Gwahanwch fewngofnodion porth Wi-Fi od mewngofnodion VPN
Mae dau system wahanol yn gofyn i chi fewngofnodi: Wi-Fi y lleoliad a’ch porth VPN. Maent yn edrych yr un fath ar y sgrin ac yn awdurdodi pethau hollol wahanol. Gofynnwch i bob ffenestr: pwy all wir ddilysu’r gyfrinach hon?
Mae dau system wahanol yn gofyn i chi fewngofnodi cyn cyrraedd unrhyw beth defnyddiol ar rwydwaith cyhoeddus: Wi-Fi y lleoliad a’ch porth VPN. Maent yn edrych yr un fath ar y sgrin ac yn awdurdodi pethau hollol wahanol. Mae’r porth yn penderfynu a gaiff y ddyfais hon ddefnyddio’r rhwydwaith lleol; mae’r VPN yn penderfynu a gewch chi gyrraedd rhwydwaith preifat yn rhywle arall. Rwy’n eu cadw ar wahân drwy ofyn un cwestiwn i bob ffenestr: pwy all wir ddilysu’r gyfrinach hon? Yr hyn sy’n dilyn yw’r rhestr wirio rwy’n ei defnyddio mewn gwestai, meysydd awyr a chanolfannau cynhadledd, gan gynnwys y mannau lle’r wyf yn rhoi’r gorau i deipio.
Mapio pob mewngofnod i’r gwasanaeth sy’n ei wirio
Gall un cysylltiad gwesty gynnwys pedwar gwiriad ar wahân, a dim ond rhai sy’n gofyn am eich mewnbwn. Rhowch nhw mewn trefn yn gyntaf, oherwydd anaml y mae’r sgrin yn dweud pa gam y mae’n perthyn iddo.
| Stage | Who checks it | What you give it | What it proves |
|---|---|---|---|
| Wi-Fi association | The access point | WPA2 passphrase or 802.1X credentials | That the device may join this SSID |
| Portal authorization | The venue or its portal provider | Room number, booking name, voucher, email or access code | That a guest may use local access |
| VPN authentication | Your gateway or identity provider | Client certificate, password, one-time code or SSO approval | That the user or device may enter the private network |
| Application login | Each internal service | That service's own account | That you may use that service |
Mae rhwydweithiau 802.1X, sy’n gyffredin mewn swyddfeydd a phrifysgolion, yn pylu’r ddwy restr gyntaf. Yno mae mewngofnodi Wi-Fi ei hun yn wiriad hunaniaeth yn erbyn gweinydd RADIUS, a gall y cleient gyflwyno hunaniaeth lwybro tra bo’r cyfrif go iawn yn teithio y tu mewn i’r cyfnewid amgryptiedig. Hyd yn oed wedyn mae’r gwiriad yn ymwneud ag ymuno â’r rhwydwaith; nid yw’n awdurdodi’r twnnel, ac nid yw’r porth VPN yn ei dderbyn fel prawf o unrhyw beth.
Mae trefn yn bwysicach nag enwau. Mae portau caeth yn bodoli oherwydd y gellir caniatáu mynediad ar ôl cysylltu, a dyna pam y gall lleoliad drosglwyddo’r dudalen i ddarparwr arbenigol. Mae RFC 8952 IETF yn trin y porth fel cydran ei hun, felly mae parth anghyfarwydd yn rheswm dros wirio, nid yn brawf o dwyll ynddo’i hun. Cymharwch y parth â chyfarwyddiadau ysgrifenedig y lleoliad, a’r meysydd â’r tabl.
Gwiriwch beth y caiff porth ofyn amdano
Mae meysydd y porth yn ymwneud â hawl, nid â hunaniaeth: rhif ystafell, cyfenw’r archeb, cod taleb, y cod a argraffwyd ar gas y allwedd, e-bost ar gyfer pas cyfyngedig, derbyn telerau. Mae’r lleoliad eisoes yn gwybod pwy archebodd yr ystafell, felly gall baru’r ffeithiau hynny heb ddysgu unrhyw beth a fyddai’n ei alluogi i weithredu fel chi mewn man arall.
Mae unrhyw beth y tu hwnt i’r rhestr honno’n haeddu seibiant. Nid yw tudalen hotspot yn gallu dilysu eich cyfrinair parth, ac ni all chwaith ddilysu eich cod un-defnydd VPN, cod adfer na allwedd breifat, ac nid oes ganddi reswm i’w heisiau. Yr unig eithriad dilys yw rhwydwaith a reolir gan sefydliad: gall SSID gwestai swyddfa neu Wi-Fi cynhadledd eich trosglwyddo i’r darparwr hunaniaeth rydych eisoes yn ei ddefnyddio ar gyfer gwaith. Mae’n dal yn wahaniaethadwy: y gwesteiwr mewngofnodi yw eich un dyddiol, mae’r sgrin ganiatâd yn enwi eich tenant, ac mae’r llif yn agor mewn tab porwr gweladwy.
Mae e-bost marchnata ar wahân: mae ffugenw teithio’n bodloni’r maes heb drosglwyddo eich hunaniaeth waith.
