افصل تسجيل الدخول إلى بوابة الواي فاي عن تسجيل الدخول إلى VPN
نظامان مختلفان يطلبان منك تسجيل الدخول: شبكة الواي فاي في المكان وبوابة VPN الخاصة بك. يبدوان متشابهين، لكنهما يصرّحان بأشياء مختلفة تمامًا. اسأل عند كل نافذة: من يستطيع التحقق من هذا السر فعلًا؟
يطلب منك نظامان مختلفان تسجيل الدخول قبل أن تصل إلى أي شيء مفيد على شبكة عامة: شبكة الواي فاي في المكان وبوابة VPN الخاصة بك. يبدوان متشابهين على الشاشة ويصرّحان بأشياء مختلفة تمامًا. تقرر البوابة ما إذا كان هذا الجهاز يجوز له استخدام الشبكة المحلية؛ وتقرر VPN ما إذا كان يجوز لك الوصول إلى شبكة خاصة في مكان آخر. أبقي الاثنين منفصلين بسؤال واحد لكل نافذة: من يستطيع التحقق من هذا السر فعلًا؟ ما يلي هو قائمة التحقق التي أستخدمها في الفنادق والمطارات وقاعات المؤتمرات، بما في ذلك النقاط التي أتوقف فيها عن الكتابة.
اربط كل تسجيل دخول بالخدمة التي تتحقق منه
قد يشمل اتصال فندقي واحد أربعة فحوص منفصلة، ولا يطلب بعضها فقط إدخالًا منك. رتّبها أولًا، لأن الشاشة نادرًا ما تذكر المرحلة التي تنتمي إليها.
| Stage | Who checks it | What you give it | What it proves |
|---|---|---|---|
| Wi-Fi association | The access point | WPA2 passphrase or 802.1X credentials | That the device may join this SSID |
| Portal authorization | The venue or its portal provider | Room number, booking name, voucher, email or access code | That a guest may use local access |
| VPN authentication | Your gateway or identity provider | Client certificate, password, one-time code or SSO approval | That the user or device may enter the private network |
| Application login | Each internal service | That service's own account | That you may use that service |
شبكات 802.1X، الشائعة في المكاتب والجامعات، تُضبِّب الصفين الأولين. هناك يكون تسجيل الدخول إلى الواي فاي نفسه فحص هوية أمام خادم RADIUS، وقد يقدّم العميل هوية توجيه بينما ينتقل الحساب الحقيقي داخل التبادل المشفّر. وحتى ذلك الحين يتعلق الفحص بالانضمام إلى الشبكة؛ فهو لا يصرّح بالنفق، وبوابة VPN لا تقبله دليلًا على أي شيء.
الترتيب أهم من التسميات. توجد بوابات الأسر لأن الوصول يمكن منحه بعد الارتباط، ولهذا يمكن للمكان أن يسلّم الصفحة إلى مزوّد متخصص. يعامل RFC 8952 الصادر عن IETF البوابة كمكوّن مستقل، لذا فإن نطاقًا غير مألوف سبب للتحقق، وليس دليلًا على الاحتيال بحد ذاته. تحقق من النطاق مقابل تعليمات المكان المكتوبة، ومن الحقول مقابل الجدول.
تحقق مما يُسمح للبوابة بأن تطلبه
حقول البوابة تتعلق بالاستحقاق لا بالهوية: رقم الغرفة، لقب الحجز، رمز القسيمة، الرمز المطبوع على غلاف المفتاح، بريد إلكتروني لتصريح مؤقت، قبول الشروط. المكان يعرف أصلًا من حجز الغرفة، فيمكنه مطابقة تلك الحقائق دون أن يتعلم شيئًا يتيح له التصرف باسمك في مكان آخر.
أي شيء يتجاوز تلك القائمة يستحق التوقف. صفحة نقطة الاتصال لا تستطيع التحقق من كلمة مرور نطاقك، ولا تستطيع أيضًا التحقق من رمز VPN لمرة واحدة أو رمز استرداد أو مفتاح خاص، وليس لديها سبب لطلبها. الاستثناء الشرعي الوحيد هو شبكة تديرها مؤسسة: قد تحوّلك شبكة SSID للزوار في مكتب أو واي فاي مؤتمر إلى مزوّد الهوية الذي تستخدمه أصلًا للعمل. يبقى الأمر قابلًا للتمييز: مضيف تسجيل الدخول هو مضيفك اليومي، وشاشة الموافقة تذكر مستأجرك، والتدفق يفتح في علامة تبويب مرئية في المتصفح.
البريد التسويقي منفصل: يمكن لعنوان بريد مخصص للسفر أن يحقق الحقل دون تسليم هوية عملك.
