Captive portal i VPN zastoj: ko se pomera prvi

Hotelski portal želi pregledač pre nego što propusti bilo kakav saobraćaj. Vaš VPN odbija da propusti saobraćaj dok njegov tunel nije podignut. Svaka strana čeka drugu i obe se ponašaju tačno onako kako su podešene. Samo dva redosleda razbijaju taj zastoj, i ona se razlikuju po tome šta otkrivaju dok je praznina otvorena. Izaberite jedan namerno, umesto da prebacujete bilo koju postavku koja natera pregledač da se učita.

Dva redosleda, jedan od njih radi

Ili vas mreža prvo propusti pa tunel dođe drugi, ili otvorite usko izuzeće za portal i zatim vratite blokadu. Oba su legitimna. Nije legitimno isključiti blokadu i zaboraviti da je vratite.

Dva redosleda nisu jednako dobra u svakoj situaciji. Upravljani uređaj sa propisanim procesom prihvatanja ima jedan odgovor, a lični laptop na hotelskom Wi-Fi ima drugi. Poređenje se odnosi na to čega se svaka opcija odriče.

Počnite time što ćete znati koje od njih vaš klijent i vaša politika uređaja zaista podržavaju.

Opcija A: mreža vas prihvati, pa se tunel poveže

Potvrdite očekivano ime mreže, zatim upotrebite sistemski prozor za prijavu ili tok za captive portal koji klijent podržava. Na iPhone i iPad uređajima zatvaranje lista za prijavu može ili prekinuti asocijaciju ili je zadržati uz upozorenje da mreža nema internet, a to su različite početne tačke. Prvo završite korak prihvatanja, pa podignite tunel. Ovaj redosled drži blokadu netaknutom sve vreme dok je tunel spušten.

Kvaka je u tome što portal koji odobri pristup internetu nije autentifikovao vaš VPN nalog. Tunel se ipak mora povezati nakon toga, i može pasti iz sopstvenih razloga. Prihvatanje i autentifikacija su odvojeni događaji koje ljudi spajaju u jedan.

Ako prihvatanje stalno ističe, zabeležite da li portal ponovo pita, da li mreža pada ili pada samo VPN.

Opcija B: usko izuzeće za prijavu, pa vraćanje blokade

Alternativa je da dozvolite saobraćaj portala dok blokada inače ostaje na snazi, prijavite se, a zatim uklonite izuzeće. Izuzeće mora biti usko: jedna destinacija ili jedan opseg adresa, za vreme trajanja prijave, uz trenutno vraćanje blokade posle toga. Širok privremen prozor je način na koji prijava od dva minuta postane popodne nezaštićenog saobraćaja.

Znajte šta vaš klijent zaista primenjuje. OpenVPN Connect na macOS-u dokumentuje otkrivanje captive portala odvojeno od svoje opcije koja blokira pristup internetu dok je VPN pauziran ili se ponovo povezuje. Otkrivanje portala i dozvoljavanje njegovog saobraćaja su povezani zadaci, a ne zamenljiva obećanja.

Na upravljanom uređaju sledite podešeni proces prihvatanja umesto da izmišljate izuzeće.

Šta praznina otkriva i kome

Zanimljiv deo zastoja nije kartica pregledača pred vama. To je sve ostalo što počinje da koristi mrežu u trenutku kada se veza pojavi: pošta, sinhronizacija fotografija, provere ažuriranja, klijent za ćaskanje koji se ponovo povezuje, agent za rezervne kopije koji nastavlja.

Tiha kartica pregledača ne govori vam ništa o tome. Zatvorite ili pauzirajte osetljiv rad pre svakog dozvoljenog intervala direktnog pristupa i proverite šta se pokreće pri prijavi. Na Androidu stalno uključen VPN u kombinaciji sa blokiranjem veza van VPN-a je relevantna kontrola, a proizvoljno izuzeće rute nije zamena za razumevanje toga.

Ovo je jedino mesto gde stari savet o privremenim prozorima pristupa još uvek važi. Zabrinutost je bila tačna čak i tamo gde mehanizam nije bio.

Kako izabrati i kako to potvrditi

Izaberite opciju A kada uređaj ili klijent podržava pravi tok portala, jer ona drži blokadu netaknutom sve vreme. Izaberite opciju B kada se portalu ne može pristupiti na drugi način, i tretirajte izuzeće kao promenu ograničenu u vremenu i sa vlasnikom.

Zatim potvrdite sled, a ne ishod:

curl -sS --max-time 8 https://example.com -o /dev/null -w '%{http_code}\n'

Završite prihvatanje, uspostavite predviđeni profil, vratite svaku privremeno izmenjenu kontrolu blokiranja, a zatim uputite nov svež bezopasan zahtev i potvrdite da ide kroz tunel. Zahtev koji uspe zato što je blokada još isključena ne dokazuje ništa o tunelu.

Promena VPN izlaza neće obnoviti isteklu hotelsku sesiju. To su različiti događaji, a njihovo mešanje vas šalje da tražite na pogrešnom mestu.