ورودهای پورتال Wi-Fi را از ورودهای VPN جدا کنید
دو سامانه متفاوت از شما ورود می‌خواهند: Wi-Fi محل و دروازه VPN شما. روی صفحه شبیه هم به نظر می‌رسند اما چیزهای کاملاً متفاوتی را مجاز می‌کنند. در هر پنجره بپرسید: چه کسی واقعاً می‌تواند این راز را تأیید کند؟
پیش از رسیدن به چیز مفیدی در یک شبکه عمومی، دو سامانه متفاوت از شما می‌خواهند وارد شوید: Wi-Fi محل و دروازه VPN شما. روی صفحه شبیه هم به نظر می‌رسند و چیزهای کاملاً متفاوتی را مجاز می‌کنند. پورتال تصمیم می‌گیرد این دستگاه اجازه استفاده از شبکه محلی را دارد یا نه؛ VPN تصمیم می‌گیرد شما اجازه رسیدن به شبکه خصوصی در جای دیگری را دارید یا نه. آن‌ها را با پرسیدن یک سؤال در هر پنجره جدا نگه می‌دارم: چه کسی واقعاً می‌تواند این راز را تأیید کند؟ آنچه می‌آید فهرست بازبینی‌ای است که در هتل‌ها، فرودگاه‌ها و مکان‌های کنفرانس اجرا می‌کنم، از جمله نقاطی که تایپ را متوقف می‌کنم.
هر ورود را به سرویسی که آن را بررسی می‌کند نسبت دهید
یک اتصال هتلی می‌تواند چهار بررسی جداگانه داشته باشد و فقط برخی از شما ورودی می‌خواهند. ابتدا آن‌ها را مرتب کنید، چون صفحه به‌ندرت می‌گوید به کدام مرحله تعلق دارد.
| Stage | Who checks it | What you give it | What it proves |
|---|---|---|---|
| Wi-Fi association | The access point | WPA2 passphrase or 802.1X credentials | That the device may join this SSID |
| Portal authorization | The venue or its portal provider | Room number, booking name, voucher, email or access code | That a guest may use local access |
| VPN authentication | Your gateway or identity provider | Client certificate, password, one-time code or SSO approval | That the user or device may enter the private network |
| Application login | Each internal service | That service's own account | That you may use that service |
شبکه‌های 802.1X که در دفترها و دانشگاه‌ها رایج‌اند، دو ردیف اول را محو می‌کنند. آنجا ورود Wi-Fi خودش بررسی هویت در برابر سرور RADIUS است و کلاینت می‌تواند هویت مسیریابی ارائه کند در حالی که حساب واقعی داخل تبادل رمزنگاری‌شده سفر می‌کند. حتی آن‌موقع بررسی درباره پیوستن به شبکه است؛ تونل را مجاز نمی‌کند و دروازه VPN آن را دلیل هیچ چیز نمی‌پذیرد.
ترتیب مهم‌تر از برچسب‌هاست. پورتال‌های اسیر وجود دارند چون دسترسی می‌تواند پس از اتصال داده شود، و به همین دلیل یک مکان می‌تواند صفحه را به ارائه‌دهنده تخصصی بسپارد. RFC 8952 از IETF پورتال را مؤلفه خودش می‌داند، پس دامنه ناآشنا دلیلی برای بررسی است، نه به‌خودی‌خود مدرک تقلب. دامنه را با دستورالعمل‌های نوشته‌شده مکان و فیلدها را با جدول مقایسه کنید.
بررسی کنید پورتال اجازه دارد چه چیزی بخواهد
فیلدهای پورتال درباره استحقاق‌اند نه هویت: شماره اتاق، نام خانوادگی رزرو، کد واچر، کدی که روی پوشش کلید چاپ شده، ایمیل برای گذر موقت، پذیرش شرایط. مکان از قبل می‌داند چه کسی اتاق را رزرو کرده، پس می‌تواند این اطلاعات را مطابقت دهد بدون اینکه چیزی یاد بگیرد که به آن اجازه دهد جای دیگری به نام شما عمل کند.
هر چیزی فراتر از این فهرست سزاوار توقف است. صفحه هات‌اسپات نمی‌تواند گذرواژه دامنه شما را تأیید کند، و همچنین نمی‌تواند کد یک‌بارمصرف VPN شما، کد بازیابی یا کلید خصوصی را تأیید کند و دلیلی برای خواستن آن‌ها ندارد. تنها استثنای مشروع شبکه‌ای است که سازمانی اداره می‌کند: یک SSID مهمان اداری یا Wi-Fi کنفرانس می‌تواند شما را به ارائه‌دهنده هویتی بسپارد که از قبل برای کار استفاده می‌کنید. باز هم قابل تشخیص است: میزبان ورود همان روزمره شماست، صفحه رضایت نام مستأجر شما را می‌آورد و جریان در یک برگه مرورگر قابل مشاهده باز می‌شود.
ایمیل بازاریابی جداست: یک نام مستعار سفر فیلد را برآورده می‌کند بدون تحویل هویت کاری شما.
