Portale captive e VPN in stallo: chi si muove per primo

Il portale dell'hotel vuole un browser prima di lasciar passare qualsiasi traffico. La tua VPN rifiuta di far passare traffico prima che il suo tunnel sia attivo. Ogni lato aspetta l'altro, ed entrambi si comportano esattamente come sono configurati. Solo due ordini di operazioni rompono questo stallo, e differiscono in ciò che espongono mentre la finestra resta aperta. Scegline uno deliberatamente invece di attivare e disattivare l'impostazione che fa caricare il browser.

Due ordini, uno dei quali funziona

O la rete ti ammette per prima e il tunnel arriva dopo, oppure apri un'eccezione ristretta per il portale e ripristini il blocco in seguito. Entrambi sono legittimi. Non è legittimo disattivare il blocco e dimenticare di riattivarlo.

I due ordini non sono ugualmente validi in ogni situazione. Un dispositivo gestito con una procedura di ammissione obbligatoria ha una risposta, un portatile personale sul Wi-Fi dell'hotel ne ha un'altra. Il confronto riguarda ciò a cui ciascuna opzione rinuncia.

Inizia sapendo quale delle due il tuo client e la politica del dispositivo supportano davvero.

Opzione A: ammettere la rete, poi collegare il tunnel

Conferma il nome di rete atteso, poi usa la richiesta di accesso del sistema operativo o il flusso captive portal supportato dal client. Su iPhone e iPad, chiudere il pannello di accesso può far cadere l'associazione o mantenerla con un avviso che la rete non ha internet, e questi sono punti di partenza diversi. Completa prima la fase di ammissione, poi avvia il tunnel. Questo ordine mantiene il blocco intatto per tutto il tempo in cui il tunnel è inattivo.

Il problema è che un portale che autorizza l'accesso a internet non ha autenticato il tuo account VPN. Il tunnel deve comunque connettersi dopo, e può fallire per motivi propri. Ammissione e autenticazione sono eventi separati che le persone fondono in uno.

Se l'ammissione continua a scadere, annota se il portale lo richiede di nuovo, se la rete cade o se fallisce solo la VPN.

Opzione B: un'eccezione ristretta per l'accesso, poi ripristinare il blocco

L'alternativa è consentire il traffico del portale mentre il blocco resta altrimenti in vigore, accedere e poi rimuovere l'eccezione. L'eccezione deve essere ristretta: una destinazione o un intervallo di indirizzi, per la durata dell'accesso, con il blocco ripristinato subito dopo. Una finestra temporanea ampia è il modo in cui un accesso di due minuti diventa un pomeriggio di traffico non protetto.

Sappi cosa implementa davvero il tuo client. OpenVPN Connect su macOS documenta il rilevamento del captive portal separatamente dalla sua opzione che blocca l'accesso a internet mentre la VPN è in pausa o si riconnette. Rilevare un portale e consentirne il traffico sono compiti correlati, non promesse intercambiabili.

Su un dispositivo gestito, segui la procedura di ammissione configurata invece di inventare un'eccezione.

Cosa espone la finestra, e a chi

La parte interessante dello stallo non è la scheda del browser davanti a te. È tutto il resto che inizia a usare la rete nel momento in cui appare la connettività: posta, sincronizzazione delle foto, controllo degli aggiornamenti, un client di chat che si riconnette, un agente di backup che riprende.

Una finestra del browser tranquilla non ti dice nulla di tutto ciò. Chiudi o sospendi il lavoro sensibile prima di qualsiasi intervallo di accesso diretto consentito, e controlla cosa viene eseguito all'accesso. Su Android, la VPN always-on abbinata al blocco delle connessioni al di fuori della VPN è il controllo pertinente, e un'eccezione di route arbitraria non sostituisce la comprensione di questo.

Questo è l'unico punto in cui i vecchi consigli sulle finestre di accesso temporaneo valgono ancora. La preoccupazione era giusta anche dove il meccanismo non lo era.

Come scegliere e come confermarlo

Scegli l'Opzione A quando il dispositivo o il client supporta un vero flusso per il portale, perché mantiene il blocco intatto per tutta la durata. Scegli l'Opzione B quando il portale non è raggiungibile in altro modo, e tratta l'eccezione come una modifica a tempo con un responsabile.

Poi conferma la sequenza invece del risultato:

curl -sS --max-time 8 https://example.com -o /dev/null -w '%{http_code}\n'

Completa l'ammissione, stabilisci il profilo previsto, ripristina qualsiasi controllo di blocco modificato temporaneamente, quindi fai una nuova richiesta innocua e conferma che segua il tunnel. Una richiesta che riesce perché il blocco è ancora disattivato non dimostra nulla sul tunnel.

Cambiare l'uscita VPN non rinnoverà una sessione alberghiera scaduta. Sono eventi diversi, e confonderli ti manda a cercare nel posto sbagliato.