VPN funktioniert nicht im öffentlichen WLAN

[-Andrea-]

Hallo,

ich nutze regelmäßig vom Android-Gerät VPN, wenn ich WLANs von Gaststätten etc. verwende. Endpunkte sind eigene Fritzboxen (zu Hause oder im Büro) oder von ProtonVPN.

Heute habe ich ein WLAN, bei dem ich keinen Server im Internet erreiche, wenn VPN aktiv ist. Schalte ich VPN aus, kann ich surfen, allerdings warnt mich Facebook, dass die Verbindung unsicher sei.

Was ist da los?

Grüße

 

[Mojo1987]

Was ist da los?

Das übliche in öffentlichen WLANs das passieren kann. Entweder VPNs sind geblockt, was durchaus vorkommt oder das öffentliche WLAN ist schlecht/falsch konfiguriert. Ich tippe auf zweiteres, nichts was du beeinflussen kannst.

Zufällige MACs sollte man ggf. deaktivieren, das kann mit einzelnen Authentifizierungsportalen der öffentlichen WLANs Probleme machen.

 

[TorenAltair]

ProtonVPN

ist kein VPN

VPN aktiv ist

welches ist aktiv? Das nach Hause?

mich Facebook, dass die Verbindung unsicher sei

ist grundsätzlich unsicher /scnr

 

[AAS]

Ja wenn der Port ausgehend geblockt ist, kommst du nicht raus.
Mein Trick 77: VPN auf Port 53 (DNS) zu legen zu Hause, so kommst du in der Regel raus.

Ergänzung (Montag um 11:16)

ist grundsätzlich unsicher /scnr

Halte ich für eine Unterstellung, dass die Facebook Dienste unsicher sind.
Datenschutz ist ein anderes Thema.

 

[-Andrea-]

Hallo,

auch die Verbindung zur französischen Kleinanzeigenseite leboncoin.fr sei unsicher, sagte hat mir Opera.

Ich hatte unterschiedliche VPN-Gegenstellen probiert, eigene Fritzboxen und mehrere von ProtonVPN. Um einen möglichen IP-Konflikt auszuschließen. Ach ja, immer Wireguard als Protokoll.

Mit einem zweiten Android-Phone exakt dieselben Symptome.

Jetzt gerade bin ich in einem Aldi-WLAN eingeloggt, es funktioniert alles.

Grüße


PS: VPN war wahrscheinlich nicht geblockt,denn die VPN-Verbindung funktionierte.

 

[Domi83]

Mein Trick 77: VPN auf Port 53 (DNS) zu legen zu Hause, so kommst du in der Regel raus.

Dann würde ich aber eher Port 80 oder noch besser, 443 bevorzugen. Denn DNS kann ja "nach außen" auch gesperrt sein.

Jetzt gerade bin ich in einem Aldi-WLAN eingeloggt, es funktioniert alles.

Was ist denn ein "Aldi WLAN"? Du meinst einen Hotspot vom Handy mit einer SIM Karte die von Aldi ist, oder?

 

[-Andrea-]

Nein, der Supermarkt Aldi hat ein WLAn für Kunden.


Kann natürlich ein Honeypot sein vom Laden nebenan.. Dafür habe ich ja VPN.

 

[TomTDooley]

Ich schließe mich der Meinung von @Mojo1987 an.

a.) können VPN an öffentlichen Hotspots gesperrt sein.
b.) kann man diese Einstellungen als Nutzer nicht beeinflussen.

 

[AAS]

Dann würde ich aber eher Port 80 oder noch besser, 443 bevorzugen. Denn DNS kann ja "nach außen" auch gesperrt sein.

Ja aber wenn man selbst Auf 80/443 einen Webserver betreibt, fällt das weg.

 

[Domi83]

Ja aber wenn man selbst Auf 80/443 einen Webserver betreibt, fällt das weg.

Wenn man schon so weit ist, kann man sich auch nen Reverse Proxy davorsetzen und weiterhin Port 80 oder 443 für VPN verwenden Und als Betreiber könne ich auch über 80 oder 443, VPN unterbinden... das ist ein Spiel gegen die Windmühle

Nein, der Supermarkt Aldi hat ein WLAn für Kunden.

