Captive-portal en VPN-verkeersper: wie beweeg eerste
’n Hotelportaal wil verkeer sien voordat die tonnel bestaan; die VPN blokkeer tot die tonnel op is. Vergelyk die twee volgordes en wat elkeen in die gaping blootstel.
Die hotel se portaal wil ’n blaaier sien voordat dit enige verkeer deurlaat. Jou VPN weier om verkeer deur te laat voordat sy tonnel op is. Elke kant wag vir die ander, en albei doen presies wat ingestel is. Net twee volgordes breek daardie dooiepunt, en hulle verskil in wat hulle blootstel terwyl die gaping oop is. Kies een doelbewus in plaas daarvan om aan enige instelling te peuter wat die blaaier laat laai.
Twee volgordes, een van hulle werk
Óf die netwerk laat jou eerste toe en die tonnel kom tweede, óf jy maak ’n smal uitsondering vir die portaal oop en herstel daarna die blokkade. Albei is wettig. Wat nie wettig is nie, is om die blokkade af te skakel en te vergeet om dit terug te sit.
| Order | What it costs | When it fails |
|---|---|---|
| Admit, then connect | Nothing extra; the block stays on | The client cannot reach the portal with the tunnel down |
| Exception, then restore | A timed window of direct access | The window is left open, or scoped too broadly |
Die twee volgordes is nie in elke situasie ewe goed nie. ’n Bestuurde toestel met ’n verpligte toelatingsproses het een antwoord, en ’n persoonlike skootrekenaar op hotel-Wi-Fi het ’n ander. Die vergelyking gaan oor wat elke opsie opgee.
Begin deur te weet watter een jou kliënt en jou toestelbeleid werklik ondersteun.
Opsie A: laat die netwerk jou toe, dan koppel die tonnel
Bevestig die verwagte netwerknaam en gebruik dan die bedryfstelsel se aanmeldvenster of die kliënt se ondersteunde captive-portal-vloei. Op iPhone en iPad kan die sluit van die aanmeldblad die assosiasie óf laat val óf behou met ’n waarskuwing dat die netwerk geen internet het, en dit is verskillende beginpunte. Voltooi eers die toelatingsstap en bring dan die tonnel op. Hierdie volgorde hou die blokkade ongeskonde vir die hele tyd wat die tonnel af is.
Die vangnet is dat ’n portaal wat internettoegang magtig, nie jou VPN-rekening bekragtig het nie. Die tonnel moet daarna steeds koppel, en dit kan om sy eie redes misluk. Toelating en bekragtiging is aparte gebeurtenisse wat mense in een saamsmelt.
As die toelating bly verval, let op of die portaal weer vra, die netwerk val, of net die VPN misluk.
Opsie B: ’n smal aanmelduitsondering, dan die blokkade herstel
Die alternatief is om die portaal se verkeer toe te laat terwyl die blokkade andersins van krag bly, aan te meld en dan die uitsondering te verwyder. Die uitsondering moet smal wees: een bestemming of een adresreeks, vir die duur van die aanmelding, met die blokkade onmiddellik daarna herstel. ’n Breë tydelike venster is hoe ’n aanmelding van twee minute ’n middag van onbeskermde verkeer word.
Weet wat jou kliënt werklik implementeer. OpenVPN Connect op macOS dokumenteer captive-portal-opsporing apart van sy opsie wat internettoegang blokkeer terwyl die VPN onderbreek of weer koppel. Om ’n portaal op te spoor en om sy verkeer toe te laat, is verwante take, nie uitruilbare beloftes nie.
Volg op ’n bestuurde toestel die ingestelde toelatingsproses eerder as om ’n uitsondering te bedink.
Wat die gaping blootstel, en aan wie
Die interessante deel van die dooiepunt is nie die blaaier-oortjie voor jou nie. Dit is alles anders wat die netwerk begin gebruik die oomblik wanneer verbinding verskyn: e-pos, fotosinchronisering, opdateringskontroles, ’n kletskliënt wat weer koppel, ’n rugsteunagent wat hervat.
’n Stil blaaier-venster sê niks oor daardie dinge nie. Sluit of pouseer sensitiewe werk voor enige toegelate direkte-toegang-interval, en kyk wat by aanmelding hardloop. Op Android is always-on VPN gekombineer met die blokkering van verbindings buite die VPN die betrokke kontrole, en ’n willekeurige roete-uitsondering is nie ’n plaasvervanger vir om dit te verstaan nie.
Dit is die een plek waar ouer advies oor tydelike toegangsvensters nog geld. Die bekommernis was reg, selfs waar die meganisme dit nie was nie.
Hoe om te kies en hoe om dit te bevestig
Kies Opsie A wanneer die toestel of die kliënt ’n werklike portaalvloei ondersteun, want dit hou die blokkade deurgaans ongeskonde. Kies Opsie B wanneer die portaal nie op enige ander manier bereik kan word nie, en hanteer die uitsondering as ’n tydsbeperkte verandering met ’n eienaar.
Bevestig dan die volgorde eerder as die uitkoms:
curl -sS --max-time 8 https://example.com -o /dev/null -w '%{http_code}\n'Voltooi die toelating, stel die beoogde profiel op, herstel enige blokkeerkontrole wat tydelik verander is, en maak dan ’n nuwe skadelose versoek en bevestig dat dit die tonnel volg. ’n Versoek wat slaag omdat die blokkade nog af is, bewys niks oor die tonnel nie.
Om die VPN-uitgang te ruil sal nie ’n vervalde hotelsessie vernuwe nie. Dit is verskillende gebeurtenisse, en om hulle te verwar stuur jou na die verkeerde plek.