Portal cautivo y bloqueo de la VPN: quién se mueve primero

El portal del hotel quiere un navegador antes de dejar pasar ningún tráfico. Su VPN se niega a dejar pasar tráfico antes de que su túnel esté levantado. Cada lado espera al otro, y ambos se comportan exactamente como están configurados. Solo dos órdenes rompen ese bloqueo, y difieren en lo que exponen mientras el hueco está abierto. Elija uno a propósito en lugar de tocar cualquier ajuste que haga cargar el navegador.

Dos órdenes, una de ellas funciona

O la red le admite primero y el túnel llega después, o abre una excepción estrecha para el portal y luego restaura el bloqueo. Ambas son legítimas. Lo que no es legítimo es desactivar el bloqueo y olvidarse de volver a ponerlo.

Los dos órdenes no son igual de buenos en todas las situaciones. Un dispositivo gestionado con un proceso de admisión obligatorio tiene una respuesta, y un portátil personal en el Wi-Fi de un hotel tiene otra. La comparación trata de a qué renuncia cada opción.

Empiece por saber cuál de los dos admiten realmente su cliente y su política de dispositivos.

Opción A: la red le admite y luego se conecta el túnel

Confirme el nombre de red esperado y luego use el aviso de inicio de sesión del sistema operativo o el flujo de portal cautivo que admita el cliente. En iPhone y iPad, cerrar la hoja de inicio de sesión puede cortar la asociación o mantenerla con un aviso de que la red no tiene internet, y esos son puntos de partida distintos. Complete primero el paso de admisión y luego levante el túnel. Este orden mantiene el bloqueo intacto durante todo el tiempo en que el túnel está caído.

La trampa es que un portal que autoriza el acceso a internet no ha autenticado su cuenta de la VPN. El túnel todavía tiene que conectarse después, y puede fallar por sus propios motivos. La admisión y la autenticación son sucesos separados que la gente fusiona en uno.

Si la admisión no deja de caducar, fíjese en si el portal vuelve a preguntar, si cae la red o si solo falla la VPN.

Opción B: una excepción estrecha de inicio de sesión y luego restaurar el bloqueo

La alternativa es permitir el tráfico del portal mientras el bloqueo sigue vigente en lo demás, iniciar sesión y luego eliminar la excepción. La excepción tiene que ser estrecha: un destino o un rango de direcciones, durante el inicio de sesión, con el bloqueo restaurado inmediatamente después. Una ventana temporal amplia es la forma en que un inicio de sesión de dos minutos se convierte en una tarde de tráfico sin protección.

Sepa qué implementa realmente su cliente. OpenVPN Connect en macOS documenta la detección de portal cautivo por separado de su opción que bloquea el acceso a internet mientras la VPN está en pausa o se reconecta. Detectar un portal y permitir su tráfico son tareas relacionadas, no promesas intercambiables.

En un dispositivo gestionado, siga el proceso de admisión configurado en lugar de inventar una excepción.

Qué expone el hueco, y a quién

La parte interesante del bloqueo no es la pestaña del navegador delante de usted. Es todo lo demás que empieza a usar la red en el momento en que aparece la conectividad: correo, sincronización de fotos, comprobaciones de actualizaciones, un cliente de chat que se reconecta, un agente de copias de seguridad que se reanuda.

Una ventana de navegador silenciosa no le dice nada sobre eso. Cierre o pause el trabajo sensible antes de cualquier intervalo permitido de acceso directo, y compruebe qué se ejecuta al iniciar sesión. En Android, la VPN siempre activa combinada con el bloqueo de conexiones fuera de la VPN es el control relevante, y una excepción arbitraria de ruta no sustituye entenderlo.

Este es el único lugar donde el consejo antiguo sobre ventanas temporales de acceso sigue vigente. La preocupación era correcta incluso donde el mecanismo no lo era.

Cómo elegir y cómo confirmarlo

Elija la opción A cuando el dispositivo o el cliente admitan un flujo de portal real, porque mantiene el bloqueo intacto en todo momento. Elija la opción B cuando no se pueda llegar al portal de otra manera, y trate la excepción como un cambio con tiempo limitado y un responsable.

Luego confirme la secuencia y no el resultado:

curl -sS --max-time 8 https://example.com -o /dev/null -w '%{http_code}\n'

Complete la admisión, establezca el perfil previsto, restaure cualquier control de bloqueo cambiado temporalmente y luego haga una petición nueva e inocua y confirme que sigue el túnel. Una petición que tiene éxito porque el bloqueo sigue desactivado no demuestra nada sobre el túnel.

Cambiar la salida de la VPN no renovará una sesión de hotel caducada. Son sucesos distintos, y confundirlos le envía a buscar en el lugar equivocado.