Qu'ils bloquent avec un RST, je pourrais à la limite comprendre. Mais en redirigeant vers un autre hôte avec un autre cert, c'est sale.

Je suppose qu'ils font ca pour que le portail captif fonctionne ?

Personnellement, j'ai laissé tomber. Quand les paquets passent, le débit est anémique si tu fais autre chose que du social media/netflix (pas de bol, j'en fais pas... je fais du SSH le plus souvent).
Et toujours pas d'IPv6 en 2026.
J'ai une qualité de service bien meilleure en utilisant mon téléphone en hotspot (meilleur débit, IPv6, pas de coupure), ce qui est dommage car avec sa petite antenne dans le wagon en métal, il doit probablement utiliser beaucoup plus le canal radio que l'antenne 4G montée sur le toit.

Sauf entre Rennes et Lorient, là, c'est zero réseau par wifi comme par téléphone (Bouygues).

Qu'ils bloquent avec un RST, je pourrais à la limite comprendre.

Pour les ports 53 (vers toutes les IP) et 853 (uniquement certains serveurs), il n'y a aucune réponse (donc ils ont bloqué en sortie, sans ICMP ou RST).

Mais en redirigeant vers un autre hôte avec un autre cert, c'est sale.

Surtout pour retourner du HTML, autant bloquer.
Mais il y a peut-être certaines requêtes qui passent, je ne sais pas.

Je suppose qu'ils font ca pour que le portail captif fonctionne ?

Pas vraiment, sinon ils auraient redirigé le port 53.
Et comme l'accès internet est autorisé uniquement après avoir validé le portail captif, ils pourraient lever les blocages DNS en même temps.

J'ai une qualité de service bien meilleure en utilisant mon téléphone en hotspot (meilleur débit, IPv6, pas de coupure), ce qui est dommage car avec sa petite antenne dans le wagon en métal, il doit probablement utiliser beaucoup plus le canal radio que l'antenne 4G montée sur le toit.

Sauf entre Rennes et Lorient, là, c'est zero réseau par wifi comme par téléphone (Bouygues).

De mon côté entre Paris et Rennes c'est mieux via mon téléphone (Orange), mais entre Rennes et Guingamp le wifi semble un peu meilleur.

Alors sans livrer de secrets, voilà quelques éléments qui pourront j’espère vous aider à comprendre le service wifi à bord.

- Le service wifi est gratuit, mais coûte assez cher en data. C’est pour cela que chaque passager est rationné à 1 Go par tranche de 2 heures, avec un débit (très) réduit une fois ce quota atteint.

- La technologie repose actuellement sur du 100% cellulaire 5G (agrégation de liens des différents opérateurs).
Les défauts sont quelques petits trous de couvertures (minimes), des problématiques liées à la vitesse à 300 km/h (moyennes) mais surtout le partage d’une même ressource radio par l’ensemble des passagers utilisant le wifi (qui veulent tous faire des calls Teams ou du Netflix en même temps) ET les autres passagers qui continuent d’utiliser leur 5G perso et accèdent en fait aux mêmes antennes que le système.

A cela l’adjonction du satellite permettra de se débarrasser du problème de la compétition à une ressource partagée. Mais la data coûtera toujours aussi cher, donc une politique de Fair Use sera maintenue (probablement sous une autre forme quand même), avec probablement encore de la frustration une fois le quota consommé (parfois en background par les applis qui en profitent pour faire leurs synchros et MAJ quand elles détectent du wifi…).

   o   A noter = la plupart des rames ont été modernisées avec le support 5G / modems dernières générations, mais il en reste encore une dizaine avec du matériel plus vieux / 4G, où la différence est notable.

- L’accès au service wifi gratuit nécessite le passage par le portail captif SNCF. C’est du Click & Connect depuis 4-5 ans, mais la SNCF fait tout pour que chaque passager visite le portail :
   o   Pour favoriser la consommation des contenus locaux (films, presse, etc.) ce qui préserve l’usage de data et bande passante sur Internet
   o   Et surtout, c’est source de revenus via la commande en ligne du bistrot !
   o   Android/IOS gérant différemment les connexions, il y a des bidouilles (surtout sur IOS) pour forcer les usagers à être redirigés vers le portail, plutôt que de leur offrir simplement le service après fermeture du portail captif.

- Ce portail est hébergé en local sur chaque rame. Le site wifi.sncf n’existant pas sur Internet, c’est une résolution DNS locale réalisée par le serveur DNS du système embarqué, et chaque rame a un plan d’adressage IP propre.
--> Pour ceux qui utilisent des serveurs DNS privés (VPN ou iCloud Private Relay en tête), c’est ce qui explique la non compatibilité pour l’accès au portail captif.
Mais une fois la connexion établie, vous pouvez réactiver sans souci votre serveur DNS privé. (vous n’aurez juste plus accès au portail par contre)

- Si vous laissez la résolution DNS par notre serveur, il y a une surcouche DNS Filter qui pourra bloquer certains domaines considérés comme malveillants/malwares/etc. J’ai lu des cas de problèmes avec du DOT, je suis preneur d’exemples/traces complémentaires, si vous me confirmez par ailleurs le contexte de votre cas d’usage.

- En tant que FAI offrant un wifi public, nous sommes contraints aux mêmes règles que les autres MNO vis-à-vis des flux :
   o   Régulation européenne (« neutralité du net ») = Nous ne devons filtrer/bloquer aucun type de flux (ex : même le porno), ni brider/restreindre certains flux dont on se priverait pourtant volontiers (ex le streaming)
   o   La seule exception étant le blocage des sites interdits par la plateforme Pharos