Eraldage Wi-Fi-portaali ja VPN-i sisselogimised
Kaks eri süsteemi paluvad sisselogimist: koha Wi-Fi ja teie VPN-lüüs. Ekraanil näevad need sarnased välja, kuid annavad õiguse täiesti erinevateks asjadeks. Küsige igas aknas: kes saab seda saladust tegelikult kontrollida?
Kaks eri süsteemi paluvad teil sisse logida, enne kui jõuate avalikus võrgus millegi kasulikuni: koha Wi-Fi ja teie VPN-lüüs. Ekraanil näevad need sarnased välja ja annavad õiguse täiesti erinevateks asjadeks. Portaal otsustab, kas see seade tohib kohalikku võrku kasutada; VPN otsustab, kas te tohib mujal asuvasse privaatvõrku jõuda. Hoian neid lahus, küsides igas aknas ühe küsimuse: kes saab seda saladust tegelikult kontrollida? Järgnev on kontroll-loend, mida kasutan hotellides, lennujaamades ja konverentsikeskustes, sealhulgas kohad, kus ma lõpetan tippimise.
Seostage iga sisselogimine teenusega, mis seda kontrollib
Üks hotelliühendus võib hõlmata nelja eraldi kontrolli ja ainult mõned neist tahavad teie sisendit. Pange need kõigepealt järjekorda, sest ekraan ütleb harva, millisesse etappi see kuulub.
| Stage | Who checks it | What you give it | What it proves |
|---|---|---|---|
| Wi-Fi association | The access point | WPA2 passphrase or 802.1X credentials | That the device may join this SSID |
| Portal authorization | The venue or its portal provider | Room number, booking name, voucher, email or access code | That a guest may use local access |
| VPN authentication | Your gateway or identity provider | Client certificate, password, one-time code or SSO approval | That the user or device may enter the private network |
| Application login | Each internal service | That service's own account | That you may use that service |
802.1X-võrgud, mis on levinud kontorites ja ülikoolides, hägustavad kaks esimest rida. Seal on Wi-Fi sisselogimine ise identiteedikontroll RADIUS-serveri vastu ja klient võib esitada marsruutimisidentiteedi, samal ajal kui tegelik konto liigub krüpteeritud vahetuse sees. Isegi siis puudutab kontroll võrguga liitumist; see ei anna tunnelile õigust ja VPN-lüüs ei võta seda millegi tõendina.
Järjekord on tähtsam kui sildid. Captive-portaalid on olemas, sest juurdepääsu saab anda pärast ühendamist, mistõttu saab koht lehe anda spetsialiseeritud teenusepakkujale. IETF-i RFC 8952 käsitleb portaali omaette komponendina, seega tundmatu domeen on põhjus kontrollimiseks, mitte iseenesest pettuse tõend. Võrrelge domeeni koha kirjalike juhistega ja välju tabeliga.
Kontrollige, mida portaal tohib küsida
Portaali väljad puudutavad õigust, mitte identiteeti: toanumber, broneeringu perekonnanimi, vautšeri kood, võtmehoidjale trükitud kood, ajutise pääsme e-post, tingimuste aktsepteerimine. Koht teab juba, kes toa broneeris, seega saab ta need andmed kokku viia, õppimata midagi, mis lubaks tal mujal teie nimel tegutseda.
Kõik sellest loendist kaugemale jääv väärib pausi. Hotspoti leht ei saa teie domeeni parooli kontrollida, ja see ei saa kontrollida ka teie VPN-i ühekordset koodi, taastamiskoodi ega privaatvõtit, ning tal pole põhjust neid tahta. Ainus seaduslik erand on organisatsiooni hallatav võrk: kontori külalis-SSID või konverentsi Wi-Fi võib suunata teid identiteedipakkuja juurde, keda te juba tööl kasutate. See on siiski eristatav: sisselogimise host on teie igapäevane, nõusolekuekraan nimetab teie rentnikku ja voog avaneb nähtavas brauseri vahekaardil.
Turundus-e-kiri on eraldi: reisialias rahuldab välja, andmata üle teie tööidentiteeti.
