobrze przygotować nazwę używanego klienta VPN, moment wystąpienia problemu, informację o tym, czy wcześniej połączenie działało, oraz wyniki prób wykonanych przez inną sieć. Nie należy publikować haseł, kluczy prywatnych ani pełnych plików konfiguracyjnych zawierających dane dostępowe. Wystarczające bywają zrzuty komunikatów, zanonimizowane fragmenty dzienników i opis topologii połączenia. Na tej podstawie można sprawdzić, czy konieczna jest korekta ustawień urządzenia, zmiana sposobu dostępu do sieci, aktualizacja klienta, czy kontakt z operatorem w sprawie publicznego adresu lub obsługi określonego rodzaju połączeń.