Wi-Fi portalı və VPN girişlərini bir-birindən ayırın
İki fərqli sistem sizdən giriş tələb edir: məkanın Wi-Fi şəbəkəsi və VPN şlüzünüz. Ekranda oxşar görünür, tamamilə fərqli şeylərə icazə verirlər. Hər pəncərədə soruşun: bu sirri kim həqiqətən yoxlaya bilər?
İctimai şəbəkədə faydalı bir şeyə çatmazdan əvvəl iki fərqli sistem sizdən daxil olmağınızı tələb edir: məkanın Wi-Fi şəbəkəsi və VPN şlüzünüz. Ekranda bir-birinə bənzəyir və tamamilə fərqli şeylərə icazə verirlər. Portal bu cihazın yerli şəbəkədən istifadə edə biləcəyini, VPN isə başqa yerdəki şəxsi şəbəkəyə çata biləcəyinizi qərar verir. Mən onları hər pəncərədə bir sual verməklə ayırıram: bu sirri kim həqiqətən yoxlaya bilər? Bundan sonrası otellərdə, hava limanlarında və konfrans məkanlarında tətbiq etdiyim yoxlama siyahısıdır, o cümlədən yazmağı dayandırdığım nöqtələr.
Hər girişi onu yoxlayan xidmətlə uyğunlaşdırın
Bir otel bağlantısı dörd ayrı yoxlama ehtiva edə bilər və onlardan yalnız bəziləri sizdən məlumat istəyir. Əvvəlcə onları sıraya düzün, çünki ekran hansı mərhələyə aid olduğunu nadir hallarda bildirir.
| Stage | Who checks it | What you give it | What it proves |
|---|---|---|---|
| Wi-Fi association | The access point | WPA2 passphrase or 802.1X credentials | That the device may join this SSID |
| Portal authorization | The venue or its portal provider | Room number, booking name, voucher, email or access code | That a guest may use local access |
| VPN authentication | Your gateway or identity provider | Client certificate, password, one-time code or SSO approval | That the user or device may enter the private network |
| Application login | Each internal service | That service's own account | That you may use that service |
Ofislərdə və universitetlərdə geniş yayılmış 802.1X şəbəkələri ilk iki sətri bulanıqlaşdırır. Orada Wi-Fi girişi özü RADIUS serverinə qarşı şəxsiyyət yoxlamasıdır və müştəri marşrutlaşdırma şəxsiyyəti təqdim edə bilər, həqiqi hesab isə şifrələnmiş mübadilənin içində hərəkət edir. Hətta o zaman yoxlama şəbəkəyə qoşulma ilə bağlıdır; tünelə icazə vermir və VPN şlüzü onu heç nəyin sübutu kimi qəbul etmir.
Sıra etiketlərdən daha çox vacibdir. Captive portallar mövcuddur, çünki giriş qoşulmadan sonra verilə bilər; buna görə məkan səhifəni ixtisaslaşmış təchizatçıya verə bilər. IETF-nin RFC 8952 portala öz komponenti kimi baxır, ona görə tanış olmayan domen yoxlama üçün səbəbdir, özlüyündə fırıldaq sübutu deyil. Domeni məkanın yazılı təlimatları ilə, sahələri isə cədvəllə müqayisə edin.
Portalın nə soruşa biləcəyini yoxlayın
Portal sahələri hüquqla bağlıdır, şəxsiyyətlə deyil: otaq nömrəsi, rezervasiya soyadı, kupon kodu, açar qabının üzərində çap olunmuş kod, müddətli keçid üçün e-poçt, şərtlərin qəbulu. Məkan otağı kimin sifariş etdiyini artıq bilir, ona görə bu faktları başqa yerdə sizin adınızdan hərəkət etməyə imkan vermədən uyğunlaşdıra bilər.
Bu siyahıdan kənar hər şey fasiləyə layiqdir. Hotspot səhifəsi domen parolunuzu yoxlaya bilməz, VPN birdəfəlik kodunuzu, bərpa kodunuzu və ya şəxsi açarınızı da yoxlaya bilməz və onları istəməyə heç bir səbəbi yoxdur. Yeganə qanuni istisna təşkilat tərəfindən idarə olunan şəbəkədir: ofis qonaq SSID-si və ya konfrans Wi-Fi-si sizi artıq iş üçün istifadə etdiyiniz şəxsiyyət təchizatçısına yönəldə bilər. Yenə də fərqləndirmək mümkündür: giriş hostu gündəlik istifadə etdiyiniz hostdur, razılıq ekranı tenatınızın adını çəkir və axın görünən brauzer vərəqində açılır.
Marketinq e-poçtu ayrıdır: səyahət üçün yaradılmış ünvan iş şəxsiyyətinizi vermədən sahəni təmin edir.
