Captive portal és VPN holtpont: melyik lép előbb

A hotel portálja böngészőt akar látni, mielőtt bármilyen forgalmat átenged. A VPN-je megtagadja a forgalom átengedését, amíg az alagútja fel nem áll. Mindkét fél a másikra vár, és mindkettő pontosan úgy viselkedik, ahogy be van állítva. Ezt a holtpontot csak két sorrend töri meg, és abban különböznek, hogy mit tárnak fel, amíg a rés nyitva van. Válasszon tudatosan az egyik mellett, ahelyett hogy azt a beállítást kapcsolgatja, amelytől a böngésző betölt.

Két sorrend, az egyik működik

Vagy a hálózat előbb beengedi önt, és az alagút másodikként jön, vagy szűk kivételt nyit a portál számára, majd utána visszaállítja a blokkolást. Mindkettő jogos. Az nem jogos, hogy kikapcsolja a blokkolást, és elfelejtse visszatenni.

A két sorrend nem egyformán jó minden helyzetben. Egy kötelező belépési folyamattal rendelkező felügyelt eszköznek egy válasza van, egy hotel Wi-Fijén lévő személyes laptopnak pedig más. Az összehasonlítás arról szól, miről mond le az egyes lehetőség.

Kezdje azzal, hogy tudja, melyiket támogatja valóban az ügyfél és az eszközszabályzat.

A lehetőség: engedje be a hálózatot, majd csatlakoztassa az alagutat

Erősítse meg a várt hálózatnevet, majd használja az operációs rendszer bejelentkezési kérését vagy az ügyfél által támogatott captive portal folyamatot. iPhone-on és iPaden a bejelentkező lap bezárása vagy megszakíthatja a kapcsolódást, vagy megtarthatja egy figyelmeztetéssel, hogy a hálózatnak nincs internete, és ezek különböző kiindulópontok. Előbb fejezze be a belépés lépését, utána hozza fel az alagutat. Ez a sorrend sértetlenül tartja a blokkolást mindaddig, amíg az alagút nem áll.

A csapda az, hogy egy internetelérést engedélyező portál nem hitelesítette a VPN-fiókját. Az alagútnak utána még csatlakoznia kell, és saját okokból meghiúsulhat. A belépés és a hitelesítés külön események, amelyeket az emberek egybe olvasztanak.

Ha a belépés folyton lejár, jegyezze fel, hogy a portál kér-e újra, a hálózat szakad-e meg, vagy csak a VPN hibázik.

B lehetőség: szűk bejelentkezési kivétel, majd a blokkolás visszaállítása

A másik út az, hogy engedélyezze a portál forgalmát, miközben a blokkolás egyébként érvényben marad, bejelentkezzen, majd eltávolítsa a kivételt. A kivételnek szűknek kell lennie: egy cél vagy egy címartomány, a bejelentkezés idejére, a blokkolás azonnali visszaállításával utána. A széles ideiglenes ablak az, ahogy egy kétperces bejelentkezésből egy fél délutáni védelem nélküli forgalom lesz.

Tudja, mit valósít meg valóban az ügyfél. A macOS-en futó OpenVPN Connect külön dokumentálja a captive portal észlelését attól a lehetőségétől, amely blokkolja az internetelérést, amíg a VPN szünetel vagy újracsatlakozik. A portál észlelése és forgalmának engedélyezése összefüggő feladatok, nem felcserélhető ígéretek.

Felügyelt eszközön a beállított belépési folyamatot kövesse, ne találjon ki kivételt.

Mit tár fel a rés, és kinek

A holtpont érdekes része nem az előtte lévő böngészőlap. Hanem minden más, ami a kapcsolat megjelenésének pillanatában használni kezdi a hálózatot: levelezés, fotószinkronizálás, frissítésellenőrzések, újracsatlakozó csevegőügyfél, munkáját folytató biztonsági mentési ügynök.

Egy csendes böngészőablak semmit sem mond erről. Zárja be vagy szüneteltesse az érzékeny munkát minden engedélyezett közvetlen hozzáférési intervallum előtt, és ellenőrizze, mi fut bejelentkezéskor. Androidon az állandóan bekapcsolt VPN a VPN-en kívüli kapcsolatok blokkolásával párosítva a mérvadó vezérlő, és egy önkényes útvonalkivétel nem helyettesíti ennek megértését.

Ez az egyetlen hely, ahol a régi tanács az ideiglenes hozzáférési ablakokról még mindig érvényes. Az aggodalom akkor is helyes volt, amikor a mechanizmus nem.

Hogyan válasszon és hogyan erősítse meg

Az A lehetőséget válassza, amikor az eszköz vagy az ügyfél valódi portálfolyamatot támogat, mert ez végig sértetlenül tartja a blokkolást. A B lehetőséget válassza, amikor a portál másképp nem érhető el, és a kivételt kezelje felelőssel rendelkező, időzített változásként.

Utána a sorrendet erősítse meg, ne az eredményt:

curl -sS --max-time 8 https://example.com -o /dev/null -w '%{http_code}\n'

Fejezze be a belépést, állítsa fel a kívánt profilt, állítson vissza minden ideiglenesen módosított blokkoló vezérlőt, majd tegyen egy új, ártalmatlan kérést, és erősítse meg, hogy az alagúton megy. Egy kérés, amely azért sikerül, mert a blokkolás még ki van kapcsolva, semmit sem bizonyít az alagútról.

A VPN-kijárat váltása nem újítja meg egy lejárt hotel-munkamenetet. Ezek külön események, és az összekeverésük rossz helyen keresteti önnel.