Առանձնացրե՛ք Wi-Fi-պորտալի և VPN-ի մուտքերը
Երկու տարբեր համակարգեր մուտք են պահանջում՝ վայրի Wi-Fi-ը և ձեր VPN-դարպասը։ Էկրանին նրանք նման են, բայց թույլատրում են բոլորովին տարբեր բաներ։ Յուրաքանչյուր պատուհանում հարցրե՛ք՝ ո՞վ կարող է իսկապես ստուգել այս գաղտնիքը։
Երկու տարբեր համակարգեր ձեզանից մուտք են պահանջում նախքան հանրային ցանցում որևէ օգտակար բանի հասնելը՝ վայրի Wi-Fi-ը և ձեր VPN-դարպասը։ Էկրանին նրանք նման են և թույլատրում են բոլորովին տարբեր բաներ։ Պորտալը որոշում է՝ արդյոք այս սարքը կարող է օգտագործել տեղական ցանցը, իսկ VPN-ը՝ արդյոք դուք կարող եք հասնել մասնավոր ցանցի այլ տեղ։ Ես դրանք առանձին եմ պահում՝ յուրաքանչյուր պատուհանում մեկ հարց տալով՝ ո՞վ կարող է իսկապես ստուգել այս գաղտնիքը։ Հետևյալը ստուգաթերթն է, որը ես կիրառում եմ հյուրանոցներում, օդանավակայաններում և համաժողովների վայրերում, ներառյալ այն կետերը, որտեղ դադարում եմ մուտքագրել։
Յուրաքանչյուր մուտքը կապե՛ք այն ծառայության հետ, որը ստուգում է այն
Մեկ հյուրանոցային կապը կարող է ներառել չորս առանձին ստուգում, և դրանցից միայն ոմանք են ձեր մուտքագրումն ուզում։ Նախ դասավորե՛ք դրանք հերթականությամբ, որովհետև էկրանը հազվադեպ է նշում, թե որ փուլին է պատկանում։
| Stage | Who checks it | What you give it | What it proves |
|---|---|---|---|
| Wi-Fi association | The access point | WPA2 passphrase or 802.1X credentials | That the device may join this SSID |
| Portal authorization | The venue or its portal provider | Room number, booking name, voucher, email or access code | That a guest may use local access |
| VPN authentication | Your gateway or identity provider | Client certificate, password, one-time code or SSO approval | That the user or device may enter the private network |
| Application login | Each internal service | That service's own account | That you may use that service |
802.1X ցանցերը, տարածված գրասենյակներում և համալսարաններում, մշուշում են առաջին երկու տողերը։ Այնտեղ Wi-Fi-մուտքն ինքնին ինքնության ստուգում է RADIUS սերվերի դեմ, և հաճախորդը կարող է ներկայացնել երթուղային ինքնություն, մինչ իսկական հաշիվը ճամփորդում է գաղտնագրված փոխանակության ներսում։ Անգամ այդ դեպքում ստուգումը ցանցին միանալու մասին է՝ այն չի թույլատրում թունելը, և VPN-դարպասը այն որպես որևէ բանի ապացույց չի ընդունում։
Հերթականությունն ավելի կարևոր է, քան պիտակները։ Captive պորտալները գոյություն ունեն այն պատճառով, որ հասանելիությունը կարելի է տալ միանալուց հետո, դրա համար վայրը կարող է էջը հանձնել մասնագիտացված մատակարարի։ IETF-ի RFC 8952-ը պորտալը դիտարկում է որպես իր առանձին բաղադրիչ, ուստի անծանոթ դոմենը ստուգելու պատճառ է, ոչ թե ինքնին խաբեության ապացույց։ Համեմատե՛ք դոմենը վայրի գրավոր հրահանգների հետ, իսկ դաշտերը՝ աղյուսակի հետ։
