Pisahkan login portal Wi-Fi dari login VPN
Dua sistem berbeda meminta hal yang sama: login. Portal mengatur akses lokal; VPN mengatur akses ke jaringan privat. Tanyakan di setiap jendela siapa yang benar-benar dapat memverifikasi rahasia itu.
Dua sistem berbeda meminta Anda masuk sebelum mencapai sesuatu yang berguna di jaringan publik: Wi-Fi tempat itu dan gateway VPN Anda. Keduanya tampak sama di layar dan mengizinkan hal yang sangat berbeda. Portal memutuskan apakah perangkat ini boleh memakai jaringan lokal; VPN memutuskan apakah Anda boleh mencapai jaringan privat di tempat lain. Saya memisahkannya dengan mengajukan satu pertanyaan pada setiap jendela: siapa yang benar-benar dapat memverifikasi rahasia ini? Berikut adalah daftar periksa yang saya jalankan di hotel, bandara, dan tempat konferensi, termasuk titik-titik ketika saya berhenti mengetik.
Petakan setiap login ke layanan yang memeriksanya
Satu koneksi hotel dapat melibatkan empat pemeriksaan terpisah, dan hanya beberapa yang meminta masukan Anda. Urutkan dulu, karena layar jarang menyebutkan tahap mana yang dimaksud.
| Stage | Who checks it | What you give it | What it proves |
|---|---|---|---|
| Wi-Fi association | The access point | WPA2 passphrase or 802.1X credentials | That the device may join this SSID |
| Portal authorization | The venue or its portal provider | Room number, booking name, voucher, email or access code | That a guest may use local access |
| VPN authentication | Your gateway or identity provider | Client certificate, password, one-time code or SSO approval | That the user or device may enter the private network |
| Application login | Each internal service | That service's own account | That you may use that service |
Jaringan 802.1X, umum di kantor dan universitas, mengaburkan dua baris pertama. Di sana login Wi-Fi sendiri merupakan pemeriksaan identitas terhadap server RADIUS, dan klien dapat menyajikan identitas perutean sementara akun sebenarnya berjalan di dalam pertukaran terenkripsi. Bahkan saat itu pemeriksaan menyangkut bergabungnya jaringan; ia tidak mengizinkan terowongan, dan gateway VPN tidak menerimanya sebagai bukti apa pun.
Urutan lebih penting daripada label. Portal captive ada karena akses dapat diberikan setelah asosiasi, sehingga tempat dapat menyerahkan halaman itu kepada penyedia khusus. RFC 8952 dari IETF memperlakukan portal sebagai komponennya sendiri, jadi domain yang tidak dikenal adalah alasan untuk memeriksa, bukan bukti penipuan dengan sendirinya. Bandingkan domain dengan petunjuk tertulis tempat itu, dan bidang-bidangnya dengan tabel.
Periksa apa yang boleh diminta portal
Bidang portal berkaitan dengan hak, bukan identitas: nomor kamar, nama belakang pemesanan, kode voucher, kode yang tercetak di sarung kunci, email untuk izin sementara, penerimaan syarat. Tempat itu sudah tahu siapa yang memesan kamar, jadi dapat mencocokkan fakta itu tanpa mempelajari apa pun yang memungkinkan bertindak sebagai Anda di tempat lain.
Apa pun di luar daftar itu patut dihentikan. Halaman hotspot tidak dapat memverifikasi kata sandi domain Anda, dan itu juga tidak dapat memverifikasi kode sekali pakai VPN Anda, kode pemulihan, atau kunci privat, dan tidak punya alasan menginginkannya. Satu-satunya pengecualian yang sah adalah jaringan yang dijalankan organisasi: SSID tamu kantor atau Wi-Fi konferensi dapat mengarahkan Anda ke penyedia identitas yang sudah Anda gunakan untuk kerja. Itu pun masih dapat dibedakan: host masuk adalah host harian Anda, layar persetujuan menyebut tenant Anda, dan alurnya terbuka di tab peramban yang terlihat.
Email pemasaran terpisah: alias perjalanan memenuhi bidang itu tanpa menyerahkan identitas kerja Anda.