VPN müştərisinin öz etimadnamələrini istədiyini yoxlayın
Müştəri məhz profilinə uyğunlaşdırılmış olanı soruşur, ona görə gözlənilən pəncərə profilin xüsusiyyətidir, təsadüfən olduğunuz şəbəkənin deyil. Sertifikat profilləri adətən profil seçimi göstərir və sonra səssizcə qoşulur. İstifadəçi adı və parol profilləri hər ikisini soruşur, çox vaxt birdəfəlik kodla. SSO profilləri brauzerinizi şəxsiyyət təchizatçısına açır və tokenlə qayıdır. WireGuard yenə fərqlidir: cihazları açıq açarla doğrulayır və istifadəçi girişi yoxdur, ona görə WireGuard istifadəçi adı və parolu təklif edən pəncərə WireGuard-ı təsvir etmir.
Səyahətdən əvvəl profili oxuyun. OpenVPN daxilində auth-user-pass parol pəncərəsinin gözlənildiyini bildirir, halbuki cert, key və ya pkcs12 işi sertifikatın görməli olduğu anlamına gəlir. Adətən pəncərəsiz qoşulan profil qəflətən parol istəyirsə, sertifikatını yükləyə bilməyən və ya başqa üsula keçən profildən şübhələnin. Pəncərə iş parolunuzu görünən hansısa pəncərəyə yazmaq üçün dəvət deyil.
Heç bir qanuni VPN müştərisi otaq nömrəsini, portal kuponunu və ya Wi-Fi parol ifadəsini autentifikasiya girişi kimi istəmir. Bu baş verdikdə ya müştəri özünü təqdim etdiyi şey deyil, ya da captive portal tünel yaranmazdan əvvəl trafiki tutur və siz girişə bənzəmək üçün stilləşdirilmiş HTML səhifəsi oxuyursunuz.
Bu beş şərtdə dayanın
Bunlar ağlabatan bir keçid yolu ilə davam etmək əvəzinə dayandığım nöqtələrdir. Hər birini yoxlamaq ucuz, səhv etmək bahadır.
- Portalde və ya SSO səhifəsində sertifikat və ya TLS xəbərdarlığı görünür. Şəbəkəyə çatmaq üçün onu klikləyərək keçməyin.
- Səhifə yalnız VPN şlüzünün və ya şəxsiyyət təchizatçısının yoxlaya biləcəyi bir sirr istəyir: domen parolu, birdəfəlik kod, bərpa kodu, şəxsi açar.
- Domen məkanın çap təlimatlarına və ya təşkilatınızın öz xidmətləri üçün sənədləşdirdiyi giriş hostuna uyğun gəlmir.
- Sizdən cihaz idarəetmənizdən gəlməyən kök sertifikat, konfiqurasiya profili və ya köməkçi proqram quraşdırmağınız istənir.
- Sizin başlatmadığınız MFA təsdiqi gəlir və ya VPN müştərisi otel etimadnamələrini istəyir.
Ehtiyat yol fərqli parol deyil. Telefon hotspotundan istifadə edin, qəbul masasından dəqiq şəbəkə adını və giriş üsulunu soruşun, səhifəni şəbəkəni idarə edənə və ya İT masanıza bildirin. Bunların heç biri aid edə bilmədiyiniz səhifəyə qarşı etimadnamə sınamağı tələb etmir.
Uğursuzluğu düzgün mərhələyə aid edin
Hər iki mərhələ keçdikdən sonra da uğursuzluqlar olur və xəta sıra ilə oxusanız adətən mərhələni adlandırır: qoşulma, ünvan təyini, portal avtorizasiyası, tünel qurulması, sonra daxili resurs. Portal kodu vaxtı bitdiyi üçün VPN parolunu dəyişmək vaxt itirir və əsl problemi yerində qoyur.
Bir neçə yoxlama mərhələləri ayırır. Portal girişindən sonra adi ictimai HTTPS səhifəsi tələb edin. Əvəzinə portal qayıdırsa, avtorizasiya o qatda heç vaxt tamamlanmayıb. VPN müştərisi şlüzə çata bilmədiyini bildirirsə, problem tünelin altındadır: portal sessiyası, ad həlli və ya portu bloklayan şəbəkə. Tünel qalxır və bir daxili host adı uğursuz olursa, şəxsi şəbəkə daxilində ad həlli və ya siyasət daha yaxşı şübhəlidir.
Portal sessiyaları da tüneldən asılı olmayaraq bitir. Məkan girişi ləğv etdikdə, etimadnamələri heç vaxt səhv olmasa da qurulmuş VPN bağlantısı düşür. Portala yenidən icazə verin, sonra VPN-i yenidən qoşun və yenidən danışıq aparmasına imkan verin. O zaman VPN parolunu fırlatmaq heç nəyi düzəltmir və sizi kilidləyə bilər.
Hər sirri yalnız onu yoxlaya bilən sistemə verin və cədvələ uyğun olmayan pəncərəni yan keçiləcək addım deyil, dayanma işarəsi sayın. Hər iki mərhələ keçsə və tünel yenə imtina etsə, hər hansı etimadnaməni dəyişməzdən əvvəl dəqiq müştəri xətasını qeydə alın.