Captive portal en VPN-deadlock: wa't beweecht earst
It hotelportal wol ferkear foardat de tunnel bestiet; de VPN blokkearret oant de tunnel omheech is. Fergelykje de twa oarders en wat elk yn it gat bleatleit.
It portal fan it hotel wol in browser foardat it hokker ferkear dan ek trochlitte. Dyn VPN wegeret ferkear troch te litten oant syn tunnel omheech is. Eltse kant wachtet op de oare, en beide gedrage har krekt sa't se konfigurearre binne. Allinnich twa oarders brekke dat deadlock, en se ferskille yn wat se bleatlege wylst it gat iepen is. Kies ien bewust ynstee fan te draaien oan hokker ynstelling dan ek dy't de browser lade lit.
Twa oarders, ien fan beiden wurket
Of it netwurk lit dy earst ta en de tunnel komt twadde, of do iepenest in smelle útsûndering foar it portal en setst de blokkade dêrnei werom. Beide binne legitiem. Wat net legitiem is, is de blokkade útsette en ferjitte om dy werom te setten.
| Order | What it costs | When it fails |
|---|---|---|
| Admit, then connect | Nothing extra; the block stays on | The client cannot reach the portal with the tunnel down |
| Exception, then restore | A timed window of direct access | The window is left open, or scoped too broadly |
De twa oarders binne net yn elke situaasje like goed. In beheard apparaat mei in ferplichte tagongsproses hat ien antwurd, en in persoanlike laptop op hotel-Wi-Fi hat in oar. De fergeliking giet oer wat elke opsje opjout.
Begjin mei te witten hokker fan beiden dyn klant en dyn apparaatbelied echt stypje.
Opsje A: lit it netwurk dy tastean, ferbynt dan de tunnel
Befêstigje de ferwachte netwurknamme, brûk dan de oanmeldingsprompt fan it bestjoeringssysteem of de troch de klant stipe captive-portalstream. Op iPhone en iPad kin it sluten fan it oanmeldingsblêd de assosjaasje of falle litte of behâlde mei in warskôging dat it netwurk gjin ynternet hat, en dat binne ferskillende útgongspunten. Foltógje earst de tagongsstap en bring dan de tunnel omheech. Dizze oarder hâldt de blokkade ûnskansearre yn 'e hiele tiid dat de tunnel del is.
De nuod is dat in portal dy't ynternettagong tastiet, dyn VPN-account net autentisearre hat. De tunnel moat dêrnei dochs ferbine, en hy kin om syn eigen redenen mislearje. Tagong en autentikaasje binne aparte barren dy't minsken yn ien gearranne.
As de tagong hieltyd ferrint, merkk dan op oft it portal wer freget, it netwurk falt, of allinnich de VPN mislearret.
Opsje B: in smelle oanmeldingsútsûndering, dan de blokkade weromsette
It alternatyf is it ferkear fan it portal tastean wylst de blokkade oars fan krêft bliuwt, oanmelde en dan de útsûndering weinimme. De útsûndering moat smel wêze: ien bestimming of ien adresberik, foar de doer fan 'e oanmelding, mei de blokkade fuort dêrnei weromset. In breed tydlik finster is de manier wêrop in oanmelding fan twa minuten in middei sûnder beskerming wurdt.
Wit wat dyn klant echt ymplemintearret. OpenVPN Connect op macOS dokumintearret captive-portaldeteksje apart fan syn opsje dy't ynternettagong blokkearret wylst de VPN pauzearre is of wer ferbynt. In portal detektearje en syn ferkear tastean binne besibbe taken, net útwikselbere beloften.
Op in beheard apparaat, folgje it konfigurearre tagongsproses ynstee fan in útsûndering te betinken.
Wat it gat bleatleit, en foar wa
It nijsgjirrige diel fan it deadlock is net it browser-tabblêd foar dy. It is al it oare dat it netwurk begjint te brûken op it stuit dat ferbining ferskynt: post, fotosyngronisaasje, updateskontrôles, in chatklant dy't wer ferbynt, in backup-agint dat wer trochgiet.
In stil browserfinster fertelt dy dêr neat oer. Slút of pauzearje gefoelich wurk foar elk tastien direkte-tagongsinterval, en kontrolearje wat by oanmelding draait. Op Android is altyd-oan VPN kombinearre mei it blokkearjen fan ferbiningen bûten de VPN de relevante kontrôle, en in willekeurige rûtútsûndering ferfangt it begryp dêrfan net.
Dit is it iene plak dêr't it âldere advys oer tydlike tagongsfinsters noch jildt. De soarch wie goed, sels dêr't it meganisme dat net wie.
Hoe't do kiest en hoe't do it befêstigest
Kies opsje A as it apparaat of de klant in echte portalstream stypje, want dy hâldt de blokkade trochgeand ûnskansearre. Kies opsje B as it portal op gjin oare manier berikber is, en behannelje de útsûndering as in tiidbeheinde feroaring mei in eigner.
Befêstigje dan de folchoarder ynstee fan it resultaat:
curl -sS --max-time 8 https://example.com -o /dev/null -w '%{http_code}\n'Foltógje de tagong, set it bedoelde profyl op, set elk tydlik feroare blokkearkontrôle werom, en doch dan in nij harmless fersyk en befêstigje dat it de tunnel folget. In fersyk dat slagget om't de blokkade noch út is, bewiist neat oer de tunnel.
It wikseljen fan de VPN-útgong fernijt in ferrûn hotelsesje net. Dat binne ferskillende barren, en se troinoar helje stjoert dy nei it ferkearde plak te sykjen.