Captive portal ja VPN-lukkiutuma: kumpi liikahtaa ensin

Hotellin portaali haluaa selaimen ennen kuin se päästää mitään liikennettä läpi. VPN:si kieltäytyy päästämästä liikennettä läpi, kunnes sen tunneli on ylhäällä. Kumpikin osapuoli odottaa toista, ja molemmat käyttäytyvät täsmälleen niin kuin ne on määritetty. Tämän lukkiutuman rikkoo vain kaksi järjestystä, ja ne eroavat siinä, mitä ne paljastavat aukon ollessa auki. Valitse toinen tietoisesti sen sijaan, että kääntelisit mitä tahansa asetusta, joka saa selaimen lataamaan.

Kaksi järjestystä, toinen niistä toimii

Joko verkko päästää sinut ensin sisään ja tunneli tulee toisena, tai avaat portaalia varten kapean poikkeuksen ja palautat eston sen jälkeen. Molemmat ovat hyväksyttäviä. Hyväksyttävää ei ole sammuttaa estoa ja unohtaa laittaa sitä takaisin.

Järjestykset eivät ole yhtä hyviä kaikissa tilanteissa. Hallitulla laitteella, jolla on pakollinen sisäänpääsyprosessi, on yksi vastaus, ja hotellin Wi-Fi-verkossa olevalla henkilökohtaisella kannettavalla toinen. Vertailu koskee sitä, mistä kumpikin vaihtoehto luopuu.

Aloita siitä, että tiedät, kumpaa asiakasohjelmasi ja laitekäytäntösi todella tukevat.

Vaihtoehto A: verkko päästää sisään, sitten tunneli yhdistetään

Vahvista odotettu verkon nimi ja käytä sitten käyttöjärjestelmän kirjautumiskehotetta tai asiakasohjelman tukemaa captive-portaalin kulkua. iPhonessa ja iPadissa kirjautumislomakkeen sulkeminen voi joko pudottaa yhteyden tai pitää sen mukana varoituksen siitä, ettei verkossa ole internetyhteyttä, ja ne ovat eri lähtökohtia. Suorita ensin sisäänpääsyvaihe ja nosta sitten tunneli. Tämä järjestys pitää eston ehjänä koko ajan, kun tunneli on alhaalla.

Kompa on siinä, että portaali, joka myöntää internetyhteyden, ei ole todentanut VPN-tiliäsi. Tunnelin on silti yhdistettävä sen jälkeen, ja se voi epäonnistua omista syistään. Sisäänpääsy ja todentaminen ovat erillisiä tapahtumia, jotka ihmiset sulauttavat yhdeksi.

Jos sisäänpääsy vanhenee jatkuvasti, pane merkille, kysyykö portaali uudelleen, putoaako verkko vai epäonnistuuko vain VPN.

Vaihtoehto B: kapea kirjautumispoikkeus ja sitten eston palautus

Vaihtoehto on sallia portaalin liikenne eston muuten pysyessä voimassa, kirjautua sisään ja poistaa sitten poikkeus. Poikkeuksen on oltava kapea: yksi kohde tai yksi osoitealue, kirjautumisen ajaksi, ja esto palautetaan heti sen jälkeen. Laaja väliaikainen ikkuna on se tapa, jolla kahden minuutin kirjautumisesta tulee koko iltapäivän suojaamaton liikenne.

Tiedä, mitä asiakasohjelmasi todella toteuttaa. OpenVPN Connect macOS:llä dokumentoi captive-portaalin tunnistuksen erikseen vaihtoehdostaan, joka estää internetyhteyden, kun VPN on keskeytettynä tai yhdistää uudelleen. Portaalin tunnistaminen ja sen liikenteen salliminen ovat toisiinsa liittyviä tehtäviä, eivät vaihdettavissa olevia lupauksia.

Noudata hallitulla laitteella määritettyä sisäänpääsyprosessia sen sijaan, että keksisit poikkeuksen.

Mitä aukko paljastaa, ja kenelle

Lukkiutuman kiinnostava osa ei ole edessäsi oleva selaimen välilehti. Se on kaikki muu, joka alkaa käyttää verkkoa hetkellä, jolloin yhteys ilmestyy: sähköposti, kuvien synkronointi, päivitystarkistukset, uudelleen yhdistävä chat-asiakasohjelma, jatkava varmuuskopiointiedustaja.

Hiljainen selainikkuna ei kerro siitä mitään. Sulje tai keskeytä arkaluonteinen työ ennen jokaista sallittua suoran yhteyden jaksoa ja tarkista, mitä kirjautuessa käynnistyy. Androidissa aina päällä oleva VPN yhdessä VPN:n ulkopuolisten yhteyksien estämisen kanssa on asiaankuuluva hallinta, eikä mielivaltainen reittipoikkeus korvaa sen ymmärtämistä.

Tämä on ainoa paikka, jossa vanhempi neuvo väliaikaisista käyttöikkunoista pitää vielä paikkansa. Huoli oli oikea myös silloin, kun mekanismi ei ollut.

Miten valita ja miten se vahvistetaan

Valitse vaihtoehto A, kun laite tai asiakasohjelma tukee todellista portaalin kulkua, koska se pitää eston ehjänä koko ajan. Valitse vaihtoehto B, kun portaaliin ei pääse millään muulla tavalla, ja kohtele poikkeusta aikarajattuna muutoksena, jolla on omistaja.

Vahvista sitten järjestys eikä lopputulos:

curl -sS --max-time 8 https://example.com -o /dev/null -w '%{http_code}\n'

Suorita sisäänpääsy, perusta aiottu profiili, palauta kaikki väliaikaisesti muutettu eston hallinta ja tee sitten uusi vaaraton pyyntö ja vahvista, että se kulkee tunnelin kautta. Pyyntö, joka onnistuu siksi, että esto on yhä pois päältä, ei todista tunnelista mitään.

VPN:n ulostulon vaihtaminen ei uusi vanhentunutta hotellisessiota. Ne ovat eri tapahtumia, ja niiden sekoittaminen lähettää sinut etsimään väärästä paikasta.