Skied Wi-Fi-portaloanmeldingen fan VPN-oanmeldingen
Twa ferskillende systemen freegje om in oanmelding: it Wi-Fi fan it plak en jo VPN-gateway. Se lykje op it skerm en jouwe tagong ta hiel ferskillende saken. Freegje by elk finster: wa kin dit geheim echt ferifiearje?
Twa ferskillende systemen freegje jo om oan te melden foardat jo eat nuttich berikke op in iepenbier netwurk: it Wi-Fi fan it plak en jo VPN-gateway. Se lykje op it skerm en jouwe tagong ta hiel ferskillende saken. It portaal beslút oft dit apparaat it lokale netwurk brûke mei; de VPN beslút oft jo in privee netwurk earne oars berikke meie. Ik hâld se apart troch by elk finster ien fraach te stellen: wa kin dit geheim echt ferifiearje? Wat folget is de checklist dy't ik brûk yn hotels, op luchthavens en by konferinsjes, ynklusyf de punten wêr't ik ophâld mei typen.
Keppelje elke oanmelding oan de tsjinst dy't it kontrolearret
Ien hotelferbining kin fjouwer aparte kontrôles omfetsje, en mar guon freegje om jo ynfier. Set se earst yn oarder, want it skerm seit komselden by hokker faze it heart.
| Stage | Who checks it | What you give it | What it proves |
|---|---|---|---|
| Wi-Fi association | The access point | WPA2 passphrase or 802.1X credentials | That the device may join this SSID |
| Portal authorization | The venue or its portal provider | Room number, booking name, voucher, email or access code | That a guest may use local access |
| VPN authentication | Your gateway or identity provider | Client certificate, password, one-time code or SSO approval | That the user or device may enter the private network |
| Application login | Each internal service | That service's own account | That you may use that service |
802.1X-netwurken, gewoan yn kantoaren en universiteiten, meitsje de earste twa rigen ûndúdlik. Dêr is de Wi-Fi-oanmelding sels in identiteitskontrôle tsjin in RADIUS-tsjinner, en de klant kin in routing-identiteit oanbiede wylst it echte akkount binnen de fersifere útwikseling reizget. Sels dan giet de kontrôle oer it oansluten by it netwurk; it jout gjin tastimming ta de tunnel, en de VPN-gateway akseptearret it net as bewiis fan eat.
Oarder is wichtiger as labels. Captive portals bestean om't tagong jûn wurde kin nei de assosjaasje, en dêrom kin in plak de side oan in spesjalisearre leveransier jaan. RFC 8952 fan de IETF behannelet it portaal as syn eigen komponint, dus in ûnbekend domein is in reden om te ferifiearjen, net op himsels bewiis fan fraude. Kontrolearje it domein tsjin de skriftlike ynstruksjes fan it plak, en de fjilden tsjin de tabel.
Kontrolearje wat in portaal freegje mei
Portaalfjilden geane oer rjocht, net oer identiteit: keamernûmer, efternamme fan de boeking, kûponkoade, de koade printe op de kaaifinger, in e-mail foar in tydlik pas, akseptaasje fan betingsten. It plak wit al wa't de keamer boekt hat, dus it kin dy feiten ferwurkje sûnder eat te learen dat it tastean soe om earne oars as jo te hanneljen.
Alles foarby dy list fertsjinnet in skoft. In hotspot-side kin jo domeinwachtwurd net ferifiearje, en it kin ek jo ienmalige koade foar de VPN, in werstelkoade of in privee kaai net ferifiearje, en it hat gjin reden om se te wollen. De ienige legitime útsûndering is in netwurk dat troch in organisaasje bestjoerd wurdt: in gast-SSID op kantoar of in konferinsje-Wi-Fi kin jo nei de identiteitsleveransier stjoere dy't jo al foar it wurk brûke. It bliuwt te ûnderskieden: de oanmeldhost is jo deistige, it tastimmingsskerm neamt jo tenant, en de stream iepenet yn in sichtber browser-tab.
Marketing-e-mail is apart: in reis-alias foldocht oan it fjild sûnder jo wurkidentiteit te jaan.