Gwiriwch fod y cleient VPN am ei gymwysterau ei hun
Mae cleient yn gofyn yn union am yr hyn y mae ei broffil wedi’i ffurfweddu i’w ddefnyddio, felly mae’r ffenestr a ddisgwylir yn nodwedd o’r proffil ac nid o’r rhwydwaith rydych chi arni. Mae proffiliau tystysgrif fel arfer yn dangos dewis proffil ac yna’n cysylltu’n dawel. Mae proffiliau enw defnyddiwr a chyfrinair yn gofyn am y ddau, yn aml gyda chod un-defnydd. Mae proffiliau SSO yn agor eich porwr i’r darparwr hunaniaeth ac yn dychwelyd gyda thocyn. Mae WireGuard yn wahanol eto: mae’n dilysu dyfeisiau drwy allwedd gyhoeddus ac nid oes ganddo fewngofnodi defnyddiwr, felly nid yw ffenestr sy’n cynnig enw defnyddiwr a chyfrinair WireGuard yn disgrifio WireGuard.
Darllenwch y proffil cyn teithio. Yn OpenVPN, mae auth-user-pass yn dweud wrthych fod anogwr cyfrinair i’w ddisgwyl, tra bo cert, key neu pkcs12 yn golygu y dylai tystysgrif wneud y gwaith. Os yw proffil sy’n cysylltu’n ddi-anogwr fel arfer yn gofyn am gyfrinair yn sydyn, amheuwch broffil na lwyddodd i lwytho ei dystysgrif neu a giliwyd i ddull arall. Nid yw anogwr yn wahoddiad i deipio eich cyfrinair gwaith i unrhyw ffenestr a ymddangosodd.
Nid yw unrhyw gleient VPN dilys yn gofyn am rif yr ystafell, taleb y porth na chyfrinair Wi-Fi fel mewnbwn dilysu. Pan fydd hynny’n digwydd, naill ai nid yw’r cleient yr hyn y mae’n honni bod, neu mae porth caeth yn rhyng-gipio traffig cyn i’r twnnel ffurfio ac rydych yn darllen tudalen HTML wedi’i steilio i edrych fel mewngofnodi.
Stopiwch ar y pum amod hyn
Dyma’r mannau lle’r wyf yn stopio yn hytrach na pharhau ag ateb dros dro credadwy. Mae pob un yn rhad ei wirio ac yn ddrud ei gael o’i le.
- Mae rhybudd tystysgrif neu TLS yn ymddangos ar y porth neu ar dudalen SSO. Peidiwch ei glitian i gyrraedd y rhwydwaith.
- Mae'r dudalen yn gofyn am gyfrinach na all ond y porth VPN neu'r darparwr hunaniaeth ei dilysu: cyfrinair parth, cod un-defnydd, cod adfer, allwedd breifat.
- Nid yw'r parth yn cyfateb i gyfarwyddiadau printiedig y lleoliad nac i'r gwesteiwr mewngofnodi y mae eich sefydliad yn ei ddogfennu ar gyfer ei wasanaethau ei hun.
- Gofynnir i chi osod tystysgrif gwraidd, proffil ffurfweddu neu raglen ategol nad yw'n dod o reolaeth eich dyfeisiau.
- Daw cymeradwyaeth MFA na wnaethoch ei dechrau, neu mae'r cleient VPN yn gofyn am gymwysterau'r gwesty.
Nid cyfrinair gwahanol yw’r cwymp yn ôl. Defnyddiwch hotspot ffôn, gofynnwch i’r ddesg flaen am enw manwl y rhwydwaith a’r dull mynediad, ac adroddwch y dudalen i bwy bynnag sy’n rhedeg y rhwydwaith neu i’ch desg TG. Nid oes angen profi cymhwyster yn erbyn tudalen na allwch ei phriodoli ar gyfer unrhyw un o’r rhain.
Priodolwch fethiant i’r cam cywir
Ar ôl i’r ddau gam basio, mae methiannau’n dal i ddigwydd, ac mae’r gwall fel arfer yn enwi’r cam os ydych yn ei ddarllen mewn trefn: cysylltu, neilltuo cyfeiriad, awdurdodi porth, sefydlu twnnel, yna’r adnodd mewnol. Mae newid cyfrinair VPN oherwydd bod cod porth wedi dod i ben yn gwastraffu amser ac yn gadael y gwir broblem yn ei lle.
Mae ychydig o brofion yn gwahanu’r camau. Ar ôl mewngofnodi i’r porth, gofynnwch am dudalen HTTPS gyhoeddus gyffredin. Os daw’r porth yn ôl yn lle hynny, ni chwblhawyd awdurdodi ar y haen honno erioed. Os yw’r cleient VPN yn adrodd na all gyrraedd y porth, mae’r broblem o dan y twnnel: sesiwn y porth, datrysiad enwau, neu rwydwaith sy’n blocio’r porthladd. Os daw’r twnnel i fyny ac un enw gwesteiwr mewnol yn methu, datrysiad enwau neu bolisi y tu mewn i’r rhwydwaith preifat yw’r prif amheus.
Mae sesiynau porth hefyd yn dod i ben yn annibynnol ar y twnnel. Pan fydd y lleoliad yn dirymu mynediad, mae cysylltiad VPN sefydledig yn disgyn er na fu ei gymwysterau’n anghywir erioed. Ailawdurdodwch y porth, yna ailgysylltwch y VPN a gadewch iddo ailnegodi. Nid yw cylchdroi cyfrinair VPN bryd hynny’n trwsio dim a gall eich cloi allan.
Rhowch bob cyfrinach dim ond i’r system sy’n gallu ei dilysu, a thriniwch anogwr nad yw’n ffitio’r tabl fel arwydd stop yn hytrach na cham i’w osgoi. Os bydd y ddau gam yn pasio ac mae’r twnnel yn dal i wrthod, cofnodwch wall manwl y cleient cyn newid unrhyw gymhwyster.