Публічны Wi-Fi для адной прылады: чаму выхад праз VPN не дапаможа

Ноўтбук паказвае Connected, рукапоціск праходзіць, а партал усё роўна адмаўляецца загрузіць старонку на другой прыладзе. Гэта не праблема тунеля. Ліміт прылад у пункце доступу належыць яго сістэме доступу, якая лічыць прылады, якім яна дазволіла, і сеансы, якія яна вызваліла. VPN змяняе месца выхаду трафіку пасля аўтарызацыі і ніяк не ўплывае на тое, колькі прылад гэтая сістэма пусціць.

Што партал насамрэч лічыць

Парталы-перахопнікі вядуць улік гранта аўтарызацыі, і грант звычайна прывязаны да чагосьці, што сетка можа ідэнтыфікаваць. MAC-адрас — звычайны выбар, кукі сеансу ў браўзеры — іншы, а некаторыя сістэмы спалучаюць любы з іх з нумарам пакоя або надрукаваным талонам. Чатыры прылады на адным кодзе пакоя — гэта чатыры гранты, а пятая прылада не мае нічога, незалежна ад таго, якое праграмнае забеспячэнне яна запускае. Усталяванне VPN на гэтай пятай прыладзе мяняе адказ з адхілена на адхілена.

Асацыяцыя і аўтарызацыя — розныя станы. Ноўтбук можа асацыявацца з кропкай доступу, трымаць арандаваны адрас DHCP і ўсё роўна не мець інтэрнэту, бо партал яму нічога не выдаў. Чытанне значка Wi-Fi як доказу паспяховасці партала — першая памылка ў гэтым цэлым класе зваротаў.

Удакладніце правіла ў пляцоўкі

Спытайце два пытанні, а не ўгадвайце: колькі прылад дапускае ўліковы запіс і як вызваляецца састарэлы сеанс. Другое важней, бо менавіта грант, пакінуты прыладай, якая сышла, звычайна блакуе наступную. Адміністратары рэсепцыі часта могуць вызваліць яго або выдаць новы код хутчэй, чым любы абыход на баку кліента. Скарыстайцеся гэтым працэсам, перш чым змяняць адрасы абсталявання, бо капіраванне ідэнтыфікатара іншай прылады парушае ўмовы сеткі і дадае дублікат асобы ў сегмент.

Паводзіны залежаць ад аператара. Адны сістэмы прывязваюцца да адбітка прылады, іншыя да сеансу браўзера, а некаторыя дапускаюць фіксаваную колькасць адначасовых грантаў, якія сканчаюцца па таймеры. Палітыка адной пляцоўкі нічога не прадказвае пра наступную, таму адказ пляцоўкі лепшы за любое агульнае правіла.

Трымайце дадзеныя партала і VPN асобна

Код пакоя — не лагін шлюза, і паўторнае выкарыстанне працоўнага лагіна ў партале — дрэнны абмен, нават калі абодва экраны паказваюць поле імя карыстальніка і поле пароля. Спачатку аўтарызуйце патрэбную прыладу, праверце невялікі звычайны запыт там, дзе пляцоўка гэта дазваляе, і толькі пасля гэтага падключайце тунель. Такі парадак дае чыстую атрыбуцыю, калі штосьці зрываецца, бо этап партала ўжо даказаны да таго, як VPN з’явіўся ў карціне.

Калі партал адмаўляе, тунель — няправільнае месца для адладкі. Нішто ў канфігурацыі VPN не можа даць доступ, які сістэма доступу ніколі не выдавала.

Што змяняе дарожны роўтар

Дарожны роўтар можа дапамагчы, прадстаўляючы адну прыладу ўверх і абслугоўваючы некалькі лакальна, і ён змяняе тое, што бачыць партал. Аўтарызацыя прывязваецца да ідэнтыфікатара роўтара, а не да кожнага ноўтбука, і кожны кліент за ім дзеліць адзін грант і адзін публічны адрас. Ці прымальны такі парадак, залежыць ад умоў сеткі, і шмат пляцовак прама забараняюць сумеснае выкарыстанне. Роўтар — законны дызайн там, дзе сумеснае выкарыстанне дазволена, і парушэнне там, дзе не, незалежна ад тэхнічных пераваг.

Нішто з гэтага не здымае ліміт. Гэта пераносіць адзіны грант з ноўтбука на роўтар, што карысна для аднаго падарожніка з некалькімі прыладамі і бескарысна для двух чалавек, кожнаму з якіх патрэбна ўласная аўтарызацыя.

Спачатку вырашыце лакальную праблему аўтарызацыі. Тунель, які працуе бездакорна, усё роўна не можа стварыць грант, які сістэма доступу ніколі не выдавала.