Hotel-Wi-Fi: de VPN mislearret foar't er de tsjinner berikt

De VPN-klant draait, rapportearret dan dat er de tsjinner net berikke kin, en elk komt ta de konklúzje dat it hotel VPN's blokkeart. Meastentiids is der neat sa dramatysk bard: it netwurk hat jo noch net bûten litten. In finzenisportaal hâldt elke ferbining tsjin oant jo jo oanmelde, en in tunnel kin net foltôge wurde wylst in oanmeldside syn pakketten ûnderskept. Wurkje de oanmelding troch foar't jo de tunnel de skuld jouwe.

De myte: it hotel blokkeart VPN's

De measte hotelnetwurken filterje tunnels net spesifyk. Se ûnderskeppe webfregerichfier oant de gast him autentisearret, en se kinne ek apparaten beheine, sesjes ferrinne litte of trochstream beheine. Elk dêrfan produsearret in flater dy't fanút in VPN-klant op in blokkade liket.

De tunnel is hjir in min diagnoazemiddel, want it is de iennige applikaasje dy't garandearre mislearret wylst it portaal net autorisearre is. Gewoane webtagong is de bettere yndikator, want dy kin jo de oanmeldside sels sjen litte.

Dy folchoarder is om noch in reden wichtich: in klant mei in stopskakelaar of altyd-oan-modus sil wegerje it portaal te laden, en de brûker komt ta de konklúzje dat it netwurk stikken is ynstee fan de ynstelling. Beide feiten binne tagelyk wier, en mar ien derfan kin by it hotel feroare wurde. Skeakelje de beskerming út fia de eigen kontrôle fan de klant, meld jo oan, en skeakelje it wer oan. Al it oare is in omwei dy't de wiere folchoarder ferberget.

Meitsje it portaal earst klear, test dan gewoane HTTPS

Freegje it personiel om de offisjele netnamme en de oanmeldmetoade. In oertsjûgjende SSID is gjin bewiis fan eigendom, en in twadde netwurk mei in ferlykbere namme is in gewoane trúk op iepenbiere plakken. Brûk de eigen oanmeldprompt fan it bestjoeringssysteem wêr't dy oanbean wurdt, of de dokumintearre side fan it hotel.

curl -sS -o /dev/null -w '%{http_code} %{redirect_url}\n' http://captive.apple.com/hotspot-detect.html
curl -sS -o /dev/null -w '%{http_code}\n' https://www.example.com/

It earste fersyk freget in bekende deteksje-einpunt foar finzenisportalen oer gewoane HTTP; in trochstjoering of ûnferwachte ynhâld betsjut dat jo noch efter it portaal binne. It twadde testet in normale HTTPS-side. As it earste ûnderskepping sjen lit en it twadde mislearret, is de oanmelding net foltôge en hat de VPN der neat mei te meitsjen.

Op in persoanlik apparaat moat de stopskakelaar of de altyd-oan-VPN miskien útskeakele wurde fia de stipe kontrôle fan de klant sadat it portaal lade kin. Slút gefoelige applikaasjes yn dy perioade en skeakelje de beskerming direkt dêrnei wer oan. Op in beheard apparaat brûkje jo de proseduere dy't de administrater goedkard hat, ynstee fan sels in belied te ferwiderjen.

Omzeil nea in sertifikaatwarskôging en ynstallearje nea in ûnbekend sertifikaat of helpapplikaasje om online te kommen. As it portaal eat ûnferwachts freget, befêstigje dat dan mei it personiel, en mei de administrater as it apparaat fan in wurkjouwer is.

Bewarje it orizjinele profyl en syn flater

Sadree't gewoane tagong wurket, ferbynje it orizjinele profyl en skriuw de krekte flater op. In ôfwizing fan autentikaasje is in akkountprobleem, in tiidferrin tidens ûnderhanneling is in paadprobleem, en in tunnel dy't ta stân komt mar neat ferfiert is in probleem fan rûtes of belied.

Dy trije ferkenne ferskillende folgjende stappen, en in skermôfdruk fan de flater is mear wurdich as in beskriuwing. Skriuw ek de tiid op, want hotel-sesjelimiten kinne binnen in oere ferrinne en in flater meitsje dy't tafallich liket. As de klant in loch biedt, bewarje dan it diel om de earste flater hinne ynstee fan it hiele bestân. Dat fragmint is meast genôch foar wa't it profyl hat om de faze te werkennen.

As gewoane tagong wurket en de ûnderhanneling noch altyd tiidferrint, freegje it hotel dan oft it dit ferkear stipet, en fergelykje mei in fertroud hotspot wylst it apparaat en it profyl konstant hâlden wurde. Wurkje op de hotspot rjochtet de oandacht op it hotelpaad sûnder eat oer it profyl te bewizen.

Brûk allinnich de alternativen dy't de operator leveret

In bypassend TCP-profyl kin slagje wêr't it oanbean UDP-paad net wurket, mar allinnich as de tsjinner echt op dat ferfier en dy poarte harket. TCP-poarte 443 wurdt net automatysk as gewoane HTTPS behannele, en it is gjin garânsje foar trochgong troch in beheinend netwurk.

sudo openvpn --config /etc/openvpn/client/office-tcp.conf --verb 4

It leveret profyl mei hegere detaillearring draaie hâldt de earste nuttige flater sichtber ynstee fan dy yn in algemien flaterfinster te drukken. Brûk it bestân dat de operator joech ynstee fan sels poarten of protokollen te bewurkjen, want in lokale feroaring kin oan 'e oare kant gjin bypassende harker meitsje.

As de tunnel hieltyd weromset wurdt, skriuw dan op oft it portaal wer ferskynt of it lokale sinjaal sakket, en folgje de stabiliteitskontrôles ynstee fan ferskate protokollen tagelyk te wikseljen. Test dan de applikaasje dy't jo echt nedich hawwe en bring de normale privacykontrôles werom. In ferbining dy't it iene plak ferfiert mar it oare net is in fraach fan rûtes of belied, net fan it portaal.

Ta slot, kontrolearje it werstel nei't de laptop sliept hat. De autorisaasje fan it portaal kin ûnôfhinklik fan de tunnel ferrinne, sadat in apparaat dat automatysk wer ferbynt weromkomme kin by in netwurk dat it al fergetten is. De portaalside wer iepenje is in normale stap, gjin teken dat de VPN stikken is.