تحقق من أن عميل VPN يريد بيانات اعتماده الخاصة
يطلب العميل بالضبط ما هو مُعدّ في ملف تعريفه للاستخدام، لذا فإن المطالبة المتوقعة خاصية للملف لا للشبكة التي تصادف وجودك عليها. عادةً ما تعرض ملفات تعريف الشهادات اختيار ملف ثم تتصل بصمت. تطلب ملفات تعريف اسم المستخدم وكلمة المرور كليهما، غالبًا مع رمز لمرة واحدة. تفتح ملفات تعريف SSO متصفحك إلى مزوّد الهوية وتعود برمز. WireGuard مختلف مرة أخرى: فهو يوثّق الأجهزة بمفتاح عام وليس لديه تسجيل دخول مستخدم، لذا فإن نافذة تعرض اسم مستخدم وكلمة مرور WireGuard لا تصف WireGuard.
اقرأ ملف التعريف قبل أن تسافر. في OpenVPN، يشير auth-user-pass إلى أن مطالبة كلمة المرور متوقعة، بينما يعني cert أو key أو pkcs12 أن الشهادة هي التي يجب أن تؤدي العمل. إذا طلب ملف تعريف يتصل عادةً دون مطالبة كلمة مرور فجأةً، فاشتبه في ملف فشل في تحميل شهادته أو تراجع إلى طريقة أخرى. المطالبة ليست دعوة لكتابة كلمة مرور عملك في أي نافذة ظهرت.
لا يطلب أي عميل VPN شرعي رقم الغرفة أو قسيمة البوابة أو عبارة مرور الواي فاي كمدخل مصادقة. عندما يحدث ذلك، فإما أن العميل ليس ما يدّعيه، أو أن بوابة أسر تعترض حركة المرور قبل تشكّل النفق وأنت تقرأ صفحة HTML مصممة لتبدو كتسجيل دخول.
توقف عند هذه الشروط الخمسة
هذه هي النقاط التي أتوقف عندها بدلًا من المتابعة بحل بديل معقول. كل منها رخيص الفحص ومكلف الخطأ.
- تظهر تحذيرات الشهادة أو TLS على البوابة أو على صفحة SSO. لا تتجاوزها بالنقر من أجل الوصول إلى الشبكة.
- تطلب الصفحة سرًا لا يستطيع التحقق منه سوى بوابة VPN أو مزوّد الهوية: كلمة مرور النطاق، رمز لمرة واحدة، رمز استرداد، مفتاح خاص.
- لا يطابق النطاق تعليمات المكان المطبوعة أو مضيف تسجيل الدخول الذي توثّقه مؤسستك لخدماتها.
- يُطلب منك تثبيت شهادة جذر أو ملف تعريف إعداد أو تطبيق مساعد لا يأتي من إدارة أجهزتك.
- تصل موافقة MFA لم تبدأها، أو يطلب عميل VPN بيانات اعتماد الفندق.
البديل ليس كلمة مرور مختلفة. استخدم نقطة اتصال هاتف، واسأل مكتب الاستقبال عن اسم الشبكة وطريقة الوصول بدقة، وأبلغ عن الصفحة لمن يدير الشبكة أو مكتب تقنية المعلومات لديك. لا شيء من ذلك يتطلب اختبار بيانات اعتماد على صفحة لا يمكنك نسبتها.
انسب الفشل إلى المرحلة الصحيحة
بعد أن تنجح المرحلتان، تظل الإخفاقات تحدث، وعادةً ما تسمّي رسالة الخطأ المرحلة إذا قرأتها بالترتيب: الارتباط، تعيين العنوان، تصريح البوابة، إنشاء النفق، ثم المورد الداخلي. تغيير كلمة مرور VPN لأن رمز البوابة انتهى يضيع الوقت ويترك المشكلة الحقيقية في مكانها.
تفصل بضع اختبارات بين المراحل. بعد تسجيل الدخول إلى البوابة، اطلب صفحة HTTPS عامة عادية. إذا عادت البوابة بدلًا منها، فلم يكتمل التصريح أبدًا في تلك الطبقة. إذا أبلغ عميل VPN أنه لا يستطيع الوصول إلى البوابة، فالمشكلة تحت النفق: جلسة البوابة، أو تحليل الأسماء، أو شبكة تحجب المنفذ. إذا ظهر النفق وفشل اسم مضيف داخلي واحد، فتحليل الأسماء أو السياسة داخل الشبكة الخاصة هو المشتبه به الأفضل.
تنتهي جلسات البوابة أيضًا بشكل مستقل عن النفق. عندما يلغي المكان الوصول، يسقط اتصال VPN قائم رغم أن بيانات اعتماده لم تكن خاطئة قط. أعد تصريح البوابة، ثم أعد توصيل VPN ودعه يتفاوض من جديد. تدوير كلمة مرور VPN عندئذ لا يصلح شيئًا وقد يقفلك خارجًا.
أعطِ كل سر فقط للنظام الذي يستطيع التحقق منه، واعتبر المطالبة التي لا تناسب الجدول علامة توقف لا خطوة للالتفاف عليها. إذا نجحت المرحلتان ورفض النفق مع ذلك، فالتقط خطأ العميل بدقة قبل تغيير أي بيانات اعتماد.