بررسی کنید که کلاینت VPN اعتبارنامه‌های خودش را می‌خواهد
کلاینت دقیقاً همان چیزی را می‌خواهد که پروفایلش برای آن پیکربندی شده، پس پنجره مورد انتظار ویژگی پروفایل است نه شبکه‌ای که تصادفاً روی آن هستید. پروفایل‌های گواهی معمولاً انتخابی از پروفایل نشان می‌دهند و سپس بی‌صدا متصل می‌شوند. پروفایل‌های نام کاربری و گذرواژه هر دو را می‌خواهند، اغلب با کد یک‌بارمصرف. پروفایل‌های SSO مرورگر شما را به ارائه‌دهنده هویت باز می‌کنند و با توکن برمی‌گردند. WireGuard دوباره متفاوت است: دستگاه‌ها را با کلید عمومی احراز می‌کند و ورود کاربر ندارد، پس پنجره‌ای که نام کاربری و گذرواژه WireGuard را پیشنهاد می‌دهد WireGuard را توصیف نمی‌کند.
پیش از سفر پروفایل را بخوانید. در OpenVPN، auth-user-pass به شما می‌گوید که درخواست گذرواژه انتظار می‌رود، در حالی که cert، key یا pkcs12 یعنی گواهی باید کار را انجام دهد. اگر پروفایلی که معمولاً بدون درخواست متصل می‌شود ناگهان گذرواژه بخواهد، به پروفایلی که گواهی‌اش را بارگذاری نکرده یا به روش دیگری افتاده بدگمان شوید. درخواست دعوتی برای تایپ گذرواژه کاری در هر پنجره‌ای که ظاهر شده نیست.
هیچ کلاینت VPN مشروعی شماره اتاق، واچر پورتال یا عبارت عبور Wi-Fi را به‌عنوان ورودی احراز هویت نمی‌خواهد. وقتی چنین می‌شود، یا کلاینت آن چیزی نیست که ادعا می‌کند، یا یک پورتال اسیر پیش از شکل‌گیری تونل ترافیک را رهگیری می‌کند و شما صفحه HTMLای را می‌خوانید که شبیه ورود طراحی شده است.
در این پنج شرط توقف کنید
این‌ها نقاطی است که می‌ایستم به‌جای ادامه دادن با یک راه‌حل جایگزین محتمل. بررسی هر کدام ارزان و اشتباه کردن در آن گران است.
- هشدار گواهی یا TLS روی پورتال یا صفحه SSO ظاهر می‌شود. برای رسیدن به شبکه از آن عبور نکنید.
- صفحه رازی می‌خواهد که فقط دروازه VPN یا ارائه‌دهنده هویت می‌تواند تأیید کند: گذرواژه دامنه، کد یک‌بارمصرف، کد بازیابی، کلید خصوصی.
- دامنه با دستورالعمل‌های چاپی مکان یا با میزبان ورودی که سازمان شما برای سرویس‌های خود مستند می‌کند مطابقت ندارد.
- از شما خواسته می‌شود گواهی ریشه، پروفایل پیکربندی یا برنامه کمکی‌ای نصب کنید که از مدیریت دستگاه‌های شما نمی‌آید.
- تأیید MFAای می‌رسد که شما شروع نکردید، یا کلاینت VPN اعتبارنامه هتل را می‌خواهد.
جایگزین گذرواژه‌ای متفاوت نیست. از هات‌اسپات تلفن استفاده کنید، از پذیرش نام دقیق شبکه و روش دسترسی را بپرسید و صفحه را به کسی که شبکه را اداره می‌کند یا میز IT خودتان گزارش دهید. هیچ‌کدام نیازمند آزمایش اعتبارنامه در برابر صفحه‌ای که نمی‌توانید به آن نسبت دهید نیست.
شکست را به مرحله درست نسبت دهید
پس از عبور هر دو مرحله، شکست‌ها باز هم رخ می‌دهند و خطا معمولاً مرحله را نام می‌برد اگر به ترتیب بخوانید: پیوستن، تخصیص نشانی، مجوز پورتال، برقراری تونل، سپس منبع داخلی. تغییر گذرواژه VPN چون کد پورتال منقضی شده وقت تلف می‌کند و مشکل واقعی را سر جایش می‌گذارد.
چند آزمون مراحل را جدا می‌کند. پس از ورود به پورتال، یک صفحه HTTPS عمومی معمولی درخواست کنید. اگر به‌جای آن پورتال برگردد، مجوز در آن لایه هرگز کامل نشده است. اگر کلاینت VPN گزارش دهد که به دروازه نمی‌رسد، مشکل زیر تونل است: نشست پورتال، تجزیه نام یا شبکه‌ای که درگاه را مسدود می‌کند. اگر تونل بالا بیاید و یک نام میزبان داخلی شکست بخورد، تجزیه نام یا سیاست داخل شبکه خصوصی مظنون بهتر است.
نشست‌های پورتال نیز مستقل از تونل منقضی می‌شوند. وقتی مکان دسترسی را لغو می‌کند، اتصال VPN برقرارشده قطع می‌شود هرچند اعتبارنامه‌هایش هرگز اشتباه نبوده‌اند. پورتال را دوباره مجاز کنید، سپس VPN را دوباره وصل کنید و بگذارید دوباره مذاکره کند. چرخاندن گذرواژه VPN آن‌موقع چیزی را درست نمی‌کند و می‌تواند شما را بیرون قفل کند.
هر راز را فقط به سامانه‌ای بدهید که می‌تواند آن را تأیید کند، و درخواستی را که با جدول نمی‌خواند علامت توقف بدانید نه گامی برای دور زدن. اگر هر دو مرحله عبور کنند و تونل باز هم امتناع کند، خطای دقیق کلاینت را پیش از تغییر هر اعتبارنامه‌ای ثبت کنید.