Wi-Fi pubblica per un solo dispositivo: perché un’uscita VPN non può aiutare

Il portatile mostra Connesso, lo scambio di chiavi riesce, e il portale continua a rifiutare di caricare una pagina su un secondo dispositivo. Non è un problema del tunnel. Il limite di dispositivi di un hotspot appartiene al suo sistema di accesso, che conta i dispositivi che ha autorizzato e le sessioni che ha rilasciato. Una VPN cambia da dove esce il traffico dopo l’autorizzazione e non cambia nulla su quanti dispositivi quel sistema ammetterà.

Che cosa conta davvero il portale

I portali captive tracciano una concessione di autorizzazione, e la concessione di solito è legata a qualcosa che la rete può identificare. Un indirizzo MAC è la scelta comune, un cookie di sessione nel browser è un’altra, e alcuni sistemi combinano l’uno o l’altro con un numero di stanza o un ticket stampato. Quattro dispositivi su un codice stanza significano quattro concessioni, e un quinto dispositivo non ne ha nessuna, qualunque software esegua. Installare una VPN su quel quinto dispositivo cambia la risposta da rifiutato a rifiutato.

Associazione e autorizzazione sono stati separati. Un portatile può associarsi al punto di accesso, mantenere una lease DHCP e restare senza internet, perché il portale non gli ha concesso nulla. Leggere l’icona del Wi-Fi come prova del successo del portale è il primo errore di tutta questa classe di casi.

Confermate la regola con la struttura

Fate due domande invece di indovinare: quanti dispositivi consente l’account e come viene rilasciata una sessione scaduta. La seconda conta di più, perché una concessione lasciata da un dispositivo andato via è ciò che di solito blocca il successivo. Il personale della reception può spesso rilasciarla o emettere un nuovo codice più in fretta di qualsiasi soluzione lato client. Usate quella procedura prima di cambiare indirizzi hardware, perché copiare l’identificatore di un altro dispositivo viola le condizioni della rete e mette un’identità duplicata sul segmento.

Il comportamento varia da operatore a operatore. Alcuni sistemi si legano a un’impronta del dispositivo, altri a una sessione del browser, e pochi consentono un numero fisso di concessioni simultanee che scadono con un timer. La politica di una struttura non predice nulla della successiva, per questo la risposta della struttura batte qualsiasi regola generale.

Tenete separate le credenziali del portale e quelle della VPN

Un codice stanza non è un accesso al gateway, e riutilizzare una credenziale di lavoro in un portale è un cattivo scambio anche quando entrambe le schermate mostrano un campo nome utente e un campo password. Autorizzate prima il dispositivo previsto, verificate una piccola richiesta ordinaria dove la struttura lo consente, e solo dopo collegate il tunnel. Quell’ordine vi dà un’attribuzione pulita quando qualcosa fallisce, perché la fase del portale era già dimostrata prima che la VPN entrasse in scena.

Quando il portale rifiuta, il tunnel è il posto sbagliato per fare debug. Nulla nella configurazione della VPN può concedere un accesso che il sistema di accesso non ha mai emesso.

Che cosa cambia un router da viaggio

Un router da viaggio può aiutare presentando un solo dispositivo a monte mentre ne serve diversi in locale, e cambia ciò che il portale vede. L’autorizzazione si lega all’identificatore del router invece che a ogni portatile, e ogni client dietro di esso condivide una concessione e un indirizzo pubblico. Se questa disposizione sia accettabile dipende dalle condizioni della rete, e molte strutture vietano esplicitamente la condivisione. Un router è un progetto legittimo dove la condivisione è permessa e una violazione dove non lo è, qualunque sia il merito tecnico.

Niente di tutto questo elimina il limite. Sposta l’unica concessione da un portatile a un router, cosa utile a un viaggiatore con più dispositivi e inutile a due persone che hanno ciascuna bisogno della propria autorizzazione.

Risolvete prima il problema locale di autorizzazione. Un tunnel che funziona perfettamente non può comunque fabbricare una concessione che il sistema di accesso non ha mai emesso.