Kontrolearje dat de VPN-klant syn eigen bewiisstikken wol
De klant freget krekt dat dêr't syn profyl foar konfigurearre is, dus it ferwachte finster is in eigenskip fan it profyl en net fan it netwurk dêr't jo tafallich op binne. Sertifikaatprofilen litte meast in profylkar en ferbine dan stil. Profilen foar brûkersnamme en wachtwurd freegje beide, faak mei in ienmalige koade. SSO-profilen iepenje jo browser nei de identiteitsleveransier en komme werom mei in token. WireGuard is wer oars: it ferifiearret apparaten mei in iepenbiere kaai en hat gjin brûkeroanmelding, dus in finster dat in WireGuard-brûkersnamme en wachtwurd biedt, beskreauwt WireGuard net.
Lês it profyl foardat jo reizgje. Yn OpenVPN fertelt auth-user-pass jo dat in wachtwurdfraach ferwachte wurdt, wylst cert, key of pkcs12 betsjut dat in sertifikaat it wurk dwaan moat. As in profyl dat normaal sûnder fraach ferbynt ynienen in wachtwurd freget, fertinke in profyl dat syn sertifikaat net lade koe of nei in oare metoade foel. In fraach is gjin útnoeging om jo wurkwachtwurd yn hokker finster dan ek te typen.
Gjin legitime VPN-klant freget it keamernûmer, de portaal-kûpon of de Wi-Fi-wachtfraze as autentikaasje-ynfier. As dat bart, is de klant óf net wat er seit te wêzen, óf in captive portal ûnderskept ferkear foardat de tunnel foarmet en jo lêze in HTML-side dy't as oanmelding fersierd is.
Stop by dizze fiif betingsten
Dit binne de punten wêr't ik stopje ynstee fan troch te gean mei in oannimlik omwei. Elk is goedkeap te kontrolearjen en djoer ferkeard te dwaan.
- In sertifikaat- of TLS-warskôging ferskynt op it portaal of op de SSO-side. Klik der net trochhinne om it netwurk te berikken.
- De side freget in geheim dat allinnich de VPN-gateway of de identiteitsleveransier ferifiearje kin: domeinwachtwurd, ienmalige koade, werstelkoade, privee kaai.
- It domein komt net oerien mei de printe ynstruksjes fan it plak of mei de oanmeldhost dy't jo organisaasje foar syn eigen tsjinsten dokumintearret.
- Jo wurde frege in woartelsertifikaat, in konfiguraasjeprofyl of in helpapplikaasje te ynstallearjen dy't net út jo apparaatbehear komt.
- Der komt in MFA-goedkarring dy't jo net begûn binne, of de VPN-klant freget hotelbewiisstikken.
De fallback is gjin oar wachtwurd. Brûk in hotspot fan 'e telefoan, freegje by de resepsje nei de krekte netwurknamme en tagongsmetoade, en meld de side by wa't it netwurk beheart of by jo IT-tsjinst. Neat dêrfan freget om in bewiisstik tsjin in side te testen dy't jo net tarekkene kinne.
Wys in mislearring ta oan de juste faze
Nei't beide fazen slagge binne, barre mislearrings noch, en de flater neamt meast de faze as jo it yn oarder lêze: assosjaasje, adresopdracht, portaalautorisatie, tunnelopbou, dan de ynterne boarne. In VPN-wachtwurd feroarje om't in portaal-koade ferrûn is, smyt tiid wei en lit it echte probleem stean.
In pear tests skiede de fazen. Nei de portaal-oanmelding, freegje in gewoane iepenbiere HTTPS-side. As it portaal ynstee weromkomt, is de autorisaasje nea foltôge op dy laach. As de VPN-klant meldt dat er de gateway net berikke kin, sit it probleem ûnder de tunnel: de portaal-sesje, nammerjochting of in netwurk dat de poarte blokket. As de tunnel omheech komt en ien ynterne hostnamme mislearret, binne nammerjochting of belied binnen it privee netwurk de bettere fertinking.
Portaalsesjes ferrinne ek los fan de tunnel. As it plak tagong weromlûkt, falt in fêstige VPN-ferbining weil, ek al wiene syn bewiisstikken nea ferkeard. Autoriscarje it portaal opnij, ferbyn dan de VPN opnij en lit it opnij ûnderhannelje. It VPN-wachtwurd dan rotearje reparearret neat en kin jo bûten slute.
Jou elk geheim allinnich oan it systeem dat it ferifiearje kin, en behannelje in fraach dy't net by de tabel past as in stopteken ynstee fan in stap om te omgean. As beide fazen slagje en de tunnel wegert noch, fange dan de krekte klantflater op foardat jo hokker bewiisstik dan ek feroarje.