Ստուգե՛ք, թե ինչ կարող է պահանջել պորտալը
Պորտալի դաշտերը իրավունքի մասին են, ոչ թե ինքնության՝ սենյակի համար, ամրագրման ազգանուն, վաուչերի կոդ, բանալու պատյանի վրա տպված կոդ, ժամանակավոր անցագրի էլեկտրոնային փոստ, պայմանների ընդունում։ Վայրը արդեն գիտի, թե ով է ամրագրել սենյակը, ուստի կարող է համադրել այդ փաստերը՝ առանց իմանալու որևէ բան, ինչը թույլ կտա նրան այլ տեղ գործել որպես դուք։
Այս ցանկից այն կողմ ամեն ինչ արժանի է դադարի։ Հոթսփոթ էջը չի կարող ստուգել ձեր դոմենի գաղտնաբառը, և այն նույնպես չի կարող ստուգել ձեր VPN-ի մեկանգամյա կոդը, վերականգնման կոդը կամ մասնավոր բանալին, և պատճառ չունի դրանք ուզելու։ Միակ օրինական բացառությունը կազմակերպության կողմից կառավարվող ցանցն է՝ գրասենյակի հյուր-SSID-ը կամ համաժողովի Wi-Fi-ը կարող են ձեզ ուղարկել այն ինքնության մատակարարի մոտ, որն արդեն օգտագործում եք աշխատանքի համար։ Այն դեռ տարբերելի է՝ մուտքի հոսթը ձեր ամենօրյան է, համաձայնության էկրանը նշում է ձեր վարձակալին, և հոսքը բացվում է տեսանելի բրաուզերի ներդիրում։
Մարքեթինգային էլեկտրոնային փոստն առանձին է՝ ճամփորդական ծածկանունը լրացնում է դաշտը՝ չհանձնելով ձեր աշխատանքային ինքնությունը։
Ստուգե՛ք, որ VPN-հաճախորդը պահանջում է իր սեփական հավատարմագրերը
Հաճախորդը պահանջում է հենց այն, ինչի համար կարգավորված է նրա պրոֆիլը, ուստի սպասվող պատուհանը պրոֆիլի հատկանիշն է, ոչ թե այն ցանցի, որտեղ դուք պատահաբար գտնվում եք։ Սերտիֆիկատային պրոփիլները սովորաբար ցույց են տալիս պրոֆիլի ընտրություն և հետո միանում լուռ։ Օգտանուն-գաղտնաբառ պրոփիլները պահանջում են երկուսն էլ, հաճախ մեկանգամյա կոդով։ SSO պրոփիլները բացում են ձեր բրաուզերը ինքնության մատակարարի մոտ և վերադառնում թոքենով։ WireGuard-ը կրկին այլ է՝ այն սարքերը նույնականացնում է հանրային բանալիով և չունի օգտվողի մուտք, ուստի WireGuard-ի օգտանուն և գաղտնաբառ առաջարկող պատուհանը WireGuard-ը չի նկարագրում։
Կարդացե՛ք պրոփիլը ճամփորդելուց առաջ։ OpenVPN-ում auth-user-pass-ը ձեզ ասում է, որ գաղտնաբառի հարցում է սպասվում, մինչդեռ cert, key կամ pkcs12-ը նշանակում է, որ աշխատանքը պետք է անի սերտիֆիկատը։ Եթե պրոփիլը, որը սովորաբար միանում է առանց հարցման, հանկարծ գաղտնաբառ է պահանջում, կասկածե՛ք պրոփիլի, որը չկարողացավ բեռնել իր սերտիֆիկատը կամ անցավ այլ մեթոդի։ Հարցումը հրավեր չէ ձեր աշխատանքային գաղտնաբառը ցանկացած հայտնված պատուհանում մուտքագրելու։
Ոչ մի օրինական VPN-հաճախորդ սենյակի համարը, պորտալի վաուչերը կամ Wi-Fi-ի գաղտնաբառը որպես նույնականացման մուտք չի պահանջում։ Երբ դա տեղի է ունենում, կա՛մ հաճախորդը այն չէ, ինչ պնդում է, կա՛մ captive պորտալը գրավում է թրաֆիկը մինչև թունելի ձևավորումը, և դուք կարդում եք մուտքի նման ձևավորված HTML էջ։