Check, an so etwas hab ich gar nicht gedacht! Würde mir aber auch im Traum nicht einfallen, wenn ich in den Märkten unterwegs bin, deren WLAN zu nehmen. Aber so unterschiedlich sind die Menschen

Ich schließe mich der Meinung von @Mojo1987 an.

Gibt von mir auch ein +1, denn die Betreiber können ja bestimmen was geht und was nicht

 

[TomTDooley]

@Domi83

Als Ergänzung:

Nicht nur die Betreiber "öffnetlicher Netze", dass kann ggf. jeder in seiner FB zu Hause einstellen.

 

[Domi83]

dass kann ggf. jeder in seiner FB zu Hause einstellen

Da gebe ich dir recht, die meinte ich aber auch mit "Betreiber". Ich meine also nicht nur "ISP" wie Telekom etc. war eventuell etwas grob formuliert von mir

 

[-Andrea-]

Wenn der Tunnel steht, kann dann VPN trotzdem geblockt sein? Packet inspection? Oder unterschiedliche Ports für den Aufbau des Tunnels und die Daten?

 

[Domi83]

Machbar ist alles und auch nichts... DPI kann hier in die Suppe spucken, vor allem weil du erwähnt hattest, dass die Zertifikate zu https basierten Seiten ungültig / unsicher wären.

auch die Verbindung zur französischen Kleinanzeigenseite leboncoin.fr sei unsicher, sagte hat mir Opera

Aber für ein genaueres debugging, müsste man den VPN Tunnel aufmachen und mal schauen was alles geht und was nicht... spontan wäre da,

• funktioniert "ping 8.8.8.8" oder ein anderer DNS
• funktioniert "ping" zu einem der heimischen Geräte
• funktioniert "ping computerbase.de" oder eine andere URL
• was sagt "nslookup" mit diversen Parametern zu bestimmten URLs?

 

[Nebula123]

Schalte ich VPN aus, kann ich surfen, allerdings warnt mich Facebook, dass die Verbindung unsicher sei.

Klingt nach Content Inspection der Firewall des WLAN-Betreibers. Das Zertifikat, was du präsentiert bekommst ist dann nicht von Facebook, sondern das der Firewall/Proxy und dass passt halt nicht zum FQDN vom Fratzenbuch.

 

[AAS]

Wenn man schon so weit ist, kann man sich auch nen Reverse Proxy davorsetzen und weiterhin Port 80 oder 443 für VPN verwenden Und als Betreiber könne ich auch über 80 oder 443, VPN unterbinden... das ist ein Spiel gegen die Windmühle

Sehe ich anders, z.B. WireGuard arbeitet standardmässig über UDP und besitzt keine eingebaute Funktion, sich vorab durch einen klassischen Web- oder SOCKS-Proxy zu leiten. Dafür sind Zusatztools nötig.
Es hängt stark vom Proxy und der verwendeten VPN Software ab.

 

[sikarr]

Klingt nach Content Inspection der Firewall des WLAN-Betreibers. Das Zertifikat, was du präsentiert bekommst ist dann nicht von Facebook, sondern das der Firewall/Proxy und dass passt halt nicht zum FQDN vom Fratzenbuch.

das wollte ich auch sagen, anscheinend tauscht der WLAN betreiber die Zertifikate gegen seins aus, sehr bedenklich, das WLAN würde ich nicht nutzen, egal wie.

 

[norKoeri]

allerdings warnt mich Facebook, dass die Verbindung unsicher sei

auch die Verbindung zur französischen Kleinanzeigenseite leboncoin.fr sei unsicher, sagte hat mir Opera

App oder Web? Kannst Du uns die Fehlermeldung posten? Hattest Du davor eine Abfrage bzw. besondere Info-Seite?

 

[Domi83]

Sehe ich anders, z.B. WireGuard arbeitet standardmässig über UDP

Und? Port 443 nutzt nicht nur TCP, sondern auch UDP. Aber belassen wir es dabei, dass du es anders siehst. Und falls du es doch mal anders sehen möchtest, guck dir Nginx an. Und ich meine nicht den Nginx Proxy Manager, sondern den reinen Nginx

Ich bin dann raus. Tschöö mit ö

 

[AAS]

@Domi83 Fehlendes SNI bei UDP (Routing-Konflikt)
Das kann auch Nginx nicht hinzaubern.