Kontrollige, kas VPN-klient tahab omaenda mandaate
Klient küsib täpselt seda, milleks tema profiil on seadistatud, seega on oodatav aken profiili omadus, mitte võrgu oma, kus te juhuslikult olete. Sertifikaadiprofiilid näitavad tavaliselt profiili valikut ja ühenduvad seejärel vaikselt. Kasutajanime ja parooli profiilid küsivad mõlemat, sageli ühekordse koodiga. SSO-profiilid avavad teie brauseri identiteedipakkuja juures ja naasevad tokeniga. WireGuard on jälle teistsugune: see autentib seadmeid avaliku võtmega ja sellel pole kasutaja sisselogimist, seega WireGuardi kasutajanime ja parooli pakkuv aken ei kirjelda WireGuardit.
Lugege profiili enne reisi. Jaotises OpenVPN ütleb auth-user-pass teile, et parooliküsimust oodatakse, samas kui cert, key või pkcs12 tähendab, et töö peaks tegema sertifikaat. Kui profiil, mis tavaliselt ühendub ilma küsimuseta, küsib äkki parooli, kahtlustage profiili, mis ei suutnud oma sertifikaati laadida või langes tagasi teisele meetodile. Küsimus ei ole kutse tippida oma tööparooli ükskõik millisesse ilmunud aknasse.
Ükski seaduslik VPN-klient ei küsi toanumbrit, portaali vautšerit ega Wi-Fi paroolifraasi autentimissisendina. Kui see juhtub, siis kas klient pole see, milleks ta end nimetab, või captive-portaal püüab liikluse enne tunneli tekkimist ja te loete HTML-lehte, mis on kujundatud sisselogimise moodi.
Peatuge nende viie tingimuse juures
Need on kohad, kus ma peatun, selle asemel et jätkata usutava möödaviiguga. Igaüht on odav kontrollida ja kallis valesti teha.
- Portaalis või SSO-lehel ilmub sertifikaadi või TLS-i hoiatus. Ärge klõpsake sellest läbi, et võrku jõuda.
- Leht küsib saladust, mida saab kontrollida ainult VPN-lüüs või identiteedipakkuja: domeeni parool, ühekordne kood, taastamiskood, privaatvõti.
- Domeen ei vasta koha trükitud juhistele ega sisselogimise hostile, mille teie organisatsioon oma teenuste jaoks dokumenteerib.
- Teil palutakse installida juursertifikaat, konfiguratsiooniprofiil või abirakendus, mis ei tule teie seadmehaldusest.
- Saabub MFA-kinnitus, mida te ei alustanud, või VPN-klient küsib hotelli mandaate.
Varuvariant ei ole teine parool. Kasutage telefoni hotspoti, küsige vastuvõtust täpne võrgu nimi ja juurdepääsumeetod ning teatage lehest sellele, kes võrku haldab, või oma IT-osakonnale. Miski sellest ei nõua mandaadi proovimist lehe vastu, mida te ei saa omistada.
Omistage tõrge õigele etapile
Kui mõlemad etapid on läbitud, juhtuvad tõrked endiselt, ja viga nimetab tavaliselt etappi, kui lugeda järjekorras: liitumine, aadressi määramine, portaali autoriseerimine, tunneli loomine, seejärel sisemine ressurss. VPN-i parooli muutmine sellepärast, et portaali kood aegus, raiskab aega ja jätab tegeliku probleemi paigale.
Paar katset eraldab etapid. Pärast portaali sisselogimist taotlege tavalist avalikku HTTPS-lehte. Kui selle asemel tuleb tagasi portaal, ei lõpetatud autoriseerimist kunagi selles kihis. Kui VPN-klient teatab, et ei saa lüüsini jõuda, on probleem tunnelist allpool: portaali sessioon, nimelahendus või võrk, mis blokeerib pordi. Kui tunnel tõuseb ja üks sisemine hostinimi ei tööta, on nimelahendus või privaatvõrgu sisene poliitika parem kahtlusalune.
Portaali sessioonid aeguvad ka tunnelist sõltumatult. Kui koht tühistab juurdepääsu, katkeb loodud VPN-ühendus, kuigi selle mandaadid polnud kunagi valed. Autoriseerige portaal uuesti, seejärel ühendage VPN uuesti ja laske sellel uuesti läbi rääkida. VPN-i parooli pööramine siis ei paranda midagi ja võib teid välja lukustada.
Andke iga saladus ainult süsteemile, mis saab seda kontrollida, ja käsitlege küsimust, mis tabeliga ei sobi, stoppmärgina, mitte sammuna, millest mööda minna. Kui mõlemad etapid läbivad ja tunnel ikka keeldub, talletage kliendi täpne viga enne mis tahes mandaadi muutmist.