Captive Portal und VPN-Blockade: Wer bewegt sich zuerst
Das Hotelportal braucht Verkehr, bevor der Tunnel existiert; das VPN blockiert, bis der Tunnel steht. Vergleichen Sie die beiden Reihenfolgen und was jede in der Lücke offenlegt.
Das Portal des Hotels will einen Browser sehen, bevor es Verkehr durchlässt. Ihr VPN verweigert Verkehr, bis sein Tunnel steht. Jede Seite wartet auf die andere, und beide verhalten sich genau so, wie sie konfiguriert sind. Nur zwei Reihenfolgen lösen diese Blockade, und sie unterscheiden sich darin, was sie offenlegen, solange die Lücke offen ist. Wählen Sie eine bewusst, statt an irgendeiner Einstellung zu drehen, die den Browser laden lässt.
Zwei Reihenfolgen, eine davon funktioniert
Entweder lässt das Netzwerk Sie zuerst herein und der Tunnel folgt, oder Sie öffnen eine schmale Ausnahme für das Portal und stellen die Sperre danach wieder her. Beides ist legitim. Nicht legitim ist, die Sperre abzuschalten und zu vergessen, sie zurückzusetzen.
| Order | What it costs | When it fails |
|---|---|---|
| Admit, then connect | Nothing extra; the block stays on | The client cannot reach the portal with the tunnel down |
| Exception, then restore | A timed window of direct access | The window is left open, or scoped too broadly |
Die beiden Reihenfolgen sind nicht in jeder Situation gleich gut. Ein verwaltetes Gerät mit vorgeschriebenem Zulassungsverfahren hat eine Antwort, ein privates Notebook im Hotel-WLAN eine andere. Der Vergleich dreht sich darum, worauf jede Option verzichtet.
Finden Sie zuerst heraus, welche von beiden Ihr Client und Ihre Geräterichtlinie tatsächlich unterstützen.
Option A: erst das Netzwerk zulassen, dann den Tunnel verbinden
Bestätigen Sie den erwarteten Netzwerknamen und nutzen Sie dann die Anmeldeaufforderung des Betriebssystems oder den vom Client unterstützten Ablauf für Captive Portale. Auf iPhone und iPad kann das Schließen des Anmeldeblatts entweder die Verbindung trennen oder sie mit einer Warnung behalten, dass das Netzwerk kein Internet hat, und das sind unterschiedliche Ausgangspunkte. Schließen Sie zuerst den Zulassungsschritt ab und bauen Sie dann den Tunnel auf. Diese Reihenfolge hält die Sperre die ganze Zeit intakt, in der der Tunnel unten ist.
Der Haken ist, dass ein Portal, das Internetzugang gewährt, Ihr VPN-Konto nicht authentifiziert hat. Der Tunnel muss sich danach trotzdem verbinden, und er kann aus eigenen Gründen scheitern. Zulassung und Authentifizierung sind getrennte Ereignisse, die Menschen zu einem verschmelzen.
Wenn die Zulassung immer wieder abläuft, notieren Sie, ob das Portal erneut fragt, ob das Netzwerk wegbricht oder ob nur das VPN scheitert.
Option B: eine schmale Anmeldeausnahme, dann die Sperre wiederherstellen
Die Alternative ist, den Verkehr des Portals zuzulassen, während die Sperre im Übrigen gilt, sich anzumelden und die Ausnahme danach zu entfernen. Die Ausnahme muss schmal sein: ein Ziel oder ein Adressbereich, für die Dauer der Anmeldung, mit sofort danach wiederhergestellter Sperre. Ein breites Zeitfenster ist der Weg, auf dem aus einer Anmeldung von zwei Minuten ein Nachmittag ungeschützten Verkehrs wird.
Wissen Sie, was Ihr Client tatsächlich umsetzt. OpenVPN Connect unter macOS dokumentiert die Erkennung von Captive Portalen getrennt von seiner Option, die Internetzugang blockiert, während das VPN pausiert oder sich neu verbindet. Ein Portal zu erkennen und seinen Verkehr zuzulassen sind verwandte Aufgaben, keine austauschbaren Versprechen.
Befolgen Sie auf einem verwalteten Gerät das konfigurierte Zulassungsverfahren, statt eine Ausnahme zu erfinden.
Was die Lücke offenlegt, und wem
Der interessante Teil der Blockade ist nicht der Browser-Tab vor Ihnen. Es ist alles andere, das das Netzwerk in dem Moment zu nutzen beginnt, in dem Konnektivität erscheint: Mail, Fotosynchronisierung, Update-Prüfungen, ein Chat-Client, der sich neu verbindet, ein Backup-Agent, der fortsetzt.
Ein stilles Browserfenster sagt Ihnen darüber nichts. Schließen oder pausieren Sie empfindliche Arbeit vor jedem erlaubten Direktzugriffs-Intervall und prüfen Sie, was bei der Anmeldung läuft. Unter Android ist dauerhaft aktives VPN kombiniert mit dem Blockieren von Verbindungen außerhalb des VPN die relevante Kontrolle, und eine beliebige Routenausnahme ersetzt nicht das Verständnis dafür.
Dies ist die eine Stelle, an der der ältere Ratschlag zu temporären Zugriffsfenstern noch gilt. Die Sorge war richtig, auch wo der Mechanismus es nicht war.
Wie Sie wählen und wie Sie es bestätigen
Wählen Sie Option A, wenn Gerät oder Client einen echten Portalablauf unterstützen, weil sie die Sperre durchgehend intakt hält. Wählen Sie Option B, wenn das Portal anders nicht erreichbar ist, und behandeln Sie die Ausnahme als zeitlich begrenzte Änderung mit einem Verantwortlichen.
Bestätigen Sie dann die Reihenfolge statt das Ergebnis:
curl -sS --max-time 8 https://example.com -o /dev/null -w '%{http_code}\n'Schließen Sie die Zulassung ab, stellen Sie das vorgesehene Profil her, stellen Sie jede vorübergehend geänderte Sperrkontrolle wieder her, und stellen Sie dann eine neue harmlose Anfrage und bestätigen Sie, dass sie dem Tunnel folgt. Eine Anfrage, die gelingt, weil die Sperre noch aus ist, beweist nichts über den Tunnel.
Ein Wechsel des VPN-Ausgangs erneuert keine abgelaufene Hotelsitzung. Das sind verschiedene Ereignisse, und ihre Verwechslung schickt Sie an die falsche Stelle.