Կանգ առե՛ք այս հինգ պայմաններում
Սրանք այն կետերն են, որտեղ ես կանգնում եմ՝ հավաստի շրջանցումով շարունակելու փոխարեն։ Յուրաքանչյուրը էժան է ստուգել և թանկ՝ սխալվել։
- Պորտալում կամ SSO էջում հայտնվում է սերտիֆիկատի կամ TLS զգուշացում։ Մի՛ անցեք դրա միջով ցանցին հասնելու համար։
- Էջը պահանջում է գաղտնիք, որը կարող է ստուգել միայն VPN-դարպասը կամ ինքնության մատակարարը՝ դոմենի գաղտնաբառ, մեկանգամյա կոդ, վերականգնման կոդ, մասնավոր բանալի։
- Դոմենը չի համապատասխանում վայրի տպագիր հրահանգներին կամ այն մուտքի հոսթին, որը ձեր կազմակերպությունը փաստագրում է իր ծառայությունների համար։
- Ձեզանից պահանջում են տեղադրել արմատային սերտիֆիկատ, կարգավորման պրոփիլ կամ օժանդակ ծրագիր, որը չի գալիս ձեր սարքերի կառավարումից։
- Գալիս է MFA հաստատում, որը դուք չեք սկսել, կամ VPN-հաճախորդը պահանջում է հյուրանոցի հավատարմագրեր։
Պահուստը այլ գաղտնաբառ չէ։ Օգտագործե՛ք հեռախոսի հոթսփոթ, ընդունարանից հարցրե՛ք ցանցի ճշգրիտ անունը և մուտքի եղանակը, և էջի մասին տեղեկացրե՛ք ցանցը կառավարողին կամ ձեր ՏՏ բաժնին։ Դրանցից ոչ մեկը չի պահանջում հավատարմագիր փորձարկել էջի դեմ, որը չեք կարող վերագրել։
Ձախողումը վերագրե՛ք ճիշտ փուլին
Երկու փուլերն անցնելուց հետո ձախողումները դեռ լինում են, և սխալը սովորաբար նշում է փուլը, եթե կարդաք հերթականությամբ՝ միացում, հասցեի տրամադրում, պորտալի լիազորում, թունելի հաստատում, ապա ներքին ռեսուրս։ VPN-ի գաղտնաբառը փոխելը, որովհետև պորտալի կոդը լրացել է, վատնում է ժամանակ և թողնում է իրական խնդիրը տեղում։
Մի քանի փորձարկում բաժանում է փուլերը։ Պորտալ մուտքից հետո պահանջե՛ք սովորական հանրային HTTPS էջ։ Եթե փոխարենը վերադառնա պորտալը, լիազորումը երբեք չի ավարտվել այդ շերտում։ Եթե VPN-հաճախորդը հայտնում է, որ չի հասնում դարպասին, խնդիրը թունելի տակ է՝ պորտալի սեսիան, անունների լուծումը կամ ցանց, որը արգելափակում է պորտը։ Եթե թունելը բարձրանա, և մեկ ներքին հոսթի անուն ձախողվի, մասնավոր ցանցի ներսում անունների լուծումը կամ քաղաքականությունը ավելի լավ կասկածյալ է։
Պորտալի սեսիաները նույնպես լրանում են թունելից անկախ։ Երբ վայրը չեղարկում է հասանելիությունը, հաստատված VPN կապը կտրվում է, թեև դրա հավատարմագրերը երբեք սխալ չեն եղել։ Կրկին լիազորե՛ք պորտալը, ապա նորից միացրե՛ք VPN-ը և թողե՛ք այն վերաբանակցի։ VPN-ի գաղտնաբառը պտտելը այդ ժամանակ ոչինչ չի ուղղում և կարող է ձեզ դրսում փակել։
Յուրաքանչյուր գաղտնիք տվե՛ք միայն այն համակարգին, որը կարող է ստուգել այն, և աղյուսակին չհամապատասխանող հարցումը դիտարկե՛ք որպես կանգի նշան, ոչ թե շրջանցելու քայլ։ Եթե երկու փուլերն անցնեն, և թունելը դեռ մերժի, գրանցե՛ք հաճախորդի ճշգրիտ սխալը նախքան որևէ հավատարմագիր փոխելը։