Periksa apakah klien VPN menginginkan kredensialnya sendiri
Klien meminta persis apa yang dikonfigurasi profilnya, jadi jendela yang diharapkan adalah sifat profil, bukan jaringan tempat Anda kebetulan berada. Profil sertifikat biasanya menampilkan pilihan profil lalu terhubung diam-diam. Profil nama pengguna dan kata sandi meminta keduanya, sering dengan kode sekali pakai. Profil SSO membuka peramban Anda ke penyedia identitas dan kembali dengan token. WireGuard berbeda lagi: ia mengautentikasi perangkat dengan kunci publik dan tidak memiliki login pengguna, jadi jendela yang menawarkan nama pengguna dan kata sandi WireGuard tidak menggambarkan WireGuard.
Baca profil sebelum bepergian. Di OpenVPN, auth-user-pass memberi tahu Anda bahwa permintaan kata sandi diharapkan, sedangkan cert, key, atau pkcs12 berarti sertifikat yang seharusnya melakukan pekerjaan. Jika profil yang biasanya terhubung tanpa permintaan tiba-tiba meminta kata sandi, curigai profil yang gagal memuat sertifikatnya atau beralih ke metode lain. Permintaan bukan undangan untuk mengetik kata sandi kerja Anda ke jendela apa pun yang muncul.
Tidak ada klien VPN sah yang meminta nomor kamar, voucher portal, atau frasa sandi Wi-Fi sebagai masukan autentikasi. Ketika itu terjadi, entah klien bukan seperti yang diklaimnya, atau portal captive mencegat lalu lintas sebelum terowongan terbentuk dan Anda membaca halaman HTML yang ditata mirip login.
Berhenti pada lima kondisi ini
Inilah titik-titik ketika saya berhenti alih-alih melanjutkan dengan akal-akalan yang masuk akal. Masing-masing murah diperiksa dan mahal jika salah.
- Peringatan sertifikat atau TLS muncul di portal atau di halaman SSO. Jangan mengkliknya untuk mencapai jaringan.
- Halaman meminta rahasia yang hanya dapat diverifikasi gateway VPN atau penyedia identitas: kata sandi domain, kode sekali pakai, kode pemulihan, kunci privat.
- Domain tidak cocok dengan petunjuk tercetak tempat itu atau dengan host masuk yang didokumentasikan organisasi Anda untuk layanannya sendiri.
- Anda diminta memasang sertifikat akar, profil konfigurasi, atau aplikasi pembantu yang tidak berasal dari pengelolaan perangkat Anda.
- Persetujuan MFA datang yang tidak Anda mulai, atau klien VPN meminta kredensial hotel.
Alternatifnya bukan kata sandi lain. Gunakan hotspot ponsel, tanyakan ke resepsionis nama jaringan dan metode akses yang tepat, dan laporkan halaman itu kepada pengelola jaringan atau meja TI Anda. Tidak satu pun dari itu menuntut pengujian kredensial pada halaman yang tidak dapat Anda kaitkan.
Kaitkan kegagalan dengan tahap yang tepat
Setelah kedua tahap lolos, kegagalan tetap terjadi, dan galat biasanya menyebutkan tahapnya jika dibaca berurutan: asosiasi, pemberian alamat, otorisasi portal, pembentukan terowongan, lalu sumber daya internal. Mengganti kata sandi VPN karena kode portal kedaluwarsa membuang waktu dan membiarkan masalah sebenarnya tetap ada.
Beberapa uji memisahkan tahap-tahap itu. Setelah masuk portal, minta halaman HTTPS publik biasa. Jika portal yang kembali, otorisasi tidak pernah selesai di lapisan itu. Jika klien VPN melaporkan tidak dapat mencapai gateway, masalahnya di bawah terowongan: sesi portal, resolusi nama, atau jaringan yang memblokir porta. Jika terowongan naik dan satu nama host internal gagal, resolusi nama atau kebijakan di dalam jaringan privat adalah tersangka yang lebih baik.
Sesi portal juga kedaluwarsa terlepas dari terowongan. Ketika tempat mencabut akses, koneksi VPN yang sudah terbentuk putus meskipun kredensialnya tidak pernah salah. Otorisasi ulang portal, lalu sambungkan lagi VPN dan biarkan bernegosiasi ulang. Merotasi kata sandi VPN saat itu tidak memperbaiki apa pun dan dapat mengunci Anda di luar.
Berikan setiap rahasia hanya kepada sistem yang dapat memverifikasinya, dan perlakukan permintaan yang tidak cocok dengan tabel sebagai tanda berhenti, bukan langkah yang harus diakali. Jika kedua tahap lolos dan terowongan tetap menolak, tangkap galat klien yang tepat sebelum mengubah kredensial apa pun.